Golpe das 'passagens grátis' no Facebook: promoções falsas de companhias aéreas colhem dados pessoais e viralizam entre amigos
O Group-IB documentou uma campanha com 95 sites falsos imitando 19 grandes marcas de aviação (Emirates, Lufthansa, Delta, Air France, entre outras), anunciados via posts no Facebook prometendo passagens grátis. Ao 'ganhar' o sorteio fictício, a vítima entrega nome, e-mail, telefone, data de nascimento e endereço, e ainda é induzida a curtir e compartilhar a publicação, recrutando os próprios amigos para o golpe.
A campanha é um exemplo clássico de golpe de engenharia social construído inteiramente em cima da confiança social do Facebook: posts como '_Emirates está sorteando 2 passagens_' circulavam parecendo vir de contas de amigos, aproveitando o fato de que uma recomendação de alguém conhecido gera muito mais confiança do que um anúncio de marca. Ao clicar, o usuário caía em um dos 95 domínios falsos registrados especificamente para imitar 19 companhias aéreas e marcas associadas, com URLs desenhadas para parecer legítimas à primeira vista.
O funil do golpe foi desenhado para maximizar a sensação de legitimidade antes de pedir dados sensíveis: a vítima primeiro respondia a perguntas triviais de 'confirmação' (sem risco aparente), só depois era informada de que havia 'ganhado' e, nesse momento de euforia, era solicitada a preencher nome, e-mail, telefone, data de nascimento e endereço. O último passo — curtir e compartilhar o post para 'liberar o prêmio' — é o que torna esse tipo de golpe autoescalável: cada vítima se torna, sem saber, um vetor de distribuição para a rede de contatos, dispensando os atacantes de investir em tráfego pago ou spam direto.
Diferente de um phishing bancário, aqui o objetivo não é o roubo imediato de dinheiro, mas a colheita de dados pessoais em escala para revenda a listas de spam e marketing, ou uso posterior em golpes de identidade e phishing mais direcionado — o que só reforça por que qualquer vazamento de dados cadastrais, mesmo 'inofensivo' à primeira vista, tem valor real para o crime organizado.
O reconhecimento desse padrão continua atual: sorteios que exigem curtir/compartilhar para 'liberar' o prêmio, domínios que imitam a marca mas não são o site oficial (variações com hífens, palavras extras ou TLDs incomuns), e qualquer solicitação de dados pessoais completos (CPF, data de nascimento, endereço) para 'confirmar' um prêmio são sinais claros de fraude. Empresas legítimas não promovem sorteios de alto valor exclusivamente por posts de terceiros no Facebook, e o canal oficial para verificar qualquer promoção é sempre o site ou perfil verificado da própria marca — nunca o link compartilhado por um amigo.