CTM360 revela esquema de falsos cartões-presente que explora marcas confiáveis
A empresa de segurança CTM360 identificou mais de 1.000 incidentes de uma campanha de falsos giveaways de cartão-presente que imita marcas como PlayStation, Sephora, SHEIN, Walmart e Amazon, usando anúncios patrocinados e endossos fabricados de influenciadores. O golpe não rouba cartão de crédito diretamente: lucra por meio de redes de afiliados, levando vítimas a completar pesquisas, instalar apps e assinar serviços móveis sem nunca entregar o prêmio prometido.
A CTM360 mapeou uma campanha ativa com mais de 1.000 incidentes registrados em que criminosos criam páginas falsas simulando promoções de cartão-presente de grandes marcas — PlayStation, Sephora, SHEIN, Walmart e Amazon entre elas. A divulgação ocorre via anúncios patrocinados em redes sociais e posts virais de "giveaway", frequentemente acompanhados de endossos fabricados de influenciadores como MrBeast e Alix Earle para aumentar a credibilidade e a taxa de cliques.
O funcionamento interno do golpe é bem desenhado para prender a atenção da vítima: a página simula a geração do cartão-presente com uma barra de progresso falsa e um código parcialmente mascarado, criando a sensação de que o prêmio já está quase disponível. Em seguida, surge uma etapa de "verificação de segurança" que, na prática, não verifica nada — apenas redireciona a vítima para atividades que geram receita para os operadores, como pesquisas pagas, instalação de aplicativos e assinaturas de serviços móveis vinculadas a URLs de rastreamento de afiliados. O operador do golpe recebe comissão por cada conversão completada, independente de o cartão-presente ser entregue (nunca é).
Diferente do phishing clássico, que rouba credenciais diretamente, esse esquema monetiza por meio de uma cadeia de marketing de afiliados abusada, o que o torna mais difícil de rastrear e remover, já que passa por múltiplos intermediários formalmente "legítimos" do mercado de performance. A exploração de fama de celebridades, urgência e prova social (escassez do giveaway, confirmação visual do prêmio) são gatilhos clássicos de engenharia social de baixo custo e alto volume, otimizados para conversão em massa em vez de ataques direcionados.
Para o consumidor, o sinal de alerta mais confiável é a origem do anúncio: promoções de cartão-presente de marcas grandes praticamente nunca são divulgadas por anúncio patrocinado de terceiros ou posts de giveaway viral — o caminho seguro é sempre o canal oficial da marca. Também vale desconfiar de qualquer "verificação de segurança" que peça instalação de apps, preenchimento de pesquisas ou dados de cartão antes de liberar um prêmio, e revisar a fatura do celular após participar de qualquer promoção suspeita, já que assinaturas indesejadas são o dano mais comum. Marcas afetadas e plataformas de anúncio podem reduzir a exposição reforçando triagem de anunciantes e domínios recém-registrados e agilizando a remoção de páginas fraudulentas reportadas.