- A Monzo lançou um recurso no app para verificar se o usuário está realmente em uma ligação com um funcionário da Monzo, a fim de reduzir golpes em que criminosos se passam por funcionários do banco para induzir transferências
- Ao abrir o app durante uma chamada, o banner no topo da aba inicial mostra o Monzo call status; se aparecer que nenhum membro da equipe está em ligação, é preciso desligar imediatamente e denunciar
- Mesmo que a outra pessoa diga que o status não aparece por problemas técnicos ou por ser uma equipe especial, isso não deve ser acreditado; se a conexão com a internet cair, a chamada não deve continuar sem confirmar o status
- A Monzo não liga sem coordenação prévia via chat no app e não pede transferências para contas seguras/de custódia, saques de Pot, aprovação de pagamentos, fornecimento de PIN nem uso de empréstimos ou do Monzo Flex
- No Reino Unido, cerca de 170 milhões de libras foram perdidos em golpes de falsidade ideológica em 2022, e a Monzo disse que o Call Status passou a receber cerca de 700 denúncias de fraude por mês
Monzo call status verificado no app
- Esta publicação vale no momento em que foi publicada; para informações mais recentes, é preciso consultar monzo.com ou o app da Monzo
- O novo recurso permite que o usuário confirme diretamente no app se quem ligou é realmente um funcionário da Monzo
- Ao abrir o app da Monzo durante a ligação, o banner no topo da aba inicial mostra o Monzo call status
- Se aparecer que nenhum membro da equipe da Monzo está em ligação, é preciso desligar na hora e denunciar
- A denúncia pode ser iniciada tocando no call status
- Se aparecer que um membro da equipe da Monzo está em ligação, a chamada pode continuar
- Mesmo que a pessoa na linha diga que o status não aparece por problema técnico ou por ser de uma equipe especializada, isso não deve ser acreditado
- Se não houver conexão com a internet, o call status refletirá isso, e a recomendação é não conversar com alguém se passando pela Monzo até se reconectar e confirmar o status
O que a Monzo não pede que você faça
- A Monzo não liga sem combinar previamente pelo chat no app e, quando liga, faz perguntas de segurança antes de qualquer conversa sobre a conta
- A Monzo não pede ao usuário as seguintes ações
- Transferir dinheiro para uma conta de custódia, conta segura ou outra conta
- Retirar dinheiro de um Pot
- Fazer um pagamento ou transferência por qualquer motivo
- Aprovar notificações no celular
- Ignorar alertas de fraude ou de pagamento
- Fornecer PIN ou informações pessoais
- Contratar um empréstimo ou usar o Monzo Flex
Impacto dos golpes de falsidade ideológica e fluxo de denúncia
- Golpes de falsidade ideológica são fraudes em que criminosos fingem ser outra pessoa para induzir o usuário a enviar dinheiro; também são chamados de fraude por transferência bancária ou authorised push payment fraud
- No Reino Unido, cerca de 170 milhões de libras foram perdidos com golpes de falsidade ideológica em 2022
- A Monzo afirmou que, com a adição do call status, os usuários passaram a poder verificar se a pessoa na ligação é realmente um funcionário da Monzo, e que, após o lançamento do recurso, o Call Status passou a receber cerca de 700 denúncias de fraude por mês
- Como próximo passo, a empresa analisa exibir o recurso em um local mais visível e fácil de encontrar durante chamadas, além do local atual em Privacy & settings
1 comentários
Comentários do Hacker News
Fui alvo recentemente de um golpe de phishing contra um banco online no Reino Unido; não era o Monzo, e o método era extremamente sofisticado
Eles sabiam até o número da transação bancária, que não aparece no histórico recente nem em exportações comuns de qif, e essa informação tornava plausível o motivo da ligação
Também pesquisaram meu nome e informações públicas sobre minha família na internet, falsificaram a identificação de chamadas, e o roteiro da conversa era tão avançado que não sei se essas proteções extras teriam ajudado muito
Felizmente, não levei o processo até o fim, então não perdi dinheiro
Parece claro que houve um vazamento sério de dados no banco, e há outros relatos online. Acho que a lei deveria obrigar os bancos a reportar incidentes ao ICO e a manter em registro público a natureza e a escala da violação
Nesse processo, descobri que no Reino Unido é possível ligar para 159 e ser conectado diretamente ao departamento antifraude da maioria dos bancos: https://stopscamsuk.org.uk/159
Também descobri a linha direta policial Action Fraud para denunciar crimes cibernéticos: https://www.actionfraud.police.uk/what-is-action-fraud
Os golpistas foram persistentes: 15 minutos depois, ligaram de novo dizendo ser do departamento antifraude do banco e que estavam “retornando minha ligação”; duas semanas depois, ligaram outra vez alegando ser a Action Fraud
Não importa o quanto você ache que está preparado para esse tipo de ataque, eu recomendaria extremo cuidado com qualquer ligação, independentemente de quem a pessoa diga ser
Também tenho conta no Monzo, mas mesmo que eles me ligassem, eu não usaria esse recurso. Eu desligaria e ligaria eu mesmo. Não se deve deixar que a outra parte ligue para você
https://security.stackexchange.com/questions/100268/does-han...
Portanto, é melhor ligar para o banco usando um celular
Qualquer coisa fora disso é golpe se passando pelo departamento antifraude. Se pedirem qualquer informação além de “você fez estes pagamentos?”, é golpe
Eles já sabem quem você é. Se não soubessem, não teriam ligado em primeiro lugar
Se for uma conta descartável, talvez valha a pena deixar isso registrado nesta thread, para que outras pessoas tenham a chance de ficar sabendo
O que realmente é necessário é autenticação de dois fatores reversa. Se eu estiver em uma ligação com alguém pedindo informações sensíveis, eu deveria poder gerar um número de 6 dígitos no app ou site deles e exigir que a pessoa o validasse. Se não conseguir validar, então não é funcionária do banco
Uma vez a Chase me ligou para verificar uma transação que parecia fraudulenta, e a pessoa que disse ser do departamento antifraude primeiro enviou um código SMS de autenticação em dois fatores que dizia explicitamente “não compartilhe com ninguém”
Quando eu mencionei esse texto, ela disse: “sim, mas preciso disso para confirmar que você é a pessoa com quem estou tentando falar, e se não me passar vou bloquear sua conta”
No fim, a conta foi bloqueada, e eu só consegui acessar o cartão e a nova conta depois de ir até a agência, apresentar dois documentos com foto e criar um novo ID de usuário e senha
Reclamei com firmeza para o gerente da agência e para qualquer um que estivesse disposto a ouvir sobre como esse tipo de instrução de segurança conflitante é uma prática horrível
O gerente da agência provavelmente não tem controle sobre esse tipo de política, nem muito como encaminhar reclamações a quem realmente tem poder para agir
Dito isso, talvez tenham corrigido isso depois. Em 2023, a área do cartão de crédito Sapphire da Chase conseguiu verificar se a transação era legítima ou fraude e concluir a verificação de identidade em tempo real com o atendente sem repetir essa experiência
Dá para validar a transação respondendo ao e-mail ou SMS de alerta que menciona a compra específica, e eles também usam o app móvel para tentativas de verificação de identidade em tempo real
Idealmente, isso também deveria vir com metadados legíveis por humanos explicando a finalidade da autenticação
Assim, o banco não pediria para o cliente ler um SMS em voz alta, o cliente não teria de adivinhar se é legítimo, e ambos saberiam claramente em linguagem natural qual é o objetivo da autenticação
Se houver conexão com a internet, toda a comunicação deveria ser feita pela internet e deixar para ambos apenas uma interface simples do tipo “confirmar” ou “recusar”
Mesmo sem internet, deveria ser possível executar o mesmo protocolo lendo algumas frases e digitando o que foi ouvido
Normalmente, eu encerro educadamente e digo que vou entrar em contato com o departamento antifraude pelo número disponível no site. Minha conta nunca foi bloqueada
O Ally Bank parece ter feito o oposto e terceirizado os cartões de débito para o pior fornecedor possível
Eles me ligaram pedindo meu número do seguro social. Quando perguntei “isso é algum treinamento de segurança? Vocês estão me testando?”, disseram que não e que meu cartão tinha sido usado recentemente. Na verdade, era eu tentando sacar 400 dólares
Eu disse que não confirmaria nem negaria nada em uma ligação recebida
A pessoa, de forma grosseira, disse que meu cartão de débito continuaria bloqueado até eu responder às perguntas, e eu disse tudo bem, então ligaria diretamente para o banco
Meu cartão continua bloqueado até agora
Se quiser fazer isso de forma educada, basta escrever uma carta ao banco explicando o que aconteceu e colocar os órgãos reguladores em cópia como referência. Isso pode fazer o caso subir para o departamento jurídico e talvez resultar em mudança de política ou compensação
[1] https://www.consumerfinance.gov/ask-cfpb/how-do-i-find-my-st...
[2] https://www.consumerfinance.gov/complaint/
[3] https://www.fdic.gov/contact/
[4] https://reportfraud.ftc.gov/#/
Decidi comprar um M2 MacBook Pro quando faltavam menos de 30 minutos para a Apple Store mais próxima fechar e saí correndo, mas esqueci a carteira
Como eu tinha todos os cartões no Apple Pay, achei que não haveria problema, mas qualquer cartão que eu tentasse usar acionava o bloqueio antifraude
Um funcionário da Apple disse que a Amex era a mais chata, então liguei para a Citi, e o atendente disse “enviei um código para o seu celular”
A mensagem dizia “Citi ID Code: 671865. We'll NEVER call or text for this code”, e quando eu disse “esta mensagem diz que vocês nunca pedirão esse código por telefone, mas é exatamente isso que você está fazendo agora”, ele riu e respondeu “sim, eu sei que está escrito isso, mas você precisa me ler o código”
Eu li a contragosto, o bloqueio do cartão foi removido, mas quando tentei pagar de novo ele foi bloqueado outra vez. No fim, corri até em casa, peguei a carteira e corri de volta, e o funcionário da Apple me deixou entrar faltando cerca de 1 minuto para fechar
Isso foi há uns 6 meses, e o app da Citi ainda mostra o cartão como bloqueado e dizendo que “é necessária uma ligação urgente”. Mesmo assim, as cobranças continuam passando como se não houvesse bloqueio
Estou deixando esse estado de limbo para tentar depurar o que está acontecendo e não usei esse cartão novamente, exceto quando o terminal realmente não aceita Amex
Em um emprego anterior, precisei cadastrar nossa empresa no sistema de contas a pagar de um cliente, e era um sistema operado pelo US Bank
Disseram que eu receberia as instruções de cadastro pelo correio, e uma semana depois chegou uma carta dizendo para acessar https://bit.ly/... para começar a configuração. Obviamente achei que era phishing
Mas, pensando em quem poderia enviar um pacote de cadastro no lugar e no momento exatos, concluí que só poderia ser alguém de dentro
Liguei para o US Bank, e eles confirmaram que o pacote era realmente legítimo e que usar um link do bitly era mesmo o procedimento correto. Inacreditável
Depois de uma transação falhada, recebi uma ligação do nada e, por não fornecer as informações pedidas, bloquearam minha conta. Para desbloquear, tive de receber material físico que custava dinheiro
Abrir conta em outro banco foi fácil, e eles perderam um cliente de 15 anos. Muito bem, Sainsbury’s Bank
É um bom recurso, mas o problema fundamental é que as pessoas confiam demais em um sistema telefônico que não é nem de longe seguro
Todo mundo precisa ter “aquela conversa” com os pais idosos. É preciso convencê-los a nunca fazer transações por telefone ou e-mail, a menos que tenham iniciado a conversa primeiro
Uma empresa legítima não liga pedindo para você pagar dinheiro, dar acesso ao computador ou informar um código de segurança
Sempre desligue e ligue de volta para o número oficial, mesmo que pareça algo de vida ou morte. Dica: não é
Meus pais já caíram em golpe antes, então são desconfiados, mas ainda assim não acho que sejam cuidadosos o suficiente
Eles também são muito visados por causa da idade. Na última vez que os visitei, o telefone tocava a cada uma ou duas horas e todas as chamadas eram golpe ou spam. Da próxima vez, um ataque mais esperto pode funcionar
Esses golpes de chamadas externas provavelmente vão continuar até essa geração desaparecer. O impulso de “confiar no telefone” é forte demais
Claro que, na minha geração, os golpistas vão encontrar alguma outra coisa em que confiamos por instinto e explorar isso
Essas listas são compartilhadas entre golpistas porque se considera que a chance de cair no próximo golpe é maior do que a de um número aleatório
Recebo regularmente e-mails de varejistas e bancos dizendo “nunca ligaremos pedindo dinheiro ou informações pessoais”
E também orientando a desligar e ligar para o número oficial da instituição em caso de dúvida
Uma forma rápida de encontrar o número oficial é olhar o verso do cartão de débito ou crédito. Ele deve estar impresso lá
É melhor não assinar o campo de assinatura do cartão e escrever algo como “SEE ID”
Como disseram,
Privacy & settings — localização atual —seria um lugar natural, mas o próximo passo provavelmente seria enviar uma notificação push no app antes da ligação e mostrar um banner logo após o login no appSe houver indicações visuais em várias partes do app dizendo “você não deve estar em uma ligação agora”, isso pode reduzir as chances de sucesso do atacante
Normalmente isso é usado para silenciar mídia ao atender uma chamada, mas, em um app sensível, também poderia mostrar na tela inicial se um funcionário real do suporte ao cliente está tentando entrar em contato
Parece improvável conseguir facilmente detalhes da chamada, como o número de telefone, mas com as permissões adequadas talvez também fosse possível manter uma lista de números fraudulentos baseada em denúncias de usuários e enviar alertas quando um golpista conhecido ligar
Meu banco já faz algo parecido há alguns anos
Quando alguém liga, pedem para eu abrir o app do celular, e aparece uma notificação dentro do app em forma de banner dizendo algo como “pressione OK para confirmar que é a pessoa com quem você está falando agora”
Antes de eu confirmar, a outra pessoa não pode acessar os detalhes da conta
Tenho medo de que, com a idade, eu perca a agilidade mental para me proteger desses golpes bancários. Não sei qual é a solução
Pode ajudar se o cliente perceber que o atacante não pediu a confirmação e desconfiar, mas provavelmente poucas pessoas fariam isso, e os golpistas costumam acalmar bem essas preocupações com desculpas plausíveis
Fico me perguntando se esse recurso também entra em ação quando sou eu que ligo para o Monzo. Se, depois de eu fornecer informações, o mesmo indicador aparecer no app, isso abre a porta para um ataque man-in-the-middle
Nesse caso, o atacante acabaria parecendo legítimo, o que tornaria o ataque muito mais perigoso
Nenhum dos números que encontrei leva a uma pessoa; eles ficam te mandando usar o chat no app em loop infinito. E mesmo esse chat parece menos um chat em tempo real e mais um “deixe uma mensagem e veremos na segunda-feira”
Já aconteceu de o Monzo congelar quase todas as minhas contas bancárias por quase 5 dias por ter acionado medidas antifraude
Na teoria é excelente, mas, se você não consegue falar com ninguém, é horrível
O ideal é um banco que não faça chamadas nem envie SMS pela rede telefônica/celular tradicional e também não use e-mail. Deve sempre usar comunicação segura dentro do app
O acesso deve usar vinculação segura ao dispositivo, senha/PIN, biometria e, para configuração inicial e redefinição de credenciais, token FIDO2 (Yubikey) pré-registrado e entregue com segurança, além de KYC por vídeo dentro do app
Não se deve depender de outros canais para redefinir credenciais. É preciso educar os usuários desde o primeiro dia de que eles não serão contatados por nenhum outro meio, para criar expectativas seguras
Dentro do app, toda transação financeira deveria exigir autenticação adicional, e no lado do servidor deveria haver limites de transferência por transação e por dia
Transferências de alto valor deveriam exigir adicionar o destinatário à conta e passar por um período de espera de 1 a 2 dias, durante o qual o usuário seria avisado e teria oportunidade suficiente de intervir caso achasse que foi um erro ou golpe
Pagamentos instantâneos de baixo atrito só deveriam ser permitidos para endereços de comerciantes previamente verificados e registrados
Transferências instantâneas entre pessoas precisam de limitação de velocidade e de um arcabouço legal que permita recuperação e processo em caso de fraude
Fora da rede, por exemplo em transferências internacionais instantâneas, deve ser obrigatório verificar o destinatário e adicioná-lo à conta do pagador, além de haver um fundo de proteção contra fraudes que permita recuperação rápida e um arcabouço legal para processos internacionais
Sem essas proteções, aumentar apenas a velocidade das transações bancárias inevitavelmente leva a perdas com fraude maiores do que os níveis tradicionalmente aceitos
Prefiro resolver o máximo possível online; para eles é mais barato, para mim é mais conveniente, e também há os motivos listados acima
Telefonemas parecem algo para situações-limite muito raras, como clientes idosos ou com deficiência, transações complexas ou falhas na verificação de identidade
Eles podem até nunca ligar, ou talvez tenham colocado esse recurso para esses casos muito raros. Ainda assim, a explicação de “quando ligarmos, a cor vai mudar” parece mais convincente para alguém em uma ligação com um golpista agressivo do que “nós nunca ligamos”
Houve até um texto sobre a indústria de cobrança postado aqui há algum tempo com uma passagem no sentido de que “você ficaria surpreso ao ver o quanto muitas pessoas não entendem bancos, tecnologia e matemática básica”
Você disse “não dependa de outros canais para redefinição de credenciais”, mas e se a casa do cliente pegar fogo e o celular e a Yubikey desaparecerem juntos?
O arcabouço legal para recuperação e processo em transferências instantâneas entre pessoas não é algo que um único banco possa definir
Se você exigir adição de destinatário e um período de espera de 1 a 2 dias para transferências de alto valor, vai ouvir “por que você está decidindo o que eu posso ou não fazer com o meu dinheiro?”
Também existem casos reais em que é preciso enviar de repente uma grande quantia para um destinatário que você não conhecia antes, como na compra de um carro usado
Tokens FIDO2 pré-registrados seriam realmente ótimos, mas nenhum dos bancos com que já lidei oferece suporte a FIDO. Nunca ouvi falar de um banco assim, mas, se existisse, talvez eu até abrisse uma conta
Existe algum banco ou empresa que tente enganar proativamente os clientes como forma de prevenção? Tipo ligar, lançar alguns sinais de risco e depois orientar
Especialmente para clientes idosos, um ensaio realista de quase-golpe logo antes de um prejuízo de verdade pode ajudar a reduzir o risco de fraude
Seria bem bom se houvesse uma opção para desativar esses e-mails, porque no momento eles só aumentam o ruído na caixa de entrada
Claro, os e-mails falsos do banco chegam na caixa de entrada, e os golpes de verdade vão para a pasta de spam
Se você clicar no link, recebe um treinamento corporativo de phishing obrigatório. Isso me fez ficar mais atento
Só que não com fins educativos, e sim como parte normal da operação, e se você se recusar a fazer algo “que jamais deveria fazer”, super suspeito e cheio de sinais de alerta, não consegue resolver o que precisa
Já me pediram por telefone para fornecer parte ou todo o PIN do internet banking, e também já me pediram para digitar o PIN do cartão de crédito em um site aleatório suspeito como parte do 3DSecure
Eram bancos diferentes, nos dois casos era procedimento real, e isso aconteceu repetidamente
Boa ideia, mas há um problema. Se você estiver em uma chamada e não estiver no Wi‑Fi, o modem fica ocupado com a ligação e a internet não funciona
Pelo que sei, isso não acontece com VoLTE, mas isso significa que esse recurso pode não funcionar para muita gente