Apple Gift Cards: é seguro resgatar?

• Um usuário resgatou um Apple Gift Card de US$ 500 adulterado e, em seguida, teve a conta Apple bloqueada e perdeu acesso a todo o conteúdo
• O cartão parecia autêntico e havia sido comprado em uma grande loja física, mas logo após o resgate a conta foi desativada e todo o acesso ao iCloud e ao histórico de compras na App Store desapareceu
• Adam Engst, do TidBITS, afirma que, por causa desse tipo de risco, “Apple Gift Cards devem ser tratados, na prática, como malware digital”, e recomenda evitar comprá-los e usá-los
• A equipe de Executive Relations da Apple investigou o caso, mas a causa da desativação da conta e o processo de recuperação permaneceram pouco claros; a conta foi restaurada uma semana depois
• O caso expõe preocupações sobre a confiabilidade dos Apple Gift Cards e a falta de transparência no sistema de segurança de contas da Apple

---

O caso do bloqueio da conta Apple de Paris Butterfield-Addison

• Butterfield-Addison comprou e resgatou um Apple Gift Card de US$ 500 em uma grande varejista e, logo depois, teve a conta Apple bloqueada e perdeu acesso a todo o histórico de compras de mídia e ao iCloud
  • Ele relatou o caso em seu blog, e vários veículos como Daring Fireball, Michael Tsai, Nick Heer, AppleInsider e The Register repercutiram a história
  • A equipe de Executive Relations da Apple investigou o caso, mas inicialmente não houve recuperação da conta nem explicação sobre a causa
• Gruber mencionou a possibilidade de que o valor de US$ 500, relativamente alto, tenha contribuído para o problema, mas não é possível confirmar, já que a Apple não explicou oficialmente o motivo
  • A Apple limita o valor máximo de gift cards nos EUA a US$ 2.000, portanto US$ 500 não é, por si só, um valor anormal

Controvérsia sobre a segurança dos Apple Gift Cards

• Adam Engst, do TidBITS, afirma que “resgatar um gift card adulterado pode bloquear sua conta” e defende que é preciso evitar comprar Apple Gift Cards e divulgar amplamente esse risco
  • Ele comparou a situação a uma “roleta-russa digital” e alertou que o uso até mesmo como presente pode ser perigoso
• Após o caso, Gruber disse que passará a usar gift cards apenas diretamente na Apple Store, e não em compras vinculadas à conta Apple
  • Ele observou que os golpes estão ficando cada vez mais sofisticados e que, mesmo quando a origem do cartão parece confiável, isso não garante segurança total

Falta de transparência na desativação e recuperação da conta

• Gruber destacou que não está claro se a decisão de desativar a conta foi tomada por uma pessoa ou por um algoritmo automatizado de detecção de fraude
  • Segundo ele, “parece que a Apple deveria conseguir restaurar uma conta com um simples interruptor interno, mas na prática isso aparentemente não acontece”
• Ele também comentou que, se a recuperação da conta não fosse possível, a Apple talvez pudesse reembolsar todas as compras do usuário e fazer com que ele criasse uma nova conta
  • Esse tipo de procedimento implicaria o risco de perda permanente dos dados do usuário e do histórico de compras

O que aconteceu depois

• Logo após a publicação do texto, Butterfield-Addison atualizou a história dizendo que sua conta havia sido restaurada por uma pessoa da equipe de Executive Relations da Apple
  • A conta foi recuperada, mas continua sem resposta por que ela foi bloqueada e por que a solução levou uma semana
• Mesmo após a resolução do caso, Gruber afirmou que permanece a dúvida fundamental: “quão seguro é resgatar um Apple Gift Card?”

Dúvidas que permanecem e implicações

• O caso revela fragilidades no sistema de Apple Gift Cards e falta de transparência nos processos de gestão de contas
• Fica demonstrado que o bloqueio de conta pode ocorrer até mesmo em uma compra feita por canais normais, afetando a confiança dos usuários
• A principal questão passa a ser se os sistemas internos de segurança e suporte ao cliente da Apple dependem excessivamente de automação

[GN⁺]

Opiniões no Hacker News

• Este caso levanta vários temas. Numa era em que a conta Apple/iCloud é essencial no dia a dia, é um problema grave que ela possa ser suspensa com tanta facilidade
  O acesso a mensagens, Apple Wallet, identidade digital, assinaturas, compras de mídia e tudo mais pode ser bloqueado num instante. Mais do que simplesmente dizer “não dependa da tecnologia”, acho que precisamos de mecanismos para evitar esse tipo de situação
  Além disso, não há como dividir histórico de compras em caso de divórcio ou separação, e também não é possível sair de uma conta familiar ou atribuir uma criança a várias famílias. A Apple precisa lidar melhor com esses cenários reais

  • Tenho a sensação de que o nível atual de serviço não mudou em nada em relação a 25 anos atrás. Antes, perder um e-mail não era grande coisa, mas hoje uma única conta está conectada a centenas de serviços importantes
    Só que o quadro de atendimento ao cliente quase não cresceu, e a maior parte depende de call centers terceirizados que só leem FAQ
  • Contas da Apple e do Google são muito importantes, mas golpistas podem criar milhares delas por dia. Portanto, é provável que uma parcela considerável do total de contas seja de contas falsas
    Usuários reais não querem spam, então a Apple precisa bloquear contas fraudulentas rapidamente. Mas, ao mesmo tempo, também precisa proteger contas legítimas, então é preciso equilíbrio
    Se a Apple flexibilizar o bloqueio de contas, o preço disso será uma verificação de identidade mais forte. Ou seja, para manter as contas mais seguras, o nível de vigilância inevitavelmente aumenta
  • Acho que o iCloud é um serviço superestimado. Durante muito tempo nem havia criptografia dos dados armazenados. Eu uso Time Machine e um gerenciador de senhas, e guardo os backups em um cofre
  • A maior parte das minhas fotos está no Google Photos, e isso me deixa inquieto. Acho que preciso fazer backup duplo na Amazon ou no iCloud
  • O Google também é ineficiente do mesmo jeito. Não existe uma forma de bloquear completamente alguém que está nos contatos. Depois de romper com um ex-cofundador, tive problema ao colaborar com um amigo que tinha o mesmo nome, por causa do autocompletar. No mundo real, esse tipo de função de rompimento de vínculo é realmente necessário

• Acho que a fronteira entre uso legítimo e uso fraudulento de gift cards é muito estreita. No passado tentei fazer “manufactured spend” para acumular pontos no cartão de crédito, e aquilo quase parecia lavagem de dinheiro
  Dava para acumular pontos duas vezes com certos gift cards e depois converter em dinheiro imediatamente. No fim, essa brecha foi fechada rapidamente

  • Eu também já juntei milhas aéreas de um jeito parecido e viajei para a Europa. Comprava money orders com cartões Visa pré-pagos, depositava de volta e ficava girando pontos infinitamente. Lembro dos atendentes olhando para mim com desconfiança
  • Na prática, não é muito diferente de lavagem de dinheiro. A única diferença é que o dinheiro não é de origem ilegal. A separação entre legal e ilegal depende apenas da intenção
  • Além disso, até gift cards que parecem legítimos podem já ter sido ligados a fraude em algum ponto da cadeia de distribuição. Se a vítima denunciar, até um usuário sem culpa nenhuma pode acabar prejudicado

• Ainda bem que o caso foi resolvido, mas continuam existindo muitas dúvidas

  1. por que registrar um gift card defeituoso suspende a conta inteira
  2. por que não se consegue suporte sem atenção da imprensa
  3. se deveríamos limitar o crescimento das empresas a ponto de elas não ficarem grandes demais para prestar suporte ao cliente
     Bancos lidam com esse tipo de problema em etapas, mas plataformas como o Facebook às vezes suspendem contas permanentemente em um único dia
  • Bancos legalmente não podem congelar permanentemente o dinheiro do cliente, e os procedimentos de verificação de identidade também são claros. Já contas online quase não têm regulação legal, e nem sequer coletam informações de identidade
  • Mas os bancos também às vezes congelam contas sem motivo. Foi só sorte; isso pode acontecer com qualquer um
  • É bem provável que a Apple tenha confundido o usuário com um criminoso. Mas é impossível entender por que suspeitou da vítima em vez do verdadeiro culpado. Acho que o problema não é a escala, e sim uma cultura de desprezo pelo cliente
  • Talvez o nome contivesse algo como “Butt” e tenha sido pego por um algoritmo de filtragem automática. Ainda assim, continua sem haver uma resposta fundamental

• Artigo relacionado: Apple has locked my Apple ID, and I have no recourse — 1730 pontos, 1045 comentários

• O ponto central é a ilusão de propriedade. As pessoas acham que possuem suas contas e seus dados, mas na prática não é assim. A própria palavra “compra” induz ao erro. Legalmente, o certo seria algo como “aluguel” ou “concessão de uso limitado”

  • Ao criar uma conta Apple, os termos de uso já dizem que a conta pode ser encerrada a qualquer momento. Mais do que a noção de “propriedade”, precisamos de algo como uma carta de direitos do consumidor. Usuários legítimos deveriam ter direito de recorrer contra o encerramento da conta
  • Pelo contrário, acho que a lei deveria garantir a verdadeira ideia de “compra”. Enfraquecer os direitos civis não é o caminho certo

• Agora vou avisar minha família para não usar gift cards da Apple porque são arriscados. Como é difícil até explicar a origem do problema, a proibição total parece ser a opção mais segura

• É claramente um gift card inseguro. Este caso mostra o quanto estamos presos ao ecossistema digital. Antes eu clicava em “Login with Google/Apple” sem pensar, agora vou pensar duas vezes

  • Um funcionário da Apple aconselhou: “gift cards devem ser comprados diretamente da Apple”. Essa é a solução mais realista
    No fim das contas, gift cards vendidos no varejo são apenas isca para golpistas. Acho que daria até para mover uma ação no juizado de pequenas causas contra o varejista que vendeu esse produto
  • Eu nunca uso botão de login social em contas importantes. Só uso em contas descartáveis

• Do ponto de vista do varejista, também acho que isso é complicado. Gift cards são o principal meio de fraude em pagamentos. Como podem ser usados como dinheiro vivo com cartão roubado, os sistemas de risco reagem com muita sensibilidade
  Mas isso não significa que o prejuízo ao cliente possa ser ignorado

  • Então era só parar de vender gift cards
  • Algumas lojas permitem comprar gift cards apenas em dinheiro. Não resolve por completo, mas funciona como uma espécie de amortecedor
  • Eu não concordo com essa lógica. Como diz Patrick McKenzie, existe a ideia de que “o nível ótimo de fraude não é zero”. É errado tentar impedir toda fraude se isso causa um prejuízo ainda maior aos clientes
    As empresas precisam absorver um certo nível de fraude como custo. Texto relacionado
  • A Apple consegue rastrear tanto o cartão usado na compra quanto o usuário. O problema é que o algoritmo de falso positivo também bloqueia usuários legítimos

• Como era uma pessoa conhecida, o problema foi resolvido, mas uma pessoa comum não tem como resolver algo assim. A estrutura é tal que só se resolve se alguém descobrir a causa técnica, escrever sobre isso, a imprensa repercutir e o PR entrar em ação
  No fim, Apple e Google não são lugares confiáveis para confiar seus dados

  • Eu passei por algo parecido na Steam. Minha conta foi suspensa por um problema de pagamento, e eu quase perdi jogos no valor de milhares de dólares. Só recuperei depois de enviar documentos bancários, mas a postura foi algo como “vamos deixar passar desta vez”
  • Brincando, mas talvez para resolver esse tipo de problema seja preciso organizar uma conferência de desenvolvedores da Apple por conta própria.
    Tecnicamente, o sistema de gift cards poderia reduzir fraudes ao adicionar um recurso de detecção de ativação duplicada
  • Vendo esse caso, acho que a Apple deveria encerrar o negócio de gift cards. Grande parte das contas fraudulentas vem desse mercado
  • Assim como se publica um RCA (análise de causa raiz) após grandes incidentes, a Apple também deveria divulgar um RCA oficial sobre este caso
  • Depois de ver esse caso, pensando nas minhas fotos guardadas no iCloud, decidi que nunca vou usar gift cards da Apple

• Também passei por algo parecido recentemente. O sistema de gift cards da Apple parece suspeito. Parece que querem inflar números de vendas, ou que o aumento de fraudes fez a segurança ficar mais rígida
  Minha lição foi a seguinte

  1. gift cards para compra de hardware devem ser gerenciados com um Apple ID separado
  2. guarde todos os recibos — são a única prova
  3. a equipe de suporte da Apple está pronta para tratar o usuário como golpista
  • Recentemente, novos golpes com gift cards também dispararam em lugares como a Target. Se possível, só use diretamente na loja física
  • Além disso, sem influência de blog, a Apple simplesmente não liga. Mesmo com provas, como no caso de Buttfield-Addison, a empresa ignorou