Além do Perímetro: Como SOC e Antifraude Protegem Clientes Contra Golpes Digitais Externos

Na primeira parte, exploramos como o SOC de um grande varejista pode integrar cibersegurança e antifraude internamente, enriquecendo alertas técnicos com contexto de negócios, considerando pagamentos, pedidos, bônus e contas pessoais para priorizar incidentes não apenas pela criticidade técnica, mas também pelo impacto no cliente e nos processos de negócios. No entanto, o varejo possui outra zona de risco crucial: o espaço digital externo. Clientes podem ser atacados fora do site da empresa ou do aplicativo móvel. Uma página fraudulenta pode estar hospedada em um domínio de terceiros, um link pode chegar via mensagem instantânea, uma promoção falsa pode se espalhar pelas redes sociais, e credenciais de clientes podem acabar em logs de stealers após a infecção de seus dispositivos pessoais. Uma página de pagamento falsa pode imitar a marca, a interface ou o fluxo de cliente habitual. Formalmente, a infraestrutura da empresa pode não estar comprometida nesses casos, mas para o cliente, a diferença é mínima. Se os golpistas utilizam a marca, o estilo visual, o nome da empresa, a conta pessoal, bônus, entrega ou pagamento, o cliente percebe isso como uma falha de confiança na empresa. Portanto, um SOC moderno no varejo deve monitorar não apenas o que acontece dentro da infraestrutura corporativa, mas também o que ocorre ao redor da marca, dos fluxos de clientes e dos canais digitais.

O perímetro corporativo costumava ser mais fácil de definir: escritórios, data centers, servidores, estações de trabalho, equipamentos de rede, VPN, e-mail, domínios da empresa. Tudo o que estava dentro era protegido, e o que estava fora era observado na medida do possível. No varejo digital, essa fronteira se tornou difusa. O cliente interage com a empresa através de múltiplos canais: site, aplicativo móvel, conta pessoal, entrega, pagamento, newsletters, notificações push, central de atendimento, redes sociais, marketplaces e serviços parceiros. Um atacante pode se infiltrar em quase qualquer um desses fluxos sem obter acesso à infraestrutura da empresa. Por exemplo, ele pode criar um domínio semelhante ao oficial, elaborar uma página de promoção falsa, enviar um link curto para um pagamento fraudulento, coletar logins e senhas através de um formulário de phishing, usar credenciais vazadas para acessar a conta pessoal, vender contas, bônus ou códigos promocionais em mercados clandestinos, simular o suporte da empresa em aplicativos de mensagens ou usar a marca em publicidade fraudulenta. Para o SOC, isso significa que o perímetro digital externo deve se tornar parte do monitoramento e da resposta – não substituindo a segurança clássica da infraestrutura, mas complementando-a. O perímetro digital externo não se limita aos domínios oficiais da empresa; abrange tudo que pode ser usado para atacar o cliente, a marca ou os processos de negócios. Isso inclui domínios semelhantes à marca ou serviços oficiais, sites de phishing, páginas de pagamento falsas, promoções e sorteios fraudulentos, landing pages fraudulentas, links encurtados, contas falsas em redes sociais, canais e chats no Telegram que utilizam a marca ou fluxos de clientes, anúncios de venda de contas, bônus ou códigos promocionais, publicações com credenciais vazadas, menções à empresa em fóruns clandestinos, aplicativos móveis falsos, domínios de teste esquecidos e landing pages, e recursos externos de contratados e parceiros relacionados a fluxos de clientes. A principal dificuldade reside no fato de que tudo isso está fora do controle direto da empresa. Não é possível simplesmente acessar um servidor e remover uma página de phishing, desativar rapidamente um domínio alheio ou controlar diretamente um canal de Telegram de golpistas ou uma página de rede social. Portanto, aqui, não apenas a tecnologia de detecção é importante, mas também um processo bem estabelecido: quem confirma a ameaça, quem avalia o risco, quem inicia o bloqueio, quem informa o negócio, quem verifica os sinais internos de ataque e quem monitora o reaparecimento.

A maioria das empresas considera o Brand Protection ou Digital Risk Protection um processo isolado: encontrar um phishing, enviar para bloqueio, fechar a tarefa. Para o varejo, isso é insuficiente. Um site de phishing ou uma promoção falsa não é apenas um artefato externo; é o possível início de uma cadeia de ataque ao cliente. Se os golpistas coletam logins, senhas, números de telefone, códigos de confirmação ou dados de pagamento, a próxima etapa pode se manifestar internamente: acessos à conta pessoal, tentativas de resgate de bônus, alterações de perfil, pedidos suspeitos, contatos com a central de atendimento. Portanto, um sinal externo deve ser correlacionado com eventos internos. Por exemplo, o SOC recebe informações sobre uma página de phishing sob a marca da empresa. Em seguida, é crucial responder a perguntas como: a página coleta logins e senhas? Ela simula um pagamento? Solicita a inserção de um código SMS? Utiliza elementos oficiais da marca? Há disseminação em massa do link? Há reclamações de clientes? Há um pico de tentativas de login malsucedidas? Surgiram logins de dispositivos suspeitos? Há tentativas de alteração de dados de contato? Há operações com bônus, pedidos ou pagamentos após uma possível comprometimento? Somente após essa correlação o incidente externo se torna um caso completo para o SOC e o antifraude, e não apenas uma tarefa de bloqueio de domínio. Ao falar sobre o perímetro digital externo, geralmente lembramos primeiro das fontes técnicas: monitoramento de domínios, Brand Protection, threat intelligence, resultados de busca, redes sociais, mensagens instantâneas e mercados clandestinos. Mas no varejo, há outra fonte importante: os próprios clientes. Um cliente pode ser o primeiro a ver uma promoção falsa, receber um link suspeito em uma mensagem instantânea, encontrar uma página de pagamento fraudulenta, notar uma conta fraudulenta em uma rede social ou receber uma mensagem em nome da empresa. Frequentemente, esses sinais aparecem antes que o monitoramento automático consiga classificar uma nova campanha. Por isso, consideramos as interações dos clientes como parte do processo de detecção de ameaças externas. Para isso, o site possui uma seção "Segurança na Internet" com um formulário de contato: https://www.mvideo.ru/info/bezopasnost?from=footer. Através dele, o cliente pode relatar atividades suspeitas relacionadas à marca: um site de phishing, um link fraudulento, uma promoção falsa, uma tentativa de extrair dados, uma mensagem suspeita ou qualquer outro cenário que possa estar ligado a fraude digital. Para o SOC, tais contatos são importantes por várias razões. Primeiro, é um sinal precoce. Se vários clientes relatam um link semelhante ou um cenário idêntico, é possível entender rapidamente que não se trata de um caso isolado, mas de uma campanha fraudulenta. Segundo, o contato do cliente frequentemente contém um contexto que não está presente nas fontes técnicas: onde a pessoa viu o link, qual mensagem recebeu, o que foi solicitado a fazer, quais dados os golpistas tentaram obter. Terceiro, esses contatos ajudam a correlacionar a ameaça externa com eventos internos. Por exemplo, se um cliente relata uma página de login falsa, o SOC pode verificar se não há um pico subsequente de tentativas de autenticação, alterações de perfil, operações com bônus ou pedidos suspeitos. Assim, o formulário de contato não é apenas um canal de suporte ao cliente, mas também mais um sensor no perímetro digital externo, que ajuda a detectar cenários fraudulentos mais rapidamente e a iniciar a resposta.