Descrição: Um estabelecimento desconhecido agradece uma consulta que você não fez, mas a mensagem fala de saldo em criptomoedas e traz um link suspeito. Entenda por que isso acontece.
Resposta: alguém pode ter usado seu endereço em um formulário de contato, fazendo a resposta automática do estabelecimento levar uma mensagem fraudulenta. Recebê-la não prova que a conta de e-mail foi invadida.
Obrigado pelo contato. Que contato?
Um restaurante que você não conhece avisa educadamente que recebeu sua mensagem. Detalhe: você nem pediu o cardápio.
O nome preenchido é um monte de letras sem sentido; o corpo promete um saldo enorme em USDT e um link para verificar. O restaurante ofereceu atendimento, mas alguém enfiou um golpe na embalagem.
O padrão combina com abuso de respostas automáticas. Não identifica quem enviou, se houve uso de bot ou a origem do endereço. O próprio restaurante pode ser vítima.
Como a entrega acontece
- Um terceiro abre um formulário público.
- Coloca o e-mail de outra pessoa e um texto enganoso no nome ou mensagem.
- O site envia um aviso automático reproduzindo os campos.
- O destinatário recebe uma mensagem ligada ao estabelecimento verdadeiro, mas com o golpe dentro.
Restaurante: “Obrigado por nos procurar”. Destinatário: “Eu não procurei”. Golpista: “Entrega concluída”. Ninguém se entendeu; a entrega funcionou.
A agência japonesa IPA registrou em 2020 outro caso com mais de 100 mil mensagens maliciosas disparadas por esse mecanismo. A quantidade não se refere a este exemplo.
Minha conta foi hackeada?
Isso não fica comprovado pelo e-mail. Muitos formulários permitem digitar qualquer endereço, sem verificar quem é seu dono. O endereço pode ter vindo de dados públicos, de um vazamento antigo ou de outra lista; não sabemos qual.
Alertas de login desconhecido, mensagens estranhas na pasta Enviados ou alterações de configuração são sinais adicionais para verificar a conta separadamente.
O que fazer e como proteger o site
Não abra o link nem tente retirar o saldo prometido. Denuncie como spam ou phishing e apague. Para conferir um serviço real, use a página ou aplicativo oficial já conhecido. Se o problema persistir, guarde data e assunto.
Administradores devem questionar se respostas automáticas precisam copiar nomes, mensagens e links digitados pelos visitantes. Proteção contra robôs e limites de envio ajudam. O Contact Form 7 alerta para esse risco, mas não há prova de que o estabelecimento do exemplo usasse esse sistema.
Delivery que ninguém pediu
O destinatário ganha incômodo, o comércio arrisca a reputação e o golpista ganha entregador gratuito. Ninguém pediu comida, mas um combo de phishing chegou em casa. Pode devolver?
Fontes: IPA do Japão, relatório de 2020, seção 5 · Alerta do Contact Form 7 · Guia da FTC
