O que vão ler de seguida é um estudo da Check Point Software. Mais abaixo, a resposta da TEMU em relação a este estudo. O post original foi publicado a 16 de Fevereiro de 2024.
Temu: um problema de megadata?
Vimos ou ouvimos um grande número de youtubers e influencers a fazer “publicidade” à Temu, um mega armazém chinês que entrou de rompante na vida de qualquer cidadão conectado. O esquema é simples: a troco de um “cheque oferta” de 50, 100 ou 1000€ no armazém, façam lá publicidade à coisa. E eles, todos eles, fizeram. Enfim, o tal do código deontológico, não é?
O meu caso não é comum: fiz uma compra de 30€ no armazém logo que abriu, esperando um logro (quer nos utensílios que adquiri ou na entrega) que, vá lá, não foi danoso. A encomenda chegou numa semana e em vez do pacote de cartão laranja da publicidade, chegou um saco fechado a vácuo que “meltou” os variadíssimos objectos. Nem vou perder tempo a falar da qualidade.
A grande diferença é que comprei online através do PC e nunca, mas nunca, através da App no telemóvel. E esta é a enorme diferença entre a legalidade e a, posso dizer, ilegalidade.
A Temu vende os nossos dados?
Por meio do comunicado da agência automático de resposta, não. E é um NÃO rotundo. Mas como posso ter a certeza quando mil e um meios mostram dados em que isso não é bem assim? Mesmo a resposta oficial que me foi enviada, enquanto jornalista, é taxativa: não é não, ponto final e exclamação.
Pois que a verdade vem sempre ao de cima, certo? Desta vez através de um estudo da Check Point Software que vou deixar aqui. Ora façam o favor de ler e tirar conclusões.
Investigação Check Point Research: Falsificação da Temu para recolha de credenciais
A Check Point Research realizou uma investigação à conhecida aplicação Temu e, nos últimos três meses, foram registados mais de 800 novos domínios com o nome “Temu”.
LISBOA, PORTUGAL – 16 de fevereiro de 2024 – A Temu é uma loja internacional de comércio eletrónico que rapidamente ganhou destaque pois oferece produtos com desconto enviados diretamente aos consumidores sem distribuidores intermediários. Lançada em 2022 com propriedade da Pindouduo, atraiu um grande público, com 40% dos seus downloads provenientes dos Estados Unidos. Atualmente, a Temu está disponível em 48 países em todo o mundo, abrangendo a Europa, o Médio Oriente, o Sudeste Asiático e a Austrália.
De acordo com a AppMagic, a distribuição geográfica das descargas de Temu é a seguinte.
Fig. 1
Segundo a Check Point Software, fornecedor líder em soluções de cibersegurança para empresas e governos a nível mundial, a 7 de fevereiro de 2024, a Temu estava classificada como a aplicação de compras número um na Google Play Store e ocupava o segundo lugar na Apple App Store. Destaca-se como uma das aplicações mais descarregadas nos Estados Unidos e ganhou uma popularidade substancial no TikTok e noutras redes sociais. De acordo com um artigo recente da Bloomberg com fontes da Attain, os compradores mais frequentes da Temu situam-se na faixa etária dos 59 anos ou mais, enquanto os jovens entre os 18 e os 26 anos são os que menos compram na aplicação.
Fig. 1 Google Play Store
Fig. 2 Apple App Store
A popularidade do website deu origem a fraudes, incluindo falsos códigos de oferta.
Isto leva-nos ao ataque analisado. Os códigos Temu são como uma moeda – quanto mais alguém referir um código, mais recompensas recebe. As recompensas incluem descontos e artigos gratuitos.
Os investigadores do Harmony Email discutiram a forma como os hackers estão a utilizar falsas recompensas Temu para levar os utilizadores a fornecerem as suas credenciais. Nas últimas duas semanas, vimos dezenas desses golpes. Além disso, a Check Point Research informa que, nos últimos três meses, foram registados mais de 800 novos domínios com o nome “Temu”.
Exemplo de email
O email começa com um aviso a dizer que o utilizador é o vencedor de janeiro. O email pretende vir do Temu rewards – mas, na verdade, o e-mail vem de um endereço de email onmicrosoft.com.
Existe uma imagem em branco com uma hiperligação no corpo da mensagem de correio eletrónico. Esta vai para uma página de recolha de credenciais.
Este é um email de phishing bastante simples. O objetivo é chamar a atenção do utilizador, afirmando que é um vencedor. Com Temu como “remetente”, os autores da ameaça esperam que o nome da marca leve o utilizador a agir.
Claro que, se um utilizador atento visse que o endereço do remetente não tinha nada a ver com Temu, ou que as ligações não iam para uma página Temu, saberia que não devia entrar.
Técnicas
Tal como acontece com muitos esquemas de recolha de credenciais, os agentes de ameaças tentam tirar partido de nomes de marcas e das últimas tendências. Neste caso, o nome da marca é Temu.
Existem muitos sinais clássicos de que este e-mail não é o que diz ser. Em primeiro lugar, há muita urgência falsa em torno do facto de ser nomeado o vencedor de janeiro.
Em segundo lugar, a mensagem de correio eletrónico vem de um site genérico onmicrosoft.com, não da Temu. Terceiro, a imagem não carrega, fica em branco. E o link nessa imagem não vai para uma página da Temu, mas sim para um site de phishing.
No entanto, mesmo as ameaças que parecem mais óbvias podem passar pelas defesas e levar os utilizadores a carregarem nestes links maliciosos. É por isso que é importante enfatizar os princípios básicos com os utilizadores e garantir que têm uma segurança capaz de impedir todas as ameaças – simples e sofisticadas.
Melhores práticas: Orientações e recomendações
Para se protegerem contra estes ataques, os profissionais de segurança podem fazer o seguinte:
- Implementar uma segurança que utilize a IA para analisar vários indicadores de phishing;
- Implementar segurança com proteção robusta de URL para analisar os websites;
- Implementar uma segurança completa que também possa analisar documentos e ficheiros.
Eis a resposta oficial da TEMU em relação a este estudo:
A propósito do artigo Investigação Check Point Research: falsificação da Temu para recolha de credenciais, eis o seguinte statement da Temu:
A Temu dá prioridade à proteção da privacidade e é transparente quanto às suas práticas em matéria de dados. Como parte da PDD Holdings Inc., cotada na Nasdaq, um grupo de comércio eletrónico com uma capitalização de mercado de 180 mil milhões de dólares, a Temu está sujeita a uma extensa supervisão regulamentar.
A Temu anunciou recentemente que recebeu a certificação Mobile Application Security Assessment (MASA) após uma avaliação efetuada pela DEKRA, a maior organização independente do mundo de testes especializados. A certificação faz parte dos esforços da Temu para manter os mais elevados padrões de segurança e privacidade para os seus utilizadores.
A certificação MASA é a última de uma série de medidas adoptadas pela Temu para aumentar a transparência das suas práticas de segurança e privacidade. Anteriormente, a Temu colaborou com a empresa de segurança cibernética HackerOne, sediada em São Francisco, para estabelecer um programa de recompensa por bugs, incentivando hackers éticos a identificar e relatar falhas de segurança no sistema da Temu. Além disso, a Temu implementou a autenticação de dois fatores (2FA) para melhorar a segurança dos procedimentos de início de sessão dos utilizadores.
A Temu também intentou recentemente ações judiciais contra mais de 50 sites de phishing nos EUA e na Europa. Em novembro de 2023, a Temu obteve injunções judiciais preliminares contra sites de phishing, num esforço importante para proteger os consumidores de fraudes no comércio eletrónico.
Não obstante, a Temu partilha uma lista de situações a que os consumidores devem estar atentos:
- Indivíduos que afirmam ser mensageiros solicitando taxas extras de envio ou vendedores que alegam representar a Temu e solicitam pagamento por meio de métodos alternativos, como QR codes, e-wallets ou transferências bancárias;
- Websites ou aplicações que imitam a Temu, por vezes com notificações de prémios falsas;
- Mensagens inesperadas de números desconhecidos que oferecem serviços financeiros ou empregos a tempo parcial, solicitando informações pessoais, incluindo detalhes relacionados com a conta ou transações Temu;
- Chamadas de pessoas desconhecidas a pedir para verificar informações pessoais ou a oferecer reembolsos não solicitados.
Se alguma destas situações ocorrer, a Temu incentiva os consumidores a comunicar a situação em https://www.temu.com/bgch_report_suspicious.html.
