Novo desdobramento do caso da venda de R$ 6,4 mil estornada na Rede/Itaú revela um risco que muitos comerciantes podem estar ignorando
Há poucos dias, mostramos aqui no Blogueiros do Brasil o caso de Gabriella Zacconi, proprietária do Açougue e Minimercado Portuga, que viu uma venda no débito de R$ 6,4 mil desaparecer depois de ter sido aparentemente concluída normalmente em uma maquininha da Rede.
No primeiro relato, a situação parecia quase inexplicável.
O cliente havia inserido o cartão, digitado a senha, recebido o comprovante e levado as mercadorias. Pouco depois, porém, o estabelecimento constatou no sistema que a operação havia sido estornada.
A história completa daquele primeiro momento pode ser lida em Venda de R$ 6,4 mil some da maquininha da Rede/Itaú.
Na ocasião, a comerciante dizia possuir inclusive imagens das câmeras mostrando que, durante a compra, nenhum funcionário havia realizado procedimento de cancelamento. Ao mesmo tempo, segundo ela, a Rede informava que o estorno teria sido feito na própria maquininha do estabelecimento.
As duas versões pareciam incompatíveis.
Não eram.
O segundo vídeo publicado pela comerciante revelou uma peça que faltava nesse quebra-cabeça.
A informação que mudou tudo
Depois da repercussão do primeiro vídeo, uma representante da Rede entrou em contato com o estabelecimento.
Segundo Gabriella, a funcionária, identificada como Diana, ouviu novamente todo o relato e confirmou que, para o sistema da empresa, a venda havia sido cancelada na própria máquina.
Mas desta vez surgiu uma informação que até então o estabelecimento não possuía: o horário exato em que o cancelamento havia sido realizado.
Foi esse detalhe que mudou a investigação.
Com o horário em mãos, os responsáveis pelo comércio voltaram às imagens das câmeras de segurança e procuraram especificamente o que estava acontecendo naquele momento.
E descobriram que estavam olhando para a gravação errada.
Até então, naturalmente, toda a atenção havia sido concentrada no momento da compra de R$ 6,4 mil.
O golpe, porém, teria ocorrido depois.
Vinte minutos depois
De acordo com Gabriella, aproximadamente 20 minutos após a grande compra, outro homem entrou no estabelecimento.
Ele pegou apenas duas mercadorias e foi justamente ao mesmo caixa onde havia ocorrido a transação anterior.
A operadora registrou os produtos e entregou a maquininha ao suposto cliente para que ele fizesse o pagamento.
É nesse momento que aparece o detalhe decisivo.
O homem levou o equipamento para trás do checkout, retirando a maquininha do campo de visão da funcionária.
Segundo a comerciante, as imagens mostram que ele utilizou o mesmo cartão — descrito por ela como um cartão amarelo — empregado na compra de R$ 6,4 mil.
Mas não estava simplesmente pagando pelas duas novas mercadorias.
Gabriella afirma que, naquele momento, ele realizou o cancelamento da compra anterior.
Depois, devolveu o equipamento à operadora, que novamente inseriu o valor das duas mercadorias. O homem teria então digitado uma senha qualquer e deixado o estabelecimento.
O que parecia ser uma simples segunda compra teria servido, na verdade, para permitir o acesso à maquininha sem levantar suspeitas.
Mas como alguém consegue cancelar a venda de outra pessoa?
É aqui que o caso se torna especialmente relevante para outros comerciantes.
Depois da publicação do vídeo, um comentarista chamou a atenção para outro detalhe: segundo ele, o estabelecimento não teria alterado a senha original utilizada para procedimentos administrativos da maquininha.
Essa informação, isoladamente, precisaria ser confirmada pelo próprio estabelecimento.
O problema é que ela encontra respaldo em algo que pode ser verificado diretamente na documentação da Rede.
Na área oficial de atendimento, a empresa explica o procedimento de estorno em suas maquininhas e informa que a operação exige a senha do lojista.
E a própria Rede esclarece que essa senha é 1111, caso ainda não tenha sido alterada. Em outra orientação publicada pela empresa, o código 1111 aparece expressamente identificado como senha administrativa padrão.
Isso não prova, por si só, que o criminoso tenha digitado 1111 naquele caso específico.
Mas torna a hipótese levantada pelo comentarista tecnicamente plausível.
Se o estabelecimento realmente mantinha a senha administrativa original, temos uma combinação particularmente perigosa:
o suposto cliente conseguiu acesso físico à maquininha, retirou o equipamento do campo de visão da operadora e pode ter encontrado nele uma credencial administrativa que jamais havia sido modificada.
Não seria necessário “hackear” a máquina.
Bastaria conhecer o procedimento.
A senha padrão não é um detalhe
Existe aqui uma responsabilidade que não pode ser ignorada pelo próprio estabelecimento.
Se uma senha administrativa é fornecida para operações sensíveis, mantê-la no padrão de fábrica representa uma falha elementar de segurança.
Da mesma maneira, entregar uma maquininha ao cliente e permitir que ele a leve para um lugar onde o funcionário não consegue visualizar o que está sendo feito cria uma oportunidade que simplesmente não deveria existir.
A própria Gabriella reconhece isso no segundo vídeo.
Depois de descobrir o que teria acontecido, ela repete seu alerta aos comerciantes: a maquininha precisa permanecer sempre debaixo dos olhos de quem está operando o caixa.
O episódio, portanto, não deve ser contado como se o estabelecimento não tivesse cometido erros.
Cometeu.
E justamente por isso sua experiência pode ser útil para milhares de outros pequenos comerciantes.
Mas há também uma pergunta para a Rede
Reconhecer as falhas do estabelecimento não elimina outra questão.
Se uma operação capaz de desfazer uma venda de milhares de reais pode ser autorizada por uma senha administrativa padrão de apenas quatro dígitos, conhecida publicamente e que permanece ativa enquanto o lojista não decide alterá-la, vale perguntar:
por que essa senha pode continuar sendo utilizada depois da instalação da maquininha?
Na documentação pública consultada pelo Blogueiros do Brasil, encontramos instruções da Rede informando qual é a senha padrão e ensinando o procedimento que utiliza essa credencial.
Não encontramos, porém, nessas orientações públicas, uma exigência de que o comerciante seja obrigado a substituir a senha antes de começar a operar o equipamento.
Essa diferença é importante.
Há uma grande distância entre disponibilizar ao usuário a possibilidade de alterar uma senha e obrigá-lo a substituir uma credencial padrão antes que ela possa autorizar operações sensíveis.
O comerciante tem o dever de cuidar de sua segurança.
Mas sistemas de pagamento também deveriam partir do princípio de que senhas padrão amplamente conhecidas não constituem uma barreira particularmente robusta contra alguém que conheça o funcionamento do equipamento.
O sistema dizia a verdade — mas não contava toda a história
Há ainda uma ironia no desfecho.
No primeiro vídeo, causava enorme estranheza a informação recebida pelo estabelecimento de que a própria loja havia realizado o cancelamento.
As câmeras mostravam que nenhum funcionário cancelara aquela compra.
Depois do segundo vídeo, as duas coisas passaram a ser simultaneamente possíveis.
Nenhum funcionário precisava ter feito o estorno.
Para o sistema, bastava que o procedimento tivesse sido realizado naquela maquininha, dentro do próprio estabelecimento e utilizando os meios administrativos disponíveis no terminal.
A máquina não sabe quem está segurando a máquina.
E foi justamente o horário fornecido posteriormente pela representante da Rede que permitiu aos comerciantes identificar nas câmeras quem aparentemente estava.
Uma informação que poderia ter evitado toda a confusão
Esse ponto também merece atenção.
Gabriella afirma que, se tivesse recebido desde o início o horário exato do cancelamento, provavelmente toda a exposição pública do caso teria sido desnecessária.
Afinal, foi essa informação — aparentemente simples — que permitiu confrontar o registro eletrônico com as imagens das câmeras e compreender o que havia acontecido.
Isso levanta outra questão sobre o atendimento oferecido a pequenos comerciantes em situações de fraude.
Não basta informar que “o estabelecimento cancelou”.
Quando milhares de reais estão em jogo, dados como horário da operação, terminal utilizado e demais informações disponíveis no sistema podem ser fundamentais para que o próprio comerciante investigue o ocorrido e preserve provas.
Foi somente depois que o caso ganhou enorme repercussão nas redes sociais que esse dado chegou até Gabriella.
Segundo ela, o primeiro vídeo alcançou cerca de um milhão de visualizações.
O alerta que fica para quem aceita cartões
O prejuízo de aproximadamente R$ 6,4 mil ficou com o estabelecimento.
Mas a experiência deixa uma lição que vale muito mais quando compartilhada com outros comerciantes.
A segurança da maquininha não termina quando aparece na tela a mensagem de transação aprovada.
Alguns cuidados deveriam fazer parte da rotina de qualquer estabelecimento:
- altere imediatamente qualquer senha administrativa fornecida originalmente com o equipamento;
- nunca deixe a maquininha sair do campo de visão do funcionário;
- restrinja operações de estorno e outras funções administrativas a pessoas autorizadas;
- confira regularmente as vendas registradas no sistema;
- diante de qualquer cancelamento inesperado, registre o horário exato da operação e preserve imediatamente as imagens das câmeras;
- trate a maquininha como aquilo que ela realmente é: um terminal financeiro capaz não apenas de receber dinheiro, mas também de executar operações que afetam o caixa da empresa.
Durante anos, consumidores foram corretamente orientados a não deixar o cartão sair de sua vista.
Talvez os comerciantes precisem incorporar uma regra equivalente:
não deixe a maquininha sair da sua.
O golpe sofrido pelo Açougue e Minimercado Portuga não parece ter exigido tecnologia sofisticada.
Pelo relato da comerciante, bastaram conhecimento do procedimento, acesso momentâneo ao equipamento e falhas básicas de segurança.
Para um pequeno negócio, foram poucos minutos.
Para o caixa da empresa, aproximadamente R$ 6,4 mil.
Disclaimer: Este site apresenta notícias, opiniões e vídeos de diversas fontes. As opiniões expressas nos artigos são de responsabilidade exclusiva de seus autores e não refletem necessariamente as opiniões do site ou de seus editores. SAIBA MAIS CLICANDO AQUI.