Singapura fica em segundo lugar a nível mundial em cartões de pagamento roubados à medida que cresce o comércio na dark web

A elevada adoção digital de Singapura gera exposição, não fraqueza

Singapura ocupa o segundo lugar a nível mundial na percentagem de cartões de pagamento roubados negociados em mercados da dark web, atrás dos Estados Unidos e à frente de Espanha. A conclusão advém da análise de cerca de 50.700 registos de cartões recolhidos em maio de 2025 por uma plataforma de exposição a ameaças. Mais de 60 por cento dos cartões roubados na amostra pertenciam a utilizadores americanos, cerca de 11 por cento a utilizadores em Singapura e cerca de 10 por cento a utilizadores em Espanha.

Os especialistas em segurança alertam que este ranking reflete a escala e a digitalização, e não um sistema bancário inseguro à medida. Singapura tem uma das taxas mais elevadas de pagamentos online, de utilização de carteiras móveis e de comércio eletrónico transfronteiriço na Ásia. Uma maior pegada digital gera mais oportunidades para os criminosos recolherem dados de cartões, mesmo quando os bancos e os comerciantes mantêm controlos rigorosos.

Os preços nestes mercados subiram nos últimos dois anos. A Nova Zelândia registou o aumento mais acentuado, superior a 444 por cento, tendo sido também comunicados grandes aumentos na Argentina e na Polónia. Mesmo com preços mais elevados, os dados de cartões roubados continuam baratos para os criminosos de baixo nível. Um único cartão custa frequentemente cerca do preço de um bilhete de cinema. A média global situa-se em torno de 9 dólares, com grande variação por país. Na Ásia, o Japão apresenta o preço médio mais elevado, de cerca de 22,80 dólares, seguido do Cazaquistão, com 16,87 dólares, e da Tailândia, com 15,08 dólares. Os cartões emitidos em Singapura vendem-se em média por cerca de 13,19 dólares, um aumento de aproximadamente 29 por cento face a 2023. Na Europa, os preços situam-se em torno de 11 a 12 dólares em Espanha, França e Suíça.

Como funcionam os mercados de cartões roubados

A dark web é um conjunto de serviços ocultos que utilizam software de anonimato para disfarçar identidades e localizações. Alberga mercados onde os vendedores anunciam números de cartões roubados, datas de validade e, por vezes, dados completos com CVV, morada de faturação e impressões digitais do dispositivo. Os dados provêm de malware em dispositivos dos consumidores, páginas de phishing que imitam sites bancários e de retalho, violações de sistemas de comerciantes e processadores terceiros comprometidos.

Nestes mercados, os cartões são vendidos em lote ou unitariamente. Os vendedores costumam etiquetar os anúncios pelo banco emissor, pelo país e pelo facto de o cartão suportar a autenticação 3D Secure. Os compradores testam pequenas transações e tentam depois compras maiores de cartões-presente, bilhetes de avião ou artigos revendíveis. A investigação setorial indica que uma grande parte dos detalhes de cartões anunciados permanece utilizável durante meses, o que dá aos criminosos tempo suficiente para monetizar se as primeiras cobranças de teste não ativarem as regras de fraude.

Oferta, procura e preços

A formação de preços segue a simples relação entre oferta e procura. Onde a oferta é elevada, ou onde os bancos aplicam controlos de fraude agressivos, os cartões são mais baratos. Onde a oferta é escassa e as verificações antifraude são rigorosas, os cartões custam mais porque uma fraude bem-sucedida exige mais preparação e paciência. Esta dinâmica explica por que razão os cartões japoneses estão entre os mais caros e por que um país com muitos cartões anunciados, como Singapura, pode ter um preço médio moderado apesar de uma grande quota na amostra global.

Porque é que Singapura tem uma grande quota de cartões roubados

Singapura é um centro financeiro e logístico com elevada propriedade de cartões e aceitação quase universal de pagamentos sem contacto. Os consumidores compram online em comerciantes locais e internacionais, pagam transportes e refeições com carteiras móveis e viajam frequentemente. Isto cria um enorme volume de transações legítimas e perfis de cartões armazenados em diversos serviços. Os criminosos recolhem em grande escala através de kits de phishing que visam bancos regionais e de malware que varre credenciais guardadas e dados de preenchimento automático dos navegadores.

A elevada adoção de pagamentos móveis tokenizados também deslocou os padrões de fraude. Quando os bancos e os comerciantes bloqueiam a fraude sem presença do cartão, os criminosos migram para vias alternativas, incluindo a introdução de cartões roubados em carteiras de telemóveis ou o engano a retalhistas durante transações presenciais. A quota de mercado dos cartões emitidos em Singapura roubados nas lojas clandestinas reflete esta ampla superfície de ataque, e não uma falta de proteções.

Sistemas antifraude limitam a monetização

Os bancos em Singapura aplicam defesas em camadas. A monitorização de transações procura categorias ou localizações de comerciantes incomuns. O 3D Secure encaminha muitas compras online para autenticação reforçada. Os alertas chegam em segundos, dando aos titulares e aos bancos a hipótese de congelar cartões rapidamente. Estes controlos, combinados com fortes direitos de contestação de pagamentos, aumentam o custo e o risco para os criminosos. Essa é uma das razões pela qual os cartões emitidos em Singapura, embora comuns na dark web, não são os mais caros do mercado.

Do phishing ao ghost tapping: como os fraudadores monetizam

O phishing continua a ser o ponto de entrada de muitos casos. Os atacantes enviam avisos de entrega falsos ou mensagens de segurança bancária e atraem as vítimas para páginas de início de sessão que captam credenciais de cartão e conta. Famílias de malware infostealer como Racoon, Azorult e outras recolhem silenciosamente inícios de sessão e dados de formulário guardados nos navegadores. Identidades roubadas, incluindo números de documento de identidade e selfies recolhidas para verificações de conhecimento do cliente, são circuladas em fóruns clandestinos. Estes recursos permitem aos criminosos abrir contas de testa-de-ferro, lavar dinheiro e tentar sequestros de contas.

Abuso de carteiras móveis e fraude em loja

Uma tática crescente associa dados de cartões roubados a Apple Pay ou Google Pay em telemóveis descartáveis para compras em loja. Os analistas chamam parte deste ecossistema de ghost tapping, porque os criminosos podem retransmitir sinais sem contacto ou pré-provisionar cartões roubados e entregar telemóveis a compradores recrutados. Sindicatos coordenam a logística, desde o recrutamento de testas-de-ferro e a preparação de rotinas de compras até à revenda de artigos no Telegram ou em plataformas de comércio eletrónico. Os relatórios descrevem grandes prejuízos no retalho em Singapura, com testas-de-ferro a fazer-se passar por turistas e a deslocar-se rapidamente entre lojas. Finais de 2024, a polícia registou pelo menos 656 casos e 1,2 milhões de dólares de Singapura em prejuízos provenientes de phishing de cartões de crédito e burlas de carteiras móveis ao longo de três meses.

Casos recentes em Singapura ilustram o manual

Os tribunais apreciaram vários casos que refletem estes métodos. Num caso, um cidadão chinês de 29 anos foi condenado a 30 meses de prisão por utilizar dados de cartões roubados para comprar 20 dispositivos iPhone 16 no valor de mais de 40 mil dólares de Singapura ao longo de três dias. Foi-lhe entregue um telemóvel com uma aplicação que carregava remotamente detalhes de cartões roubados obtidos via phishing. As compras foram feitas em grandes lojas de eletrónica, os telemóveis foram revendidos a dinheiro e os proveitos foram recolhidos por intermediários.

Num caso separado, uma mulher malásia de 25 anos foi condenada por ajudar a vender iPhones comprados com detalhes de cartão carregados numa carteira móvel. O seu parceiro efetuou múltiplas compras em lojas da Apple utilizando cartões virtuais ligados às vítimas. Alertas bancários notificaram as vítimas e a polícia interveio antes que o casal pudesse deixar o país com os restantes proveitos. Estas acções judiciais evidenciam como sindicatos transnacionais despacham corredores para realizar compras rápidas de alto valor.

Risco interno e má gestão de dados

Riscos também surgem no interior das organizações. Um antigo funcionário de um banco em Singapura foi condenado por divulgar informação sobre mais de 1000 clientes depois de ter sido enganado por chamadores que se faziam passar por polícia estrangeira. Embora números de crédito e débito não estivessem envolvidos num incidente separado num grande distribuidor automóvel, uma violação que expôs 147 000 registos de clientes mostra como a informação pessoal circula depois de os atacantes ganharem terreno. Documentos e dados de identidade alimentam a fraude ao ajudar os criminosos a ultrapassar verificações ou desafios de engenharia social.

Como os bancos, o retalho e os reguladores estão a responder

Os bancos continuam a reforçar os controlos para o provisionamento de carteiras móveis. A análise de risco do dispositivo verifica se o telemóvel que pede um token já foi visto anteriormente, se está com o sistema desbloqueado e se o pedido corresponde ao perfil do cliente. Alguns emisores pedem aos clientes que confirmem novas ligações de carteira através da aplicação bancária em vez de SMS, para reduzir a engenharia social. Análises em tempo real e modelos de aprendizagem automática ajudam a bloquear compras suspeitas na fase de autorização.

O retalho está a reforçar as verificações no ponto de venda. A formação do pessoal destaca sinais de alerta como tentativas repetidas falhadas, clientes que alternam entre vários telemóveis ou cartões e tentativas de dividir compras de alto valor em muitas transações pequenas. As lojas podem exigir verificação de identidade para eletrónica cara, coordenar-se de perto com os bancos adquirentes e manter prova de videovigilância pronta para investigações rápidas. Os prestadores de serviços de pagamento estão a ajustar regras para assinalar combinações arriscadas de comerciantes e dispositivos que indicam rotinas de compras organizadas.

Aplicação da lei e cooperação transfronteiriça

Operações coordenadas que reúnem bancos, redes de cartões, companhias aéreas e polícia têm-se revelado eficazes contra tipos específicos de fraude. Numa operação Airport Action Days anterior, os agentes detiveram dezenas de viajantes que tentaram utilizar detalhes de cartões roubados para comprar bilhetes de voo. A INTERPOL coordenou atividade em toda a Ásia a partir do seu centro de inovação em Singapura. Esforços conjuntos semelhantes com as polícias nacionais são utilizados atualmente para desmantelar kits de phishing, canais de recrutamento de testas-de-ferro e os mercados clandestinos onde são negociados cartões roubados.

O que os consumidores podem fazer já

A maioria dos emisores reembolsa compras não autorizadas em cartão, mas a velocidade importa. A deteção precoce limita as perdas e encurta o tempo que os criminosos têm para testar e reutilizar os seus dados. Os passos abaixo reduzem a probabilidade de comprometimento e ajudam-no a detetar fraude rapidamente.

• Ative alertas de transação em tempo real na aplicação bancária para todos os cartões, incluindo transações de carteira e compras online.
• Consulte os extratos semanalmente e conteste de imediato qualquer cobrança que não reconheça.
• Utilize uma palavra-passe forte e única para as suas contas bancárias e de cartão e guarde-a num gestor de palavras-passe de confiança.
• Não guarde números de cartão nem palavras-passe nos navegadores web. O malware infostealer destina-se ao armazenamento de preenchimento automático do navegador.
• Ative a autenticação de dois fatores nas contas de banca, correio eletrónico e compras. Prefira a autenticação através da aplicação bancária ao SMS.
• Utilize números de cartões virtuais ou tokens por compra quando o seu banco os oferecer, sobretudo para comerciantes que utiliza raramente.
• Bloqueie, congele ou defina limites de transação nos cartões na aplicação bancária quando não estiver a comprar. Desative transações no estrangeiro ou sem presença do cartão, salvo necessidade.
• Mantenha os telemóveis e computadores atualizados, instale corrigimentos de segurança com prontidão e evite lojas de aplicações ou descarregamentos não oficiais.
• Proteja as suas contas de identidade digital nacional, como o SingPass. Altere as palavras-passe se suspeitar de phishing e comunique qualquer comprometimento rapidamente.
• Desconfie de mensagens sobre entregas, reembolsos ou avisos de segurança. Aceda ao seu banco escrevendo o endereço web oficial ou utilizando a aplicação, e não tocando em ligações nas mensagens.

Pontos-chave

• Singapura representa cerca de 11 por cento dos cartões de pagamento roubados negociados num conjunto de dados de maio de 2025, atrás dos Estados Unidos e à frente de Espanha.
• O preço médio dos cartões roubados emitidos em Singapura é de cerca de 13,19 dólares, um aumento de aproximadamente 29 por cento face a 2023, enquanto os cartões japoneses atingem cerca de 22,80 dólares.
• Os especialistas atribuem a classificação de Singapura à elevada adoção digital e ao volume de transações, e não a controlos bancários fracos.
• As técnicas de fraude incluem phishing, malware infostealer e abuso de carteiras móveis que permite compras em loja por testas-de-ferro recrutados.
• As acções judiciais locais mostram sindicatos transnacionais a comprar iPhones e outros artigos com dados de cartões roubados e a revendê-los a dinheiro.
• Os bancos e os comerciantes estão a reforçar a autenticação para o provisionamento de carteiras e a melhorar as verificações no ponto de venda, enquanto as autoridades coordenam operações transfronteiriças.
• Os consumidores podem reduzir o risco com alertas, boas práticas de palavras-passe, autenticação de dois fatores e evitando guardar dados de cartão nos navegadores.