Singapura ocupa o segundo lugar mundial em cartões de pagamento roubados em meio ao crescimento do comércio na dark web

A alta adoção digital de Singapura amplia a exposição, não indica fragilidade

Singapura ocupa o segundo lugar mundial em proporção de cartões de pagamento roubados comercializados em mercados da dark web, atrás dos Estados Unidos e à frente da Espanha. A constatação vem de uma análise de cerca de 50.700 registros de cartões coletados em maio de 2025 por uma plataforma de exposição a ameaças. Mais de 60% dos cartões roubados na amostra pertenciam a usuários americanos, cerca de 11% a usuários de Singapura e aproximadamente 10% a usuários da Espanha.

Especialistas em segurança alertam que essa classificação reflete a escala e a digitalização, não um sistema bancário excepcionalmente inseguro. Singapura tem uma das maiores taxas de pagamentos online, uso de carteiras digitais e comércio eletrônico transfronteiriço da Ásia. Uma presença digital maior cria mais oportunidades para criminosos coletarem dados de cartões, mesmo quando bancos e comerciantes mantêm controles rigorosos.

Os preços nesses mercados subiram nos últimos dois anos. A Nova Zelândia registrou o aumento mais acentuado, de mais de 444%, e também foram relatadas altas expressivas na Argentina e na Polônia. Mesmo com os preços mais altos, os dados de cartões roubados continuam baratos para criminosos de baixo escalão. Um cartão costuma custar o equivalente ao preço de um ingresso de cinema. A média global gira em torno de US$ 9, com grandes variações entre países. Na Ásia, o Japão tem o maior preço médio, de cerca de US$ 22,80, seguido pelo Cazaquistão, com US$ 16,87, e pela Tailândia, com US$ 15,08. Cartões emitidos em Singapura são vendidos por cerca de US$ 13,19, em média, uma alta de aproximadamente 29% em relação a 2023. Na Europa, os preços ficam entre US$ 11 e US$ 12 na Espanha, na França e na Suíça.

Como funcionam os mercados de cartões roubados

A dark web é um conjunto de serviços ocultos que usam programas de anonimato para mascarar identidades e localizações. Ela abriga mercados nos quais vendedores anunciam números de cartões roubados, datas de validade e, às vezes, dados completos, com CVV, endereço de cobrança e impressões digitais do dispositivo. Os dados vêm de malwares instalados em dispositivos de consumidores, páginas de phishing que imitam sites de bancos e comerciantes, invasões a sistemas de empresas e comprometimento de processadores terceirizados.

Nesses mercados, os cartões são vendidos em grandes lotes ou individualmente. Os vendedores costumam identificar os anúncios pelo banco emissor, pelo país e por o cartão oferecer ou não autenticação 3D Secure. Os compradores testam pequenas transações e, em seguida, tentam fazer compras maiores de cartões-presente, passagens aéreas ou produtos que possam revender. Pesquisas do setor indicam que uma grande parcela dos dados de cartões anunciados continua utilizável por meses, dando aos criminosos bastante tempo para obter o dinheiro, desde que as primeiras compras de teste não acionem os mecanismos antifraude.

Oferta, demanda e preços

Os preços seguem uma lógica simples de oferta e demanda. Onde a oferta é grande ou os bancos têm controles antifraude rigorosos, os cartões são mais baratos. Onde a oferta é escassa e as verificações antifraude são rígidas, os cartões custam mais, porque aplicar golpes com sucesso exige mais preparo e paciência. Essa dinâmica explica por que os cartões japoneses estão entre os mais caros e por que um país com muitos cartões anunciados, como Singapura, pode ter um preço médio moderado, apesar de representar uma parcela significativa da amostra total.

Por que Singapura tem uma grande proporção de cartões roubados

Singapura é um centro financeiro e logístico, com alta titularidade de cartões e aceitação quase universal de pagamentos por aproximação. Os consumidores compram online de comerciantes locais e internacionais, pagam transporte e refeições com carteiras digitais e viajam com frequência. Isso gera um enorme volume de transações legítimas e perfis de cartões armazenados em muitos serviços. Criminosos coletam dados em grande escala por meio de kits de phishing que miram bancos da região e de malwares que vasculham credenciais salvas e dados de preenchimento automático dos navegadores.

A ampla adoção de pagamentos móveis tokenizados também mudou os padrões de fraude. Quando bancos e comerciantes bloqueiam fraudes em compras com cartão não presente, os criminosos recorrem a outros métodos, como cadastrar cartões roubados em carteiras digitais de celulares ou enganar lojas durante compras presenciais. A proporção de cartões emitidos em Singapura em lojas clandestinas reflete essa ampla superfície de ataque, não a falta de proteção.

Sistemas antifraude limitam a obtenção de lucro

Os bancos de Singapura aplicam várias camadas de defesa. O monitoramento de transações busca categorias de comerciantes ou localizações incomuns. O 3D Secure submete muitas compras online a uma autenticação adicional. Os alertas chegam em segundos, dando aos titulares dos cartões e aos bancos a chance de bloqueá-los rapidamente. Esses controles, combinados com direitos robustos de contestação de cobranças, elevam os custos e os riscos para os criminosos. Esse é um dos motivos pelos quais os cartões emitidos em Singapura, embora comuns na dark web, não estão entre os mais caros do mercado.

Do phishing à fraude por aproximação: como os criminosos obtêm dinheiro

O phishing continua sendo o ponto de entrada em muitos casos. Atacantes enviam falsas notificações de entrega ou mensagens de segurança bancária e atraem as vítimas para páginas de login que capturam dados de cartões e credenciais de contas. Malwares do tipo infostealer, como Racoon, Azorult e outros, coletam discretamente logins salvos e dados de formulários dos navegadores. Identidades roubadas, incluindo números de documentos de identidade nacionais e selfies coletadas para verificações de conheça seu cliente, circulam em fóruns clandestinos. Esses dados permitem que criminosos abram contas de laranjas, lavem dinheiro e tentem assumir o controle de contas.

Abuso de carteiras digitais e fraudes em lojas

Uma tática cada vez mais comum consiste em vincular dados de cartões roubados ao Apple Pay ou ao Google Pay em celulares descartáveis para fazer compras presenciais. Analistas chamam parte desse esquema de ghost tapping porque os criminosos podem retransmitir sinais de aproximação ou cadastrar previamente cartões roubados e entregar os celulares a compradores recrutados. Os grupos criminosos coordenam a logística, desde o recrutamento de laranjas e o planejamento de roteiros de compras até a revenda de produtos pelo Telegram ou em plataformas de comércio eletrônico. Relatos descrevem grandes prejuízos no varejo de Singapura, com laranjas se passando por turistas e passando rapidamente de uma loja a outra. No fim de 2024, a polícia registrou pelo menos 656 casos e prejuízos de S$ 1,2 milhão com phishing de cartões de crédito e golpes envolvendo carteiras digitais ao longo de três meses.

Casos recentes em Singapura revelam como os golpes funcionam

Vários casos que reproduzem esses métodos chegaram aos tribunais. Em um deles, um cidadão chinês de 29 anos foi condenado a 30 meses de prisão por usar dados de cartões roubados para comprar 20 iPhones 16 avaliados em mais de S$ 40 mil em três dias. Ele recebeu um celular com um aplicativo que carregava remotamente dados de cartões roubados obtidos por phishing. As compras foram feitas em grandes lojas de eletrônicos, os celulares foram revendidos por dinheiro e os valores foram recolhidos por integrantes do grupo criminoso.

Em outro caso, uma malaia de 25 anos foi condenada por ajudar a vender iPhones comprados com dados de cartões carregados em uma carteira digital. Seu parceiro fez várias compras em lojas da Apple usando cartões virtuais vinculados às vítimas. Alertas bancários avisaram as vítimas, e a polícia interveio antes que a dupla pudesse deixar o país com o restante do dinheiro. Essas condenações mostram como grupos criminosos transnacionais enviam operadores para fazer compras rápidas de alto valor.

Risco interno e tratamento inadequado de dados

Os riscos também surgem dentro das organizações. Um ex-funcionário de banco em Singapura foi condenado por divulgar informações de mais de 1.000 clientes após ser enganado por pessoas que telefonaram se passando por policiais estrangeiros. Embora números de cartões de crédito e débito não estivessem envolvidos em um caso separado numa grande distribuidora automotiva, um vazamento que expôs registros de 147 mil clientes mostra como informações pessoais circulam depois que atacantes conseguem acesso inicial. Documentos e dados de identidade facilitam fraudes ao ajudar criminosos a passar por verificações de identidade ou desafios de engenharia social.

Como bancos, comerciantes e reguladores estão reagindo

Os bancos continuam reforçando os controles para cadastrar cartões em carteiras digitais. A análise de risco do dispositivo verifica se o celular que solicita um token já foi identificado antes, se teve as restrições de fábrica removidas e se a solicitação é compatível com o perfil do cliente. Alguns emissores pedem que os clientes confirmem novos vínculos de carteiras pelo aplicativo do banco, em vez de SMS, para reduzir a engenharia social. Análises em tempo real e modelos de aprendizado de máquina ajudam a bloquear compras suspeitas na etapa de autorização.

Os comerciantes estão reforçando as verificações nos pontos de venda. O treinamento dos funcionários destaca sinais de alerta, como tentativas repetidas malsucedidas, clientes que alternam entre vários celulares ou cartões e esforços para dividir compras de alto valor em muitas transações pequenas. As lojas podem exigir a apresentação de um documento de identidade na compra de eletrônicos caros, coordenar-se estreitamente com os bancos adquirentes e manter imagens de câmeras de segurança à disposição para investigações rápidas. Os provedores de pagamento estão ajustando as regras para sinalizar combinações suspeitas de comerciantes e dispositivos que indiquem compras organizadas.

Aplicação da lei e cooperação transfronteiriça

Operações coordenadas que reúnem bancos, bandeiras de cartões, companhias aéreas e polícia têm se mostrado eficazes contra tipos específicos de fraude. Em uma operação anterior, chamada Airport Action Days, agentes detiveram dezenas de viajantes que tentavam usar dados de cartões roubados para comprar passagens aéreas. A INTERPOL coordenou ações na Ásia a partir de seu centro de inovação em Singapura. Atualmente, esforços conjuntos semelhantes com as polícias nacionais são usados para desmantelar kits de phishing, canais de recrutamento de laranjas e os mercados clandestinos onde cartões roubados são comercializados.

O que os consumidores podem fazer agora

A maioria dos emissores reembolsa compras não autorizadas com cartão, mas agir rapidamente é importante. A detecção precoce limita os prejuízos e reduz o tempo que os criminosos têm para testar e reutilizar seus dados. As medidas abaixo reduzem o risco de comprometimento e ajudam a identificar fraudes rapidamente.

• Ative alertas de transações em tempo real no aplicativo do banco para todos os cartões, incluindo transações com carteiras digitais e compras online.
• Confira os extratos toda semana e conteste imediatamente qualquer cobrança que não reconheça.
• Use uma senha forte e exclusiva para as contas bancárias e de cartões e guarde-a em um gerenciador de senhas confiável.
• Não salve números de cartões nem senhas nos navegadores. Malwares infostealer visam os dados armazenados no preenchimento automático dos navegadores.
• Ative a autenticação de dois fatores nas contas bancárias, de e-mail e de compras. Prefira autenticar pelo aplicativo do banco em vez de SMS.
• Use números de cartões virtuais ou tokens de uso único quando o banco oferecer essa opção, especialmente para comerciantes que você raramente usa.
• Bloqueie temporariamente os cartões ou defina limites de transação no aplicativo do banco quando não estiver fazendo compras. Desative transações internacionais ou com cartão não presente, a menos que precise delas.
• Mantenha celulares e computadores atualizados, instale as correções de segurança assim que forem disponibilizadas e evite lojas de aplicativos ou downloads não oficiais.
• Proteja suas contas de identidade digital nacional, como o SingPass. Troque as senhas se suspeitar de phishing e informe rapidamente qualquer comprometimento.
• Tenha cuidado com mensagens sobre entregas, reembolsos ou alertas de segurança. Acesse o banco digitando o endereço oficial do site ou usando o aplicativo, em vez de tocar em links recebidos por mensagem.

Principais pontos

• Singapura representa cerca de 11% dos cartões de pagamento roubados comercializados em uma amostra coletada em maio de 2025, atrás dos Estados Unidos e à frente da Espanha.
• Os cartões emitidos em Singapura custam, em média, cerca de US$ 13,19, alta de aproximadamente 29% em relação a 2023, enquanto os cartões japoneses alcançam cerca de US$ 22,80.
• Especialistas atribuem a posição de Singapura à alta adoção digital e ao grande volume de transações, e não a controles bancários fracos.
• As técnicas de fraude incluem phishing, malwares infostealer e o abuso de carteiras digitais, que permite compras presenciais por laranjas recrutados.
• Condenações no país mostram grupos criminosos transnacionais comprando iPhones e outros produtos com dados de cartões roubados e revendendo-os por dinheiro.
• Bancos e comerciantes estão reforçando a autenticação para o cadastro de cartões em carteiras digitais e ampliando as verificações nos pontos de venda, enquanto as autoridades coordenam operações transfronteiriças.
• Os consumidores podem reduzir os riscos ativando alertas, adotando boas práticas de senhas, usando autenticação de dois fatores e evitando salvar dados de cartões nos navegadores.