O que “a rainha da máfia de caronas” pode nos dizer sobre integração segura

• A chamada “Rainha do Rideshare” enganou vários aplicativos
• Usou carteiras de motorista copiadas ilegalmente para criar novas contas
• Os motoristas “alugavam” suas identidades falsas, o que lhe rendeu uma fortuna
• Ela poderia ter sido detida com esta simples verificação

Priscila Barbosa chegou ao JFK, em Nova York, com um visto de turista do Brasil, em 24 de abril de 2018, aos 32 anos, com apenas 117 dólares em seu nome – e imediatamente gastou grande parte desse valor em uma passagem de ônibus para Boston.

Três anos depois, ela havia ganhado centenas de milhares de dólares como arquiteta de um elaborado esquema de identidade que a levaria a ser apelidada de “The Queen of the Rideshare Mafia”.

Barbosa alcançou essa ascensão surpreendente depois de descobrir como criar contas de motorista falsas que permitiram que colegas imigrantes sem Green Card – ou seja, sem direito legal de trabalhar – tivessem acesso imediato ao que é chamado de economia de gig.

Seu esquema permitiu que ela conseguisse contas de trabalho para essas pessoas como motoristas de aplicativos de táxi, como Lyft e Uber, para que pudessem contornar as restrições de trabalho da imigração e ganhar um salário.

Criou contas falsas e as “alugou” para motoristas ilegais

Depois de conseguir burlar as verificações de segurança de integração da empresa empregadora, ela “alugava” a conta que havia criado para um migrante – geralmente um brasileiro, como ela, com visto de turista. Eles lhe pagavam uma parte semanal de seus salários pelo acesso que ela fornecia a essa plataforma e pelo trabalho remunerado que vinha com ela.

Quando a pandemia acabou com a troca de táxis quase da noite para o dia, houve um boom na demanda por comida para viagem – e a engenhosa Barbosa conseguiu mudar seu modelo de negócios para criar o mesmo cenário para aplicativos que oferecem comida entregue em casa e precisam de um fluxo constante de motoristas.

Agora, as empresas que ela estava enganando incluiriam a Instacart, a DoorDash, a Uber Eats e a Grubhub.

O golpe também permitiu que ela embolsasse centenas de bônus de inscrição.

Licenças roubadas foram a porta de entrada para um grande golpe

Então, como Barbosa conseguiu enganar todas essas plataformas e criar seu império? Se você estiver interessado em mais detalhes do que o meu resumo aqui oferece, a Wired publicou uma leitura longa e muito boa sobre toda a história no outro dia, que lhe dirá muito mais.

Mas, para meus propósitos, um resumo de sua onda de crimes com identidades falsas será suficiente, pois estou mais interessado nas lições que podemos tirar de sua história do que em sua carreira colorida em si.

Barbosa tinha recursos mínimos, pelo menos inicialmente, mas era muito talentosa em tecnologia, especialmente em descobrir maneiras de burlar a segurança do sistema. Ela também era uma pessoa natural para trabalhar em rede, capaz de formar relacionamentos rapidamente e manter centenas deles ao mesmo tempo. Essas duas habilidades a levaram a percorrer um longo caminho em um tempo muito curto.

De onde ela tirou tantas identidades de motorista?

Sua profissão começou quando ela tentou descobrir como se tornar uma motorista. Ela usou a carteira de motorista de outra pessoa – e funcionou. Então, ela começou a ajudar outras pessoas a fazer o mesmo.

Inicialmente, ela implorou a amigos por identidades desviadas. A primeira que ela conseguiu veio de um golpe de porta em porta: consumidores legítimos que recebiam encomendas eram solicitados a apresentar um documento de identidade para que a encomenda fosse entregue. O motorista distraía o cliente e rapidamente tirava um close-up da carteira de motorista, e essa imagem acabava chegando a Barbosa, que podia cloná-la.

Quando essa fonte não conseguiu fornecer licenças em quantidades suficientes, ela foi para a dark web – onde materiais muito particulares como esse são comercializados livremente – e começou a comprar imagens de licenças desviadas em maior quantidade.

Então, depois que ela carregou uma licença, o resto foi fácil. Porque houve pouca ou nenhuma tentativa de cruzar os detalhes da licença roubada com o restante das informações adicionadas do titular da conta.

Ela explorou uma fraqueza sistêmica – eles estavam verificando a coisa errada

Os aplicativos geralmente percebiam rapidamente que estavam sendo falsificados e fechavam as novas contas rapidamente, mas Barbosa simplesmente abria novas contas em resposta.

Então, como é que marcas tão grandes, com volumes de negócios tão grandes, puderam ser enganadas por um malandro que começou com apenas um iPhone e US$ 50?

O principal problema decorreu dessa confiança inicial no upload de uma carteira de motorista como a espinha dorsal de seus processos de verificação. Suponho que parecia natural – até mesmo lógico – que as empresas que desejavam motoristas optassem por esse método ao se estabelecerem. Elas não gostariam de ter motoristas não qualificados trabalhando sob sua marca, portanto, essa deve ter sido a melhor maneira de garantir que isso não acontecesse. Mas, contraintuitivamente, não era assim naquela época e não é agora.

Como essa história demonstra amplamente, é fácil obter identidades falsas e elas estão disponíveis em grandes quantidades. Portanto, o upload de um documento é um ponto de partida ruim para a verificação.

Aqui está o que eles deveriam ter feito: verificar seus telefones, não suas licenças

Na verdade, o melhor lugar para começar é com o número de telefone do solicitante. A grande maioria das pessoas de boa-fé tem o mesmo número há alguns anos. Ao verificar o status atual e o histórico de um número, podemos ver rapidamente se ele apresenta algum sinal de alerta de estar associado a fraude: seu comportamento é consistente, está fisicamente onde você esperaria que estivesse, foi registrado recentemente e assim por diante.

Uma vez que você tenha estabelecido a credibilidade do número do novo usuário, o upload de documentos como um nível de triagem secundário opcional é bom, mas nunca deve ser o ponto de partida.

Para provar meu ponto de vista, foi o fato de grande parte de seu trabalho fraudulento ter sido realizado a partir de ou vinculado a um único telefone celular que acabou permitindo que Barbosa fosse identificado e preso pelo FBI após uma investigação longa e cara que levou a 17 processos criminais.

Ela protestou no julgamento que acreditava que sua falsificação havia sido um crime sem vítimas.

Na verdade, as milhares de pessoas cujas identidades foram abusadas sem dúvida sofreram muitas indignidades, inconveniências e provavelmente perdas financeiras. Ela foi presa por três anos.

Mas se o número de telefone que o FBI forneceu tivesse sido verificado quando ela fez sua primeira solicitação há seis anos, nada disso teria acontecido.