O que “a rainha da máfia das boleias” nos pode dizer sobre a integração segura

• A chamada “rainha das boleias” enganou várias aplicações
• Utilizou cartas de condução copiadas ilegalmente para criar novas contas
• Os condutores “alugavam” as suas identidades falsas – o que lhe rendeu uma fortuna
• Ela podia ter sido detida com este simples controlo

Priscila Barbosa chegou ao JFK, em Nova Iorque, com um visto de turista do Brasil, a 24 de abril de 2018, com 32 anos, com apenas 117 dólares em seu nome – e gastou imediatamente grande parte desse valor num bilhete de autocarro para Boston.

Três anos mais tarde, tinha ganho centenas de milhares de dólares como arquiteta de uma elaborada fraude de identidade que acabaria por a ver apelidada de “A Rainha da Máfia do Rideshare”.

Barbosa conseguiu esta ascensão espantosa depois de ter descoberto como criar contas de motorista falsas que permitiam a outros imigrantes sem Green Card – ou seja, sem direito legal a trabalhar – o acesso imediato ao que se chama a economia gig.

Com o seu esquema, conseguiu que essas pessoas trabalhassem como motoristas de aplicações de táxis como a Lyft e a Uber, para que pudessem contornar as restrições de trabalho impostas pela imigração e ganhar um salário.

Criou contas falsas e depois “alugou-as” a condutores ilegais

Depois de ter conseguido enganar as verificações de segurança da empresa empregadora, “alugava” a conta que tinha criado a um migrante – normalmente um compatriota brasileiro, como ela, com um visto de turista. Eles pagavam-lhe uma parte semanal do seu salário pelo acesso que ela dava à plataforma e pelo trabalho remunerado que vinha com ela.

Quando a pandemia acabou com o negócio dos táxis, quase de um dia para o outro, houve um boom na procura de comida para levar – e a engenhosa Barbosa conseguiu alterar o seu modelo de negócio para criar o mesmo cenário para as aplicações que oferecem comida entregue ao domicílio e que precisam de um fluxo constante de condutores.

Agora, as empresas que ela estava a enganar incluiriam a Instacart, a DoorDash, a Uber Eats e a Grubhub.

O esquema também lhe permitiu ganhar centenas de bónus de inscrição.

Licenças roubadas foram a porta de entrada para uma grande burla

Então, como é que Barbosa conseguiu enganar todas estas plataformas e criar o seu império? Se estiveres interessado em mais pormenores do que os que aqui te apresento, a Wired publicou no outro dia uma leitura longa e muito boa sobre toda a história, que te dirá muito mais.

Mas para os meus propósitos, um resumo da sua onda de crimes com identidades falsas será suficiente – porque estou mais interessado nas lições que podemos tirar da sua história do que na sua carreira colorida em si.

Barbosa tinha recursos mínimos, pelo menos inicialmente, mas era muito talentosa em tecnologia, particularmente em descobrir maneiras de contornar a segurança do sistema. Era também uma pessoa que se relacionava naturalmente, capaz de estabelecer relações rapidamente e de manter centenas delas ao mesmo tempo. Estas duas capacidades levaram-na a percorrer um longo caminho em muito pouco tempo.

Onde é que ela arranjou tantas identidades de condutores?

A sua profissão começou com a tentativa de descobrir como se tornar ela própria uma condutora. Usa a carta de condução de outra pessoa – e funciona. Por isso, começou a ajudar outros a fazer o mesmo.

Inicialmente, implorava a amigos por documentos de identificação desviados. A primeira que conseguiu foi através de uma burla à porta de casa: os consumidores legítimos que recebiam encomendas eram convidados a apresentar um documento de identificação para que a encomenda lhes fosse entregue. O motorista distraía o cliente e rapidamente tirava um grande plano da sua carta de condução e essa imagem acabava por chegar a Barbosa, que a clonava.

Quando esta fonte não conseguiu entregar licenças em quantidades suficientes, ela foi para a dark web – onde material muito privado como este é comercializado livremente – e começou a comprar imagens com licenças desviadas em maior número.

Depois de ter carregado uma carta de condução, o resto foi fácil. Porque houve pouca ou nenhuma tentativa de cruzar os dados da carta roubada com o resto da informação adicionada pelo titular da conta.

Explorou uma falha sistémica – estavam a verificar a coisa errada

Muitas vezes, as aplicações apercebiam-se rapidamente que estavam a ser falsificadas e fechavam as novas contas rapidamente – mas Barbosa simplesmente abria novas contas em resposta.

Então, como é que marcas tão grandes, com um volume de negócios tão elevado, puderam ser enganadas por um malandro que começou apenas com um iPhone e 50 dólares?

O principal problema resulta da confiança inicial no carregamento de uma carta de condução como espinha dorsal dos seus processos de verificação. Suponho que parecia natural – lógico até – que as empresas que pretendiam ter condutores optassem por este método aquando da criação da empresa. Não gostariam de ter condutores não qualificados a trabalhar sob a sua marca, pelo que esta deve ter parecido a melhor forma de garantir que assim não fosse. Mas, contraintuitivamente, não era assim na altura e não é agora.

Como esta história demonstra amplamente, é fácil obter um bilhete de identidade falso e existem em grandes quantidades. Por isso, o carregamento de um documento é um mau ponto de partida para a verificação.

Eis o que deviam ter feito: verificar os telemóveis, não as cartas de condução

De facto, o melhor ponto de partida é o número de telefone do requerente. A grande maioria das pessoas de boa-fé tem o mesmo número há alguns anos. Verificando o estado atual e o historial de um número, podemos ver num ápice se este apresenta sinais de alerta de estar associado a fraude: o seu comportamento é consistente, está fisicamente onde se espera que esteja, foi registado recentemente, etc.

Assim que tiveres estabelecido a credibilidade do número do novo utilizador, o carregamento de documentos como um nível de seleção secundário opcional é bom, mas nunca deve ser o ponto de partida.

Como que para provar o meu ponto de vista, foi o facto de grande parte do seu trabalho fraudulento ter sido realizado a partir de ou ligado a um único telemóvel que acabaria por permitir que Barbosa fosse identificado e detido pelo FBI após uma longa e dispendiosa investigação que levou a 17 processos criminais.

No julgamento, protestou por ter acreditado que a sua falsificação tinha sido um crime sem vítimas.

De facto, os milhares de pessoas cujas identidades foram usurpadas sofreram sem dúvida muitas indignidades, incómodos e provavelmente perdas financeiras. Foi presa durante três anos.

Mas se o número de telefone que o FBI forneceu tivesse sido verificado quando ela fez o seu primeiro pedido há seis anos, nada disto teria acontecido.