Enxurrada de prints em baixa resolução continua driblando os sistemas de moderação da Meta
Quem passa tempo no Threads já topou com os chamados “reply guys do Mr Beast”: contas de spam que respondem posts populares com frases sem nexo e um print borrado de uma suposta matéria do jornal britânico The Times sobre o youtuber. Quase sempre vem acompanhado de uma segunda imagem aleatória, geralmente um buquê de flores ao lado de um iPhone. A fórmula varia pouco, mas está espalhada por toda a plataforma.
Como boa parte do spam em redes sociais, o esquema é fachada para um golpe cripto de grandes proporções.
Segundo levantamento do pesquisador de segurança Zach Edwards, da Infoblox, o grupo responsável por essas contas mantém mais de 10 mil sites fraudulentos de “cassinos cripto” no ar. Dezenas de contas identificadas espalhando esse spam no Threads acumularam centenas de milhares de visualizações só nos últimos 30 dias, todas direcionando para sites da mesma rede.
Golpistas sempre inventam novas táticas, mas tanto Edwards quanto Mark Beare, executivo da plataforma antifraude Malwarebytes, apontam algo incomum nessa operação: os posts não trazem links diretos para os golpes. Até as frases estranhas que acompanham as imagens fogem do padrão clássico de golpe cripto de enriquecimento rápido. Só que, ao examinar os prints com atenção, cada foto de baixa qualidade do youtuber vem colada a uma manchete falsa anunciando um novo “projeto” ou “promoção” com dinheiro grátis, bastando visitar um site suspeito.
Edwards acredita que esse comportamento bizarro serve tanto para escapar dos sistemas automáticos da Meta quanto para testar quais formatos de post geram mais alcance. Segundo ele, os golpistas perceberam que os domínios eram detectados rápido demais quando apareciam direto no post, então passaram a escondê-los, transformando a busca pelo link em uma espécie de caça ao tesouro. Com o link pouco visível junto de uma imagem qualquer, muitos sistemas de detecção por IA acabam não pegando o golpe.
Os autores do golpe também parecem ter decifrado as particularidades do algoritmo do Threads. Responder posts populares é estratégia comprovada para ganhar alcance na plataforma, já que a Meta afirma que metade das visualizações do Threads vem justamente das respostas. As frases sem sentido e os prints em baixa resolução, que exigem que o usuário amplie a imagem para conseguir ler, prendem a atenção por mais tempo, o que pode significar um empurrão extra do algoritmo.
Beare afirma que os golpistas estão, essencialmente, tentando alimentar um algoritmo, e cada plataforma tem o seu próprio. Embora não conhecesse essa rede específica, ele não se surpreende com a obsessão pelo Mr Beast: o youtuber hoje é uma das figuras públicas mais citadas em golpes online, superando até nomes recorrentes como Elon Musk.
Grande parte desses sites, segundo Edwards, opera com um golpe simples de depósito. A promessa de uma recompensa grátis ou bônus de cadastro atrai o usuário para criar uma conta. Depois de receber os créditos promocionais (um dos sites visitados chamava isso de “dinheiro grátis”), a pessoa se depara com uma bateria de caça-níqueis online e outros jogos simples. Os sites garantem saques e depósitos a qualquer momento, incentivando o usuário a fornecer dados de cartão de crédito ou conectar carteiras cripto.
Ao inserir um suposto código promocional vindo do spam do Mr Beast em um desses sites, o resultado foi uma mensagem informando premiação de 3 mil dólares dentro de uma promoção de bônus de 10 milhões. Para sacar o valor, bastava informar endereço de carteira ou número de cartão de crédito, exatamente o padrão descrito por Edwards: cadastro com bônus de depósito, exibição de retornos falsos e pressão constante para depositar mais dinheiro. Não é uma armação de longo prazo, é pescaria de valores rápidos.
Ainda não está claro quantas pessoas caem nesses golpes. Dos mais de 10 mil domínios mapeados por Edwards, muitos recebem pouquíssimo tráfego. Mas no Threads, algumas contas isoladas espalhando spam do Mr Beast já somam quase um milhão de visualizações em 30 dias, conforme métricas públicas da própria plataforma. Parte dessas contas parece ser resultado de invasões de perfis comuns, enquanto outras são contas novas criadas só para promover os cassinos falsos. Algumas também publicam clipes pornográficos curtos direcionando para canais no Telegram, embora esse tipo de post não apareça no aplicativo do Threads, apenas na versão web threads.com.
Edwards, que já acompanhou campanhas parecidas em outras plataformas, suspeita que o mesmo grupo atua além do Threads. Há semelhanças com uma onda de spam que atingiu o Discord no ano passado, inclusive com sobreposição de domínios maliciosos usados nas duas frentes. Ele também identificou anúncios no X e o Meta Pixel integrados a muitos desses sites, ferramenta que permite a anunciantes do Facebook rastrear o comportamento de visitantes, um indício forte de que o grupo investe pesado em publicidade paga.
O que ainda não está claro é o quanto a Meta está ciente do problema. A empresa até remove parte das contas ligadas ao esquema, mas a frequência com que esse spam reaparece levanta dúvidas sobre a eficácia da moderação.
Os prints falsos de matérias do The Times circulam há mais de um ano e já viraram até piada interna entre usuários da plataforma, que brincam que um post “chegou lá” quando começa a atrair os comentários de spam do Mr Beast. Recentemente surgiu até uma variação usando uma suposta matéria falsa da CNN.
Tanto Edwards quanto Beare concordam que a Meta tem capacidade técnica de detectar esse tipo de campanha, mesmo com as táticas usadas para esconder os links. A empresa não respondeu ao pedido de comentário. Segundo Beare, a Meta possui modelos de detecção por IA bastante eficientes no Facebook, o que sugere que a permanência dessas táticas por tanto tempo é, no fim das contas, uma questão de prioridade.
