Obrigado, FedEx, é por isso que continuamos caindo em phishing

Responsabilidade legal e notificações “razoáveis”

• Vários defendem leis que transfiram a პასუხისმგabilidade: se uma notificação eletrônica parece tão suspeita que uma “pessoa razoável” duvidaria dela, as consequências de ignorá-la deveriam recair sobre o remetente, não sobre o destinatário.
• Outros observam que padrões de “razoabilidade” são juridicamente complicados e muito judicializados, mas ainda assim muitas vezes melhores do que regras rígidas.
• No caso da FedEx, ignorar a mensagem prejudica principalmente o cliente (sem pacote) e a autoridade fiscal (sem receita), o que reduz a pressão sobre a FedEx para melhorar.

Práticas de transportadoras, alfândega e taxas

• Muitos relatam fluxos confusos ou contraditórios de taxas alfandegárias (FedEx, UPS, DHL), incluindo contas tardias, taxas surpresa de corretagem/processamento muito maiores que o imposto e pouca clareza sobre quem acabou pagando os tributos.
• Alguns países permitem ou exigem que os destinatários façam a autodeclaração junto à alfândega (por exemplo, Finlândia, Portugal, Canadá com esforço), economizando taxas, mas isso muitas vezes é ocultado ou desencorajado pelas transportadoras.
• Reclamações de que as transportadoras resistem em permitir que os remetentes paguem os tributos antecipadamente, levando a experiências constrangedoras de “pague antes de receber seu presente”.

Comunicações corporativas que parecem golpes

• Numerosos exemplos em bancos, seguradoras, saúde, governos e plataformas:
  • E-mails/SMS de domínios estranhos ou de terceiros, com urgência, texto ruim, encurtadores de links ou URLs de rastreamento ilegíveis.
  • Bancos e órgãos enviando termos em pen drives USB ou CDs, ou por sites de aparência duvidosa, justificados por regulações de “meio durável”.
  • Sites oficiais como householdresponse.com ou portais fiscais em domínios .com/.org que visualmente se parecem com phishing.
• Conceito de “scamicry”: organizações legítimas imitando padrões de golpe (tom urgente, domínios fora da marca, links inesperados).

Treinamento anti-phishing e contradições internas

• Empresas fazem testes de phishing enquanto, ao mesmo tempo, enviam mensagens internas reais indistinguíveis de phishing, minando o próprio treinamento.
• Alguns usuários reportam intencionalmente todo e-mail real, mas com aparência suspeita, para forçar ciclos de feedback; outros ignoram o “treinamento de segurança” obrigatório hospedado em domínios de terceiros duvidosos.
• Frustração com o fato de que relatar problemas de design óbvios ao TI muitas vezes não gera nenhuma mudança.

Telecom, SMS e golpes de encomendas

• Muitos veem picos de golpes por SMS com tema de transportadora quando estão esperando pacotes, o que leva a suspeitas de vazamento de dados, embora outros apontem que spam massivo + compras online constantes explicam muito disso.
• Alguns países estão implementando registro/verificação de remetentes de SMS; a qualidade da fiscalização varia.
• Pedidos de autenticação criptográfica de SMS e identificador de chamadas, com verificação forte de identidade e penalidades para abuso.

Políticas de segurança, senhas e autenticação mútua

• Longo subthread sobre políticas ruins de senha: rotação obrigatória, bloqueio de reutilização, limites arbitrários de caracteres, tratamento inconsistente de caracteres “especiais” e como isso leva a padrões mais fracos e gambiarras.
• É citada a orientação do NIST contra a rotação rotineira de senhas; muitas organizações ainda a ignoram, muitas vezes por causa de auditores ou pensamento herdado.
• Desejo por “autenticação mútua”, em que os usuários possam verificar organizações (e não apenas o contrário), via webauthn/passkeys, fluxos de verificação de chamadas ou melhores práticas de domínio.

Incentivos organizacionais e UX

• Tema recorrente: organizações externalizam o risco e o custo de segurança para os usuários, enquanto priorizam marketing, analytics e conveniência interna.
• Terceirização (fornecedores de SMS, serviços de TI, plataformas de pesquisa) e a burocracia em torno de domínios incentivam comunicações fora da marca e confusas.
• Usuários cada vez mais evitam certas transportadoras ou serviços por completo devido a falhas crônicas de entrega e interações parecidas com golpes.