O Roblox é uma das plataformas de jogos mais populares entre as crianças, e a conta de cada jogador vale dinheiro real, em Robux e em itens raros. É esse valor que está na mira de um mercado descoberto pela equipa de investigação da NordVPN, empresa de cibersegurança, que vende páginas falsas do Roblox prontas a usar, capazes de roubar a conta mesmo quando a criança tem a autenticação de dois fatores ligada.
O mais preocupante, segundo a NordVPN, é que montar uma burla destas já não exige conhecimentos técnicos, porque basta criar conta no serviço com uma conta do Discord e escolher a página. O resultado vê-se nos números: numa só semana de julho, os investigadores contaram 196 endereços falsos ativos.
Explicamos como funcionam, porque é que o código de segurança não chega e o que deves ensinar aos teus filhos.
Como funcionam as páginas falsas do Roblox
Essa facilidade explica-se pelo modelo do serviço descoberto pela NordVPN, que entrega tudo feito: a cópia da página de entrada do Roblox, o alojamento, o endereço Web e uma ferramenta que recolhe as palavras-passe escritas pelas vítimas. As páginas reproduzem a navegação, os tipos de letra e o aspeto do site verdadeiro.
Algumas levam o disfarce mais longe e imitam o jogo que a criança estava a jogar, como Blox Fruits ou PLS DONATE, ou o RoVer, um serviço legítimo que liga contas do Roblox e do Discord. «Estas páginas copiam o jogo que o teu filho estava a jogar há cinco minutos», resume Marijus Briedis, diretor de tecnologia da NordVPN.
E não se trata de casos isolados. Depois de testarem perto de 4000 combinações de nomes parecidos com o do Roblox, os investigadores encontraram 123 endereços falsos ativos, com mais de 105 mil visitas no total, e pelo menos mais 521 endereços do tipo «login-roblox» ou «roblox-verify».
Quanto ao isco, os links chegam por caminhos em que as crianças confiam: mensagens de amigos cuja conta já foi roubada, servidores do Discord, descrições de vídeos no YouTube ou comentários no TikTok, muitas vezes com a promessa de Robux grátis.
Porque é que a autenticação de dois fatores não chega
Perante isto, a autenticação de dois fatores continua a ser uma boa proteção e deve continuar ligada. O problema é que estas páginas pedem tudo o que é preciso para entrar: primeiro a palavra-passe, depois o código de seis dígitos da verificação em dois passos, a seguir o código de recuperação e, por fim, o PIN da conta.
Enquanto a criança preenche esses campos, o burlão está, segundo a NordVPN, a ver tudo em tempo real do outro lado. Assim que o código é escrito, ele usa-o no Roblox verdadeiro antes que expire, o que significa que, tecnicamente, nada foi pirateado: o código era válido e foi a própria criança que o entregou.
Para que ninguém desconfie, a página falsa encaminha depois a criança para o Roblox verdadeiro. Como a entrada parece ter corrido bem, muitas famílias só percebem o que aconteceu semanas mais tarde, quando os Robux desapareceram e os itens raros foram trocados.
Os sinais de uma página falsa
Por mais convincentes que sejam, estas páginas deixam pistas que um adulto atento consegue ver:
- Endereços que só parecem certos: roblox.com.ug, roblox.com.py ou roblox.com.kz leem-se rapidamente como «roblox.com», mas são domínios de outros países.
- Letras trocadas: em «robiox», o «l» foi substituído por um «i» minúsculo, quase igual no ecrã.
- Palavras coladas ao nome: endereços como «login-roblox» ou «roblox-verify» não são do Roblox.
- O cadeado não garante nada: várias páginas falsas tinham um certificado HTTPS válido, por isso o cadeado na barra de endereço só diz que a ligação é cifrada, não que o site é verdadeiro.
- Pedidos a mais: o Roblox verdadeiro não te pede, de seguida, a palavra-passe, o código de dois fatores, o código de recuperação e o PIN.
O que ensinar aos teus filhos
Reconhecer os sinais ajuda, mas a proteção mais duradoura passa por uma conversa simples e por algumas regras combinadas, mais do que por bloquear tudo. A NordVPN sugere estas, e nenhuma depende de instalar seja o que for:
- Entrar no Roblox só pela app oficial ou escrevendo roblox.com à mão, nunca por um link, nem que venha de um amigo.
- Não existem Robux grátis. Qualquer página que os prometa é uma armadilha.
- Os códigos são como palavras-passe. O código de dois fatores, o código de recuperação e o PIN nunca se escrevem fora do Roblox verdadeiro nem se dão a ninguém.
- Nada de «melhoradores» de jogo, mods ou executores de scripts. Costumam roubar as palavras-passe guardadas no browser, incluindo as dos pais, se o computador for partilhado.
A estas regras junta-se o básico: mantém a verificação em dois passos ligada e revê os controlos parentais da conta. Sobretudo, deixa claro que, se algo correr mal, a criança pode contar-te sem medo de castigo, porque quanto mais cedo souberes, mais fácil é recuperar a conta.
A nossa análise
Este caso mostra bem como as burlas evoluíram. Já não é preciso saber programar para enganar uma criança, basta pagar um serviço, e a autenticação de dois fatores, que tantas vezes recomendamos, perde força quando é a própria vítima a escrever o código numa página falsa.
Por isso, a defesa mais eficaz não é técnica, é um hábito: entrar sempre pela app ou pelo endereço escrito à mão. É uma regra fácil de ensinar a uma criança e que serve igualmente para os adultos da casa.