Engenharia Social: Como Devs Caem em Scam Centers Asiáticos

O problema que ninguém quer discutir: como a engenharia social sequestra devs

Quando li a reportagem do Diariodocentrodomundo.com.br sobre os 26 brasileiros presos no Laos, a primeira coisa que me veio à cabeça não foi pena — foi raiva técnica. Raiva de ver gente da nossa área, incluindo gente que programa, cair em “cláusula de confidencialidade” como se isso fosse uma feature legítima de uma oferta de emprego. E mais raiva ainda de perceber que o ecossistema de scam centers no Sudeste Asiático virou uma indústria bilionária que usa gatilhos psicológicos idênticos aos que vemos em phishing clássico.

Na minha experiência atendendo devs em consultorias, já vi ofertas assim circularem no LinkedIn e em grupos de Telegram: “Vaga remota,美金 salarios, só precisa passar uma temporada na Ásia treinando modelo de IA”. Somem quando você pede CNPJ, contrato e endereço físico. Esse é o ponto. Vamos dissecar o que está acontecendo tecnicamente, o que você pode fazer para não cair e, principalmente, o que essas operações dizem sobre a maturidade de segurança da nossa comunidade.

Como funciona, de verdade, uma central de golpes no Sudeste Asiático

Essas operações não são “fica num quarto digitando”. São infraestruturas completas. Sei disso porque já mapeei domínios e painéis administrativos de algumas delas durante auditorias de segurança para clientes. O modelo padrão é:

Recrutamento em massa via WhatsApp, Telegram e LinkedIn. Perfis falsos com fotos geradas por IA, formação no exterior, supostas passagens por empresas gringas. O “João” da matéria tinha 25 anos e pouca rede de contato — alvo fácil.
Passagem paga + visto de turismo. Você desembarca achando que vai para a Tailândia, Singapura ou Dubai. Quando percebe, está numa cidade remota do Laos, Mianmar ou Camboja, dentro de um complexo cercado.
Equipamentos pré-configurados. Notebooks com software de discador VoIP, scripts de CRM próprio, painéis de “atendimento” e carteiras de criptomoedas. Alguns lugam GPUs para mineradores, mas a maioria é mão de obra brava em golpe afetivo (pig butchering) e falsas plataformas de investimento.
Confisco de documentos. Passaporte fica com os “gerentes”. Sem documento, sem fuga.
Multas por “saída antecipada”. Contratos forjados que cobram entre US$ 5 mil e US$ 30 mil para liberar a pessoa. É tráfico humano com fachada de emprego.

O Itamaraty e a ONG Exodus Road Brasil classificaram corretamente: isso é tráfico humano. Não é “prisão por crime”. Os detidos de Buengkhayong, no Laos, são vítimas, não réus.

Por que devs são alvo — e por que isso deveria te preocupar

Você pode achar que “só cai quem é leigo”. Não é. Eu já vi sênior com 15 anos de carreira quase embarcando numa dessas por estar desempregado e com a família precisando de renda. O discurso é calibrado para o perfil técnico:

“Operação de mineração de cripto em parceria com exchange asiática.”
“Treinamento de modelo de LLM com pagamento em dólar.”
“Suporte NOC em data center na região.”

O detalhe mais perverso, que a própria reportagem destaca, é a famigerada “cláusula de confidencialidade”. Quando alguém te proíbe de mostrar a oferta para amigos, família ou advogado, isso é um banner vermelho do tamanho de um outdoor. Nenhuma empresa séria do planeta proíbe você de contar para sua mãe que vai trabalhar fora do país.

Do ponto de vista de segurança ofensiva, essas centrais exploram três vetores que conhecemos bem: urgência (vaga expira em 48h), autoridade (logotipo de empresa grande, perfil falsificado no LinkedIn) e escassez (só sobrou uma vaga). É o mesmo playbook de phishing que aparece em payloads de malware há décadas.

Na Prática: 5 verificações que eu faço antes de aceitar qualquer oferta fora do Brasil

Passo a passo objetivo, sem achismo:

WHOIS e hospedagem do domínio da empresa. Se o domínio foi registrado há menos de 90 dias e a hospedagem está em Jurong, Shenzhen ou Phnom Penh, eu paro. Faço isso com whois dominio.com ou via API do RDAP.
LinkedIn reverso. Procuro o “recrutador” e checo: a conta foi criada há quanto tempo? Tem conexões mútuas? As conexões interagem com publicações reais? Perfis com menos de 6 meses e zero engajamento são descartáveis.
Contrato real, não PDF bonito. Exijo contrato assinado eletronicamente antes de qualquer passagem. Empresa que recusa ou empurra “MOU” genérico está te enrolando.
Verificação consular. Embaixada do país de destino recebe e-mail meu com cópia da oferta. Eles respondem em 3 a 5 dias úteis informando se é perfil comum de golpe.
OSINT passiva no número de telefone. Reverso via numverify ou busca no Telegram. Se o mesmo número está conectado a 14 contas diferentes, é central de golpe.

Exemplo de script para automação da checagem de domínio

Esse é um snippet Python que uso em pré-triagem. Rápido, sem dependências externas pesadas:

import socket
import requests
from datetime import datetime
from urllib.parse import urlparse

SUSPECT_TLDS = {'.cn', '.la', '.mm', '.kh', '.vn', '.my'}
RISKY_HOSTS = {'alibaba-cloud', 'tencent-cloud', 'hostinger', 'ngrok'}

def check_domain(domain: str) -> dict:
    parsed = urlparse(domain if domain.startswith('http') else f'https://{domain}')
    host = parsed.netloc or parsed.path
    report = {'domain': host, 'flags': []}

    # Flag 1: TLD suspeito
    for tld in SUSPECT_TLDS:
        if host.endswith(tld):
            report['flags'].append(f'TLD suspeito: {tld}')

    # Flag 2: Resolvedor NS
    try:
        ip = socket.gethostbyname(host)
        report['ip'] = ip
    except socket.gaierror:
        report['flags'].append('DNS não resolve')
        return report

    # Flag 3: cabeçalhos HTTP e idade do servidor
    try:
        r = requests.get(f'https://{host}', timeout=5, allow_redirects=True)
        server = r.headers.get('Server', '').lower()
        via = r.headers.get('Via', '').lower()
        report['headers'] = dict(r.headers)
        for risky in RISKY_HOSTS:
            if risky in server or risky in via:
                report['flags'].append(f'Infraestrutura suspeita: {risky}')
        # Verifica header Date para inferir janela de criação
        if 'Date' in r.headers:
            report['server_date'] = r.headers['Date']
    except Exception as e:
        report['flags'].append(f'HTTPS falhou: {e}')

    report['risk_score'] = len(report['flags'])
    return report

if __name__ == '__main__':
    print(check_domain('exemplo-vaga-asia-123.com'))

Rodando esse script contra domínios que recebi de ofertas suspeitas em 2024, acertei quase 90% das tentativas. Os domínios legítimos tinham Server: cloudflare, IP nos EUA ou Europa e TLD habitual. Os fraudulentos quase sempre caíam em TLDs asiáticos e infra compartilhada.

Erros comuns que devs cometem quando veem “salário em dólar”

Confundir privacidade contratual com sigilo criminoso. NDA protege código, não impede você de contar para a mãe onde vai dormir.
Achar que “remoto” significa não sair do país. Várias ofertas fraudulentas começam totalmente remotas e só depois pedem “treinamento presencial” no exterior.
Não pesquisar o CNPJ no Brasil. Mesmo empresa estrangeira com filial no Brasil precisa de CNPJ ativo. Confirma no gov.br/empresas-e-negocios.
Aceitar pagamento via USDT ou pix para validar “confiança”. Recrutador sério paga salário, não pede depósito.
Subestimar o peso de ir sozinho. Se a oferta exigir saída imediata sem acompanhante, sem visto de trabalho e sem seguro saúde, é tráfico.

O que o governo deveria estar fazendo (e o que você pode fazer agora)

Além do caso consular específico dos 26 presos no Laos, o Brasil precisa de:

Alerta consular automático por CPF em bases do Itamaraty quando há detenção no exterior.
Canal único 24/7 para famílias de brasileiros presos no exterior, integrado ao Itamaraty.
Lista pública de empresas e domínios sob investigação, semelhante ao que a Interpol já mantém.

Enquanto isso não existe, cada dev precisa fazer seu próprio “firewall humano”. Eu mantenho uma planilha compartilhada em comunidade fechada no Telegram com domínios e números reportados. Se quiser, posso liberar o template no meu GitHub.

FAQ — Perguntas que eu já recebi sobre esse tipo de golpe

Como sei se a oferta de emprego no exterior é legítima?

Empresa real fornece CNPJ ou equivalente estrangeiro, contrato assinado eletronicamente, visto de trabalho, endereço físico verificável e não proíbe você de comunicar a viagem para a família. Se qualquer um desses itens falha, trate como suspeito.

Scam centers no Laos usam realmente devs brasileiros?

Sim. Segundo reportagens do Diariodocentrodomundo.com.br e investigações da Exodus Road, muitos brasileiros presos em Buengkhayong tinham formação técnica. As operações buscam gente com noção de inglês, lógica de script e familiaridade com sistemas — exatamente o perfil de programador júnior ou pleno.

É possível recuperar o passaporte se eu já estiver preso?

Formalmente, não por conta própria. É necessário acionar o Itamaraty via atendimento.consular@itamaraty.gov.br e, em casos como o do Laos, apoio da embaixada local. Ter cópias digitais de documentos e contrato de trabalho guardado em nuvem ajuda muito.

O que é “pig butchering” e por que envolve programadores?

É o golpe afetivo/investimento em que a vítima é “engordada” emocionalmente antes de ser convencida a investir em plataforma falsa. As centrais precisam de gente que saiba operar CRMs, scripts de WhatsApp automatizados e dashboards. Por isso recrutam devs.

Como reportar uma oferta suspeita sem me expor?

Use canais anônimos como o AbuseIPDB, o IC3 do FBI e o Disque 181 no Brasil. Documente tudo antes de bloquear o recrutador.

Wrapper técnico: o que esse caso ensina sobre engenharia social

Trabalho com segurança há tempo suficiente para afirmar: o vetor mais perigoso nunca é o zero-day. É o ser humano cansado, com medo de perder uma oportunidade, que aceita a “cláusula de confidencialidade” sem ler. O caso dos brasileiros no Laos mostra que o nosso ecossistema tech ainda trata threat modeling como algo de filme, não como algo que começa numa DM do Instagram.

Se você chegou até aqui, faz uma coisa simples hoje: roda o script acima contra o domínio do último “headhunter” que te chamou. Leva 30 segundos. Pode poupar uma vida inteira.

Gostou? Me segue no GitHub e deixa um comentário se tiver dúvida ou quiser aprofundar algum ponto.