Xamoz é um site de streaming que oferece filmes e séries sem licença de exibição. A plataforma pede aos visitantes que criem uma conta e, em alguns casos, que forneçam dados bancários para acessar o conteúdo. Essa coleta de dados em um site não declarado levanta problemas concretos de segurança, tanto para o cartão bancário quanto para as informações pessoais fornecidas durante o registro.
Coleta de dados bancários em um site sem estrutura legal: o que isso implica
Um site de streaming não autorizado não atende a nenhuma obrigação regulatória em matéria de proteção de dados. Ao contrário de uma plataforma registrada na CNIL, Xamoz não oferece nenhuma garantia sobre o armazenamento, criptografia ou exclusão das informações inseridas por seus usuários.
Quando um formulário de pagamento aparece nesse tipo de site, nada garante que a transação seja processada por um prestador de pagamento seguro. Os dados do cartão (número, data de expiração, código de segurança) podem ser armazenados em texto claro em servidores não protegidos, acessíveis a terceiros ou revendidos em mercados paralelos.
O problema não se limita ao cartão bancário. O endereço de e-mail, a senha escolhida durante o registro e, às vezes, o número de telefone constituem um conjunto de dados exploráveis. Se a mesma senha for usada em outros serviços (e-mail, banco online, redes sociais), uma violação no Xamoz pode comprometer várias contas ao mesmo tempo. Esse mecanismo tem um nome: credential stuffing, que consiste em testar automaticamente combinações de nome de usuário/senha roubadas em outras plataformas.
Várias análises publicadas online corroboram essas constatações. Ao consultar as avaliações sobre o site xamoz, encontramos relatos de usuários enfrentando cobranças não autorizadas após o registro.
Fraude por manipulação em vez de roubo direto de cartão
Os conteúdos que tratam da segurança dos pagamentos online costumam se concentrar no roubo de números de cartão. A realidade da fraude bancária mudou nos últimos anos.
Segundo o relatório do Observatório de Segurança dos Meios de Pagamento (Banco da França), comentado por vários meios de comunicação especializados em 2026, a fraude por transferência superou a fraude por cartão em valor. A fraude por transferências aumentou significativamente entre 2024 e 2025, enquanto a fraude por cartão diminuiu no mesmo período.
Isso significa que o risco apresentado por um site como o Xamoz não se limita ao roubo de números de cartão. Os dados pessoais coletados (nome, e-mail, telefone) servem de base para cenários de manipulação mais elaborados.
O cenário do falso consultor bancário
Um fraudador que possui seu nome, seu e-mail e o fato de que você tem uma conta bancária ativa pode entrar em contato fazendo-se passar por seu banco. O pretexto clássico: uma “atividade suspeita detectada” em sua conta, exigindo uma ação urgente.
O objetivo não é mais roubar seu cartão, mas fazê-lo validar uma transferência ou comunicar um código de autenticação recebido por SMS. Esse tipo de fraude, chamado de manipulação, aumentou significativamente em 2025, segundo Les Échos e Boursorama.
- O fraudador usa dados pessoais reais para ganhar sua confiança (nome completo, banco presumido, últimos dígitos do cartão).
- Ele cria um sentimento de urgência: suspensão iminente da conta, tentativa de fraude em andamento.
- Ele solicita uma ação específica: validar uma operação no aplicativo móvel, comunicar um código recebido por SMS ou realizar uma transferência “de segurança”.
Nenhum banco jamais pede para validar uma operação por telefone em um contexto de chamada recebida. Esse reflexo é suficiente para bloquear a maioria dessas tentativas.
Bloqueio DNS e lista ARCOM: verificar o status de um site antes de pagar
Os sites de streaming ilegais como o Xamoz são frequentemente alvo de bloqueios ordenados pela ARCOM (ex-Hadopi). Esses bloqueios passam pelos provedores de acesso à internet, que redirecionam as solicitações DNS para uma página de aviso.
Um site sujeito a um bloqueio DNS pela ARCOM não tem nenhuma legitimidade comercial. Inserir dados de pagamento lá equivale a transmitir suas informações bancárias a um operador que infringe a lei francesa sobre propriedade intelectual e que não tem nenhuma razão para respeitar o regulamento geral sobre proteção de dados.
Para verificar se um site está na lista de domínios bloqueados, existem várias métodos:
- Testar o acesso ao site a partir de uma rede móvel e uma rede fixa: se o site estiver inacessível em um operador, mas acessível via VPN, é provavelmente bloqueado.
- Pesquisar o nome do site nas decisões públicas da ARCOM.
- Consultar ferramentas de avaliação de reputação (ScamAdviser, URLVoid) que agregam relatos.
O fato de um site contornar um bloqueio (mudança de nome de domínio, espelhos) é, por si só, um indicador de risco. Um serviço legítimo não muda de endereço para escapar de uma decisão judicial.
Reagir após ter inserido seus dados no Xamoz
Se dados bancários foram fornecidos nesse tipo de site, a primeira ação é bloquear o cartão. O servidor interbancário dedicado a oposições está acessível permanentemente, e um número de registro é fornecido para manter um registro datado da ação.
Mudar a senha usada durante o registro no Xamoz é a segunda prioridade, especialmente se essa senha for compartilhada com outros serviços. Ativar a autenticação forte (validação por aplicativo móvel ou biometria) no banco online e no e-mail reduz o risco de acesso não autorizado, mesmo em caso de vazamento de credenciais.
Monitorar os extratos bancários por várias semanas ainda é necessário. As cobranças fraudulentas nem sempre aparecem imediatamente: alguns operadores testam primeiro pequenos valores antes de tentar transações maiores. Um relato na plataforma Perceval do Ministério do Interior permite documentar a fraude e alimentar as investigações em andamento.
A aparente gratuidade de um serviço de streaming sempre esconde um modelo econômico. Quando esse modelo se baseia na coleta de dados pessoais e bancários sem nenhuma estrutura legal, o custo real para o usuário ultrapassa amplamente o preço de uma assinatura em uma plataforma autorizada.
