Phia e cookie stuffing: a app da filha de Bill Gates

Resumo: o que as alegações sobre a Phia significam para os comerciantes

• A lacuna: a Bloomberg noticiou que a extensão de navegador da Phia alegadamente abria um background tab durante o checkout e disparava o seu próprio link de afiliado, sobrepondo-se a quem tinha efetivamente referenciado o comprador. Nada disso aparece nos logs de servidor de um comerciante. A encomenda chega com um aspeto perfeitamente normal, com um cookie de afiliado válido associado.
• As provas: os jornalistas testaram a extensão em mais de 50 sites, e Ben Edelman, o investigador cujo trabalho conduziu aos processos por cookie stuffing (injeção forçada de cookies de afiliado) no eBay, analisou o código-fonte e corroborou três funcionalidades distintas. Segundo informações, a receita diária média da Phia caiu de cerca de 80 000 dólares para entre 10 000 e 28 000 dólares depois de estas terem sido desligadas.
• A decisão: não precisa de um fornecedor para verificar isto. Seis testes sobre dados de encomendas e de cliques que já tem dir-lhe-ão se um parceiro está a reclamar procura que não criou.

Com pouco tempo? Veja a monitorização de scripts de terceiros em sessões reais da cside. Cobre as tags de afiliados e de cupões que carrega no seu próprio site, que é a parte deste problema que um website consegue efetivamente controlar.

O cookie stuffing é rastreio de afiliado que dispara sem que o comprador faça nada. Uma referência legítima exige um ato deliberado: alguém clica no link de um parceiro, ou aplica um cupão que este ofereceu, e essa ação grava um cookie de rastreio que prova que o parceiro originou a venda. O stuffing dispensa a pessoa. O software carrega o URL de rastreio sozinho, o cookie fica gravado à mesma e a comissão vem a seguir.

Uma divulgação antes de mais nada: a cside não tem telemetria sobre a extensão da Phia, e nenhum website consegue inspecionar os add-ons de um visitante. Tudo o que se segue vem de reportagens publicadas. O que podemos oferecer é a parte sobre a qual sabemos alguma coisa, que é como esta classe de comportamento se esconde de quem a paga, e o que consegue medir sem a cooperação de ninguém.

O que a Bloomberg noticiou sobre a extensão da Phia

A Phia é um assistente de compras fundado em 2025 por Phoebe Gates e Sophia Kianni. Compara preços, mostra códigos de desconto e ganha comissões de afiliado sobre as compras feitas através dele. Levantou uma Série A de 35 milhões de dólares em janeiro de 2026.

A 2026-07-09, os jornalistas da Bloomberg News Olivia Solon, Priyanjana Bengani e Jeff Kao noticiaram que a extensão de navegador móvel da Phia estava a atribuir-se o crédito de vendas que não gerou. Testaram-na em mais de 50 sites. Um seguimento a 2026-08-11, apoiado em mensagens internas de Slack e numa captura de ecrã de um dashboard interno analisada pela Bloomberg, noticiou que isto não foi acidental: o comportamento vinha de funcionalidades que podiam ser alternadas remotamente, e os cofundadores tinham conhecimento delas desde dezembro de 2025.

Foram descritos três mecanismos, mais um quarto que foi proposto internamente.

As datas importam mais do que os mecanismos. Segundo informações, a flag "enable coupon auto drop" foi ligada a 2025-12-10 e desligada a 2026-07-07, o dia em que a Bloomberg contactou a empresa pela primeira vez. A 2025-12-18, Gates levantou uma questão no Slack sobre se a Phia estaria a definir cookies automaticamente em todos os parceiros de retalho mesmo quando os compradores não tinham interagido com o pop-up de cupões. A 2026-07-08, a Phia afirmou publicamente que tinha tomado conhecimento da situação "nas últimas 24 horas".

A posição da Phia, dada à TechCrunch: "Quaisquer funcionalidades que causassem atribuições incorretas foram imediatamente removidas há mais de um mês, a 7 de julho. Estamos a rever todas as transações, estamos totalmente empenhados e já começámos a emitir todas as reversões de transações para os parceiros de marca em resultado de qualquer atribuição incorreta, e estamos a contratar um responsável de compliance para garantir que algo assim nunca mais volta a acontecer." Até 2026-08-15 não foi apresentada qualquer ação judicial contra a Phia e nenhum regulador tomou medidas públicas.

Porque é que isto custa mais aos comerciantes do que o caso Honey

A comparação óbvia é a Honey, a extensão de cupões detida pela PayPal acusada no final de 2024 de substituir os cookies de afiliado dos criadores pelos seus próprios. Mas, como Michael McNerney argumentou na Adweek, tratar os dois casos como a mesma história ignora aquilo que torna este pior para quem paga as contas.

A Honey, segundo as alegações, redistribuía uma comissão que já existia. Um comprador chegava através de um afiliado, a venda gerava uma comissão, e a discussão era sobre qual publisher a arrecadava. Os comerciantes pagavam o mesmo total de qualquer maneira. Os publishers ficaram furiosos; a área financeira ficou indiferente.

Os forced clicks são diferentes por natureza. Se o rastreio dispara numa sessão em que nenhum afiliado tocou, a comissão não existia até o software a criar. Qualquer sessão de compras com a extensão ativa pode tornar-se uma transação de afiliado. O marketing de afiliação é normalmente uma fatia das vendas online de um comerciante; os forced clicks alcançam tudo aquilo que a extensão consegue ver. É por isso que o resumo de Edelman é direto: "os comerciantes são as vítimas dos forced clicks."

A escala, e o que está efetivamente em disputa

Um gráfico de receitas interno analisado pela Bloomberg mostra a receita diária média a cair de cerca de 80 000 dólares para entre 10 000 e 28 000 dólares depois de as funcionalidades terem sido desativadas no início de julho de 2026. Um cientista de dados da Phia estimou numa mensagem de Slack a 2026-07-07 que o cookie stuffing representava cerca de 51% do valor de mercadoria pelo qual a empresa reclamou crédito em junho de 2026, um número preliminar que a Phia contesta por assentar numa metodologia incorreta que exagerou o impacto. A Phia diz também que parte da queda de receita veio de ter desativado a maior parte da monetização ao mesmo tempo, e não apenas destas funcionalidades. A Adweek e a Bloomberg noticiaram uma estimativa de que a Phia poderá ter retirado mais de 10 milhões de dólares aos comerciantes.

A Impact.com, a rede de afiliados que distribui comissões aos publishers, suspendeu a Phia do seu marketplace depois da primeira reportagem da Bloomberg e tem estado a realocar comissões atribuídas à Phia mas ainda não pagas desde 2026-06-20. A Phia começou a devolver algumas comissões a retalhistas.

O que um comerciante consegue ver, e o que nenhum website consegue ver

Aqui está a parte incómoda, e vale a pena dizê-la sem rodeios, porque suavizá-la seria um discurso de vendas disfarçado.

Um website não consegue inspecionar, bloquear ou remover as extensões de navegador de um visitante. As extensões correm no próprio navegador do visitante, fora do controlo da página. Isso é uma propriedade do funcionamento dos navegadores, não uma lacuna no produto de alguém, e aplica-se à cside exatamente como se aplica a toda a gente. Dizemo-lo na nossa própria entrada de glossário sobre plugins e extensões de navegador.

Por isso, sejamos claros sobre o que não poderia ter sido apanhado. Um background tab que dispara um URL de afiliado não carrega nada na página do comerciante. Um cookie escrito por código de extensão não deixa qualquer script para a monitorização ao nível da página observar. Se as reportagens estiverem corretas, nenhuma ferramenta de monitorização de scripts no site do comerciante — incluindo a cside — teria visto esses dois mecanismos, e qualquer fornecedor que lhe diga o contrário esta semana está a tentar vender-lhe alguma coisa.

O que o comerciante tem, esse sim, é o resultado. Cada forced click deixa um rasto nos dados de primeira parte: uma marca temporal de clique, um hit de aterragem, uma troca de atribuição, uma encomenda. O mecanismo era invisível. O resíduo não é.

Quatro camadas tocaram em cada uma destas transações, e cada uma viu uma fatia diferente. Ninguém fora do fornecedor viu o conjunto, e essa é a razão estrutural pela qual isto durou sete meses e não sete dias.

Só a última destas quatro camadas lhe dá algo sobre o qual agir, e é a única que ninguém lhe vende, porque já é sua.

Seis testes para fazer aos seus próprios dados de afiliados

Nenhum destes precisa da cooperação do parceiro ou da rede. Os cinco primeiros correm sobre dados que já tem. O sexto é um teste que tem de conduzir você mesmo e exige mais preparação do que os restantes, por isso deixe-o para depois, quando os testes sobre dados lhe derem um motivo para olhar.

1. O comprador já estava no seu site?

Para cada encomenda creditada a um parceiro, compare a marca temporal do clique de afiliado com o primeiro evento no site dessa sessão. Conte as encomendas em que o comprador já estava ativo há mais de sessenta segundos antes de o clique aterrar, e em que já existia uma atribuição diferente.

Uma referência genuína inicia uma sessão. É isso que "referência" significa. Um clique que aterra a meio de uma sessão que o parceiro não iniciou é uma troca, não uma apresentação. Acima de 10-15% justifica uma conversa com a sua rede; uma maioria significa que o parceiro está a reclamar procura que não criou.

2. Quanto tempo passa entre o clique e a encomenda?

Por parceiro, trace a distribuição completa do tempo da encomenda menos o tempo do clique de afiliado. Reporte a mediana e a fatia abaixo de sessenta segundos.

Os percursos reais com cupões têm uma longa cauda à direita. As pessoas clicam, navegam, abandonam, voltam no dia seguinte. Um cookie escrito no checkout produz um clique com segundos de idade quando a encomenda é confirmada. Depois faça uma subverificação: para compradores com três ou mais cliques do mesmo parceiro, faça um histograma dos intervalos entre cliques. Um pico num intervalo fixo é um temporizador, não uma pessoa. O passive trigger descrito disparava de duas em duas horas.

3. Os cliques tornaram-se sessões?

Reconcilie o volume de cliques que a sua rede reporta com as sessões de aterragem que consegue efetivamente fazer corresponder. Depois, dentro das que correspondem, conte as sessões com uma única visualização de página, sem scroll, sem eventos de interação e sem sinal de primeiro plano.

Um disparo em background tab chega de facto à sua página de aterragem, porque é assim que o cookie é definido. O que nunca faz é tornar-se uma sessão que um humano estivesse a ver. O artefacto não é um hit em falta. É um hit que ninguém viu.

4. Os rácios fazem sentido?

Três números por parceiro: taxa de conversão atribuída a dividir pela taxa de conversão de todo o site; receita atribuída a dividir pelos utilizadores únicos expostos a esse parceiro; e mix de dispositivos comparado com o mix histórico do próprio parceiro.

Este é o sinal indicado por Edelman, tornado calculável. Nas suas palavras, "com forced clicks, tanto a taxa de cliques como a receita por utilizador serão implausivelmente altas". Os forced clicks convertem sessões que já iam converter, por isso o numerador cresce enquanto o número de compradores genuinamente referenciados não cresce. Vigie também a divisão por dispositivo. O comportamento descrito estava concentrado em mobile, e as funcionalidades de extensões são lançadas e alternadas por plataforma, por isso uma mudança de vinte pontos no mix de dispositivos dentro de um trimestre sem alteração de campanha é um artefacto de deployment, não uma mudança na forma como as pessoas compram.

5. A curva de receita sobe em rampa ou em degrau?

Corra uma mediana móvel e um detetor de changepoint sobre a receita atribuída de cada parceiro e sobre a sua quota das suas encomendas atribuídas. Anote a série com as suas próprias promoções e alterações de colocação.

O desempenho humano de um afiliado sobe em rampa. Uma feature flag sobe em degrau. Um interruptor ligado em dezembro e desligado a 2026-07-07, com a receita diária a passar de cerca de 80 000 dólares para 10 000-28 000 dólares, tem a forma de uma alteração de configuração, e essa forma é visível do lado do comerciante sem qualquer conhecimento interno. Preste especial atenção a um degrau de receita sem alteração correspondente no volume de cliques.

6. Teste a partir de perfis que se pareçam com os seus clientes

Faça os testes de compliance como uma matriz, não como uma passagem única: um perfil limpo, um perfil antigo com histórico de compras real, com e sem sessão iniciada, desktop e mobile, rede residencial e empresarial. Nunca teste a partir de um endereço de email ou domínio associado ao seu programa de afiliados.

Qualquer diferença de comportamento entre classes de perfil é, por si só, o achado. Não está à procura de uma violação. Está à procura de uma discrepância — e a secção seguinte explica porque é que essa é a coisa certa a procurar.

Estes testes produzem perguntas para a equipa de compliance da sua rede de afiliados. Não produzem conclusões sobre a intenção de nenhum parceiro, e não os deve apresentar como se produzissem.

Porque é que "instalámos e comportou-se bem" não é prova

As redes de afiliados exigem que as extensões façam stand-down: se outro afiliado esteve antes na clickstream, não dispares. As equipas de compliance verificam isto instalando a extensão e observando.

No processo em curso Wendover Productions v. PayPal, que sobreviveu a um pedido de arquivamento a 2026-06-22, os queixosos alegam que a Honey aplicava uma versão seletiva dessa regra. Segundo a versão deles, a extensão traçava o perfil dos testadores de compliance — verificando se o utilizador tinha sessão iniciada em sites de redes de afiliados, procurando cookies específicos, endereços de email que contivessem "test", a idade da conta e o saldo de cashback — e comportava-se corretamente para quem parecesse um auditor, ignorando o stand-down para os utilizadores que passavam os seus limiares de envolvimento. Ryan Hudson, cofundador da Honey, defendeu publicamente a extensão, e estas continuam a ser alegações.

Mas repare na forma da alegação, porque já a vimos antes. Quando a cside analisou um script de fraude publicitária com typosquatting em março passado, a extensão "Microsoft Clairty" verificava se as DevTools estavam abertas e saía em caso afirmativo, substituía os sete métodos da consola, autodestruía o seu iframe de cookie stuffing ao fim de vinte segundos e devolvia 403 a IPs de datacenter e a ferramentas de investigação de IA. Ator diferente, alvo diferente, lógica idêntica: ficar em silêncio para quem parece um auditor, disparar para todos os outros.

Uma distinção é essencial e não a devemos esbater. A cside detetou aquele script porque a extensão injetava um <script src> na página, o que a colocou à frente da telemetria ao nível da página. Os mecanismos descritos nas reportagens sobre a Phia não carregam nada na página do comerciante, por isso a mesma deteção não se aplicaria. O que se transfere não é a cobertura. É a metodologia: a razão pela qual a cside observa os payloads dos scripts em sessões reais de navegador em vez de os analisar num laboratório é a mesma razão pela qual um teste de extensão em sala limpa não lhe diz nada sobre o que corre para os seus clientes reais. A execução condicional derrota a auditoria sintética por conceção.

Foi também por isso que a Google reescreveu as regras da Chrome Web Store em março de 2025, depois do caso Honey. A política sobre anúncios de afiliados afirma agora claramente: "Não é permitido injetar links de afiliado sem uma ação relacionada do utilizador e sem proporcionar um benefício tangível aos utilizadores", e nomeia como violação "uma extensão que injeta continuamente links de afiliado em segundo plano sem uma ação relacionada do utilizador". A regra era explícita e pública antes de se abrir a janela descrita nas reportagens da Bloomberg.

Onde a monitorização de scripts se aplica

A camada das extensões está fora do seu controlo. A camada das tags não está, e falha da mesma maneira.

As tags de redes de afiliados, os widgets de cupões e os pixels de atribuição que carrega nas suas próprias páginas são scripts de terceiros. Atualizam-se sem lhe pedir autorização, e uma tag de parceiro que começa a escrever cookies que não escrevia no mês passado, ou a chamar um endpoint que não estava no payload do mês passado, é uma alteração que consegue ver. Já escrevemos sobre o que acontece quando um script de afiliado é comprometido e sobre como o sequestro de tráfego reescreve a atribuição a meio da sessão.

Esta é uma afirmação mais restrita do que o título, deliberadamente. A monitorização cobre as tags de afiliados e de cupões que carrega. O comportamento do lado da extensão fica fora dela, para a cside e para toda a gente.

O que fazer esta semana

1. Corra os testes 1 e 2 sobre os seus cinco maiores parceiros de afiliados por receita atribuída. São os mais baratos e os mais decisivos.
2. Extraia uma série de receita por parceiro de doze meses e procure degraus em vez de rampas.
3. Repita qualquer teste de compliance que tenha feito no último ano a partir de um perfil antigo em mobile, e compare-o com o resultado original.
4. Faça o inventário das tags de afiliados e de cupões que carrega no seu site, e verifique se alguma delas mudou de payload sem uma release do seu lado.
5. Leve o que encontrar à equipa de compliance da sua rede de afiliados. Encaminhe-o como uma pergunta sobre atribuição, não como uma acusação pública.

O cookie stuffing não é uma técnica nova, e o precedente é instrutivo em vez de preditivo. Edelman é o fio condutor: há quase duas décadas documentou conduta quase idêntica por parte dos dois maiores afiliados do eBay. Shawn Hogan recebeu 28 milhões de dólares em comissões e foi condenado a cinco meses de prisão, uma multa de 25 000 dólares e três anos de liberdade vigiada; Brian Dunning recebeu 5,2 milhões de dólares e foi condenado a quinze meses. Ambos se declararam culpados de fraude eletrónica. Foi uma empresa diferente, uma década diferente e uma acusação criminal que a Phia não recebeu.

O que mudou desde então é o sítio onde o código corre. Em 2010, o stuffing acontecia numa página web que um investigador conseguia carregar. Hoje acontece dentro de uma extensão, em mobile, no checkout, para um subconjunto de utilizadores escolhido por uma flag remota. O resíduo continua a aterrar nos seus dados. Só tem de ir à procura dele.

Leitura relacionada

• "Microsoft Clairty" não é o Microsoft Clarity: a desofuscar um script de fraude em anúncios com typosquatting
• Sequestro de afiliados e sequestro de tráfego: como scripts de fraude redirecionam utilizadores
• Como scripts de afiliados comprometidos roubam receita de casinos online
• Como as extensões web podem prejudicar o seu site
• Segurança do lado do cliente: monitorize cada script