OpenRouter para quem conecta cartão: conta invadida

Minha conta no OpenRouter foi invadida e o invasor criou uma chave de API nova, sem minha autorização. O padrão de uso era completamente atípico, e ainda assim as cobranças no cartão seguiram normalmente. Em cerca de trinta minutos foram dez lançamentos no meu cartão de crédito, sem bloqueio, sem confirmação extra e sem nenhum alerta de segurança que impedisse o abuso. Considero o OpenRouter, por isso, uma plataforma insegura para quem mantém um meio de pagamento conectado à conta.

Chave de API criada por invasor sem nenhuma confirmação

O ponto que mais me incomoda não é apenas o acesso indevido, é a facilidade com que a chave de API foi criada. Quem entrou na minha conta emitiu uma credencial nova e passou a usar os modelos como se fosse o dono dela. Não houve confirmação por e-mail, não houve verificação adicional, não houve nenhum passo que atrasasse o ataque o suficiente para eu perceber o que estava acontecendo.

Uma chave de API é o que libera o consumo faturável dentro da plataforma. Quando alguém consegue criá-la a partir de uma sessão já aberta, todo o resto do controle de segurança perde o sentido, porque o dano deixa de depender de descobrir uma senha e passa a depender só de gerar a credencial e começar a consumir. Foi exatamente o que ocorreu comigo, sem nenhum atrito.

O que eu esperava de uma plataforma que guarda um meio de pagamento conectado era justamente o contrário: trava na criação de chaves novas a partir de um dispositivo ou de um local incomum, e um aviso claro para o dono da conta. Não recebi nada disso. A criação passou direto, o consumo passou direto e eu só fui entender depois.

Dez cobranças no cartão em cerca de trinta minutos

O consumo foi rápido e repetido. Em cerca de trinta minutos, dez cobranças separadas foram lançadas no meu cartão de crédito. Um padrão desse tipo, várias cobranças em sequência numa conta que nunca teve esse comportamento, deveria ser o exemplo clássico de anomalia que qualquer camada de antifraude identifica antes de continuar liberando transações.

Nada foi bloqueado. Nenhuma das cobranças pediu confirmação, nenhuma etapa exigiu validação adicional e eu não recebi um alerta de segurança útil enquanto o gasto acontecia. Descobri o problema pelo extrato do cartão, não por um aviso da plataforma. Também não existiu limite temporário nem trava automática no momento em que o padrão ficou estranho.

Como o cartão está conectado à conta, o prejuízo não fica restrito ao saldo de créditos, ele vai direto para o meio de pagamento. Para mim essa é a combinação mais perigosa que existe nesse tipo de serviço: credencial criada sem barreira de um lado e cobrança recorrente sem freio do outro. A atividade era completamente fora do meu perfil e mesmo assim seguiu até o fim.

Cinco contatos com o suporte e nenhuma resposta

Depois do estrago, tentei resolver pelo caminho normal. Entrei em contato com o atendimento cinco vezes e não recebi resposta em nenhuma delas. Não houve retorno útil, não houve prazo informado, não houve ninguém do outro lado explicando o que seria feito com as cobranças ou com a chave criada pelo invasor.

Para uma plataforma que lida com dinheiro e com credenciais de acesso, o silêncio do suporte é o agravante que fecha a experiência. De que serve ter canal de atendimento se, no momento em que o problema é grave, ninguém responde? O prejuízo continua correndo e a sensação é de estar totalmente sozinho, sem conseguir nem contestar o que aconteceu.

Minha conclusão prática é que o OpenRouter não é seguro para uso com forma de pagamento conectada. As travas de segurança não seguraram o abuso e o suporte não apareceu quando eu mais precisei. Se você usa a plataforma no dia a dia e mantém cartão cadastrado, esse risco precisa entrar na conta antes de continuar recarregando saldo.

Depois de passar por uma invasão de conta, ver dez cobranças em cerca de trinta minutos e não ter retorno em cinco contatos com o atendimento, não consigo recomendar o OpenRouter para ninguém que mantenha um cartão vinculado. A plataforma pode até entregar acesso aos modelos, mas o que ficou para mim foi a ausência de controle quando o uso fugiu completamente do normal e a falta total de suporte no momento crítico.