Se você já se perguntou por que os criminosos virtuais estão interessados em suas senhas de IM…
…bem, não é só para que eles possam entrar na sua conta e bisbilhotar seus dados pessoais com o objetivo de abusar deles ou vendê-los para outra pessoa que o faça.
Acesso à sua conta também dá aos vigaristas um nível de acesso confiável aos seus amigos e família que torna os golpes de todos os tipos muito mais fáceis de serem cometidos.
Se estiver lançando um plano de investimento falso, atraindo alguém para uma página de login falsa, persuadindo-o a enviar um formulário de inscrição para um emprego inexistente, ou simplesmente fazendo-o desperdiçar seu dinheiro em tatuagens inúteis, superfaturadas e mal feitas…
…bem, é muito mais provável que um burlão consiga convencê-lo a clicar num link usando uma mensagem que na verdade veio da conta de um amigo do que se eles simplesmente o contactassem do nada.
Indeed, muitos usuários deliberadamente limitam seus “círculos de contato” nas redes sociais e serviços de mensagens instantâneas não apenas por razões de privacidade, mas também para reduzir o tipo de mensagens não solicitadas, spams e golpes que eles suportam via e-mail.
Uma ameaça para aqueles ao seu redor
Um golpista com as suas mensagens instantâneas ou senhas de redes sociais não é apenas uma ameaça para você, mas também para aqueles ao seu redor, como um dos nossos leitores descobriu esta noite quando recebeu uma nota de um amigo via Facebook Messenger que dizia:
É você no vídeo
De alguém que você não conhecia, uma pergunta como essa cairia em algum lugar entre bizarro e assustador, mas de um amigo, que não gostaria de dar uma olhada?
Não há vídeo, claro – os links de imagem preta para um serviço de encurtamento de URL, que por sua vez redireciona para uma URL que aparece o que parece ser uma página de login no Facebook:
A URL (redaccionada acima) claramente não tem nada a ver com o Facebook – é um nome de servidor gerado aleatoriamente numa plataforma de alojamento web húngara de boutique – e, como podes ver no ícone do cadeado cruzado na barra de endereços, o site usa HTTP e não HTTPS.
Facebook foi um dos primeiros a adotar o HTTPS para tudo, desistindo completamente do HTTP em 2012, então qualquer página que afirma representar o Facebook mas não tem HTTPS é uma falsificação não reconstruída.
Felizmente, colocando o seu nome de usuário e senha na página de login falsa acima, os enviaria para um servidor rodando em um serviço de hospedagem web de baixo custo nos EUA, usando um nome de domínio vagamente legítimo que foi registrado há menos de um mês.
O nosso leitor assumiu imediatamente que o seu amigo tinha recebido recentemente uma mensagem semelhante (talvez até idêntica), e não só clicou como tentou fazer o login, entregando a sua palavra-passe aos vigaristas e garantindo assim que todos os seus contactos em breve seriam, por sua vez, alvo de spam.
Após a falsa página de login
Este esquema vai ainda mais longe – quer como distracção para ganhar um pouco de tempo antes que as vítimas se apercebam que foram enganadas e se apressem a mudar as suas palavras-passe de Messenger, quer simplesmente para dar uma segunda dentada aos vigaristas, não sabemos.
Depois de digitar sua senha, há um pequeno atraso, como você pode esperar quando você entra em qualquer serviço online, depois do qual os bandidos parecem escolher entre uma série de outros golpes e redirecioná-lo para um deles aleatoriamente.
Estes não pareciam estar sendo administrados pelos mesmos criminosos, então estamos assumindo que os bandidos que espalham mensagens estavam simplesmente esperando cobrar “taxas de afiliação” de outros criminosos na clandestinidade.
Estes esquemas de “segundo redireccionamento” variavam desde ofertas de VPNs espectaculares a uma série de ofertas telefónicas “grátis” onde tudo o que precisava de fazer era pagar uma taxa de entrega modesta (£1.95 nas variantes que vimos aqui), dando assim aos vigaristas uma desculpa credível para recolher os detalhes do seu cartão de crédito.
O que fazer?
- Use 2FA em qualquer conta que puder. Adicionar um segundo factor de autenticação significa que os vigaristas não podem roubar a sua palavra-passe sozinhos e depois aceder à sua conta. 2FA é um pequeno inconveniente para si, mas um grande bloqueio para cibercriminosos.
- Se pensa que a conta do seu amigo foi pirateada, contacte-os através de algum outro método. Não responda através da mesma conta que você não confia – se for um esquema, você está apenas avisando os bandidos, que irão mentir para você e lhe dizer que está tudo bem.
- Se um amigo lhe diz que sua conta foi hackeada, não demore. Entre em sua conta assim que puder (sem clicar em nenhum link que alguém acabou de lhe enviar!), assumindo que você ainda possa acessá-la, e mude sua senha imediatamente para que a senha antiga seja inútil para os criminosos.
- Use um gerenciador de senha. Os gerenciadores de senhas ajudam de várias maneiras: você obtém automaticamente uma senha diferente para cada site; você obtém senhas que são aleatórias e não podem ser adivinhadas; é mais rápido mudar sua senha se você for hackeado; e é muito mais difícil de ser pego porque seu gerenciador de senhas não colocará a senha certa no site errado.
- Use um anti-vírus com um filtro web embutido. Ataques deste tipo geralmente não dependem do envio de malware para o seu computador, mas sim de enganá-lo no envio de dados secretos como senhas do seu computador. Um filtro web ajuda a impedir que você pouse em páginas falsas em primeiro lugar e, portanto, o protege contra phishing. (Sophos Home tem um filtro web – existe uma versão gratuita para Windows e Mac.)
