Em um comunicado de utilidade pública, o FBI (Federal Bureau of Investigation) e a CISA (Agência de Segurança Cibernética e de Infraestrutura) alertam a população sobre campanhas de phishing em andamento ligadas à Rússia, que visam obter acesso a contas de mensagens.
No início deste mês, escrevemos sobre uma campanha de phishing em grande escala destinada a invadir contas do Signal e do WhatsApp pertencentes a altos funcionários, militares, servidores públicos e jornalistas.
Agora, o FBI e a CISA se uniram aos serviços de inteligência europeus para alertar que as mesmas táticas estão sendo utilizadas em uma campanha mais ampla que tem como alvo esses aplicativos de mensagens comerciais. O objetivo não é quebrar a criptografia de ponta a ponta, mas contorná-la diretamente, obtendo acesso às contas individuais.
Em nosso artigo anterior, abordamos os alertas dos serviços de inteligência holandeses AIVD e MIVD, que descreveram como agentes apoiados pelo Estado russo abordavam alvos de alto valor por meio do Signal e do WhatsApp, fingindo ser o “Suporte do Signal”, o “Bot de Segurança do Signal” ou algo semelhante. O PSA demonstra como esses mesmos grupos estão agora realizando campanhas globais de phishing contra contas de aplicativos de mensagens, com evidências que sugerem milhares de contas comprometidas em todo o mundo.
É importante reiterar que os invasores não conseguiram quebrar a criptografia de ponta a ponta dos aplicativos. Em vez disso, eles estão recorrendo à engenharia social para fazer com que um dispositivo seja adicionado, a fim de poderem espionar as contas.
Os alvos atuais incluem funcionários atuais e ex-funcionários do governo dos EUA, militares, figuras políticas e jornalistas, mas nada impede que as mesmas técnicas sejam utilizadas contra empresas e usuários comuns.
Portanto, embora seja tentador descartar isso como um problema exclusivo de diplomatas e generais (e as agências que emitem esses alertas realmente mencionam alvos de alto perfil em primeiro lugar), essas técnicas se espalham com muita facilidade. Uma vez que manuais como esses se tornam públicos, eles tendem a ser copiados por cibercriminosos em busca de novas maneiras de roubar dinheiro ou contas.
Como proteger suas contas
Como diz o anúncio de utilidade pública:
“O phishing continua sendo um dos meios mais simples, mas eficazes, de violação cibernética, muitas vezes tornando outras medidas de proteção irrelevantes”
Esta solicitação requer medidas básicas de segurança:
- Considere como suspeitas, por padrão, as mensagens não solicitadas enviadas pelo “Suporte” dentro dos aplicativos. O suporte legítimo de aplicativos como o Signal e o WhatsApp não solicita, em uma mensagem de chat, que você reenvie códigos de verificação, PINs ou senhas. Se você receber um aviso sobre problemas na conta, não acesse os links contidos na mensagem. Abra diretamente as configurações do aplicativo ou acesse o site oficial por outros meios.
- Nunca compartilhe códigos de verificação por SMS nem PINs de aplicativos. Os códigos por SMS servem para comprovar que você é o proprietário de um número de telefone. Qualquer pessoa que tenha o código pode se passar por você. Os PINs ou senhas específicos de aplicativos servem para proteger as alterações na conta. Divulgá-los é como entregar as chaves da sua conta. Considere qualquer pessoa que os solicite como um golpista.
- Tenha cuidado com o que você discute e com quem. Tanto os alertas holandeses quanto os americanos nos lembram que, mesmo com criptografia de ponta a ponta, algumas conversas são sensíveis demais para aplicativos de bate-papo comerciais.
- Use os recursos de segurança adicionais que esses aplicativos oferecem. Ative opções como bloqueio de cadastro, PIN de cadastro e alertas de troca de dispositivo, para que sua conta não possa ser recadastrada secretamente sem uma senha adicional. Guarde seu PIN em um gerenciador de senhas, em vez de escolher algo fácil de adivinhar ou reutilizar um código comum, para reduzir o risco de engenharia social ouespionagem por cima do ombro.
- Outro recurso útil são as mensagens que desaparecem. As mensagens com duração limitada e as que desaparecem reduzem a quantidade de conteúdo disponível caso um invasor acesse uma conversa posteriormente ou se alguém obtenha acesso prolongado a um dispositivo ou backup. Elas não são uma solução completa, mas podem limitar os danos.
O que fazer se você suspeitar que sua conta foi invadida
Se você suspeitar que um invasor assumiu o controle da sua conta de mensagens:
- Tente registrar novamente o seu número no aplicativo imediatamente para desconectar outros dispositivos.
- Revogue todos os dispositivos vinculados e altere quaisquer PINs ou códigos de bloqueio específicos de aplicativos.
- Avisem seus contatos de que alguém pode ter se passado por vocês e peçam que tomem cuidado com as mensagens recentes.
- Analise as conversas recentes em busca de indícios de roubo de dados (por exemplo, identidades, documentos ou senhas compartilhadas que agora devem ser consideradas expostas).
- Denuncie o incidente ao provedor do aplicativo e, quando for o caso, a centros nacionais de denúncias, como o Centro de Denúncias de Crimes na Internet (IC3) do FBI, no site ic3.gov, ou à autoridade competente em seu país.
Quanto mais cedo você agir, menor será o tempo em que os invasores poderão explorar sua conta.
Não nos limitamos a informar sobre segurança telefônica - nós a fornecemos
Os riscos de segurança cibernética nunca devem se espalhar além de uma manchete. Mantenha as ameaças longe de seus dispositivos móveis fazendo o download Malwarebytes para iOS e Malwarebytes para Android hoje mesmo.
