Num anúncio de utilidade pública (PSA), o FBI (Federal Bureau of Investigation) e a CISA (Cybersecurity and Infrastructure Security Agency) alertam o público para as campanhas de phishing em curso ligadas à Rússia, que visam obter acesso a contas de mensagens.
No início deste mês, escrevemos sobre uma campanha de phishing em grande escala destinada a sequestrar contas do Signal e do WhatsApp pertencentes a altos funcionários, militares, funcionários públicos e jornalistas.
Agora, o FBI e a CISA juntaram-se aos serviços de inteligência europeus para alertar que as mesmas táticas estão a ser utilizadas numa campanha mais ampla que tem como alvo estas aplicações de mensagens comerciais. O objetivo não é quebrar a encriptação de ponta a ponta, mas contorná-la diretamente, roubando o acesso a contas individuais.
No nosso artigo anterior, focámo-nos nos alertas dos serviços de informações holandeses AIVD e MIVD, que descreveram como agentes apoiados pelo Estado russo abordavam alvos de alto valor através do Signal e do WhatsApp, fazendo-se passar por «Signal Support», «Signal Security Bot» ou nomes semelhantes. O PSA demonstra como esses mesmos grupos estão agora a realizar campanhas globais de phishing contra contas de aplicações de mensagens, com indícios que sugerem a existência de milhares de contas comprometidas em todo o mundo.
É importante reiterar que os atacantes não conseguiram quebrar a encriptação de ponta a ponta das aplicações. Em vez disso, recorrem à engenharia social para conseguir que um dispositivo seja adicionado, de modo a poderem espiar as contas.
Os alvos atuais incluem funcionários atuais e antigos do governo dos EUA, militares, figuras políticas e jornalistas, mas nada impede que as mesmas técnicas sejam utilizadas contra empresas e utilizadores comuns.
Assim, embora seja tentador considerar isto apenas um problema para diplomatas e generais (e as agências que emitem estes alertas mencionam, de facto, alvos de alto perfil em primeiro lugar), estas técnicas são facilmente replicáveis. Quando manuais como estes se tornam públicos, tendem a ser copiados por cibercriminosos que procuram novas formas de roubar dinheiro ou contas.
Como proteger as suas contas
Como diz o anúncio de serviço público:
«O phishing continua a ser um dos meios mais simples, mas eficazes, de comprometer a segurança cibernética, tornando frequentemente outras medidas de proteção irrelevantes»
Esta chamada requer medidas de segurança básicas:
- Considere, por defeito, como suspeitas as mensagens não solicitadas enviadas pelo «Suporte» dentro das aplicações. O suporte legítimo de aplicações como o Signal e o WhatsApp não lhe pede, numa mensagem de chat, que reenvie códigos de verificação, PINs ou palavras-passe. Se receber um aviso sobre problemas com a conta, não siga os links contidos na mensagem. Abra diretamente as definições da aplicação ou aceda ao site oficial por outros meios.
- Nunca partilhe códigos de verificação por SMS nem PINs de aplicações. Os códigos por SMS servem para comprovar que é o proprietário de um número de telefone. Qualquer pessoa que tenha o código pode fazer-se passar por si. Os PINs ou códigos de acesso específicos de aplicações servem para proteger as alterações na conta. Revelá-los é como entregar as chaves da sua conta. Considere qualquer pessoa que lhes peça como um burlão.
- Tenha cuidado com o que discute e com quem. Tanto os avisos holandeses como os norte-americanos recordam-nos que, mesmo com encriptação de ponta a ponta, algumas conversas são demasiado sensíveis para serem mantidas em aplicações de chat comerciais.
- Utilize as funcionalidades de segurança adicionais que estas aplicações oferecem. Ative opções como o bloqueio de registo, o PIN de registo e os alertas de mudança de dispositivo, para que a sua conta não possa ser registada novamente sem o seu conhecimento, sem um código secreto adicional. Guarde o seu PIN num gestor de palavras-passe, em vez de escolher algo fácil de adivinhar ou reutilizar um código comum, para reduzir o risco de engenharia social oude alguém espreitar por cima do seu ombro.
- Outra funcionalidade útil são as mensagens temporárias. As mensagens temporárias e as que desaparecem reduzem a quantidade de conteúdo disponível caso um invasor aceda a uma conversa posteriormente, ou se alguém obtiver acesso prolongado a um dispositivo ou a uma cópia de segurança. Não constituem uma solução completa, mas podem limitar os danos.
O que fazer se achar que a sua conta foi invadida
Se suspeitar que um invasor se apropriou da sua conta de mensagens:
- Tenta registar novamente o teu número na aplicação imediatamente para remover outros dispositivos.
- Revogue todos os dispositivos associados e altere quaisquer PINs ou códigos de bloqueio específicos de cada aplicação.
- Avise os seus contactos de que alguém pode ter-se feito passar por si e peça-lhes que tenham cuidado com as mensagens recentes.
- Analise as conversas recentes para detectar sinais de roubo de dados (por exemplo, identificações, documentos ou palavras-passe partilhadas que agora devem ser consideradas expostas).
- Comunique o incidente ao fornecedor da aplicação e, se for caso disso, aos centros nacionais de denúncia, tais como o Centro de Denúncias de Crimes na Internet (IC3) do FBI, em ic3.gov, ou à autoridade competente no seu país.
Quanto mais cedo agir, menor será o intervalo de tempo durante o qual os atacantes poderão explorar a sua conta.
Não nos limitamos a informar sobre a segurança dos telemóveis - fornecemo-la
Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos móveis descarregando hoje mesmo Malwarebytes para iOS e Malwarebytes para Android.
