Uma nova campanha de phishing tem como alvo os utilizadores do Signal, tentando roubar as suas chaves de recuperação de cópias de segurança para aceder aos arquivos de mensagens encriptadas.
O ataque é iniciado por uma mensagem de texto que finge ter sido enviada pelo Apoio ao Cliente do Signal.
“Ação necessária: é necessária uma recuperação de dados
Os dados da sua conta do Signal (mensagens e ficheiros multimédia) correm o risco de perda definitiva devido a um problema de sincronização.
Para evitar a perda das suas mensagens e ficheiros multimédia:
1. Aceda a Definições -> Cópias de segurança -> Configurar -> Ativar cópias de segurança -> Ver chave de recuperação.
2. Copie a chave de recuperação para a área de transferência.
3. Cole a chave neste chat.
Isto associa o seu backup existente à sua conta. Se não o fizer, poderá perder o acesso à sua conta e a todos os dados armazenados.”
Há alguns sinais de alerta nesta mensagem:
- A indicação «Nome não verificado» abaixo do remetente
- Ameaças constantes de perder todos os seus dados
- Colocar a chave no chat. O Apoio ao Cliente do Signal nunca lhe pediria a sua chave de recuperação
É uma fraude ou é legítimo? O Scam Guard sabe.
O ataque aproveita-se da funcionalidade «Backups Seguros» do Signal, que permite aos utilizadores armazenar arquivos encriptados das suas conversas nos servidores do Signal. Estes backups estão protegidos por uma chave de recuperação de 64 caracteres.
Essa chave nunca deve sair do dispositivo do utilizador e nunca é partilhada com os servidores do Signal. Se hackers essa chave e assumirem o controlo da conta da vítima, poderão descarregar e descodificar todo o histórico de mensagens.
Para um invasor, isso é ainda melhor do que invadir uma conta, o que apenas lhe daria acesso às mensagens futuras.
Por enquanto, os ataques parecem ser direcionados. Temos visto relatos de jornalistas, notícias de ataques a ativistas chineses e alertas de um investigador que estuda ciberataques contra jornalistas, dissidentes e ativistas dos direitos humanos. Mas agora que outros cibercriminosos estão cientes desta oportunidade, a tática poderá alastrar-se rapidamente.
Como se manter seguro
A Signal afirma explicitamente que nunca entrará em contacto com os utilizadores por iniciativa própria e que nunca solicitará códigos de registo, PINs ou chaves de recuperação.
- Considere, por defeito, como suspeitas as mensagens não solicitadas enviadas pelo «Suporte».O suporte legítimode aplicações como o Signal e o WhatsApp não lhe pede, numa mensagem de chat, que reenvie códigos de verificação, PINs ou palavras-passe. Se receber um aviso sobre problemas com a conta, não clique nos links da mensagem. Abra diretamente as definições da aplicação ou aceda ao site oficial por outros meios.
- Nunca partilhe códigos secretos, chaves de autenticação multifator ou PINs de aplicações.Os códigos SMSservem para comprovar que é o proprietário de um número de telefone. Qualquer pessoa que tenha o código pode fazer-se passar por si. Os PINs ou códigos de acesso específicos de aplicações servem para proteger as alterações na conta. Considere que qualquer pessoa que lhes peça é um burlão.
- Utilize as funcionalidades de segurança adicionais que estas aplicações oferecem. Ativeopções como o bloqueio de registo, o PIN de registo e os alertas de mudança de dispositivo, para que a sua conta não possa ser registada novamente sem o seu conhecimento, sem um código secreto adicional. Guarde o seu PIN num gestor de palavras-passe, em vez de escolher algo fácil de adivinhar ou reutilizar um código. Isto reduz o risco de engenharia social oude alguém espreitar por cima do seu ombro.
- Outra funcionalidade útil são as mensagens temporárias. Asmensagens temporáriase as que desaparecem reduzem a quantidade de conteúdo disponível caso um invasor aceda a uma conversa posteriormente ou obtenha acesso prolongado a um dispositivo ou a uma cópia de segurança. Não constituem uma solução completa, mas podem limitar os danos.
- Utilize Malwarebytes Guard no seu dispositivo ou online para verificar as mensagens. Malwarebytes Guard identificou esta mensagem como uma tentativa de phishing e forneceu mais informações sobre como proceder.
Os burlões sabem mais sobre si do que pensa.
Mobile Security Malwarebytes Mobile Security contra phishing, mensagens fraudulentas, sites maliciosos e muito mais. Com o Scam Guard integrado, alimentado por IA e em tempo real.
