Os jogadores do Call of Duty Mobile devem ter cuidado com uma campanha de phishing disfarçada de oferta gratuita de Call of Duty Points.
Pede-se às vítimas que iniciem sessão com o seu endereço de e-mail e palavra-passe para reclamarem pontos Call of Duty (CP) gratuitos, a moeda premium do jogo. Em seguida, são redirecionadas para uma segunda página onde lhes é solicitado o código de autenticação de dois fatores (2FA).
O site não tem qualquer ligação com a Activision. O seu único objetivo é roubar os dados de acesso necessários para assumir o controlo das contas.
Por que vale a pena roubar contas do Call of Duty Mobile
Estima-se que o Call of Duty Mobile tenha sido descarregado 489 milhões de vezes em todo o mundo e tenha gerado cerca de 1,8 mil milhões de dólares em compras na aplicação ao longo da sua vida útil.
Uma conta da Activision pode ser valiosa por mais do que apenas a moeda do jogo que contém. Muitos jogadores associam a sua conta da Activision à Xbox, à PlayStation ou à Battle.net, o que significa que um roubo das credenciais de acesso pode expor:
- Formas de pagamento guardadas
- Histórico de compras
- Outras contas de jogos associadas
Como funciona o esquema
A primeira página imita o site oficial do Call of Duty Mobile e oferece 10 800 pontos gratuitos em troca de um endereço de e-mail e de uma palavra-passe — não se trata de um código de resgate, mas sim de um login completo na conta. Afirma ainda que a recompensa será «confirmada» no prazo de quatro a oito horas, ganhando tempo até que alguém repare que nada chegou.
No entanto, há sinais de alerta. A página diz «OBTER PONTO GRÁTIS» em vez de «OBTER PONTOS GRÁTIS», contém instruções redigidas de forma estranha e inclui um widget de chat em tempo real que parece existir apenas para dar ao site um ar mais legítimo.
O redirecionamento segue uma técnica comum de phishing conhecida como «retransmissão de credenciais em tempo real». Em vez de armazenar nomes de utilizador e palavras-passe roubados para utilização posterior, o site de phishing envia-os imediatamente para a página de início de sessão verdadeira da Activision. Isso pode gerar um código genuíno de autenticação de dois fatores (2FA), que a segunda página foi concebida para capturar antes que expire.
A vítima acaba por fornecer tudo o que é necessário para aceder à sua conta real: a sua palavra-passe e o código único que deveria impedir o acesso de atacantes.
Como evitar este esquema
- Verifique a barra de endereços. As promoções legítimas não pedem que inicie sessão através de um site desconhecido.
- Não deixes que os temporizadores de contagem decrescente te apressem. Foram concebidos para te levar a agir antes de pensar.
- Se não tiver a certeza se uma promoção é verdadeira, abra a aplicação oficial do Call of Duty Mobile ou visite diretamente o site da Activision, em vez de clicar num link.
- Utilize ferramentas que detetam fraudes por si. Malwarebytes Guard pode ajudá-lo a verificar links suspeitos, enquanto Malwarebytes Browser Guard bloqueia muitos sites de phishing antes mesmo de estes serem carregados.
- Se jogares no teu telemóvel, Malwarebytes Mobile Security acrescenta mais uma camada de proteção, ajudando a bloquear sites de phishing e outras ameaças móveis.
Se já introduziu os seus dados
- Altere imediatamente a sua palavra-passe da Activision.
- Se introduziu um código de autenticação de duas etapas (2FA), considere a possibilidade de alguém ter acedido à sua conta. Verifique o histórico de atividades da sua conta e termine a sessão em todos os dispositivos.
- Verifique se existem compras não autorizadas efetuadas através de algum dos métodos de pagamento associados.
A forma mais simples de evitar ataques de phishing como este é aceder aos sites por conta própria, digitando o endereço no navegador ou utilizando a aplicação oficial, em vez de clicar em links contidos em mensagens, publicações nas redes sociais ou anúncios.
Os burlões sabem mais sobre si do que pensa.
Mobile Security Malwarebytes Mobile Security contra phishing, mensagens fraudulentas, sites maliciosos e muito mais. Com o Scam Guard integrado, alimentado por IA e em tempo real.
