Um levantamento feito pela Kaspersky mostra um crescimento de 124% do phishing em dispositivos móveis no mês de março em relação a fevereiro, quando o primeiro caso de Covid-19 foi registrado no Brasil. Segundo o analista sênior de segurança da Kaspersky, Fabio Assolini, a popularidade do WhatsApp torna a plataforma alvo para a disseminação das fraudes.
“O golpe é funcional porque chama sua atenção a um tema que está todo mundo falando. Ele te promete algo grátis, atrativo, mas para você ganhar esse algo precisa compartilhar com seus amigos, ‘dez contatos’ ou ‘três grupos, etc”, explica. Como o Whatsapp não bloqueia o envio manual de mensagens, ele se torna orgânico e chega rapidamente a muitas pessoas. “São 110 milhões de brasileiros usando este programa”, lembra Fabio.
O que é o phishing?
O phishing, termo ainda sem tradução para o português, deriva do inglês fishing, ou seja, “pescaria”. Para aplicar o ataque, o fraudador lança uma “isca” persuasiva a fim de atrair a vítima e “pescar” suas informações pessoais ou financeiras. Durante anos, o Brasil foi o país que mais disseminou ataques de phishing no mundo, segundo ranking da Kaspersky. “Por ter uma falta de educação digital, o brasileiro cai muito fácil. Essa capacidade para detectar o ataque está muito relacionada com a vivência do usuário no mundo virtual”, comenta Fabio.
O phishing também é um tipo de desinformação, cujos danos são ainda mais perceptíveis. Durante a pandemia, um dos golpes com maior repercussão envolveu a rede de streaming Netflix. Uma mensagem que circulou no WhatsApp afirmava que a plataforma teria liberado o acesso gratuito em função do isolamento social. Em março, o Dfndr registrou mais de um milhão de acessos ao link fraudulento.
Olha só @NetflixBrasil, o povo usando a tragédia para se aproveitar dos pobres inocentes.
— Clá (@clarissampaz) March 19, 2020
A Netflix decidiu liberar o acesso a sua plataforma de filmes e séries pelo período de isolamento das pessoas, mas é por pouco tempo o cadastramento! Corre no site https://t.co/SJm9ireY8e
A mensagem, além de utilizar um link que não pertencia ao domínio da netflix - cujo endereço oficial é www.netflix.com - também explorava um sentimento de urgência no usuário. Ela afirmava que a promoção duraria pouco tempo e solicitava uma ação (clicar no link e se cadastrar), receita comum aos ataques de roubo de dados.
Segundo a Kaspesky, a campanha falsa explorou uma vulnerabilidade técnica na visualização de links do WhatsApp. “Quando você coloca um link no WhatsApp ele resgata uma preview. Na parte superior, mostra a imagem do site, uma pequena descrição e reproduz até a URL. Os fraudadores descobriram que era possível ‘burlar’ o WhatsApp, colocando um link, mas fazendo a plataforma puxar uma visualização de outro link. Isso ajudou a enganar mais gente”, explica Fabio.
Alguns fraudadores utilizam técnicas ainda mais refinadas de falsificação que consistem em trocar uma letra do domínio de um site por letras similares de outros alfabetos. Isso é possível devido ao padrão de interpretação computacional Unicode, que permite aos computadores utilizar e manipular textos de diversos sistemas de escritas existentes. Mudanças assim são ainda menos sensíveis a olho nu e podem enganar até os usuários mais experientes.
A desinformação presente no phishing
Se passar por uma empresa, órgão público ou pessoa é uma desinformação caracterizada como “conteúdo impostor” pelo Essential Guide to Understanding Information Disorder, publicado no final de 2019 pelo First Draft.
O guia traz exemplos de jornais mundialmente conhecidos e jornalistas que tiveram suas contas pessoais copiadas. Em algumas situações notícias publicadas pelos jornais foram adulteradas: os sites copiaram o design do portal, as manchetes e mudaram informações do texto. Em outros, vídeos e prints circularam no Twitter e no WhatsApp no nome de jornais e seus colaboradores.
There are 2 fake tweets circulating today attributed to me. They are doctored versions of tweets I sent while trying to tell the stories of victims and survivors -- important stories that need to be heard. I did not ask if the shooter was white nor ask for photos of dead bodies.
— Alex Harris (@harrisalexc) February 15, 2018
“Existem dois tweets falsos circulando hoje atribuídos a mim. São versões adulteradas de tweets que enviei enquanto tentava contar histórias de vítimas e sobreviventes - histórias importantes que precisam ser ouvidas. Não perguntei se o atirador era branco nem pedi fotos de cadáveres”, dizia o tweet da jornalista do periódico Miami Herald, Alex Harris, que desmentia as cópias atribuídas a sua pessoa.
Segundo o guia, nosso cérebro tende a ignorar informações pequenas para chegar ao entendimento de algo. Esse processo é denominado heurística. Por conta dele e de outros processos cognitivos, pessoas de qualquer idade podem ser vítimas da desinformação.
>> Estudos mostram por que caímos em notícias falsas
Quando a cópia é atribuída a uma pessoa específica, frequentemente o foco é atingir os contatos próximos e aplicar o golpe de phishing. Em maio, a dentista Eugênia Meira recebeu alertas de amigos preocupados com mensagens suas pedindo ajuda financeira. O número que enviava as solicitações, no entanto, não era da conta de Eugênia. “Ele usou minha foto do perfil do WhatsApp e começou a abordar amigos meus, mandou mensagem até para gente que não estava nem na minha agenda do telefone. Desconfio que tenha ido buscar no Instagram”, relata; “Meu marido entrou em contato pedindo para ele parar, mas ele foi bem grosseiro, disse que até pegaria empréstimo no meu nome. Aí eu fiz o boletim de ocorrência e me juntei com outros dentistas.”
Na mesma semana em que sofreu o golpe, conta Eugênia, mais de dez colegas seus também foram alvos do ataque. “Até hoje não sei como eles conseguiam o número”, comenta a dentista.
A lucratividade dos golpes virtuais na pandemia
Segundo Fabio Assolini, a estabilização dos casos de phishing a partir de março, estaria relacionada às ofertas de benefícios sociais pelo Governo Federal. “O cadastro destes benefícios usam as plataformas de mobile banking do Governo. O fraudador percebeu que teria mais lucratividade se passasse para essa área. É uma fraude diferente, não envolve phishing. Envolve ter os dados pessoais das vítimas, cadastrá-las no auxílio emergencial e receber o benefício em nome delas.”
No último mês, o presidente da Caixa Econômica Federal, Pedro Guimarães, anunciou o retorno de mais de R$75 milhões aos cofres públicos e o bloqueio de milhares de contas digitais. O montante teria sido distribuído irregularmente para funcionários públicos por meio do aplicativo Caixa Tem. De acordo com o presidente, as fraudes aconteciam por que o sistema de cadastramento permitia que várias contas fossem criadas e acessadas pelo mesmo celular. As ocorrências teriam iniciado no começo da pandemia e se intensificado nos meses subsequentes.
Nem sempre o objetivo de uma fraude será o roubo dos seus dados, algumas buscam atrair os usuários para baixar aplicativos legítimos ou entrar em sites para lucrar com os cliques. Em tese, não há perda para o usuário, mas as mensagens tendem a fazer promessas enganosas. A prática gera lucratividade para os fraudadores financiarem outros golpes.
Segundo o Dfndr Lab, em julho o formato mais popular utilizado pelos golpistas foram as notificações no navegador (chamadas “push notifications”). “A estratégia dos criminosos é induzir a vítima a clicar em um link malicioso, geralmente compartilhado através de redes sociais ou WhatsApp, com a promessa de acesso a um conteúdo específico. A página falsa, então, solicita a permissão para o envio de notificações push. Ao conceder a permissão, a vítima permite que o cibercriminoso envie a ela anúncios, que geram lucro aos atacantes através das visualizações, e também acaba permitindo o recebimento de novos golpes”, alerta o diretor do laboratório, Emilio Simoni.
Como checar se uma informação é phishing?
Para diminuir o alcance dos links maliciosos é importante seguir as recomendações de checagem básicas de uma informação. Se a mensagem é apelativa, induz a urgência e estimula correntes ou compartilhamentos para os amigos, desconfie. É importante buscar outras fontes que confirmem a informação antes de clicar em algum link ou compartilhar.
Os especialistas em segurança digital recomendam a instalação de um antivírus nos dispositivos móveis e a busca de informações sobre o funcionamento das redes digitais.
Para checar se um link tem indícios de ser malicioso, o Dfndr disponibiliza uma ferramenta online que analisa se há a presença de malwares, vírus e outras características de fraudes. Já a Kaspersky oferece um aplicativo que verifica os links enviados no WhatsApp. Ambos os serviços são gratuitos. Além disso, o Google publicou um quiz educacional que ensina sobre técnicas para identificar características do phishing em e-mails spams. Conheça: phishingquiz.withgoogle.com
Conheça o Confere.ai
O Confere.ai, uma ferramenta de checagem automática de notícias e de produção de conteúdos sobre desinformação desenvolvida pela startup Verific.ai e pesquisadores da Universidade Católica de Pernambuco (Unicap) junto ao Sistema Jornal do Commércio de Comunicação (SJCC). O projeto tem o objetivo de ampliar a cultura da verificação e criar mecanismos para ajudar a audiência a identificar de forma mais rápida e segura conteúdos falsos ou enganosos. Para acessar, basta entrar no site confere.ai ou buscar nas páginas iniciais dos sites do SJCC.
Comentários