Ficar preocupado com a segurança das suas contas online é normal. Ficar preocupado com suas contas online que ainda não foram criadas pode parecer estranho, mas não é. Uma pesquisa da Microsoft descobriu ser possível hackear um cadastro antes mesmo de o usuário criá-lo. Dropbox, Instagram, LinkedIn, WordPress e Zoom são algumas das plataformas vulneráveis a esses ataques.

O chamado account pre-hijacking — algo como “pré-sequestro de conta”, em tradução livre — se aproveita dos muitos vazamentos de e-mails já ocorridos. O responsável pelo ataque pega um destes e-mails e cria uma conta em um site.

Depois, é só esperar o dono do e-mail se cadastrar, ou induzi-lo a isso. Aí, há cinco tipos de ataques que podem ocorrer, dependendo das vulnerabilidades do site:

1. A classic-federated merge (CFM, ou “junção clássica federada”): a plataforma une a conta criada pela vítima com a feita pelo hacker. Como o site dá a opção de single sign-on (autenticação única), o usuário não muda a senha, e o responsável pelo ataque continua com acesso à conta.
2. O unexpired session attack (US, ou “ataque de sessão não-expirada”): o hacker usa um script e segura a sessão ativa após criar a conta. Quando a vítima faz seu cadastro e reseta a senha, aquela sessão pode continuar válida, e o responsável pelo ataque mantém seu acesso.
3. O trojan identifier (TID, ou “trojan identificador”): o hacker faz o cadastro, mas o associa a uma conta sua em um provedor de identificação. Quando a vítima reseta a senha, o responsável pelo ataque continua com acesso.
4. O unexpired email change (UEC, ou “troca de e-mail não-expirada”): o hacker muda o e-mail da vítima para seu próprio, recebe a mensagem para confirmar a troca, mas não clica no link. Quando a vítima redefine a senha, ele confirma a mudança e mantém seu acesso.
5. O non-verifying identity provider attack (NV, ou “ataque de não-verificação do provedor de identidade”): o site não verifica quem é o dono da conta em um provedor de identidade ao criar a conta, permitindo abusos por meio de serviços como Okta ou Onelogin.

Instagram, LinkedIn e Zoom permitiam ataques

Os pesquisadores da Microsoft testaram estes métodos de ataque em diferentes sites. Eles descobriram que o ataque de sessão não-expirada é o mais comum.

Entre as plataformas vulneráveis, alguns nomes se destacam, como Dropbox, Instagram, LinkedIn, WordPress e Zoom. Todas elas foram informadas dos problemas e a maioria consertou as brechas.

E por que esse tipo de falha é tão comum? Para os responsáveis pelo estudo, o principal motivo é querer simplificar ao máximo o cadastro. Isso facilita a vida do cliente e faz as empresas conseguirem mais usuários. Por outro lado, a segurança acaba comprometida.

Para se proteger, as melhores recomendações são ativar a autenticação multi-fatores e usar a opção de encerrar todas as sessões ativas.

O coletivo de arte por trás dos NFTs Bored Ape, que mostram variações da mesma imagem de um chimpanzé geradas por meio de um programa de computador, foi hackeado na segunda-feira (25) através de suas contas nas redes sociais. Ao todo, os criminosos teriam conseguido acesso a US$ 3 milhões em NFTs, o equivalente aproximadamente a R$ 15 milhões.

O ataque cibernético foi feito através da técnica conhecida como phishing . Um link falso foi enviado para os seguidores da página do coletivo Yuga Labs no Instagram e no Discord. As carteiras de criptomoedas dos usuários que clicaram no link acabaram comprometidas.

Com isso, os hackers conseguiram roubar quatro Bored Ape e outras NFTs avaliadas em US$ 3 milhões, segundo o jornal britânico The Guardian.

Neymar, Eminem, Gwyneth Paltrow e Madonna estão entre as celebridades que já investiram na coleção Bored Ape Yatch Club.

“Yuga Labs e o Instagram estão investigando como o hacker conseguiu acessar a conta. A autenticação de dois fatores foi habilitada e as práticas de segurança em torno da conta IG eram rígidas”, disse o coletivo responsável pelos NFTs de chimpanzés, em nota.

Se uma beldade com gingado e samba no pé já causa, imagine duas, três! Esse deve ter sido o pensamento dos foliões que tomaram a quadra da escola paulistana Vai-Vai, na noite deste domingo (3).  

É que a madrinha da bateria Carla Prata estava curtindo o ensaio geral da agremiação, no Sindicato dos Bancários, ao lado da estrela da RedeTV! Luciana Gimenez e da rainha dos ritmistas Veronica Bolani. 

Nas redes oficiais, o grêmio recreativo cultural, que exibe as cores preta e branca no estandarte, destacou que foi um show de sorrisos, alegria e raça. Depois, completou: “Pega a ‘responsa’ de tocar para  Luciana Gimenez sambar, além de Carla Prata e Veronica Bolani”.  

Sobre o carnaval, que seria nos dias 25 e 26 de fevereiro, vale mencionar que a data foi adiada para o feriado prolongado de Tiradentes, que começa em 21 de abril, uma quinta-feira.  Sendo assim, nessa oportunidade, a Vai-Vai, com quinze títulos, levará para o Anhembi um enredo que fala do reencontro dos negros com a sua origem, narrado por uma ave sagrada africana. 

Diversos aplicativos no Android possuem malwares disfarçados que são capazes de roubar dados bancários dos usuários. Uma descoberta recente realizada por especialistas em cibersegurança da Dr. Web listou alguns.

Os aplicativos supostamente executam diversas tarefas, e a lista conta com editores de foto, plataformas de vendas online e apps de investimentos, por exemplo.

Na prática, porém, todos os aplicativos agem silenciosamente roubando dados das vítimas e causando prejuízos financeiros. Embora alguns deles já tenham sido deletados da Google Play Store, é importante que os usuários que já os possuem em seus smartphones os deletem. Confira a lista:

• Up Your Mobile
• Morph Faces
• Power Photo Studio
• Launcher iOS 15
• Adorn Photo Pro
• Chain Reaction
• TOH
• Invest Gaz Incomes
• Gazprom Invest
• Gaz Investor

Golpes online causaram um prejuízo de R$ 650 milhões a usuários de plataformas online em 2021. Um estudo da varejista OLX em parceria com a consultoria de segurança digital AllowMe apontou que os eletrônicos são a categoria mais visada por criminosos para aplicar armações. O celular é o item preferido, seguido de videogames e computadores.

O perfil médio de brasileiros que caiu em golpes na internet é masculino e jovem: 77% das vítimas são homens, e 73% têm até 31 anos de idade.

Beatriz Soares, diretora de Produto e Operações da OLX, destaca que a maioria dos criminosos age com base na falta de conhecimento da vítima sobre os processos de compra e venda pela internet. Eles, então, aplicam a engenharia social para enganar os usuários que consideram “presa fácil”.

“Por isso, a educação digital é fundamental para que as pessoas possam identificar comportamentos suspeitos e se proteger”, diz Soares. “Da mesma maneira que adotamos práticas seguras ao sair na rua, devemos fazer o mesmo no ambiente virtual”.

De acordo com o estudo de OLX e AllowMe, os criminosos que aplicam golpes online agem de forma articulada, em uma rede de inúmeras contas falsas criadas usando dados roubados de perfis legítimos.

A principal modalidade de golpe online é a chamada “Compra Confirmada”. Trata-se do uso de um comprovante de compra falso emitido pelo golpista, e que leva a vítima a entregar o produto antes de receber o dinheiro de fato. O depósito bancário tem até 24 horas para cair na conta destinada, o que leva à aplicação de engenharia social. Em 2021, 33% das armações no comércio eletrônico foram desse tipo.

Em segundo lugar, estão empatados os golpes por anúncio falso e roubo de dados, correspondendo por 24% dos golpes. Quando se trata de publicidade enganosa, o estudo aponta que, na maioria das vezes, o produto divulgado é 40% mais barato que o preço do mercado.

Por fim, a invasão de contas permanece um dos métodos mais populares de golpe no comércio eletrônico brasileiro. A prática foi reconhecida em 19% das fraudes, e é fortalecida pelo vazamento de dados. A partir do momento em que o golpista tem as credenciais da vítima, seja porque elas são fornecidas a ele por brecha de segurança ou pelo próprio usuário, ele assume o controle do perfil.

E-mails vazados foram usados em 500 mil transações

Os cibercriminosos utilizam dados de usuários legítimos para criar suas contas e perfis falsos. A pesquisa afirma que e-mails vazados foram usados em 500 mil transações no varejo eletrônico.

A base de dispositivos ligados às fraudes cresceu 127%. Com o aumento de criminoso conectados aos golpes, a pesquisa conta que as plataformas têm maior facilidade proteger os clientes, além de detectar e banir golpistas. Em 2021, o varejo online preveniu o roubo de R$ 1,1 bilhão — em 2020, o prejuízo evitado foi equivalente a R$ 581 milhões.

Diana Carolina Herrera, diretora de Business Intelligence da Allow Me, conta como criminosos podem usar engenharia social para se passarem como legítimos na hora de negociar produtos. “Uma vez que nem todas as empresas possuem checagens através de múltiplas camadas, como validação de comportamento, análise do dispositivo e dados, por exemplo, os fraudadores têm a capacidade de mapear os fluxos de prevenção e subvertê-los com certa facilidade”, explica.

O estado de São Paulo liderou a lista de estados mais afetados por fraudes online, correspondendo por quase metade dos crimes (46%). Em segundo lugar está o Rio de Janeiro (11%). Minas Gerais aparece em terceiro (8%).

O estudo da OLX e da AllowMe analisou 20 milhões de contas abertas em plataformas online entre janeiro e dezembro de 2021, além de outras informações sobre apps, sites e contas digitais do mercado brasileiro.