Phishing, personificação e aplicativos falsos

Todo sinal de confiança pode ser copiado

Pense no que de fato convence você de que uma página é legítima: o logotipo, o layout, um cadeado na barra de endereços, um selo de verificação, um resultado de busca no topo, um link compartilhado em uma comunidade de aparência oficial. Cada um deles pode ser reproduzido ou comprado por um atacante, normalmente barato.

Resultados de busca patrocinados são um método rotineiro de entrega, porque pagar pelo primeiro lugar no nome de uma carteira é legal e eficaz. Fichas em lojas de aplicativos podem ser falsificações. Extensões de navegador podem imitar a interface de uma carteira. Códigos QR são ilegíveis para humanos por desenho e podem apontar para qualquer lugar.

O único sinal caro de falsificar é o próprio destino. Por isso a verificação precisa se apoiar no nome de host exato e em como você chegou lá, não na aparência da página. Leia o domínio completo do último ponto antes da primeira barra: um subdomínio como example.com.attacker.site pertence a attacker.site. No celular, onde a barra de endereços é cortada, toque nela e leia tudo.

A armadilha da verificação

O hábito mais importante desta lição cabe em uma frase: nunca verifique pelo canal que entrou em contato com você. Perguntar ao remetente se o link é real, ligar para um número fornecido na mensagem ou clicar em “falar com o suporte” na página suspeita devolvem a checagem para o atacante.

Em vez disso, abra um caminho separado que você controle. Um favorito que você salvou antes, o aplicativo do fornecedor que você instalou deliberadamente, ou um domínio que você digita depois de conferi-lo em documentação oficial. Depois compare o pedido exato com o que esse canal diz.

Organizações legítimas não precisam da sua frase de recuperação, de um código de uso único, de controle remoto da sua tela ou de um pagamento para proteger sua conta. Urgência é uma técnica, não uma prova — um prazo real sobrevive aos dez minutos que a verificação leva, e um atacante precisa que você acredite que não.

Proteja os caminhos de recuperação

Frequentemente os atacantes não miram a conta diretamente. Eles miram o e-mail que pode redefini-la, o número de telefone que recebe códigos ou o backup em nuvem que guarda uma captura de algo sensível.

Por isso a conta de e-mail ligada a serviços financeiros merece a proteção mais forte que você tiver: uma senha única e autenticação de múltiplos fatores resistente a phishing, em vez de SMS, quando a opção existir. Códigos por SMS podem ser interceptados por um atacante que convença uma operadora a transferir seu número, o que é uma técnica bem estabelecida, não exótica. Quando um serviço oferecer lista de endereços permitidos para saque, ative-a, para que um login comprometido não consiga enviar fundos a um endereço novo sem um atraso que você perceberia.

Reduza o raio de impacto

Presuma que em algum momento algo vai passar. Um bom desenho de segurança limita o que um único erro consegue alcançar, em vez de supor que nenhum erro ocorrerá.

Na prática isso significa uma carteira de baixo valor para aplicativos desconhecidos, separada das posições de longo prazo; senhas únicas para que um vazamento não se propague; e o hábito de desconectar sites e revisar aprovações periodicamente, em vez de acumular permissões abertas indefinidamente.

• Pare assim que sentir pressa — a urgência é o ataque.
• Abra um canal novo que você controle antes de verificar qualquer coisa.
• Leia o nome de host completo, principalmente no celular.
• Instale software de carteira apenas de uma fonte que você verificou.
• Denuncie a personificação sem continuar interagindo.