Contas de Signal e WhatsApp alvo de campanha de phishing

Serviços de inteligência holandeses AIVD e MIVD avisar que hackers apoiados pelo Estado russo estão a realizar uma campanha em grande escala para invadir contas de Signal e WhatsApp de alvos de alto valor.

Os alvos seriam altos funcionários, militares, funcionários públicos e jornalistas. Os invasores não estão quebrando a criptografia de ponta a ponta nem explorando uma vulnerabilidade nos próprios aplicativos. Em vez disso, eles contam com métodos comprovados de phishing e engenharia social para induzir os usuários a entregar códigos de verificação e PINs ou a adicionar um “dispositivo vinculado” malicioso à sua conta.

No ano passado, informamos sobre o GhostPairing, um método que engana o alvo para que complete o fluxo de emparelhamento de dispositivos do próprio WhatsApp, adicionando silenciosamente o navegador do invasor como um dispositivo invisível vinculado à conta.

Nos casos relatados pelos serviços de inteligência holandeses, os atacantes contactaram as vítimas através do Signal ou do WhatsApp, fazendo-se passar por “Signal Security Support Chatbot”, “Signal Support” ou uma conta semelhante com aparência oficial.

A mensagem normalmente alerta sobre atividades suspeitas ou um possível vazamento de dados detectado e instrui o usuário a concluir uma etapa de verificação para evitar a perda de dados ou o bloqueio de sua conta.

As vítimas são então solicitadas a enviar de volta o código de verificação por SMS que acabaram de receber e/ou seu PIN de sinal.

Se a vítima obedecer, o invasor poderá registrar a conta em um dispositivo que controla e efetivamente assumi-la, recebendo novas mensagens e enviando mensagens como vítima.

Em uma segunda variante, os invasores abusam do recurso de “dispositivos vinculados” (área de trabalho do Signal e do WhatsApp ou outra função de dispositivo secundário). Os alvos são pressionados a clicar em um link ou escanear um código QR que vincula silenciosamente o dispositivo do invasor à conta da vítima. A vítima mantém o acesso normalmente, mas o invasor agora pode ler em tempo real sem sinais óbvios de comprometimento.

Esses ataques são não é novomas merecem um aviso renovado porque dependem inteiramente do comportamento humano e a compreensão de como funcionam torna-os mais fáceis de parar. Os métodos utilizados não são tecnicamente sofisticados e podem ser facilmente copiados por intervenientes não estatais ou cibercriminosos comuns.

Devido às atuais campanhas russas, o AIVD e o MIVD afirmam que aplicações de chat como o Signal e o WhatsApp são inadequadas para partilhar informações governamentais classificadas, confidenciais ou de outra forma sensíveis, embora suportem tecnicamente a encriptação de ponta a ponta.

Como manter suas conversas confidenciais

Um aviso específico para os usuários-alvo é usar aplicativos designados para informações confidenciais. Apesar de sistemas seguros dedicados estarem disponíveis para muitos deles, alguns recorreram a aplicativos que já conheciam – Signal e WhatsApp. E para ser justo, esses aplicativos são seguros se você seguir algumas regras básicas:

Como prevenir e detectar contas comprometidas

• Nunca compartilhe códigos de verificação ou números PIN. Seu código de verificação por SMS e PIN só serão necessários quando você instalar ou registrar novamente o aplicativo em um dispositivo. Eles nunca são solicitados legitimamente em um chat. Qualquer mensagem no aplicativo, mensagem direta (DM), e-mail ou SMS solicitando que você envie esses códigos de volta é uma tentativa de phishing.
• Não confie em contas de “suporte” no chat. O Signal afirma explicitamente que o suporte nunca entrará em contato com você por meio de mensagens no aplicativo, SMS ou mídia social para solicitar seu código de verificação ou PIN. Trate qualquer “Signal Support Bot”, “Security Chatbot” ou similar como malicioso, bloqueie-o e denuncie-o e, em seguida, exclua a conversa.
• Tenha cuidado com links e códigos QR no chat. Leia códigos QR ou clique em links de vinculação de dispositivos apenas quando você estiver no menu de vinculação de dispositivos do aplicativo e tiver iniciado o processo. Se uma mensagem o incentiva a “verificar seu dispositivo” ou “proteger seus dados” por meio de um link ou QR, presuma que isso faz parte desta campanha.
• Revise regularmente os dispositivos vinculados e as associações a grupos. Em Sinal e WhatsAppverifique a lista de dispositivos vinculados e remova tudo o que você não reconhece. Fique atento também a participantes estranhos em grupos ou contatos duplicados (por exemplo, “conta excluída” ou um contato que aparece duas vezes), que os serviços de inteligência holandeses mencionam como possíveis sinais de comprometimento da conta.
• Use recursos de proteção integrados. Ative opções como bloqueio de registro, PIN de registro e alertas de mudança de dispositivo para que sua conta não possa ser registrada novamente silenciosamente sem um segredo extra. Armazene seu PIN em um gerenciador de senhas em vez de escolher algo fácil de adivinhar ou reutilizar um código comum, para reduzir a chance de engenharia social ou surf de ombro.

Use mensagens que desaparecem

Tanto o Signal quanto o WhatsApp suportam o desaparecimento de mensagens, e usá-los pode limitar significativamente o impacto do comprometimento da conta ou do acesso ao dispositivo (embora não o impeçam completamente).

Mensagens de curta duração e que desaparecem reduzem a quantidade de conteúdo disponível se um invasor entrar em um bate-papo posteriormente ou se alguém obtiver acesso de longo prazo a um dispositivo ou backup. Não são uma solução completa, mas podem limitar os danos.

Signal permite que você defina um cronômetro por chat para que todas as novas mensagens nessa conversa sejam excluídas automaticamente de todos os dispositivos após o período escolhido. Você pode ativá-lo para bate-papos individuais ou em grupo e escolher entre várias durações (segundos a semanas), e qualquer uma das partes poderá ver que está ativado e alterar o cronômetro.

WhatsApp também suporta mensagens que desaparecem com temporizadores por chat (e uma opção padrão para novos chats). As mensagens podem ser excluídas automaticamente após períodos como 24 horas, 7 dias ou 90 dias, e as versões mais recentes incluem opções mais curtas, como 1 ou 12 horas.

Você o ativa nas informações do bate-papo em “Mensagens que desaparecem” e escolhe o cronômetro desejado; apenas as mensagens enviadas após habilitá-lo são afetadas.

Para mídias ou mensagens de voz particularmente sensíveis, o WhatsApp também oferece “ver uma vez”fotos, mensagens de voz e vídeos que só podem ser abertos uma única vez antes de desaparecerem do bate-papo.

Habilite a autenticação multifator

Escrevemos um guia completo sobre como configurar a verificação em duas etapas no WhatsApp.

Para configurar a autenticação de dois fatores (2FA) no Signal, habilite o recurso Registration Lock, que requer seu PIN definido para fazer login em um novo dispositivo. Abra o Signal, vá para Configurações > Privacidade > Bloqueio de registro e ligue-o. Isso garante que mesmo que alguém roube seu SIM, essa pessoa não poderá acessar sua conta sem seu PIN pessoal.

Não informamos apenas sobre privacidade – oferecemos a você a opção de usá-la.

Os riscos de privacidade nunca devem ultrapassar uma manchete. Mantenha sua privacidade online usando o Malwarebytes Privacy VPN.