Módulo 3 · 3.4
Phishing por SMS, chat, telefone e código QR
Módulo 3: Reconhecer phishing · Tempo de leitura: 12 minutos
Objetivo de aprendizagem: Depois desta lição, saberá reconhecer phishing fora do e-mail: por SMS e aplicações de chat, por telefone (também com voz clonada), através de códigos QR e através de uma avalanche de notificações de início de sessão, e saberá como verificar em cada canal.
Conceitos-chave: smishing, fraude do amigo em apuros, vishing, spoofing de números, falso serviço de apoio técnico, clonagem de voz, quishing, bombardeamento de MFA
Porque é que outros canais funcionam tão bem
Tudo o que foi referido na lição 3.1 também se aplica aqui: urgência, autoridade, medo, curiosidade e recompensa. Mas fora do e-mail, os truques funcionam muitas vezes ainda melhor:
- No telemóvel, lê-se rapidamente. O ecrã é pequeno, os endereços são cortados e muitas vezes está a fazer outra coisa ao mesmo tempo.
- Há menos tecnologia que ajuda. Um servidor de correio verifica o SPF, o DKIM e o DMARC e tem um filtro de spam. Para SMS, chat e telefone, isso existe muito menos.
- Parece mais pessoal. Uma mensagem numa aplicação de chat ou uma voz ao telefone gera mais confiança do que um e-mail.
- É em direto. Quem liga pode insistir, aumentar a pressão e conduzi-lo passo a passo.
O reflexo mantém-se o mesmo: pare, verifique pelo seu próprio meio, pergunte. O que varia consoante o canal é o aspeto dessa verificação.
SMS e chat: smishing e amigo em apuros
Smishing é phishing por SMS. Os burlões fazem-se passar por uma organização da qual poderia esperar um SMS: uma transportadora, o banco, um serviço público, o seu fornecedor de energia. Segundo o centro nacional de cibersegurança neerlandês (NCSC), o mesmo acontece através de aplicações de chat como o WhatsApp e o Telegram.
Um exemplo típico:
Empresa de entregas: a sua encomenda não pôde ser entregue devido a endereço incompleto. Marque uma nova entrega:
https://koeriersdienst.track-nl.example/z8K
Leia o link como na lição 3.2: o domínio registável é track-nl.example e não koeriersdienst.example da transportadora. Num telemóvel, isto é ainda mais difícil, porque só vê o início. Mantenha o dedo sobre o link para ver o endereço completo, ou não o abra e vá diretamente à aplicação ou ao site da transportadora.
O número ou o nome do remetente não prova nada. Os remetentes de SMS e os números de telefone podem ser falsificados (spoofing). Por isso, uma mensagem falsa pode aparecer na mesma conversa de SMS que mensagens verdadeiras desse remetente. Um nome conhecido por cima de uma mensagem também não é, portanto, prova de nada.
A fraude do amigo em apuros acontece através de aplicações de chat:
Olá, este é o meu novo número, o meu telemóvel avariou. Pode fazer um pagamento por mim? Devolvo-lhe amanhã. Tem de ser hoje mesmo.
Numa empresa, o mesmo truque aparece como mensagem do "diretor" ou de "um colega" com um número novo, que pede rapidamente um pagamento ou cartões-presente. Verifique: ligue ou envie uma mensagem à pessoa através do número antigo e conhecido, ou faça uma pergunta que só a pessoa verdadeira consiga responder.
O telefone: vishing, falso serviço de apoio técnico e vozes clonadas
Vishing (voice phishing) é phishing por telefone. Há três formas muito comuns.
O funcionário do banco. Alguém liga em nome do banco ou do "departamento de fraude": há pagamentos suspeitos, o seu dinheiro tem de ser "protegido", ou tem de indicar um código ou aprovar um pagamento na aplicação do banco. No seu ecrã aparece por vezes mesmo o número verdadeiro do banco. Também esse pode estar falsificado. Um banco verdadeiro nunca pede os seus códigos de início de sessão nem pede para transferir dinheiro para uma "conta segura".
O falso serviço de apoio técnico. Alguém liga em nome de um fornecedor de software, do seu fornecedor de internet ou da sua empresa de informática: o seu computador está infetado, há um problema com a sua conta. Pede-lhe para instalar um programa para acompanhar remotamente. Com isso, assume o controlo do seu computador. O centro nacional de cibersegurança neerlandês (NCSC) diz de forma simples: nunca dê acesso remoto aos seus dispositivos a alguém sem mais.
A voz clonada. Com IA, é possível imitar uma voz a partir de gravações de áudio, por exemplo de um vídeo ou de uma mensagem de voz. Uma voz clonada do seu diretor ou de um familiar pode então ligar com um pedido urgente. Já não pode, portanto, confiar cegamente nos seus ouvidos.
O que resulta nos três casos:
- Desligue assim que sentir pressão ou lhe pedirem códigos, dinheiro ou acesso. Não é falta de educação.
- Ligue você mesmo de volta para um número que procure por si próprio ou que já tinha: a parte de trás do seu cartão bancário, o site oficial, a sua própria lista de contactos. Não o número que a pessoa que ligou indicou.
- Combine uma pergunta de verificação ou uma palavra-chave com as pessoas que lhe podem pedir dinheiro, como a direção e a contabilidade. Defina também que os pagamentos nunca são feitos apenas com base numa chamada telefónica (lição 1.2).
Códigos QR: quishing
Um código QR é apenas um link que não se consegue ler. Quishing é phishing através de um código QR. Duas formas:
- Na rua ou num espaço físico. Um autocolante com um código QR próprio colocado por cima do verdadeiro, num parquímetro, num carregador elétrico, numa ementa ou num cartaz. Pensa que está a pagar na aplicação de estacionamento, mas introduz os dados do seu cartão num site falso.
- Num e-mail ou PDF. "Digitalize este código para confirmar a sua caixa de correio." Um código QR numa imagem não pode ser verificado com o rato. E digitaliza-o com o telemóvel, onde é mais difícil ler os endereços.
O centro nacional de cibersegurança neerlandês (NCSC) aconselha, entre outras coisas:
- Não digitalize um código QR sem texto ou imagem de acompanhamento, e tenha cuidado com códigos em locais públicos.
- Verifique se o código está realmente impresso no cartaz ou no painel, ou se foi colocado um autocolante por cima.
- Utilize um leitor que mostre primeiro para que endereço ou domínio vai. Nas versões mais recentes do Android e do iOS, a câmara faz isso por predefinição.
- Se não reconhecer o endereço, não continue. Não introduza palavras-passe nem dados de pagamento se não tiver a certeza de que o site é verdadeiro.
No exemplo do endereço que a câmara mostra, verifique o domínio registável, exatamente como na lição 3.2. Num parquímetro, também pode utilizar a aplicação oficial de estacionamento ou o endereço indicado no próprio painel.
Bombardeamento de MFA: quando o telemóvel não para de apitar
Muitos serviços enviam, ao iniciar sessão, uma notificação para o telemóvel: "Está a tentar iniciar sessão? Aprovar ou recusar." Se um atacante já tiver a sua palavra-passe, tenta iniciar sessão repetidamente. O seu telemóvel recebe uma notificação atrás de outra, por vezes a meio da noite. A isto chama-se bombardeamento de MFA (também fadiga de MFA). O atacante espera que, por irritação ou engano, você carregue em Aprovar. Por vezes ainda liga ou envia uma mensagem a fazer-se passar por "serviço de apoio técnico": "Estamos a recuperar a sua conta, carregue em aprovar."
O que deve fazer:
- Nunca aprove uma notificação que não tenha iniciado você mesmo. Mesmo que alguém o peça.
- Encare-o como um alarme. Uma notificação de início de sessão inesperada significa que alguém tem a sua palavra-passe. Altere imediatamente a palavra-passe dessa conta, através do próprio site ou aplicação.
- Verifique as sessões ativas e termine sessões desconhecidas (lição 2.5).
- Escolha uma forma mais forte de autenticação de dois fatores (2FA), se existir. Com a correspondência de números (number matching), tem de introduzir na aplicação um número apresentado no ecrã de início de sessão; uma notificação sem esse ecrã à sua frente não pode então ser aprovada por engano. As passkeys e as chaves de segurança (lição 2.4) são ainda mais fortes, porque não funcionam num site falso.
Na prática: é assim que se apresenta
No O meu WebOké, pode ver nas sessões ativas onde e quando iniciou sessão, e pode terminar outras sessões (manual WebOké 3.6). Outros serviços, como o seu programa de correio eletrónico, o pacote de contabilidade ou o Nextcloud, têm uma vista geral semelhante nas definições de segurança da sua conta. Verifique aí, em primeiro lugar, depois de uma notificação de início de sessão inesperada.
Resumo
- Fora do e-mail, funcionam os mesmos truques, mas há menos tecnologia que ajuda e lê-se mais depressa.
- Um número ou nome de remetente no seu ecrã não prova nada: podem ser falsificados.
- Ao telefone: desligue, ligue você mesmo de volta para um número conhecido, nunca dê códigos, dinheiro ou acesso remoto. Até uma voz conhecida pode ter sido imitada.
- Códigos QR: procure autocolantes, deixe a câmara mostrar o endereço e leia o domínio registável.
- Uma notificação de início de sessão inesperada é um alarme: recuse, altere a palavra-passe, verifique as sessões.
Questionário
Exercício
Exercício A3.4: Ler um código QR sem o abrir. O programa mostra um código QR. Digitalize-o com a câmara do seu telemóvel, mas não abra o link. Leia o endereço que a câmara mostra e indique o domínio registável, e se abriria o link. O programa verifica a resposta.
Exercício D3.4: Combinações para telefone, chat e notificações de início de sessão. Combine com a sua equipa acordos sobre ligar de volta, uma pergunta de verificação ou palavra-chave, e o que fazer perante uma notificação de início de sessão inesperada. Depois, verifique no seu próprio telemóvel se a câmara mostra o endereço de um código QR antes de abrir seja o que for.
Exercício D3.4: Combinações para telefone, chat e notificações de início de sessão
Como fazer: (1) Combine com as pessoas que fazem ou aprovam pagamentos que um pedido de dinheiro, uma alteração de IBAN ou códigos nunca é executado apenas por telefone, sms ou chat. Ligar de volta é sempre feito para um número da sua própria administração ou lista de contactos. (2) Combine uma pergunta de controlo ou uma palavra-chave para pedidos urgentes da direção ou da família. Não escreva a palavra-chave em nenhum local digital onde um atacante a possa ler. (3) Combine o que cada um faz perante uma notificação de início de sessão inesperada ou uma série de notificações: recusar, denunciar, alterar a palavra-passe, verificar as sessões (lição 2.5). (4) Verifique se a câmara do seu telemóvel mostra primeiro o endereço ao ler um código QR, e só o abre depois de tocar. Utilize para isso um código QR de uma fonte própria e conhecida (por exemplo, um código que você mesmo cria para https://www.example.com). (5) Verifique se a sua aplicação de chat e as suas contas mais importantes têm uma proteção adicional que ainda não utiliza (por exemplo, autenticação de dois fatores (2FA) com um código PIN, associação por número nas notificações de início de sessão, ou uma passkey) e ative-a.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos indicados nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores, o funcionamento é semelhante.
- Manual do WebOké 3.6: Ver e terminar sessões ativas
- Manual do Nextcloud 3.6: Ver, revogar ou apagar remotamente dispositivos e sessões
- Centro nacional de cibersegurança neerlandês (NCSC), Phishing por SMS ("smishing"): https://www.ncsc.nl/phishing/sms-phishing-smishing
- Centro nacional de cibersegurança neerlandês (NCSC), Como reconhecer uma chamada telefónica falsa?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
- Centro nacional de cibersegurança neerlandês (NCSC), Códigos QR: https://www.ncsc.nl/phishing/qr-codes
- Comissão Nacional de Proteção de Dados (CNPD): https://www.cnpd.pt/