Uma nova modalidade de ataques está tomando forma nos Estados Unidos e, apesar de simples, já movimentou uma perda de US$ 70 milhões ao redor do país, o que corresponde a quase R$ 300 milhões.

O ataque voltou a ser discutido após o investidor em criptomoedas, Michael Terpin, ter perdido 1.500 bitcoins, o que na época estavam avaliadas em US$ 24 milhões (cerca de R$ 100 milhões), como reportado pelo The Wall Street Journal. Terpin foi alvo da “troca de SIM”, ou Sim Swap, uma nova prática de crimes cibernéticos que envolve copiar o chip da vítima e invadir suas contas pessoais para buscar dados bancários ou causar confusão.

No Brasil, a prática também é comum: cerca de 5 mil vítimas foram atacadas por um só grupo. Além disso, a clonagem de chips possibilita roubos de até R$ 10 mil por golpe. Todo o cuidado é pouco na hora de proteger seu telefone, e o Olhar Digital mostrou sobre como hackers invadem os telefones e algumas medidas de segurança que podem ser aplicadas.

O ataque tem origem na brecha que hackers encontraram em um método de segurança comum: a autenticação de dois fatores. Afinal, os números de telefone estão cada vez mais se tornando escudos, assumindo nossas senhas como última linha de defesa contra invasões digitais, ao confirmar nossa autenticidade com um código dentro de mensagem de texto.

Porém, o que parecia ser um método seguro de proteção, se tornou vulnerável quando hackers roubam e clonam o chip possibilitando o desbloqueio da autenticação de dois fatores. Entre os métodos para a SIM swap, os criminosos se passam pela vítima e roubam seu número de telefone. Para isso, os criminosos entram em contato e até subornam funcionários de empresas de telefonia, como já ocorreu com a Verizon e AT&T – em que alguns trabalhadores recebiam altas quantias para vazar informações a respeito do número e dos dados de seus clientes.

“Os atacantes estão ficando mais organizados e mais hábeis em esconder suas pistas, afirmou Nick Selby, diretor de inteligência cibernética da Polícia de Nova York (NYPD).

Com o número do telefone em mãos e, às vezes, informações como “dica de senha” ou dados que podem facilitar o acesso no recurso “esqueci minha senha”, os criminosos tentam assumir suas contas online. O Gmail geralmente é a primeira plataforma a tentar ser invadida, uma vez que o Google permite que você redefina sua senha usando o número de telefone.

Uma vez dentro da conta, os criminosos bloqueiam a vítima e então, vasculham mensagens de e-mail antigas, procurando evidências de contas financeiras, mídias sociais e dados bancários. Para impedir o acesso, os hackers alteram as configurações de segurança do Google para que a conta não possa ser redefinida por mensagem de texto quando o número seja recuperado. Além disso, os criminosos usam o Authenticator, um aplicativo móvel sofisticado criado pelo Google, que mantêm a vítima bloqueada mesmo que o número seja recuperado.

No caso de Terpin, seu SIM havia sido trocado sete meses antes do ataque e, diante da invasão, reforçou as medidas de segurança em seu telefone: adicionou à sua conta um recurso de segurança que exigia um PIN para fazer alterações, removeu autenticação de mensagens de texto onde podia e as substituiu pelo Google Authenticator. “Em uma escala de 1 a 10, eu diria que minhas proteções de segurança são 9,8 ou superiores”, afirmou.

Mesmo assim, seu número foi invadido e Terpin perdeu o sinal enquanto trabalhava em casa. Com o número controlado, os hackers invadiram sua conta do gmail e roubaram as criptomoedas que o investidor possuía em carteiras digitais. Justamente pelas medidas de segurança reforçadas, ele acredita que seus dados foram vazados por um funcionário de alguma revendedora autorizada da AT&T.

A troca de SIMs é um ataque simples, mas que pode custar milhões. Ao todo, os investigadores da Equipe de Computadores Aliados da Polícia Regional, afirmaram conhecer mais de 3 mil vítimas. Em resposta, as operadoras de telefone afirmaram que estão estudando melhores maneiras de sinalizar alertas paras as contas que podem estar em risco.

 

Via: The Wall Street Journal