O roubo de contas por meio do código de seis dígitos do WhatsApp é um golpe conhecido, mas agora tem mudanças. Na nova versão, os cibercriminosos conseguem ter acesso até mesmo às contas do mensageiro que são protegidas por senha. A prática envolve ligações se passando por terceiros e e-mails legítimos.
WhatsApp no Android (Imagem: André Fogaça/Tecnoblog)
Segundo especialistas da Kaspersky, o novo golpe se parece com as outras tentativas de roubo de contas do WhatsApp. A vítima recebe uma ligação de alguém que, no final, pede um código enviado por SMS. Em um dos casos, os golpistas se passam por representantes do Ministério da Saúde e dizem que estão fazendo uma pesquisa sobre a COVID-19.
Para finalizar o suposto questionário, a vítima precisa informar o código de seis dígitos que ela recebeu por SMS. Nesta etapa, os autores do golpe contam com a distração do usuário para compartilhar o dado que, na verdade, é enviado pelo WhatsApp.
A partir deste número, é possível iniciar a configuração da conta da vítima em outro celular. Caso o usuário utilize confirmação em duas etapas, os cibercriminosos encerram a ligação e entram em contato mais uma vez. Na segunda ligação, eles se passam pelo suporte do WhatsApp e afirmam que identificaram uma atividade suspeita na conta.
Nesta ligação, eles orientam a vítima a acessar o seu e-mail para cadastrar a autenticação dupla novamente. O e-mail é realmente enviado pelo WhatsApp e inclui orientações para quem esqueceu a senha do aplicativo. Para configurar a proteção novamente, o serviço pede que ela seja desativada em seu site.
É neste momento que os golpistas conseguem roubar a conta. Sem a confirmação em duas etapas, desativada temporariamente, é possível configurar a conta em outro dispositivo. O pesquisador sênior de segurança da Kaspersky, Fabio Assolini, explica que o golpe usa uma brecha no mecanismo do WhatsApp para recuperar a senha.
“A ideia aqui é permitir que a pessoa crie uma nova senha ao ativar a função novamente. Só que os criminosos aproveitam que a conta está desprotegida e usam o código temporário recebido na primeira ligação para realizar a instalação em um dispositivo deles e assim seguir com o golpe, entrando em contato com amigos e familiares para pedir dinheiro”, explica.
Os especialistas afirmam que a única forma de evitar cair neste novo golpe é desconfiar de ligações que se passam pelo WhatsApp. Segundo Assolini, apenas o mensageiro pode criar uma solução definitiva para este problema. Ele explica que o serviço precisa mudar seu processo de recuperação de senha para impedir a prática maliciosa.
“Do ponto de vista da segurança, o aplicativo deve melhorar o processo de recuperação da dupla autenticação permitindo o recadastro na própria página da empresa, em vez de realizar a desativação. Desta forma, este esquema seria inviabilizado”, afirma.
Enquanto isso não acontece, a orientação é que os usuários nunca desativem a proteção adicional, a não ser que realmente tenham esquecido suas senhas. Caso a sua conta no aplicativo de mensagens ainda não seja protegida, confira aqui como ativar a confirmação em duas etapas no WhatsApp.
Nenhum comentário:
Postar um comentário