Não seja enganado por um golpe de extorção, alegando que sua câmera Nest foi invadida

Todos sabemos sobre as deficiências de segurança que afetam o número cada vez maior de dispositivos de IoT, e você provavelmente não ficará surpreso ao saber que os cibercriminosos estão tirando vantagem disso. Não da maneira que você poderia esperar, no entanto. De fato, os equipamentos de IoT são invadidos todos os dias, mas os criminosos desenvolveram outras maneiras mais baratas e inteligentes de explorar as brechas de segurança dos dispositivos inteligentes. Recentemente, por exemplo, a empresa de segurança de email Mimecast nos disse que os criminosos agora estão usando a falta de segurança da IoT como uma ferramenta de engenharia social durante uma campanha de sextortion relativamente grande.

De acordo com a Computer Weekly, os e-mails começaram a aparecer no início de janeiro e, em questão de poucos dias, o Mimecast detectou nada menos que 1.700 cópias das mensagens fraudulentas, a maioria destinada a cidadãos dos EUA. Não é a maior campanha que o mundo já viu, mas o número potencial de vítimas também não é exatamente insignificante. Quando você ver como o ataque se desenrola, notará que os criminosos que o organizaram também pensaram nisso.

Um ataque invulgarmente complicado

Golpes de abuso sexual anteriores envolviam uma única mensagem enviada por e-mail, que tentava convencer os alvos de que seus computadores haviam sido invadidos e que os extorsionistas tinham imagens embaraçosas do destinatário assistindo a vídeos adultos. O e-mail dizia que, se a vítima não pagar, o clipe será liberado para o mundo inteiro ver. Em 2019, os criminosos começaram a usar as senhas das vítimas (obtidas em bancos de dados vazados publicamente) para tornar o cenário "Eu hackeei seu computador" muito mais crível.

A campanha mais recente é um pouco diferente. Enquanto os ataques tradicionais de sextortion revelam as demandas dos criminosos imediatamente, as mensagens atuais não dizem às vítimas que elas estão prestes a ser chantageadas. Em vez disso, a mensagem simplesmente afirma que os cibercriminosos invadiram a câmera do Google Nest do destinatário e obtiveram algumas fotos nuas do proprietário. As vítimas recebem credenciais de login, que precisam usar para fazer login em uma conta de email do ProtonMail. Nele, eles encontram supostas provas do incidente de hackers.

Há um link que leva a uma página de destino e a um vídeo que foi realmente filmado com uma câmera Nest, mas não pertence à vítima. As pessoas que não perceberem que estão assistindo a um clipe aleatório são avisadas de que, se não pagarem uma taxa de extorsão, as fotos e os vídeos comprometedores serão publicados em um site pornô. A Computer Weekly disse que a demanda é de € 500 ou $ 555 e pode ser paga em cartões de criptomoeda ou de presente.

Táticas incomuns e motivos triviais

Alguns de vocês podem ficar um pouco perplexos com o que parece ser uma configuração desnecessariamente complexa. Você pode até dizer que os aros que os usuários são forçados a passar podem dar uma dica sobre a verdadeira natureza da mensagem que estão lendo. Há um bom raciocínio por trás das decisões tomadas pelos criminosos.

Ao envolver outra conta de e-mail e uma página de destino, os criminosos estão dificultando o rastreamento das empresas de segurança por e-mail da origem do ataque, e mesmo as listas de spam atualizadas regularmente podem falhar em interromper algumas das mensagens fraudulentas. Ao mesmo tempo, embora o envolvimento da vítima em toda a operação seja maior do que o normal, os criminosos esperam que, com todos os avisos sobre o estado de segurança da Internet das coisas seja o ideal, as pessoas ficariam em pânico demais para perceber alguns dos avisadores. sinais de que eles estão sendo enganados.

De fato, as câmeras conectadas à Internet podem ser invadidas, e as vulnerabilidades encontradas em algumas delas são aterrorizantes. Mas qual a probabilidade de você ser uma vítima exatamente?

Se você pensar bem, esse ataque envolveria um hacker escolhendo sua câmera entre um mar de dispositivos semelhantes e invadindo-a. Então, o criminoso precisaria esperar que você ficasse na frente de sua câmera nua e, depois disso, precisaria estabelecer a operação de chantagem sem ser pego. Você precisa concordar que algumas tarefas complexas precisariam ser concluídas e o pagamento potencial seria inferior a US $ 600. De repente, você começa a perceber que as alegações dos bandidos não retêm muita água.

Como você pode ver, levar tudo o que você vê na sua caixa de entrada com uma quantidade adequada de sal pode fazer toda a diferença.