Pesquisadores de segurança alertam os usuários da Verizon sobre um golpe agressivo de smishing

O phishing sempre foi um dos favoritos dos cibercriminosos. Existem algumas boas razões para isso. Você não precisa ter muitas habilidades técnicas para obter um golpe de phishing bem-sucedido, e mesmo campanhas em larga escala não exigem grandes investimentos em termos de tempo e dinheiro. Enquanto isso, apesar de todos os avisos, a engenharia social nos e-mails ainda é suficiente para enganar os usuários a clicar em links e fornecer informações confidenciais.

Smishing é uma variação do phishing destinada aos usuários de celulares e é feita por meio de mensagens de texto. Os ataques de smishing não são nem de longe tão comuns quanto os golpes mais tradicionais, mas, como demonstra uma campanha recente direcionada aos usuários da Verizon, essa técnica tem algumas vantagens distintas que podem tentar alguns cibercriminosos.

Vigaristas tentam enganar os clientes da Verizon com seus dados pessoais

O golpe foi descoberto e relatado por HowToGeek, e Chris Hoffman, editor-chefe do site, descreveu o ataque de smishing como "o mais sofisticado até agora". Embora essa declaração possa estar em debate, há poucas dúvidas de que os criminosos pensaram um pouco na operação.

Como você pode imaginar, o ataque começa com um SMS, informando que "a segurança da sua conta da Verizon precisa de validação". Se você clicar em um link, poderá "validar sua conta e evitar que seu acesso seja desativado". Como você pode ver, a gramática é tão estranha quanto você esperaria desse tipo de ataque. O que é um pouco incomum é o fato de os usuários serem solicitados a clicar em um link que não passaram por um serviço de redução de URL. Dito isto, se você não olhar muito de perto, pode se enganar ao pensar que realmente vem do provedor de telecomunicações.

O link descrito pela HowToGeek levou a uma página de phishing hospedada no vwireless[.]xyz (que estava desativada no momento da redação deste artigo) e foi descrita como "chocantemente convincente". De fato, as capturas de tela parecem muito próximas do original, e não há erros gramaticais gritantes, o que sugere que, em vez de criar as páginas de golpes por conta própria, os criminosos usaram um kit de phishing prontamente disponível comprado nos mercados subterrâneos.

O site falso começa solicitando seu número de celular ou ID do usuário e senha. Depois disso, você será solicitado a fornecer o número PIN da sua conta e, por fim, será informado que precisa fornecer algumas informações pessoais. A página informa que, se você digitar seus nomes, endereço e CEP de cobrança de cinco dígitos, ajudará a Verizon a proteger melhor sua conta. Depois de fornecer todos os detalhes, você será redirecionado para o site real da Verizon.

A página de phishing não permitirá que você clique, a menos que você preencha todos os campos, mas quando os repórteres da HowToGeek a testaram, eles usaram informações falsas, o que mostra que o site da fraude não valida os dados em tempo real.

O dano potencial é bastante significativo

Se tudo isso parece familiar, e se você acha que caiu na armadilha, precisa ligar para a Verizon e corrigir o problema imediatamente, pois, se a sua conta for bem-sucedida, os criminosos podem causar todo tipo de confusão. Eles podem solicitar um novo smartphone e creditá-lo na sua conta e também podem realizar um ataque de troca de SIM contra você. Se você reutilizou a mesma senha em vários sites, pode ser vítima de excesso de credenciais e também perder acesso a outras contas.

Em suma, focar os clientes da Verizon poderia compensar generosamente os criminosos e, com a opção de usar o smishing em vez do tradicional, eles esperam maximizar o número de vítimas.

Smishing x phishing: qual é o melhor?

A principal vantagem de Smishing é que a vítima está inevitavelmente no telefone durante a operação. A tela menor torna mais difícil detectar os sinais indicadores de uma fraude. Como já mencionamos, à primeira vista, o URL na mensagem de texto parece semi-legítimo e, como o espaço na tela é escasso, a barra de endereços de um navegador móvel pode permanecer oculta a maior parte do tempo. Como resultado de tudo isso, é mais provável que você não consiga perceber que está no endereço errado.

Nesse caso, escolher a mensagem de texto em vez do e-mail de phishing tradicional é uma ligação particularmente boa porque, como provedor de telecomunicações, a Verizon provavelmente entrará em contato com você por meio de um SMS. Outro fator que melhora as chances de sucesso dos criminosos está no fato de que, embora os golpes de phishing por e-mail existam há anos, o smishing é uma tendência relativamente recente e poucas pessoas sabem que o esquema foi adaptado para funcionar através de mensagens de texto.

Como sempre, a melhor defesa contra ataques como esses é cautela e conscientização. Os usuários devem aprender que os criminosos agora estão usando SMSs para induzir as pessoas a divulgar suas informações e precisam entender que um link em uma mensagem de texto inesperada pode ser tão perigoso quanto um link em um email.