Roskachestvo informa sobre novo esquema de fraude envolvendo os arquivos VKontakte

Especialistas do Centro de Especialização Digital Roskatchestvo registaram um ciberataque de phishing em contas de utilizadores VKontakte. O ataque visa roubar a palavra-passe de um utilizador a fim de se apropriar do seu perfil de rede social e utilizá-la para fraude e spam. Juntamente com a rede social VKontakte desmontaremos o esquema e diremos como evitar a armadilha e continuaremos a utilizar com segurança a amada rede social.

A rede social VKontakte permite aos utilizadores carregar todos os dados que a rede recolheu ao longo da vida útil da conta de um utilizador. O arquivo fornecido pela VKontakte contém uma grande quantidade de informação, incluindo todos os diálogos dos utilizadores. Apenas os utilizadores registados nas suas contas podem encomendar a libertação de arquivos, e isso não pode ser feito a partir do exterior. No entanto, este é o agressor finge para ter acesso à página do utilizador, jogando com o medo da vítima de que a sua correspondência vaze para as mãos erradas se não tomar medidas.

O ataque ocorre da seguinte forma: um utilizador que tem uma conta em VKontakte recebe via e-mail, notificações push ou uma mensagem pessoal uma mensagem como “um arquivo para toda a sua correspondência será criado em 24 horas e enviado para o e-mail XXX”. O e-mail utilizado não é obviamente do utilizador, algo como artem*****@mail. O que se segue é um esquema clássico de phishing: o utilizador é solicitado a entrar na conta para cancelar a criação e transferência do arquivo, bem como para alterar a palavra-passe através de um link. Excepto que esta ligação que conduzirá a um site diferente de cada vez, e tem vk no nome é um phishing, embora seja muito semelhante a um verdadeiro na forma – o design do site de phishing assemelha-se tanto quanto possível ao site da rede social.

Por exemplo, detectámos o sítio web vkarchives.com, que na altura deste escrito foi removido, e clicando neste link foi bloqueado pelos agentes de segurança da VKontakte para proteger os seus utilizadores. Se um utilizador introduzir a sua palavra-passe sob a forma de um site falso, entregará a sua conta directamente nas mãos de um hacker, como se costuma dizer, de forma calorosa. Alterar a sua palavra-passe é certamente útil, mas não num site fraudulento, e apenas no site original da rede social!

Ilya Loevsky, chefe adjunto de Roskachevo.

“Um atacante que rouba o seu perfil nos meios de comunicação social pode realmente encomendar um upload do arquivo, e isto é potencialmente perigoso. O arquivo contém não só informação de perfil público, mas também, por exemplo, documentos carregados pelo utilizador, referências de números de telefone, histórico de pagamentos e uma lista de cartões bancários utilizados. Tudo isto pode ser aproveitado por um intruso e pode, evidentemente, custar caro ao utilizador. Devemos ter cuidado ao utilizar as redes sociais para detectar tentativas de hacking”

As seguintes regras devem ser observadas a fim de não cair vítima do esquema fraudulento:

• Não clique em links de mensagens, especialmente aquelas que se baseiam na emoção como negativo, “você foi enganado”, ou positivo, “você ganhou” .

• Introduza o endereço da rede social apenas manualmente num browser ou, melhor ainda, utilize uma aplicação de rede social. Nunca escreva as suas palavras-passe e logins em sítios de terceiros. Mesmo que o site seja semelhante a

• a sua rede social favorita, verifique sempre na barra de endereços onde se encontra.

• Se tiver problemas com a segurança da sua conta de rede social, altere a sua palavra-passe, leia as FAQ oficiais e contacte o apoio técnico – não faça nada de precipitado se não tiver a certeza sobre isso.

• Usar autenticação de dois factores 2FA .

• Se seguiu tais ligações, altere a sua palavra-passe para proteger o seu perfil. Melhor ainda, faça-o agora mesmo como uma medida preventiva, sem esperar por hacks, porque alguns dos seus cliques questionáveis podem ter sido esquecidos. Esta é uma recomendação de um agente de apoio VKontakte.

Alexander Shvets, director da Vkontakte protecção da privacidade dos utilizadores, comentou sobre este tipo de fraude e os métodos para a combater: “Os atacantes podem criar sites de phishing e enviar spam-mails disfarçados de recursos populares. É claro que ninguém está a invadir os nossos servidores, ninguém está a aceder às nossas bases de dados. As pessoas dão involuntariamente os seus perfis aos vigaristas, clicando com confiança em ligações não verificadas. Em média, enviamos cerca de 10.000 alertas de alteração de senha por dia. Bloqueamos imediatamente os saltos de VKontakte para sítios maliciosos. Aconselhamos também a não utilizar quaisquer programas maliciosos que lhe peçam para introduzir os seus dados pessoais para receber funcionalidades que não estão disponíveis no VKontakte: para ver fotos escondidas ou “convidados na sua página”, para receber ofertas ilimitadas ou votos gratuitos”.

VKontakte declara especificamente que não é possível descarregar arquivos pessoais contendo dados de perfil sem confirmação do dispositivo ligado à sua conta, e que a ligação única de descarregamento não pode ser aberta a partir de outro perfil. Além disso, pode encriptar o próprio arquivo usando a sua chave pessoal OpenPGP.

Mantenha as suas redes sociais seguras, elas são a sua identidade online. A sua perda pode ser um enorme problema para muitos!