Usuários da Apple estão sendo alertados sobre um esquema de Engenharia Social no qual criminosos se passam por representantes bancários e usam FaceTime para convencer vítimas a expor informações financeiras sensíveis.
- Golpe costuma começar com falso alerta de fraude
- Conhecer dados pessoais não comprova legitimidade
- Conversa migra para FaceTime
- Compartilhamento de tela é o ponto crítico
- Códigos temporários podem superar uma importante camada de proteção
- Urgência é um grande sinal de alerta
- Não ligue para número incluído em mensagem suspeita
- Nunca compartilhe uma tela bancária com um desconhecido
- Apple diz que credenciais de segurança devem permanecer privadas
- FaceTime suspeito pode ser reportado à Apple
- Se informações já foram expostas, é preciso agir rápido
- FaceTime é o canal, não a vulnerabilidade
O ataque não exige quebrar a segurança do FaceTime, comprometer a Encryption da Apple ou invadir remotamente um iPhone.
Em vez disso, os criminosos exploram a confiança do usuário.
Eles tentam convencer o verdadeiro titular de que sua conta bancária ou cartão está sob ameaça e que é necessário cooperar imediatamente.
Quando a vítima acredita estar falando com um funcionário real do banco, o golpista pode transferir a conversa para FaceTime e pedir compartilhamento da tela.
Se o cliente abrir Online Banking com a tela visível, Passwords, números de conta e códigos temporários podem ser expostos.
Ler mais
O esquema demonstra por que a Cibersegurança moderna precisa proteger não apenas contra Malware e falhas de Software, mas também contra manipulação psicológica.
Golpe costuma começar com falso alerta de fraude
A primeira etapa normalmente acontece por mensagem ou telefone.
A vítima pode receber uma comunicação dizendo que foi detectada atividade suspeita em sua conta ou cartão.
A mensagem pode citar uma transação supostamente não autorizada e pedir que o destinatário ligue imediatamente para determinado número.
Esse número não deve ser automaticamente considerado confiável.
Se a mensagem tiver sido criada por criminosos, ela pode conectar diretamente ao grupo responsável pelo golpe.
Em outros casos, o golpista telefona primeiro e afirma trabalhar no departamento de Fraud ou segurança do banco.
Ele pode dizer que é necessária uma verificação adicional antes de impedir uma transferência, proteger a conta ou reverter uma operação não autorizada.
O objetivo é criar medo antes que a vítima tenha tempo de verificar independentemente a situação.
Conhecer dados pessoais não comprova legitimidade
Um criminoso sofisticado pode já conhecer algumas informações sobre a pessoa atacada.
Isso pode incluir nome, número de telefone, endereço, local de trabalho ou outros detalhes aparentemente privados.
Conhecer esses dados não prova que o interlocutor realmente trabalha para o banco.
Informações pessoais podem vir de Data Breaches, bases públicas, Social Media, golpes anteriores e outras fontes.
Os criminosos utilizam esses dados para aumentar a credibilidade.
Se o suposto representante bancário conhece o nome e diversos detalhes pessoais, a conversa inicialmente pode parecer autêntica.
A Apple também alerta que atacantes de Engenharia Social costumam usar informações pessoais para conquistar confiança antes de pedir credenciais sensíveis ou dinheiro.
Conversa migra para FaceTime
Depois de estabelecer contato, o criminoso pode sugerir mudar de uma ligação comum para FaceTime.
A transição pode tornar a interação mais confiável porque FaceTime é um serviço familiar utilizado todos os dias por donos de iPhone, iPad e Mac para falar com familiares, amigos e colegas.
Uma conversa ao vivo também dá ao golpista mais oportunidades para responder às dúvidas da vítima.
Se ela começar a questionar a situação, o atacante pode tranquilizá-la imediatamente, repetir que a conta está em perigo e continuar pressionando.
O golpista pode alegar que FaceTime é necessário para verificar identidade, investigar fraude ou realizar outro procedimento de segurança bancária.
FaceTime, porém, não autentica que a pessoa do outro lado realmente trabalha para a instituição financeira.
Compartilhamento de tela é o ponto crítico
A etapa mais perigosa ocorre quando o suposto representante pede que a vítima compartilhe a tela.
Screen Sharing é um recurso legítimo de FaceTime e pode ser útil com pessoas conhecidas e confiáveis.
O mesmo recurso torna-se perigoso quando um desconhecido está observando.
O golpista pode instruir a vítima a abrir o site do banco ou o aplicativo de Mobile Banking e fazer login enquanto o compartilhamento continua ativo.
Nesse momento, informações financeiras exibidas pelo banco podem ficar visíveis para o criminoso.
Dependendo do serviço, isso pode incluir números de conta, saldos, transações recentes, dados de Login e códigos temporários.
A CBS News relatou que criminosos usando essa técnica podem observar em tempo real as vítimas expondo Passwords, números de conta e até One-Time Security Codes.
Códigos temporários podem superar uma importante camada de proteção
Muitas instituições financeiras utilizam Multi-Factor Authentication para proteger contas online.
Portanto, somente saber um Password pode não ser suficiente.
O criminoso também pode precisar de um One-Time Verification Code enviado ao aparelho confiável do cliente.
Isso torna códigos temporários especialmente valiosos.
O modelo de segurança pressupõe que somente o verdadeiro titular consegue ver e usar o código.
Se o código aparecer durante Screen Sharing ou se a vítima for convencida a lê-lo, o criminoso pode obter a informação necessária para completar um login ou transação não autorizada.
Esses códigos devem ser mantidos tão secretos quanto senhas.
Um suposto funcionário do banco não deve precisar que o cliente revele credenciais de Authentication através de FaceTime.
Urgência é um grande sinal de alerta
Uma das características mais constantes dos golpes de Engenharia Social é a pressão.
O interlocutor pode afirmar que dinheiro está sendo roubado naquele momento, que o cartão foi comprometido, que a conta será bloqueada ou que uma transferência precisa ser interrompida em poucos minutos.
Essa urgência é deliberada.
O criminoso não quer que a vítima desligue, entre em contato com o banco de forma independente ou peça opinião a outra pessoa.
A Apple alerta que golpistas frequentemente criam forte sensação de urgência para impedir que o usuário tenha tempo de pensar.
Uma instituição financeira legítima não deveria se opor se o cliente encerrar uma ligação inesperada e ligar novamente usando um número oficial.
Se o interlocutor insiste que a vítima deve permanecer na chamada, esse comportamento já deve ser considerado suspeito.
Não ligue para número incluído em mensagem suspeita
Se uma mensagem inesperada afirma vir do banco e fornece um telefone, não é seguro usá-lo automaticamente.
A melhor opção é procurar independentemente as informações de contato da instituição.
O número impresso no verso do cartão de débito ou crédito é uma opção.
Também é possível utilizar o aplicativo oficial ou o site oficial.
O princípio essencial é criar um novo canal de comunicação que não tenha sido fornecido pela pessoa ou mensagem suspeita.
Isso impede que o mesmo criminoso controle tanto o alerta quanto a suposta solução.
Nunca compartilhe uma tela bancária com um desconhecido
Um pedido inesperado para compartilhar a tela de um iPhone, iPad, Mac ou PC durante uma conversa bancária deve ser considerado um forte Red Flag.
Um banco legítimo não precisa observar o cliente digitando um Password de Online Banking.
Também é importante desconfiar de pedidos para abrir Payment Apps, contas de investimento, Cryptocurrency Wallets ou outros serviços financeiros enquanto a tela está compartilhada.
Recusar o Screen Sharing pode interromper uma parte central do golpe.
Se o suposto funcionário disser que a conta não pode ser protegida sem ver a tela, a ligação deve ser encerrada e o banco deve ser contatado de forma independente.
Apple diz que credenciais de segurança devem permanecer privadas
As orientações oficiais da Apple alertam para nunca compartilhar Passwords, Security Codes ou outras informações de Account Security.
A Apple afirma que não solicita Apple Account Password ou Verification Code para oferecer Support.
A empresa também recomenda não inserir credenciais em um site apenas porque alguém em uma ligação pediu isso.
O mesmo princípio deve ser aplicado a contas bancárias.
Passwords, One-Time Codes e informações de Recovery existem para confirmar que o verdadeiro titular está autorizando o acesso.
Entregar esses dados a outra pessoa pode enfraquecer as proteções criadas para proteger a conta.
FaceTime suspeito pode ser reportado à Apple
A Apple oferece um processo específico para relatar chamadas FaceTime suspeitas.
Usuários que recebem ligação aparentemente proveniente de banco ou instituição financeira podem fazer Screenshot das informações da chamada e reportá-las à Apple.
Links FaceTime suspeitos recebidos por Messages ou Mail também podem ser relatados.
A Apple recomenda que a Screenshot mostre o número de telefone ou Email Address que enviou o link.
Guardar essas informações ajuda a documentar a tentativa de fraude sem exigir que a vítima continue conversando com o golpista.
Se informações já foram expostas, é preciso agir rápido
Quem acredita que um Password ou Verification Code foi exposto deve agir imediatamente.
A senha bancária precisa ser alterada.
Se o mesmo Password tiver sido utilizado em outros sites ou serviços, essas contas devem receber senhas únicas diferentes.
O cliente deve analisar a atividade bancária recente em busca de transações desconhecidas.
Se dinheiro já tiver sido transferido ou aparecer atividade suspeita, o departamento de Fraud do banco deve ser contatado usando um número verificado o mais rápido possível.
Quanto mais rápido o banco for informado, mais tempo terá para investigar, proteger a conta e avaliar se o dinheiro pode ser recuperado.
FaceTime é o canal, não a vulnerabilidade
A existência de fraude bancária via FaceTime não significa que FaceTime tenha sido tecnicamente comprometido.
Os criminosos estão utilizando uma ferramenta legítima de comunicação para executar Engenharia Social.
Essa diferença é importante.
Uma plataforma segura não consegue proteger completamente um usuário convencido a revelar voluntariamente suas informações.
Por isso, deve-se avaliar o que o interlocutor está pedindo, em vez de supor que a conversa é confiável apenas porque ocorre em um serviço familiar da Apple.
Pedidos inesperados de Password, One-Time Code, Screen Sharing ou transferência imediata de dinheiro devem ser considerados sinais de alerta, independentemente de chegarem por FaceTime, telefone, Email ou SMS.
