A experiência mostra que mesmo os veteranos da Internet não conseguem se proteger contra ataques direcionados. Como nossa vida cotidiana está se tornando cada vez mais conectada à Internet e outras redes, a segurança online está se tornando uma necessidade urgente.

Quase todo mundo tem um e-mail, contas de mídia social e banco online. As pessoas fazem pedidos de produtos online e usam a Internet móvel para se identificar (por exemplo, em soluções de autenticação de dois fatores) e outras coisas importantes. Infelizmente, nenhum desses sistemas é totalmente seguro.

Quanto mais interagimos online, maior se torna o alvo para hackers astutos; especialistas em segurança chamam isso de "superfície de ataque". Quanto maior for a superfície - mais fácil de atacar. Se você der uma olhada nessas três histórias dos últimos três anos, verá claramente como isso funciona.

Como roubar uma conta: hackear ou apenas fazer um telefonema?

Uma das ferramentas mais poderosas usadas por hackers é o “hacking humano” ou engenharia social. Em 26 de fevereiro de 2016, o editor do Fusion, Kevin Roose, decidiu verificar se é realmente TÃO poderoso. A engenheira-hacker Jessica Clark e o especialista em segurança Dan Tentler aceitaram o desafio.

Jessica prometeu hackear o e-mail de Kevin com um telefonema e ela cumpriu essa tarefa com sucesso. Primeiro, sua equipe fez um perfil de 13 páginas, que cobria o tipo de homem que Roose é, do que ele gosta e não gosta e assim por diante. Todos os dados foram retirados de fontes públicas.

Depois de se preparar, Jessica falsificou o número do celular de Kevin e ligou para a companhia telefônica dele. Para aumentar a tensão, ela ligou um vídeo de bebês chorando ao fundo.

Jessica se apresentou como esposa de Roose. Diz a lenda que ela e o “marido” iam pedir um empréstimo, mas a jovem e esgotada mãe esqueceu o endereço de e-mail que utilizaram juntos. Sendo acompanhada por bebês chorando, Jessica rapidamente persuadiu o serviço de suporte a redefinir a senha do e-mail e recebeu acesso total ao e-mail de seu alvo.

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

Dan Tentler resolveu sua tarefa com a ajuda de phishing . Primeiro, ele percebeu que Kevin tinha um blog no Squarespace e enviou a ele um e-mail oficial falso dessa plataforma de blog. Na carta, os administradores do Squarespace pediram aos usuários que atualizassem o certificado SSL por uma questão de “segurança”. Em vez de proteção, esse arquivo deu a Tentler acesso ao PC de Kevin. Dan criou vários popups falsos que pediam a Roose credenciais específicas - e tudo estava pronto.

Tentler obteve acesso aos dados bancários, e-mail e credenciais de login de lojas online de Kevin, bem como dados de cartão de crédito e número de previdência social. Além disso, Dan adquiriu fotos de Roose e sua tela, que foram tiradas automaticamente a cada dois minutos por 48 horas de hack.

Como roubar um engenheiro de software

Na primavera de 2015, o desenvolvedor de software Partap Davis perdeu US $ 3.000. Em poucas horas da noite, um hacker desconhecido teve acesso às suas duas contas de e-mail, número de telefone e conta do Twitter. O culpado espertamente contornou o sistema de autenticação de dois fatores e limpou as carteiras Bitcoin de Partap. Como você pode imaginar, Davis teve uma manhã muito desagradável.

É importante notar que Patrap Davis é um internauta bastante experiente: ele sempre escolhe senhas confiáveis ​​e nunca clica em links maliciosos. Seu e-mail é protegido pelo sistema de autenticação de dois fatores do Google, então, quando ele faz login em um novo computador, ele precisa digitar seis dígitos que são enviados por mensagem de texto para seu telefone celular.

Davis manteve suas economias em três carteiras Bitcoin protegidas por outro serviço de autenticação de dois fatores, fornecido pelo aplicativo móvel Authy. Embora Davis tenha usado todas essas medidas de segurança razoáveis, elas não o salvaram de hackers direcionados.

Após o incidente, Davis ficou muito irritado e passou várias semanas procurando o criminoso. Ele também alcançou e recrutou editores da The Verge para essa missão. Juntos, eles conseguiram descobrir como o hack foi executado.

Davis usou como e-mail principal o endereço Patrap@mail.com. Todas as cartas foram encaminhadas para um endereço do Gmail com nome menos memorável (pois Patrap@gmail.com já estava em uso).

Por vários meses, qualquer pessoa que quisesse poderia comprar um script especial no Hackforum que permitia ao proprietário identificar uma falha na página de redefinição de senha do Mail.com. Aparentemente, esse script foi usado para ignorar a autenticação de dois fatores e alterar a senha de Davis.

Depois disso, o hacker solicitou uma nova senha da conta ATT de Davis e pediu ao serviço de atendimento ao cliente que encaminhasse as ligações recebidas de Davis para um número de Long Beach. O serviço de suporte recebeu o e-mail de confirmação e concordou em ceder o controle das ligações para o culpado. Com uma ferramenta tão poderosa em mãos, não foi tão difícil contornar a autenticação de dois fatores do Google e obter acesso à conta do Gmail de Davis.

Como os SMSs ainda eram enviados para o antigo número de telefone de Davis, o hacker usou a função de acessibilidade do Google para pessoas com visão fraca. Ofereceu-se para ler o código de confirmação em voz alta pelo telefone. Então, o Gmail foi hackeado e apenas o aplicativo Authy ficou entre o hacker e sua recompensa.

Para superar esse obstáculo, o criminoso simplesmente redefiniu o aplicativo em seu telefone usando um endereço mail.com e um novo código de confirmação, novamente enviado por chamada de voz. Quando literalmente todas as medidas de segurança estavam em suas mãos, o hacker alterou as senhas de uma das carteiras Bitcoin de Davis, usando o endereço de Authy e mail.com, e transferiu todo o dinheiro.

O dinheiro nas outras duas contas permaneceu intocado. Um dos serviços simplesmente não permite retirar fundos em 48 horas após a redefinição da senha. O outro pediu para fornecer uma digitalização da carteira de motorista de Davis, que o hacker não conseguiu obter.

Corrico ameaçador destrói vidas reais

Como escreveu o jornal Fusion em outubro de 2015, a destruição da vida da família Straters começou com pizza. Vários anos atrás, todos os cafés e restaurantes locais lotavam seu quintal com pizzas, tortas e outros tipos de comida espontâneos. Paul e Amy Strater tiveram que se desculpar e recusar o pedido.

Logo depois os buquês chegaram, acompanhados de grandes quantidades de areia e cascalho, guinchos e outros produtos e serviços indesejados. Isso acabou sendo apenas a ponta do iceberg, pois os três anos seguintes foram um verdadeiro pesadelo.

Paul Strater, engenheiro sênior de transmissão de uma estação de TV local, e sua esposa Amy Strater, ex-administradora de hospital, foram vítimas de um hacker desconhecido ou de um grupo de hackers que não se davam bem com seu filho Blair. As autoridades receberam ameaças de bomba assinadas com seus nomes. Hackers usaram a conta de Amy para publicar um plano de ataque à escola primária. A nota de cobertura incluía o título “Vou atirar na sua escola”. A polícia passou a ser hóspede frequente em sua casa, o que não melhorou seu relacionamento com os vizinhos, que se perguntavam o que diabos estava acontecendo.

Os criminosos até conseguiram hackear a conta oficial da Tesla Motors e postaram uma mensagem, que encorajou os fãs a ligar para os Straters e receber um carro Tesla grátis. Esse foi o "fim de semana no telefone" para Straters, já que Amy e Blair recebiam até cinco ligações por minuto de admiradores da Tesla, que queriam adquirir um carro na "promoção". Um homem até visitou a casa dos Straters e exigiu que os proprietários abrissem a porta da garagem, já que ele suspeitava que seu Tesla livre estava escondido lá.

Paul tentou interromper um cerco: ele mudou as senhas de todas as suas contas e instruiu os gerentes dos restaurantes locais a não entregar nada em seu endereço, a menos que fosse pré-pago integralmente. Ele também ligou para o Departamento de Polícia de Oswego e pediu que ligassem com antecedência para verificar se a emergência era real, antes de enviar reforços. Em algum momento no decorrer de todos esses problemas, o casamento de Paul e Amy acabou.

Os ataques não pararam. As contas de mídia social de Amy foram hackeadas e usadas para publicar uma série de alegações racistas. Logo depois disso, ela perdeu o emprego. Ela foi demitida, apesar de ter dito proativamente aos chefes que alguém está continuamente transformando ela e sua vida familiar em pesadelo.

Com o tempo, Amy recuperou o controle sobre seu LinkedIn e conseguiu excluir sua conta no Twitter. Mas por algum tempo Amy não conseguiu encontrar um emprego em sua profissão por causa desse histórico. Ela teve que trabalhar no Uber para sobreviver, mas isso não era suficiente e ela corria o risco de perder sua casa.

“Quando você pesquisava o nome dela no Google, costumava ver todos os seus artigos acadêmicos e as coisas boas que ela fez”, disse seu filho Blair ao Fusion. “Agora é: hacker, hacker, hacker.”

Algumas pessoas culpam Blair Strater, que estava em vários círculos de cibercriminosos e não encontrou amigos em um ou vários deles . De qualquer forma, no caso da família Straters, os pais pagam pelos “pecados” de seus filhos, já que eles não tiveram nada a ver com aqueles hackers.

OK, existe algum caminho para a segurança?

Essas histórias mostram que é quase impossível se proteger de hackers direcionados. Portanto, se você tem algo que deseja ocultar, não o deixe ficar online. Felizmente, a maioria das pessoas não está interessada nos culpados qualificados. Você e eu precisamos de proteção contra os cibercriminosos que visam o público em geral. Existem muitos desses “especialistas” na Internet e, felizmente, eles usam métodos mais simples.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.