Voici um guia para o proteger contra a ameaça de piratas informáticos que tomam o controlo do seu número de telemóvel para invadirem as suas contas online.
Os piratas informáticos têm como alvo utilizadores do Instagram com nomes de utilizador curtos ou únicos, bem como detentores de Bitcoin. Para roubarem as contas ou as criptomoedas da vítima, os piratas começam por obter os números de telemóvel dos alvos, o que lhes dá a possibilidade de redefinir as palavras-passe de qualquer conta associada a um determinado número.
Este tipo de ataque é conhecido como fraude de portabilidade – uma expressão derivada do conceito de transferência de um número de uma operadora para outra – e também é chamado de troca de cartão SIM ou SIM swap. Um pirata informático que costumava fazer trocas de cartão SIM disse-me que isto acontecia «o tempo todo», embora os fornecedores de serviços de telecomunicações conhecessem este método de ataque há anos. Segundo a T-Mobile, centenas de pessoas foram afetadas por esta fraude. Nos últimos meses, a Motherboard falou com mais de 30 vítimas que tiveram o seu número roubado. Para além da sua conta do Instagram, uma vítima de desvio de cartão SIM com quem falei viu as suas contas da Amazon, Ebay, Paypal, Netflix e Hulu invadidas.
« Os nossos telemóveis são a nossa maior vulnerabilidade », disse-me ela.
Então, o que podes fazer para te proteger?
No fim de contas, este ataque baseia-se em burlões que enganam o suporte técnico da operadora, e se os representantes da empresa caírem no engano, é importante lembrar que só pode fazer até certo ponto. A boa notícia é que pode tornar o roubo do seu número de telemóvel muito mais difícil para os piratas. E, o que é ainda mais importante, pode tomar medidas para limitar os danos caso lho roubem de qualquer maneira.
Eis como.
REFORÇAR A SEGURANÇA DA SUA CONTA
Perante a multiplicação de ataques às contas de clientes, os principais fornecedores de telemóveis nos Estados Unidos introduziram novas funcionalidades de segurança destinadas a dificultar a tomada de controlo de contas e números de telefone por parte dos piratas.
A AT&T permite aos clientes adicionar um código de autenticação às suas contas. Esta credencial é distinta da palavra-passe que os clientes usam para iniciar sessão nas suas contas online. Este código de autenticação será necessário para fazer alterações importantes na conta, como transferir o número para outro cartão SIM.
A Verizon indica que cada cliente deve agora ter um código PIN ou uma palavra-passe como método de «autenticação principal» ao contactar um centro de atendimento. Este código PIN é semelhante ao código de autenticação que os clientes da AT&T podem configurar, pois é utilizado ao comunicar com o suporte técnico da Verizon e fornece uma camada de segurança adicional.
No ano passado, a T-Mobile começou a oferecer uma « funcionalidade de validação de portabilidade » para se proteger contra estes ataques. Trata-se essencialmente de um código de autenticação, distinto da palavra-passe habitual para aceder à conta online, que é exigido sempre que alguém tenta fazer alterações na conta, por exemplo para obter um novo cartão SIM. Peça a um representante da T-Mobile para adicionar este código à sua conta. Isto pode protegê-lo de um pirata informático que se possa fazer passar por si, ou de um burlão que tente usar uma identidade falsa numa loja T-Mobile, uma vez que deverá continuar a ser obrigado a fornecer o código.
A Sprint também oferece aos clientes um código PIN separado a fornecer ao trocar de cartão SIM, para além da possibilidade de responder a uma pergunta de segurança.
Aconselhamos que contacte diretamente o seu operador, que lhe diga que receia que criminosos se apoderem do seu número de telefone e que lhe peça todas as medidas de segurança adicionais que possa adotar para proteger a sua conta.
NE LIEZ PAS VOTRE NUMÉRO À VOS COMPTES EN LIGNE
Depois de os piratas informáticos roubarem o seu número de telefone, utilizam-no para repor a palavra-passe de qualquer conta online associada a esse número. Em muitos casos, isto contorna a autenticação de dois fatores. É por isso que controlar um número de telefone é tão poderoso.
Se possível, remova o seu número de telefone de qualquer conta que possa interessar aos piratas informáticos. Pode sempre associar a essas contas um outro tipo de número de telefone, mas sugerimos que utilize um número VoIP, como um número do Google Voice, que está protegido contra o SIM swapping. Naturalmente, também deve proteger esse número, utilizando uma palavra-passe única, a autenticação de dois fatores na conta e certificando-se de que não expira caso não o utilize com regularidade.
Para remover o seu telefone da sua conta Gmail, aceda a myaccount.google.com, inicie sessão (se necessário) e clique em Informações pessoais e privacidade e, depois, em Informações pessoais. Se o seu número estiver lá, elimine-o. Certifique-se também de que não tem nenhum número de telefone indicado em Opções de recuperação da conta. Em vez disso, adicione uma aplicação de autenticação de dois fatores, como o Google Authenticator.
Si vous souhaitez vraiment avoir un numéro, nous vous suggérons de créer un nouveau numéro Google Voice – à partir d’un compte Gmail différent, idéalement ad hoc – et d’utiliser ce numéro. Notez que Google Voice n’est disponible qu’aux États-Unis, donc n’importe où ailleurs et vous devrez essayer un autre service VoIP. (Astuce: criem e guarde sempre os códigos de recuperação ao ativar a autenticação de dois fatores .)
Para remover o seu telefone da sua conta Microsoft, aceda a account.live.com, vá a Segurança e clique em Atualizar informações em Atualize as suas informações de segurança. Se tiver um número de telefone, remova-o, a menos que seja um número Google Voice ou outro número VoIP.
Se utilizar um dispositivo Apple, aceda a appleid.apple.com, inicie sessão e clique em Editar ao lado da secção Segurança. Adicione o seu número Google Voice ou VoIP como número de telefone de confiança e, em seguida, remova o seu número de telefone habitual, se existir. Para o iMessage e o FaceTime, tem de continuar a fornecer o seu número de telemóvel real, mas pode utilizar outro como número de telefone de confiança.
No Twitter, clique no seu avatar, aceda a Definições e privacidade e, em seguida, vá a Telemóvel no menu da direita. Se tiver ativado a dupla autenticação, terá de fornecer um número. Por essa razão, sugerimos que forneça um número VoIP ou Google Voice para que os piratas informáticos não o possam trocar. Também é possível utilizar simplesmente uma aplicação de autenticação ou uma chave de segurança e remover completamente o seu número de telefone do Twitter.
A situação é semelhante no Instagram: a partir da aplicação móvel, clique no seu avatar, depois em Editar perfil e substitua o seu número por um número VoIP ou Google Voice. Ao contrário do Twitter, não é possível remover completamente o seu número de telefone do Instagram sem desativar a dupla autenticação.
No Facebook, selecione Definições na seta pendente no canto superior direito. Primeiro, clique em Telemóvel no menu da direita e remova o seu número de telefone. Adicione agora o seu número Google Voice ou outro número VoIP. Em seguida, aceda a Segurança e início de sessão (também no menu da direita), clique em Editar na opção Utilizar a autenticação de dois fatores e certifique-se de que o seu novo número VoIP ou Google Voice está presente.
Por fim, na Amazon, clique em Contas e listas e, em seguida, em A sua conta. Clique depois em Início de sessão e segurança, introduza a sua palavra-passe e verifique se o seu número aparece aí. Se aparecer, já conhece o procedimento: substitua-o pelo seu número VoIP ou Google Voice.
Sugerimos que faça o mesmo para a PayPal, eBay, Netflix e outras contas semelhantes, bem como para o banco da sua escolha.
