Conheça os piratas informáticos que manipulam contas e nomes de utilizador do Instagram e criptomoedas apreendidas num mercado clandestino, sombrio e movimentado, onde se negoceiam contas e nomes de utilizador roubados. O ponto fraco das vítimas? Os seus números de telefone.
O roubo de cartão SIM (SIM swapping) é uma ameaça pouco conhecida, mas em crescimento. Para saber como impedir que os piratas informáticos lhe roubem o número de telefone, leia o nosso guia sobre como se proteger destes ataques.
Cela ressemblait à n’importe quelle autre nuit chaude de septembre dans la banlieue de Salt Lake City. Rachel Ostlund venait de coucher ses enfants et se préparait à aller se coucher à son tour. Elle envoyait un SMS à sa sœur lorsque, de façon inattendue, son téléphone portable a perdu le réseau. Le dernier message que Rachel avait reçu provenait de T-Mobile, son opérateur. La carte SIM associée à son numéro de téléphone, selon le message lu, avait été «mise à jour».
A Rachel fez o que a maioria das pessoas teria feito nesta situação: desligou e voltou a ligar o telemóvel. Não adiantou.
Subiu as escadas e disse ao marido, o Adam, que o telemóvel não funcionava. O Adam tentou ligar para o número da Rachel com o seu telemóvel. Tocou, mas o telefone nas mãos da Rachel não acendeu. Ninguém atendeu. Entretanto, a Rachel iniciou sessão no seu e-mail e reparou que alguém estava a redefinir as palavras-passe de várias das suas contas. Uma hora depois, o Adam recebeu uma chamada.
«Passa-me a Rachel ao telefone», pediu uma voz do outro lado da linha. “Agora.”
Adam a répondu que non et a demandé ce qui se passait.
“Estamos a lixar-vos, a violar-vos e a destruir a vossa vida”, disse o autor da chamada. “Se sabe o que é bom para si, ponha a sua mulher ao telefone.”
Adam a refusé.
«Nous allons détruire votre crédit», a poursuivi la personne, en citant des membres de la famille de Rachel et d’Adam, ainsi que leurs adresses, informations que le couple pense avoir obtenues depuis le compte Amazon de Rachel. «Que se passerait-il si nous leur faisions du mal ? Que se passerait-il si nous détruisions leur crédit puis leur laissions un message disant que c’était à cause de vous ?
“Estamos a lixar-te, a violar-te e a destruir a tua vida.”
Le couple ne le savait pas encore, mais il venait tout juste de devenir la dernière victime des pirates qui détournent des numéros de téléphone afin de dérober de précieux noms d’utilisateur Instagram et de les vendre en Bitcoin. Cette nuit de fin d’été 2017, les Ostlund étaient en train de parler à deux de ces pirates, qui avaient pris le contrôle du compte Instagram de Rachel, dont le pseudo était @Rainbow. Ils demandaient maintenant à Rachel et Adam de renoncer à son compte Twitter @Rainbow.
No mercado clandestino em voga de nomes de utilizador de jogos e redes sociais roubados, um nome de utilizador único e curto pode custar entre 500 e 5000 dólares norte-americanos, segundo pessoas envolvidas no comércio e uma análise das listagens num mercado popular. Vários piratas envolvidos no mercado afirmaram que a conta de Instagram @t, por exemplo, foi vendida recentemente por cerca de 40 000 $ em Bitcoin.
O seu telemóvel ou o seu Instagram foi pirateado? Conte-nos a sua história.Pode contactar este jornalista de forma segura através do Signal, no +1 917 257 1382, do chat OTR, em [email protected], ou por e-mail, em [email protected].
En piratant le numéro de téléphone de Rachel, les pirates ont pu s’emparer non seulement de son compte Instagram, mais aussi de ses comptes Amazon, Ebay, Paypal, Netflix et Hulu. Aucune des mesures de sécurité que Rachel avait mises en place pour protéger certains de ces comptes, y compris l’authentification à deux facteurs, ne tenait plus une fois que les pirates avaient pris le contrôle de son numéro de téléphone.
«Foi uma noite muito tensa», recordou Adam. “Não consigo acreditar que tiveram a lata de nos ligar.”
IMAGE : SHUTTERSTOCK
UMA AMEAÇA SUBESTIMADA
Em fevereiro, a T-Mobile enviou uma mensagem de texto em massa a alertar os clientes para uma ameaça «setorial». Segundo a empresa, os criminosos recorrem cada vez mais a uma técnica chamada «fraude de portabilidade fantasma» para visar e roubar os números de telefone das pessoas. A fraude, também conhecida como troca ou desvio do cartão SIM , é simples mas extremamente eficaz.
Em primeiro lugar, os criminosos telefonam para o número de apoio técnico de uma operadora de telemóvel fazendo-se passar pelo alvo. Explicam ao funcionário da empresa que «perderam» o cartão SIM, pedindo que o número de telefone seja transferido ou migrado para um novo cartão SIM que os próprios piratas já possuem. Com um pouco de engenharia social – talvez fornecendo o número de segurança social da vítima ou a morada da sua residência (que muitas vezes está disponível graças a uma das numerosas violações de dados ocorridas nos últimos anos) – os criminosos convencem o funcionário de que são quem dizem ser, e o funcionário transfere o número de telefone para o novo cartão SIM.
Jogo terminado.
«Com o número de telefone de alguém», explicou-me um hacker que realiza a troca do cartão SIM, «consegue aceder a todas as contas que essa pessoa possui em poucos minutos, e ela não pode fazer nada a respeito.»
UMA CAPTURA DE ECRÃ DA MENSAGEM DE TEXTO QUE RACHEL OSTLUND RECEBEU QUANDO PIRATAS INFORMÁTICOS TOMARAM O SEU NÚMERO DE TELEFONE.
A partir daí, a vítima perde o serviço, uma vez que apenas um cartão SIM pode estar ligado à rede móvel com um determinado número de cada vez. E os piratas informáticos podem redefinir as contas da vítima e frequentemente contornar medidas de segurança, como a autenticação de dois fatores, usando o número de telefone como método de recuperação.
Alguns serviços, incluindo o Instagram , exigem que os utilizadores forneçam um número de telefone na configuração de dois fatores, uma condição que tem o efeito inesperado de dar aos piratas outro método para aceder a uma conta. Com efeito, se os piratas informáticos controlarem o número de um alvo, podem contornar a autenticação de dois fatores e entrar na conta do Instagram sem sequer conhecer a palavra-passe. ( Consulte o nosso guia sobre como proteger o seu número de telefone e as contas associadas contra piratas informáticos .)
Eric Taylor, um hacker anteriormente conhecido como CosmoTheGod , usou esta técnica em algumas das suas façanhas mais famosas, como quando invadiu a conta de correio eletrónico do CEO da CloudFlare em 2012. Taylor, que trabalha atualmente para a empresa de segurança Path Network , disse-me que ter um número de telefone associado a uma das suas contas online o torna «vulnerável a miúdos de 13 a 16 anos que tomam conta das suas contas simplesmente pegando no seu telefone menos de cinco minutos depois de ligarem para a porra da sua operadora.»
«Acontece o tempo todo», acrescentou.
Tem uma dica? Pode contactar este jornalista em segurança através do Signal, no +1 917 257 1382, por chat OTR em [email protected] ou por correio eletrónico para [email protected].
Roel Schouwenberg, diretor de inteligência e investigação do Celsus Advisory Group, investigou problemas como a troca de cartões SIM, a contornação da autenticação de dois fatores e o uso indevido dos mecanismos de recuperação de contas. Na sua opinião, nenhum número de telefone é totalmente seguro, e os consumidores devem estar conscientes disso.
«Qualquer tipo de número pode ser portado», disse-me Schouwenberg. «Um criminoso determinado e com recursos conseguirá obter, pelo menos, um acesso temporário a um número, o que muitas vezes é suficiente para levar a cabo um assalto.»
Il est troublant que les numéros de téléphone portable soient devenus des «clés principales» de toute notre identité en ligne, comme il l’a expliqué dans un article de blogue l’année dernière.
«A maioria dos sistemas não foi concebida para lidar com atacantes que se apoderam de números de telefone. É realmente muito grave», escreveu Schouwenberg. «O nosso número de telefone tornou-se um identificador quase irrevogável. Nunca foi concebido para tal, tal como os números da segurança social nunca foram concebidos como documentos de identificação. Hoje em dia, um número de telefone é a chave do reino para a maioria dos serviços e contas.»
Ce que les pirates informatiques font une fois qu’ils contrôlent votre numéro de téléphone dépend précisément de ce qu’ils recherchent.
“Je prends leur argent et je vis ma vie”
Se a sua bicicleta for roubada, deve verificar no Craigslist se alguém a está a vender no mercado negro. Se a sua conta de Instagram for roubada através de uma troca de cartão SIM, deve verificar o OGUSERS.
À primeira vista, o OGUSERS parece um fórum como qualquer outro. Existe uma secção de «spam / brincadeiras» e outra para discutir temas como música, entretenimento, anime e jogos. Mas a parte mais importante e mais ativa é o mercado, onde os utilizadores compram e vendem nomes de utilizador de jogos e redes sociais, por vezes por milhares de dólares.
Numa publicação recente, alguém vendeu a conta de Instagram @Bitcoin por 20 000 dólares, segundo um dos administradores do fórum. Num anúncio ainda online a 13 de junho, um utilizador anunciava a venda de @eternity no Instagram por 1000 dólares.
Estes são apenas dois exemplos do tipo de contas à venda no OGUSERS. O fórum foi lançado em abril de 2017 para dar às pessoas um local de compra e venda de nomes de utilizador «OG». (O nome do fórum vem do termo de gíria OG, abreviatura de «original gangster».) Um OG numa rede social é um nome de utilizador considerado fixe, talvez por ser uma única palavra, como @Sex, @Eternity ou @Rainbow. Ou talvez por ser um nome muito curto, como @t ou @ty. As celebridades também foram visadas.
CAPTURA DE ECRÃ DA CONTA DE INSTAGRAM DE SELENA GOMEZ APÓS O PIRATARIA INFORMÁTICA.
Em agosto do ano passado, por exemplo, piratas informáticos assumiram o controlo da conta de Instagram de Selena Gomez e publicaram fotografias de Justin Bieber nu. O primeiro nome que constava na conta de Gomez foi também substituído por «Islah», idêntico ao utilizado na altura por um membro do OGUSERS com o nome de utilizador Islah. Segundo hackers do OGUSERS, as pessoas que afirmavam estar por trás do ataque a Gomez disseram tê-lo feito ao apoderarem-se do número de telemóvel associado à conta de Instagram da cantora e atriz, que tinha 125 milhões de seguidores na altura da invasão.
«Mon Dieu, ils ont vraiment piraté la personne la plus suivie sur Instagram», a commenté un membre d’OGUSERS dans un fil de discussion intitulé «RIP SELENA GOMEZ».
Uma porta-voz de Gomez recusou comentar por correio eletrónico.
