O mercado negro está a registar uma grande procura (e muita oferta) por soluções automatizadas que visam roubar os códigos nos sistemas de verificação de dois fatores. Estes bots ajudam os hackers a entrar em contas de Coinbase, Amazon, PayPal, bancos e outras instituições
Há cada vez mais bots direcionados para roubar códigos de autenticação de dois fatores (2FA) de serviços como o Apple Pay, PayPal, Amazon, Coinbase ou outros à venda no mercado negro. Um hacker mostrou ao Motherboard que o sistema realmente funciona e é bastante simples, sendo uma escolha natural para os piratas que não têm tantas capacidades de engenharia social.
Kaneki, o pirata contactado, usou o bot para ligar ao jornalista do Motherboard, que foi iludido para digitar um código no telefone e mostrou que o bot recebeu esse mesmo código do seu lado. OTPGOD777, outro utilizador nestes fóruns, complementa que “o bot é espetacular para as pessoas que não têm skills de engenharia social (…) nem toda a gente é confortável e convincente ao telefone”. Estes bots estão disponíveis por algumas centenas de dólares no mercado negro e, aliados a outras formas de pirataria e outros dados, são uma forma de se entrar nas contas de utilizadores, pondo em causa privacidade ou roubando mesmo conteúdos e dinheiro.
Para começar o esquema, o hacker necessita de ter o nome de utilizador ou endereço de email e password da vítima, que podem estar disponíveis em repositórios criados com base em fugas de informação anteriores. Uma vez que muitas pessoas reutilizam credenciais, é uma questão de probabilidades até se acertar numa password usada noutro serviço. Depois, no Telegram ou no Discord, o pirata pode digitar o número de telefone que pretende atacar, com o bot a colocar o número em plataformas de chamadas online semelhantes ao Twilio para começarem a ser feitas as chamadas. “O Twilio tem vindo a encerrar as contas de bots OTP (de one time password)”, asseguram os hackers envolvidos, com a empresa também a revelar ter uma equipa a monitorizar este tipo de atividade.
Independentemente da plataforma de conversação usada, o bot pretende telefonar para a vítima e, com uma história qualquer como sendo a proteção contra uma transação fraudulenta ou o bloqueio de uma tentativa de entrada não autorizada, ludibriá-la a colocar o código OTP recebido. O hacker, ao receber esse código introduzido pelo utilizador, pode depois usá-lo para levar a sua avante.
Rachel Tobac, CEO e co-fundadora da SocialProof Security, considera, depois de ter ouvido uma chamada de exemplo, que “isto seria suficiente para convencer muitas vítimas a ceder os seus códigos OTP/2FA e o pirata nem sequer precisa de ser um engenheiro social muito bom, podem só usar este bot para tentar entrar na conta”.
No Telegram, em determinados grupos, é possível ver capturas de ecrã como evidências de utilização bem-sucedida destes bots na obtenção dos códigos junto das vítimas. Os preços começam nos 600 dólares para utilização de um mês ou 4000 dólares para licenças ‘vitalícias’.
Comentários
Enviar um comentário