Criminosos dizem estar fazendo um “cadastro de vacinação” e pedem que o usuário envie o código de verificação
A técnica, parecida com a de outros golpes, usa a boa-fé da vitima para driblar até mesmo a dupla autenticação do WhatsApp, recurso que busca impedir que o usuário tenha a conta roubada e seja vítima de golpe financeiro.
Após abordar a vítima, fingindo ser funcionários do ministério, o criminoso busca convencer o usuário a fornecer o código de seis números que é enviado via SMS para “confirmar a realização da pesquisa”.
Na realidade, o bando usa o recurso de pedir a senha da dupla autenticação do usuário, acessando o Whatsapp pelo computador. O código é enviado ao celular da vítima e eles pedem que ela passe os dígitos. Se ela não tiver a autenticação em dois estágios ativados, a conta já pode ser clonada neste momento.
Caso esteja ativada, o golpista encerra a suposta pesquisa e entra em contato novamente com a vítima, mas, desta vez, se passando pelo suporte do aplicativo de mensagens. Sob a justificativa de desfazer uma atividade maliciosa, o usuário é orientado a acessar o e-mail e realizar o recadastro de dupla autenticação.
“O que mais nos surpreendeu é que tanto a mensagem quanto o link para recuperar a dupla autenticação são legítimos, ou seja, foram enviados pela dona do aplicativo”, salienta o pesquisador sênior de segurança da Kaspersky, Fabio Assolini.
“Da mesma forma que podemos solicitar a recuperação de uma senha em uma loja online, podemos pedir a recuperação da dupla autenticação do app, caso a senha seja esquecida. O golpe se vale de engenharia social, forçando as vítimas a clicarem no link recebido”, completa.
Assolini explica ainda que os fraudadores permanecem na linha enquanto a vítima acessa o e-mail e o link e ressalta que a página de destino, na realidade, desativa a autenticação em duas etapas. A ideia é permitir que a pessoa crie uma nova senha ao ativar a função novamente.
“O cibercriminoso aproveita que a conta está desprotegida e usa o código temporário recebido na primeira ligação para realizar a instalação em um dispositivo deles”, detalha Assolini. “Assim, consegue seguir com o golpe, entrando em contato com amigos e familiares para pedir dinheiro.”
Segundo a Kaspersky, para evitar ser vítima de golpe, é fundamental ativar a dupla autenticação no WhatsApp. A empresa destaca, no entanto, que apenas o WhatsApp pode dar uma solução definitiva para isso e acabar com os golpes envolvendo o roubo de contas. E é importante relembrar que as senhas de autenticação nunca devem ser fornecidas por telefone.
“Do ponto de vista de segurança, o aplicativo deve melhorar o processo de recuperação da dupla autenticação, permitindo o recadastro na própria página da empresa, em vez de realizar a desativação”, recomenda.
O R7 pediu um posicionamento para o Ministério da Saúde, que ainda não se manifestou.
