Spoofing é uma técnica usada por hackers para falsificar a identidade de alguém em meios digitais e distribuir vírus ou interceptar informações legítimas, como dados bancários e mensagens pessoais. O recurso é muito utilizado no Brasil como método de engenharia social em golpes de roubo de WhatsApp, em que o criminoso se apodera da conta de alguém para enviar mensagens em nome dela pedindo dinheiro para seus contatos.
Dúvidas sobre esse tipo de ataque vieram à tona na última terça-feira (23), momentos depois que a Polícia Federal deflagrou a operação “Spoofing” para desarticular uma organização criminosa acusada de crimes cibernéticos nas cidades de São Paulo, Araraquara e Ribeirão Preto. Segundo apuração da TV Globo, a ação da PF faz parte do inquérito que investiga a suposta invasão do celular do Ministro da Justiça, Sérgio Moro. Mensagens trocadas pelo ex-juiz no Telegram têm sido publicadas pelo The Intercept Brasil e outros veículos desde o dia 9 de junho, mas a investigação ainda não estabeleceu relação entre o site jornalístico e os supostos hackers. Entenda o que quer dizer spoofing e como se proteger.
Tipos de spoofing
O termo vem de “spoof”, que significa “enganar” em inglês. Spoofing é toda técnica usada por hackers para enganar pessoas ou redes por meio de uma espécie de falsificação de identidade da vítima ou dos aparelhos que ela possui. Em alguns casos, o spoofing pode ser usado apenas para liberar um aplicativo bloqueado na localização real do usuário ou para "trapacear" em um jogo de celular – o chamado spoofing de GPS. No começo da febre do Pokémon Go, usuários lançaram mão desse recurso para burlar as regras do game.
Os tipos de spoofing mais relacionados com crimes virtuais costumam ser: de e-mail, de site, de Identificador de Chamada (Caller ID), de IP e de SMS. Entenda as principais características de cada tipo.
- Spoofing de e-mail: se dá quando um hacker cria um e-mail falso na tentativa de imitar o endereço real de alguém. O objetivo é trocar mensagens com contatos da vítima sem fazer elas perceberem que não estão falando com o usuário legítimo. Esse tipo de ataque costuma ser simples de detectar porque pode ser identificado com um olhar atento ao endereço de e-mail do remetente.
- Spoofing de Identificador de Chamadas (Caller ID): essa modalidade de ataque envolve a imitação de uma linha telefônica. Nesses casos, um hacker pode fazer ligações usando um chip qualquer e fazer com que o número da vítima apareça no identificador de chamadas no smartphone do destinatário.
- Spoofing de SMS: esse tipo de falsificação envolve a ocultação da linha telefônica que remete uma mensagem. A técnica não, necessariamente, está relacionada a crimes: serviços de torpedo online das próprias operadoras lançam mão desse artifício para que uma mensagem enviada pelo computador chegue ao celular do destinatário exibindo o número correto da linha do remetente. Por outro lado, um hacker pode usar essa modalidade de spoofing para se passar por instituição bancária e pedir informações sigilosas por mensagem.
- Spoofing de site: esse tipo de golpe envolve a criação de uma página falsa para enganar vítimas e atrair cliques. Em geral, ataques do tipo estão relacionados à falsificação de sites bancários ou de lojas online com o objetivo de encorajar consumidores a digitarem seus dados de cartão de crédito, por exemplo. A falsificação não afeta o site original. Comumente, vem acompanhada de spoofing de e-mail ou outro tipo de truque de engenharia social para estimular usuários a visitarem o site fake.
- Spoofing de IP: esse tipo de falsificação digital envolve a ocultação do local de origem de um determinado IP para enganar sistemas e praticar crimes cibernéticos. Em ataques DDoS, um ha
O Spoofing é comumente confundido com outro tipo de golpe, o Phishing. Embora sejam parecidos na forma de enganar a vítima, cada um tem uma finalidade específica. O phishing, geralmente, usa a aparência de uma organização conhecida, como de bancos, por exemplo, e pede para que a vítima entregue informações confidenciais, como senhas e números de cartão. Já no caso do Spoofing, o invasor rouba a identidade da vítima e se passa por ela a fim de conseguir informações.
Spoofing no Telegram
O Telegram, assim como qualquer serviço online, pode ser alvo de algum tipo de spoofing como ferramenta de ataque. Em 2016, a firma italiana de segurança digital InTheCyber divulgou um vídeo que demonstrava o uso de spoofing de identificador de chamadas para fazer login na conta da vítima em outro celular. O método envolve imitar a linha telefônica da vítima para obter o código de confirmação enviado pelo aplicativo – o Telegram oferece, até hoje, opção de receber o código de autenticação por meio de ligação.
O truque envolve solicitar o código do Telegram via SMS, aguardar o tempo de expiração e solicitar uma chamada telefônica com o código. Com um celular em mãos imitando o identificador de chamada da vítima, o criminoso pode ligar para o correio de voz da operadora e ouvir o código enviado pelo Telegram que ficou gravado como recado de voz. Para não levantar suspeitas, o celular da vítima deve estar offline durante o procedimento.
Se a técnica foi usada para obter acesso ao Telegram de Sérgio Moro, seu celular não precisaria, necessariamente, ter sido invadido. Afinal, o spoofing permitiria fazer login na conta do ministro em outro smartphone ou computador e, assim, dar acesso ao histórico de mensagens. Moro, assim como o procurador Deltan Dallagnol e outros membros da Lava Jato, dizem ter tido os celulares invadidos. A Polícia Federal não divulgou mais informações sobre a operação, pois a investigação ainda está em curso.
Como se proteger
A proteção contra o spoofing varia conforme o tipo. Na maioria deles, é possível evitar problemas prestando muita atenção nos endereços de e-mail com ofertas tentadoras, assim como nos números de telefone que enviam SMS com links suspeitos. O mesmo vale para spoofing de website: é importante reparar nos detalhes de sites bancários e lojas para ter certeza de que se trata da página legítima.
Em casos que envolvem a falsificação da linha telefônica, é possível criar camadas de proteção com verificação em duas etapas para manter a segurança de aplicativos. Ao criar senhas extras para WhatsApp e Telegram, um eventual invasor não poderá acessar seu histórico de mensagens mesmo que consiga o código de confirmação enviado pela empresa via SMS ou ligação.
Via Polícia Federal, G1, ESET, AVAST, Malwarebytes, InTheCyber (1,2) e The Intercept Brasil
>>> Veja o artigo completo no TechTudo
Mais Artigos...
- Depois do PokéDates, PokéMatch é o novo Tinder de Pokémon Go
- Socióloga do Tinder revela quais erros você deve evitar nas suas fotos
- ESL Pro League Season 7: veja os jogos da fuga do rebaixamento
- Cloudflare lança DNS 1.1.1.1 e promete mais velocidade e privacidade
- CS:GO: MIBR vence Orgless nos playoffs da Flashpoint Season 1 2020
- Museu do Prado ganha Doodle do Google em aniversário de 200 anos
- Raspberry Pi 3 vs Pi 4: veja o que mudou na nova versão do miniPC barato
- Bug faz Chrome travar com apenas 16 dígitos
- Módulo feito com microcomputador permite criar câmeras personalizadas
- League of Legends adiciona mapa e tema de pirata para os personagens
- Dez vezes em que os famosos 'quebraram' a Internet
- Como usar o filtro de signos do Instagram Stories
- LG cogita abandonar mercado de celulares após prejuízo bilionário
- Moto G 3: TV e 1 GB ou 2 GB de RAM? Conheça todas as versões do celular
- GoPro Hero4 Black e Silver ganham atualização e novos recursos para vídeos
- Roteador Intelbras IWR 3000N é bom? Veja especificações e preço no Brasil
- Como habilitar barras de título coloridas em janelas no Windows 10
- MacBook Pro 2019 16" decepciona em índice que avalia assistência técnica
- Samsung anuncia novo fones sem fio que pode 'reconhecer' som ambiente
- Amazon Fire TV vs Chromecast Ultra: veja o comparativo de ficha técnica