Os fabricantes vivem uma constante corrida de gato e rato com quadrilhas que se especializam em encontrar formas de furar as inovações a cada atualização lançada
(FOLHAPRESS) – Não existe sistema inviolável, e criminosos contam com um conjunto de técnicas, equipamentos, programas, tutoriais e muitas brechas para quebrar tecnologias consideradas ultras seguras nos celulares mais avançados, como biometria e reconhecimento facial.
É o que dizem especialistas em cyber segurança ouvidos pela reportagem para explicar o fenômeno dos “limpa-conta” ,quadrilhas que se especializam no furto de celulares com o objetivo de fraudar contas bancárias. A explosão desse tipo de crime, principalmente na capital paulista, foi revelado pelo jornal Folha de S.Paulo em uma série de reportagens.
E a culpa não necessariamente recai sobre a vítima que colocou a data de aniversário como senha e a repetiu em vários aplicativos, embora essa pessoa facilite muito o trabalho dos bandidos.
Parte da responsabilidade também é das instituições bancárias que não fornecem ou não informam ao cliente sobre- opções robustas de proteção contra acessos indevidos a seus apps. Já os fabricantes vivem uma constante corrida de gato e rato com quadrilhas que se especializam em encontrar formas de furar as inovações a cada atualização lançada.
“Vejo a situação atual como bastante preocupante, porque há ferramentas tecnológicas que podem ser usadas para desbloquear um aparelho roubado e, até onde a gente sabe, a maioria dessas quadrilhas ainda não está usando essas ferramentas, e já conseguem roubar as contas bancárias”, afirmou Fabio Assolini, especialista em segurança da Kaspersky. “O diabo mora nos detalhes, e esses grupos exploram os detalhes.”
Segundo Assolini, ainda não está disseminado o uso do “jailbreak” -mecanismo para burlar o sistema operacional da Apple que, em seus primórdios, era empregado por usuários desejosos de instalar programas não permitidos pelo iOS, especialmente jogos. De 8 vítimas identificadas pela reportagem que tiveram suas contas bancárias invadidas por criminosos, 7 delas tinham iPhone nos modelos 10 e 11.
Entre as ferramentas de “jailbreak” estão a Checkra1n, disponível para iPhones entre 7 e 11; unc0ver, que libera todos os aparelhos que usem do iOS 11 ao iOS 13.5; e Chimera, que vai até o iOS 12.2. A última versão disponível desse sistema operacional é a 14.6.
As técnicas empregadas variam conforme esse grau de sofisticação, e não necessariamente precisa haver um mestre em tecnologia por trás.
“São tantos os vídeos no YouTube que ensinam, fazem tutoriais, que qualquer pessoa com um pouco de dedicação consegue”, afirma Marcos Sêmola, diretor de cibersegurança da EY Brasil.
Uma técnica empregada é relativamente simples: a retirada do chip do aparelho furtado, que é então inserido em um aparelho desbloqueado para acesso a conteúdo de nuvem e outras informações. De posse de senhas e outros dados, podem conseguir então desbloquear o aparelho original da vítima.
Poucos usuários sabem que podem proteger o chip por uma senha.
De acordo com Thiago Bordini, diretor de inteligência cibernética da Axur, as quadrilhas um pouco mais sofisticadas já se dividem em, digamos, três equipes mais especializadas.
“Tem o responsável por furtar o celular na rua, um responsável técnico que pega o celular após furto para fazer o desbloqueio do aparelho e por último um responsável que irá fazer os trâmites financeiros, como limpeza da conta bancária”, explica.
Programas formulados por desenvolvedores para fins legais também acabam sendo usados por esses criminosos, ele explica, já que esses softwares precisam estar atualizados para atender as necessidades dos clientes com os sistemas operacionais mais novos.
É o caso do programa dr.fone, que pode ser adquirido por cerca de R$ 300 para Android, R$ 700 para iOS ou R$ 760 para ambos, com todas as funcionalidades liberadas para cinco aparelhos por um ano, mais seguro de R$ 25. A versão para Apple já tem compatibilidade com iOS 14.
O site anuncia serviços como desbloquear as telas de “iPhone e iPad em cinco minutos”. “Nenhum conhecimento técnico exigido, qualquer um consegue fazer.”
Há pacotes gratuitos com serviços reduzidos. O aplicativo é conhecido de usuários idôneos que mudam de sistema operacional e precisam migrar seus dados, por exemplo, ou que inadvertidamente bloquearam seus próprios aparelhos.
Softwares desenvolvidos por empresas especializadas em perícias digitais também podem ser adquiridos pela internet, a um custo mais elevado: entre US$ 50 mil e US$ 60 mil.
Um exemplo é o Oxygen Forensics Extractor, que “permite que você se conecte com uma ampla gama de aparelhos Apple iOS e Android e importe variados backups para recuperar evidências digitais valiosas de maneira rápida e eficiente”.
“Uma vez que os dados são extraídos, os usuários podem escolher entre salvá-los em um backup OFB para ser mais tarde importado para nosso poderoso Oxygen Forensic Detective, comprado separadamente, ou exportado imediatamente para algum de nossos formatos, como PDF, HTML, XML etc.”
A versão Detective, segundo o site da empresa, além de furar as telas de bloqueio e descobrir senhas de backups e imagens criptografados, obtém dados de nuvem, smartwatch, ferramentas de IoT, outros serviços de armazenamento e de reconhecimento óptico, facial e de imagem.
Sêmola explica a segurança digital em termos de perímetros, ou seja, camadas de proteção que se sobrepõem e que dependem de uma série de escolhas feitas pelos diferentes agentes. Uma comodidade como desbloquear vários aplicativos com uma digital pode custar muito caro mais tarde.
O primeiro perímetro é o próprio usuário, e aí entram questões como a definição e o armazenamento de senhas. Outro perímetro é o próprio aparelho, especialistas em cyber segurança são unânimes em frisar a necessidade de instalação da última versão disponível do sistema operacional para minimizar o risco de que o bandido se aproveite de uma brecha de uma versão que já tenha sido violada.
“Há aí outro problema que é o seguinte: quem tem iPhone mais antigo não vai conseguir usar o iOS 14. Para quem ainda consegue instalar, o aparelho começa a ficar muito lento. Isso força você a trocar de aparelho, e o preço de um iPhone novo não é dinheiro de pinga. Então entra a questão da obsolescência programada”, afirma Assolini.
O aplicativo de banco e a própria instituição financeira são outros perímetros descritos por Sêmola. “Não é responsabilidade do banco se o usuário deixou a senha no bloco de notas, mas é sua responsabilidade fornecer e levar ao conhecimento do cliente opções robustas de proteção”, afirma.
Permitir a recuperação de acesso às contas via SMS ou email ou fatores de autenticação como tokens no próprio ambiente do celular não são, na visão dos especialistas, práticas seguras. E a instituição bancária precisa ter sistemas capazes de não apenas monitorar transações mas de detectar anomalias e ter meios mais restritivos de fazer a “prova de vida” do cliente.
Isso porque detectar uma anomalia e ligar para o celular cadastrado para verificar o que está havendo é um tiro no pé. Segundo Bordini, circulam pelo WhatsApp tutoriais de como se passar pelo dono de um celular roubado quando o banco ligar, os chamados “esquemas de aprovação”.
“São mensagens na linha ‘o banco não sabe quem você é, então mantenha a calma’.”
Com tantas as possibilidade, Sêmola faz uma recomendação: adote uma política de “zero trust” (confiança zero).
Fonte: Notícias ao Minuto
