Grupos de cibercriminosos estão com uma campanha para hackear perfis com muitos seguidores no Instagram. Segundo a Trend Micro, a campanha maliciosa se utiliza do golpe mais comum no Brasil: o phishing.
"Os pesquisadores [da Trend Micro] encontraram casos em que proprietários de perfis do Instagram com 15k a 70k seguidores foram hackeados e nunca recuperados. As vítimas variam de atores e cantores famosos a proprietários de empresas de startups”, diz a empresa.
Além de roubar a conta, os cibercriminosos também realizam extorsão digital. Ou seja: caso a vítima entre em contato com os atacantes, ela é forçada a comprar um resgate ou enviar fotos e vídeos nus para recuperar a conta, mas nunca recuperam o acesso.
É importante que os usuários devam sempre se atentar ao uso de domínios que não sejam da própria rede social
“Entretanto, os atacantes irão buscar tomar controle de contas cada vez maiores, com até milhões de seguidores com intuito de tirar vantagem de sua influência e alcance, afetando também, por meio de diferentes táticas, os milhões de usuários que seguem essas contas”, afirma Aloísio Marinho, Sales Engineer da Trend Micro.
O ataque começa com um esquema clássico de phishing para fisgar a vítima: um email falso fingindo ser do Instagram. O email estimula a possível vítima a confirmar a conta para receber o selo Verificado do perfil do usuário do Instagram. Note que o Instagram tem requisitos específicos e o processo de verificação acontece somente depois que um usuário solicitar, além de não pedir credenciais.
Depois disso, um link é enviado e o domínio pede informações pessoais da vítima. Assim que o invasor tiver acesso ao perfil do Instagram da vítima e ao email relacionado à conta, ele pode modificar as informações necessárias para ter acesso à conta roubada. Uma vez enviadas as informações, uma notificação de selo aparece, mas por apenas quatro segundos. Esse é um truque para dar aos usuários a impressão de que o perfil deles foi verificado.
“As imitações de e-mails sempre tentam parecer legítimas, se aproveitando da engenharia social e, nesse caso, do desejo de receber o selo de verificação no perfil, para enganar os usuários”, afirma Aloísio.
Como dica, é importante que os usuários devam sempre se atentar ao uso de domínios que não sejam da própria rede social, estilos de fontes duvidosos, gramáticas e pontuações incorretas e emails que pedem credenciais, pois as redes sociais nunca as solicitam fora de suas páginas de login reais e seguras.
A Trend Micro enviou os casos para o Facebook e Instagram, mas não obteve resposta até o momento.
Categorias
