No último mês, mais uma vítima foi abordada por bandidos nas ruas brasileiras e teve seu iPhone roubado. Crime bastante comum salvo por um detalhe: os ladrões “reais” engatilharam um modus operandi que é roubar fisicamente o smartphone e – por meio de uma página de phishing e um SMS projetado socialmente fingindo ser a Apple – os hackers tentam conseguir as credenciais do Apple ID da vítima.
A Trend Micro, empresa especializada na defesa de ameaças digitais e segurança na era da nuvem, detalhou os passos envolvidos nesse tipo de golpe. Enquanto o aparelho está em funcionamento, é possível descobrir o número do aparelho e tentar mudar a senha dos aplicativos de redes sociais (e possivelmente do e-mail) instalados – provavelmente para extorquir a vítima no futuro. Os cibercriminosos tentam agir o mais rápido possível antes do alvo desligar o aparelho.
Um dia após o furto, a vítima mencionada no começo do texto, recebeu uma mensagem de SMS em seu novo telefone. Escrita em português, que dizia: “Prezado (a) usuario (sic): Seu dispositivo no modo perdido foi ligado e localizado; acesso aqui e visualize a ultima localizacao (sic)”.
O link que acompanhava a mensagem direcionava para um formulário de login solicitando as credenciais do Apple ID. Com a investigação da Trend Micro, logo se desconfiou que o endereço poderia ser uma página de phishing. Após verificar a última localização do iPhone roubado, o site oficial do iCloud de fato confirmou que era o local onde a vítima havia sido roubada.
Roubo físico e o cibercrime
A indefinição do limite entre o roubo físico/tradicional e o cibercrime – e, em particular, o trabalho aparentemente em equipe entre os ladrões e os cibercriminosos pode resultar em possíveis ataques ainda maiores e mais complicados.
Além disso, em investigação no Underground Brasileiro, a Trend Micro encontrou uma página de phishing da Apple sendo negociada sob o valor de R$ 135 (equivalente a aproximadamente 43 dólares em 4 de maio de 2017). A página era oferecida para aluguel com um vídeo tutorial explicando como o serviço funciona.
A Trend Micro afirma que não se pode afirmar a correlação direta entre o assalto mencionado e a venda de tutoriais para o golpe via phishing Apple. No entanto, um dos commodities mais vendidos no submundo on-line brasileiro, são as vendas de credenciais Apple ID. Inclusive, esse tipo de ataque tem sido relatado no País desde o começo de 2015.
Além do roubo de informações pessoais, a obtenção das credenciais da Apple ID permite ao hacker desativar o recurso de bloqueio de ativação em dispositivos iOS, o que lhes permitiria limpar o telefone (como parte de um ataque ou até mesmo para reutilizá-lo).
Com ajuda da PhishLabs, a Trend Micro conseguiu derrubar as páginas de phishing que ainda estavam on-line. Também foi comunicado à Apple as descobertas relacionadas à ameaça.
