No início deste ano, o pesquisador de segurança Donncha Ó Cearbhaill, que investiga ataques de spyware, encontrou-se em uma posição incomum. Pela primeira vez, ele se tornou alvo de hackers. “Prezado usuário, este é o ChatBot de Suporte de Segurança do Signal. Detectamos atividade suspeita em seu dispositivo, que pode ter levado a um vazamento de dados”, dizia uma mensagem recebida em sua conta do Signal. “Também detectamos tentativas de acessar seus dados privados no Signal”, afirmava a mensagem. “Para evitar isso, você precisa passar pelo procedimento de verificação, inserindo o código de verificação no ChatBot de Suporte de Segurança do Signal. NÃO CONTE O CÓDIGO A NINGUÉM, NEM MESMO A FUNCIONÁRIOS DO SIGNAL.”
Obviamente, Ó Cearbhaill, que dirige o Laboratório de Segurança da Anistia Internacional, reconheceu imediatamente que se tratava de uma tentativa “imprudente” de hackear sua conta no Signal. Em vez de ignorar, ele viu uma oportunidade de investigar o ataque. O pesquisador disse ao TechCrunch que, até então, “nunca havia sido alvo consciente” de um ciberataque ou tentativa de phishing como essa. “Ter o ataque na minha caixa de entrada e a chance de virar o jogo contra os atacantes e entender mais sobre a campanha era bom demais para deixar passar”, afirmou.
A tentativa de ataque a Ó Cearbhaill provavelmente fazia parte de uma campanha maior visando um grande grupo de usuários do Signal. As estratégias dos hackers incluíam se passar pelo Signal, alertar sobre ameaças de segurança falsas e tentar enganar os alvos para que vinculassem suas contas a um dispositivo controlado pelos hackers. Essas técnicas são exatamente as mesmas observadas em uma campanha mais ampla sobre a qual as agências de segurança cibernética dos EUA (CISA), do Reino Unido e da inteligência holandesa alertaram, atribuindo os ataques a espiões do governo russo. O próprio Signal também emitiu alertas sobre ataques de phishing direcionados a seus usuários.
O caso de Ó Cearbhaill ilustra como ataques de phishing podem ser sofisticados e direcionados, mesmo contra especialistas em segurança. A conclusão é que a vigilância constante e a educação sobre ameaças digitais são essenciais para proteger informações pessoais e organizacionais contra campanhas patrocinadas por estados.
