Uma sofisticada operação de fraude orquestrado por um grupo de hackers foi capaz de roubar milhões de dólares das contas de clientes de bancos dos Estados Unidos e Europa.
As operações aconteceram ao longo de alguns dias e usaram informações financeiras obtidas a partir dos próprios serviços financeiros, com cerca de 16 mil pessoas atingidas pela campanha.
Este, na realidade, é o número total de celulares clonados como parte da operação, descoberta pelos especialistas do laboratório de segurança digital IBM Trusteer, que citaram uma escala sem precedentes como parte deste ataque. Os bandidos utilizaram emuladores, como os usados por desenvolvedores de aplicativos para simular o funcionamento dos softwares sob diferentes condições, aparelhos e configurações, como forma de burlar alguns dos sistemas de segurança das instituições financeiras.
Além de logins e senhas roubadas, foram usados também dados de GPS e informações dos dispositivos usados originalmente pelos correntistas, assim como a interceptação de mensagens enviadas para o próprio número como forma de burlar sistemas de autenticação em duas etapas. Segundo os especialistas da IBM, cerca de 20 emuladores desse tipo foram usados na operação, com apenas um deles sendo o responsável por se passar por mais de oito mil aparelhos diferentes.
A obtenção dos dados também indica a realização de um ataque em partes, que não apenas utilizou de tecnologias para realização da fraude como, também, informações vazadas a partir de supostos servidores comprometidos, pertencentes às instituições bancárias, ou dos próprios aparelhos de seus clientes. Seja como for, eles só percebiam a fraude depois que já estava realizada, com até mesmo notificações e comunicações entre os dispositivos e os servidores do banco sendo interceptadas e manipuladas de forma a evitar a detecção do golpe em andamento.
Outros métodos para evitar detecções também foram usados, como uma troca de dispositivos emulados, de forma que o sistema não detectasse as operações sucessivas como suspeitas, e o uso de aparelhos diferentes, em alguns casos, fazendo parecer que o cliente comprou um novo e realizando todas as operações de segurança. Além disso, os bandidos alternavam entre bancos, realizando golpes distintos contra instituições diferentes e desligando completamente as operações contra um antes de iniciar a seguinte.
Os dados dos clientes foram obtidos a partir de campanhas de phishing e engenharia social, com e-mails fraudulentos e instalação de malwares nos dispositivos que trabalhavam de forma silenciosa, roubando dados e os enviando a servidores sob o controle dos criminosos. Os especialistas da IBM, entretanto, não entram em detalhes sobre a interceptação de SMSs e outras comunicações entre os servidores do banco e os celulares dos clientes.
Os pesquisadores apontam, como consequência do fato, que apenas o uso de senhas complexas não é suficiente para proteger as contas, sendo necessária atenção contra e-mails fraudulentos e malwares que estejam instalados nos dispositivos. Os métodos complexos utilizados pelos criminosos denotam, também, falhas nos sistemas de detecção das próprias instituições financeiras, com a ação veloz, ainda, indicando que os hackers estariam se aproveitando de uma janela curta antes de o sistema perceber algo de errado.
A atenção, então, acaba sendo a melhor ferramenta, com os usuários não devendo acessar links suspeitos ou baixar soluções sem saberem de onde elas vieram, além de ficarem de olho em suas faturas e extratos bancários de forma que uma fraude possa ser detectada rapidamente. Aos bancos, valeria a pena o investimento em soluções de autenticação de múltiplos fatores, fazendo com que mais etapas sejam necessárias antes da realização de transferências e outras transações fraudulentas.
O relatório da IBM não fala em valores exatos envolvidos na fraude, nem cita diretamente os bancos que foram atingidos pelos hackers. A publicação sobre o golpe também não fala em investigações oficiais sobre o caso, nem sobre contatos entre as instituições e os clientes atingidos.
// CanalTech
