Chantagem por webcam e sextorsão

As fontes descrevem primeiro uma fase de preparação. A MITRE classifica a recolha de informações sobre a identidade das vítimas (nomes, endereços de correio eletrónico, credenciais, respostas a perguntas de segurança) como reconhecimento, anterior a qualquer ataque². Estas informações podem vir de um pedido direto à vítima, mas também de dados em linha ou de redes sociais². O NCSC di-lo para o grande público: os criminosos aproveitam as informações disponíveis em linha, incluindo nas redes sociais, para tornar as suas mensagens mais convincentes³.

Segue-se o pretexto. O phishing de informação consiste muitas vezes em fazer-se passar por uma fonte que teria motivos para pedir informações¹. O atacante pode também procurar obter informações através de uma troca direta de correios eletrónicos ou de mensagens instantâneas¹. A CISA descreve uma lógica semelhante para a engenharia social: se uma primeira fonte não dá o suficiente, o atacante recorre a outra na mesma organização e apoia-se na primeira para parecer credível⁴.

As fontes aqui citadas não documentam nem o desenrolar de uma aproximação por troca de imagens, nem o pedido de pagamento. Estes elementos estão, por isso, ausentes desta ficha.

As páginas consultadas dão sinais gerais de uma mensagem fraudulenta, que aqui servem de pontos de verificação:

• um endereço de remetente que imita o de uma empresa legítima⁴;
• uma fórmula de tratamento genérica e a ausência de contactos na assinatura⁴;
• ligações cujo endereço real, visível ao passar o rato por cima, não corresponde ao texto apresentado⁴;
• erros de gramática, de ortografia ou de formatação⁴;
• um anexo não solicitado, por vezes acompanhado de uma falsa sensação de urgência para que seja aberto sem exame⁴;
• um endereço de sítio que difere num único caráter do endereço esperado⁵.

Uma mensagem pode também convidar a ligar para um número, onde o atacante tenta recolher informações confidenciais¹. Uma mensagem bem redigida e personalizada não tem necessariamente estes defeitos. A Cybermalveillance.gouv.fr observa que as tentativas são hoje cada vez mais bem feitas, mas apresentam muitas vezes sinais de alerta⁵.

A MITRE inclui o phishing de informação (T1598) na tática de reconhecimento. A diferença em relação ao phishing clássico está no objetivo: recolher dados junto da vítima, e não levá-la a executar código malicioso¹. Pode ser dirigido, contra uma pessoa, uma empresa ou um setor, ou em massa¹.

São listadas quatro variantes: por serviço, por anexo, por ligação e por voz¹. O correio eletrónico pode ser falsificado, e os atacantes podem também apagar ou modificar mensagens e cabeçalhos de contas comprometidas para escapar à deteção¹.

Do lado da defesa, a MITRE cita os mecanismos SPF e DKIM, que políticas como a DMARC permitem ativar numa organização, para filtrar as mensagens consoante a validade do domínio do remetente e a integridade da mensagem¹. A formação dos utilizadores é citada como medida¹. Quanto à recolha de informações sobre identidades, a MITRE nota que escapa aos controlos preventivos da empresa e que é preciso reduzir a quantidade e a sensibilidade dos dados acessíveis a terceiros². O NCSC tira daqui um conselho para o colaborador: pensar nas informações pessoais publicadas e rever as definições de privacidade das suas contas de redes sociais³.

As ações que as fontes recomendam:

• Não comunique informações sensíveis por mensagem ou por telefone⁵.
• Guarde a mensagem recebida como prova⁵.
• Altere imediatamente qualquer palavra-passe divulgada, bem como a dos outros serviços onde é usada⁴⁵.
• Use uma palavra-passe diferente por serviço e ative a autenticação de dois fatores quando o sítio o permitir⁵.
• Se comunicou dados de pagamento ou detetou débitos fraudulentos, faça oposição junto do banco⁵.
• Se dados pessoais forem usados para usurpar a sua identidade, apresente queixa na esquadra ou na gendarmaria, ou escreva ao procurador da República⁵.
• Denuncie a mensagem ao Signal Spam, ou o SMS ao 33700⁵.
• Para obter apoio, a France Victimes atende no 116 006, gratuitamente, todos os dias das 9 h às 19 h⁵.
• Em contexto profissional, comunique a divulgação de informações da organização às pessoas competentes, incluindo os administradores de rede⁴.

Nenhuma das fontes aqui citadas documenta uma campanha de sextorsão datada: nem as vagas de mensagens de falsa pirataria de webcam, nem um alerta oficial sobre o tema. Não é, por isso, redigida aqui nenhuma ficha de autópsia. Será acrescentada quando uma fonte a fornecer.

As páginas consultadas dão apenas exemplos próximos, sem data do acontecimento. O Scattered Spider combinou phishing de credenciais e engenharia social para captar códigos de utilização única¹. O LAPSUS$ reuniu informações detalhadas sobre funcionários para reforçar as suas iscas de engenharia social².