Recebeu uma chamada do número oficial do seu banco. Ao atender, depara-se com uma voz do outro lado que parece credível. O número corresponde ao que tem nos contatos e o assunto aparenta ser urgente, como a existência de movimentos suspeitos na sua conta e necessidade de confirmar os seus dados imediatamente. Qual o problema desta chamada?
Não perca nenhuma notícia importante da atualidade de tecnologia e acompanhe tudo em tek.sapo.pt
O problema é que não está a falar com o banco, está simplesmente a ser mais uma vítima de spoofing. Esta técnica de falsificação de identidade digital é um tipo dos tipos de ataque que está cada vez mais a ser utilizado em Portugal, segundo alerta a ANACOM, a Autoridade Nacional de Comunicações. O termo spoofing vem do inglês e significa, em traços largos, “enganar” ou “imitar”.
O vídeo explica como funciona o spoofing
No contexto da cibersegurança, o spoofing consiste em falsificar a origem de uma comunicação, para parecer que vem de uma fonte fidedigna. Esta pode vir de um número de telefone, um endereço de email, um site ou até um endereço IP, e tem sempre o mesmo objetivo, convencer a vítima a partilhar dados pessoais, credenciais bancárias, palavras-passe, ou a realizar uma transferência bancária imediata.
Como funciona na prática?
O spoofing pode surgir de formas muito distintas. Na sua variante telefónica, os criminosos manipulam o identificador de chamadas para que o número apresentado no ecrã pareça ser o de uma entidade legítima. Por essa razão é normal a aplicação de telefone do seu smartphone muitas vezes identificar a chamada como sendo do seu banco, da operadora de telecomunicações, da Segurança Social, das Finanças ou até mesmo da PSP.
Por email, a técnica envolve falsificar o remetente para que a mensagem pareça vir de uma empresa ou de serviço fidedigno. Neste caso, o endereço pode ter diferenças subtis, muitas vezes quase impossíveis de detetar à primeira vista, como a substituição de uma letra por outra visualmente semelhante. Existe ainda o spoofing de sites, em que é criada uma cópia quase perfeita de uma página legítima, com o único propósito de capturar os dados de acesso do utilizador.
Em todos os casos, o elemento comum é sempre a urgência da ação. Os criminosos criam pressão para que a vítima aja sem pensar. Inventam situações como o possível bloqueio da sua conta bancária, a existência de uma encomenda retida, ou uma tentativa de acesso suspeita a algum serviço ou plataforma. Esta pressão é aplicada deliberadamente, pois quanto menos tempo a vítima tiver para refletir, maior a probabilidade de cair no golpe.
Como reconhecer uma tentativa de spoofing?
Há vários sinais de alerta que devem ser tidos em conta para não cair nesta burla. Pedidos inesperados de dados pessoais, códigos de autenticação ou transferências bancárias são sempre pedidos suspeitos, independentemente de quem pareça estar a pedir. Nenhuma instituição financeira, órgão público ou empresa solicita palavras-passe ou códigos de segurança por telefone, SMS ou email.
Mensagens com erros ortográficos, pressão para agir “agora mesmo” ou links que não correspondem exatamente ao site oficial são igualmente indicadores de fraude. Nos emails, vale a pena verificar o endereço completo do remetente, não apenas o nome que aparece. Esse endereço “real” costuma estar entre parênteses angulares, quase sempre finalizados com domínios estranhos, e muito diferentes do domínio oficial da entidade.
O que fazer se suspeitar de spoofing?
A ANACOM é clara nas recomendações dadas. Em caso de contacto, não clique em links, não partilhe dados e não confirme qualquer informação indicada. Se receber uma chamada suspeita, desligue. Se receber uma mensagem duvidosa, apague-a. Em ambos os casos, contacte diretamente a entidade através do número ou endereço oficial, e nunca a partir do contacto que recebeu.
Deverá confirmar sempre pelo canal oficial da entidade que, supostamente, o contactou. Se tiver dúvidas sobre um email, não responda nem clique em nenhum link. Aceda ao site da entidade digitando o endereço diretamente no browser. Verifique se o endereço utiliza um acesso seguro, ou seja, se começa por “https://” e se existe o ícone de cadeado junto ao URL, sinais de que a ligação é segura.
Caso seja alvo de uma tentativa de spoofing, reporte-a. Pode fazê-lo junto das plataformas digitais onde ocorreu (email, redes sociais, operadoras de telecomunicações) e junto das autoridades, nomeadamente a Polícia Judiciária através do portal de Queixa Eletrónica. Também poderá contactar o Centro Nacional de Cibersegurança (CNCS), que reporta o incidente ao CERT.PT, através do endereço cncs.gov.pt/pt/notificacao-incidentes.
O How To TeK é a rubrica do TEK Notícias que pretende ajudar todos os utilizadores em tarefas simples (mas que parecem complexas) na utilização de computadores e telemóveis. Se tiver sugestões de truques que quer ver esclarecidos envie um email para redaçao@teknoticias.pt.
