S3 Ep90: Chrome 0-day novamente, True Cybercrime e um bypass 2FA [Podcast + Transcrição]

Clique e arraste nas ondas sonoras abaixo para pular para qualquer ponto. Você também pode ouça diretamente no Soundcloud.

PATO.  Cromada! Cibercrime! Uma criptorainha desaparecida! Capturando tokens 2FA!

E a Caso curioso dos novos amigos de Chester.

Tudo isso e muito mais no podcast Naked Security.

[MODEM MUSICAL]

Olá a todos.

Mais uma vez, é Duck na cadeira, porque Doug está de férias.

Estou acompanhado pelo meu amigo e colega Chester Wisniewski…

Czesław, um ótimo dia para você.

---

CHET.  Bom dia para você, Pato.

É bom estar substituindo Doug novamente.

Eu gosto quando ele tira férias - nós temos uma conversa interessante planejando o podcast, e como é um pouco lento no verão, eu tenho tempo livre e é muito bom estar de volta.

---

PATO.  Bem, infelizmente, não é lento na frente de 0 dias.

Mais uma vez, acabamos de última atualização do Chrome.

O Google publicou três boletins de segurança essencialmente separados: um para Android; um para Windows e Mac; e um para Windows e Mac, mas na versão anterior, o “canal estável estendido”.

Nenhuma menção ao Linux, mas todos eles compartilham um bug comum, que é “CVE-2022-2294: estouro de buffer no WebRTC”.

Conhecido por ter sido explorado na natureza, o que significa que os bandidos chegaram lá primeiro.

Então, conte-nos mais, Chester.

---

CHET.  Bem, posso confirmar, pelo menos no lado do Linux, que eles fizeram um lançamento.

Não sei o que há nessa versão, mas o número da versão pelo menos corresponde ao número da versão que esperamos ver no Windows e no Mac, que é 103.0.5060.114.

De qualquer forma, no meu Arch Linux executando o Chromium, esse é o número da compilação e corresponde à versão de produção do Chrome para Windows no meu computador ao lado dele.

Então, pelo menos temos paridade de versão. Não sabemos se temos paridade de bugs.

---

PATO.  Sim, e irritantemente, a versão do Android, que supostamente tem os mesmos patches que foram citados nos outros, é basicamente o mesmo número de versão exceto as extremidades dot-71.

E, claro, a versão 102… isso é completamente diferente porque é um conjunto completamente diferente de quatro números.

A única coisa comum a todos eles é o zero na segunda posição.

Então é bem confuso.

---

CHET.  Sim, considerando que foi descoberto que foi usado na natureza, o que significa que alguém venceu o Google.

E essa funcionalidade específica é especialmente importante para o Google, pois eles estão promovendo sua plataforma Google Meet, que é sua versão principal do… Ouvi pessoas se referirem a ela como “Google Zoom”.

A plataforma MEET do Google, não o tipo de carne que você pode comer no jantar.

---

PATO.  Minha mente estava incompreensível para um pouco lá!

Para esclarecer, encontrei-me à deriva em direção ao Google Hangouts, que aparentemente está fechando em breve, e, claro, o atrasado e, acho, o Google Plus não lamentado.

---

CHET.  Bem, se você quiser descer completamente a toca do coelho da plataforma de mensagens do Google de quantas coisas eles inventaram e não inventaram e fundiram e cancelaram e depois reinventaram novamente, há um ótimo artigo no Vox.com que você pode ler sobre isso!

WebRTC… em essência, esse é o protocolo que permite transmitir sua webcam em plataformas como o Google Meet e transmitir seu microfone.

E acho que provavelmente está sendo mais usado do que nunca desde o início da pandemia.

Porque muitos serviços podem oferecer um cliente gordo para compartilhamento de tela aprimorado e esses tipos de coisas, mas também oferecem uma versão somente web, para que você possa acessar coisas como Zoom ou Citrix e assim por diante, geralmente apenas pelo navegador.

Então, acho que essa funcionalidade é algo muito complexo, que pode levar a esses tipos de vulnerabilidades, e também está sendo muito usada nos dias de hoje.

Considero esse um dos três bugs mais importantes que você menciona na história da Naked Security.

---

PATO.  Sim, há CVE-2022-2294, -2295 e -2296.

Eles são todos bugs que você esperaria que tivéssemos acabado e espanado há muitos anos, não são?

Um estouro de buffer, uma confusão de tipos e um uso depois de livre – então, basicamente, tudo isso tem a ver com má gestão de memória.

---

CHET.  E eu pensei que o Google estava dizendo ao mundo que todos os problemas foram resolvidos por Go e Rust, e isso sugere muito pouco Go e Rust aqui.

---

PATO.  Mesmo com uma linguagem muito cuidadosa que incentiva a programação correta, as especificações podem decepcioná-lo, não é?

Em outras palavras, se você implementa algo corretamente, mas onde as especificações não estão muito corretas, ou deixa uma brecha, ou coloca arquivos no lugar errado, ou trata dados de forma inadequada, ainda pode ter bugs de baixa , gravidade média ou alta, mesmo com a maior aplicação de segurança de memória do mundo.

Então, felizmente, há uma solução simples, não é?

Para a maioria das pessoas, o Chrome quase certamente será atualizado automaticamente.

Mas mesmo que você ache que isso aconteceu, vale a pena – pelo menos no Windows e Mac – ir para Mais > Ajuda > Sobre o Google Chrome > Atualizar o Google Chrome, e ou ele dirá: "Você não precisa, você" tenho o mais recente”, ou dirá, “Uau, ainda não fiz isso. Você gostaria de pular na frente?”

E, claro, você faria!

No Linux, como você descobriu, sua distribuição forneceu a atualização, então essa será, imagino, o caminho para a maioria dos usuários do Linux que possuem o Chrome.

Então, talvez não seja tão ruim quanto parece, mas é algo que, como sempre dizemos, “não demore, faça hoje”.

Para o próximo…

Bem, há duas histórias, não uma, mas ambas estão relacionadas com apreensões da lei.

Um é um cibercriminoso que se declarou culpado nos EUA, e o outro é alguém que os EUA adorariam ter em suas mãos, mas está faltando em algum lugar e agora se juntou ao FBI Dez mais procurados criminosos em todo o mundo – a única mulher no Top Ten.

Vamos começar com ela – essa é a Dra Ruja Ignatova da Bulgária, a “Criptorainha Desaparecida”.

Agora, essa é a história de uma vida, não é?

---

CHET.  Sim, é uma das coisas que o mundo criptográfico parece estar nos apresentando – é um pouco mais inclusivo para as mulheres.

Há muitas mulheres também envolvidas no roubo e enxerto, junto com todos os homens típicos que estão envolvidos em tantas outras histórias que cobrimos.

Infelizmente, neste caso, ela supostamente criou uma nova moeda semelhante ao Bitcoin conhecida como OneCoin e supostamente convenceu as pessoas a lhe dar US $ 4 bilhões com aB para investir na criptomoeda inexistente, de tudo o que posso ler sobre isso.

---

PATO.  US$ 4 bilhões... é o que o FBI parece pensar que pode provar.

Outros relatórios que vi sugerem que o total real pode ser muito maior do que isso.

---

CHET.  Isso faz com que gastar US $ 6 milhões na foto de um macaco fumando pareça quase totalmente sensato …

---

PATO.  Em vez disso, tirou-me do meu passo lá. [RISADA]

---

CHET.  Há muito FOMO, ou Fear Of Missing Out.

---

PATO.  Absolutamente.

---

CHET.  E acho que todo esse crime é motivado por aquele FOMO: “Oh, eu não entrei no Bitcoin quando você podia comprar uma pizza por um Bitcoin. Então eu quero entrar na próxima grande coisa. Quero ser um dos primeiros investidores da Tesla, Uber, Apple.”

Acho que as pessoas percebem que essas criptomoedas de alguma forma realmente têm um ar de legitimidade que pode ser paralelo a essas histórias reais de sucesso da empresa, em vez de ser um sonho, que é exatamente o que é.

---

PATO.  Sim, e como muitos cachimbos... em fumaça, Chester.

Eu acho que a coisa com criptomoedas é que quando as pessoas olham para a história do Bitcoin, houve realmente um longo período em que não era como se o bitcoin valesse “apenas $ 10”.

Era que o bitcoin era essencialmente tão sem valor que, aparentemente, em 2010, um cara – intrigantemente chamado SmokeTooMuch – tentou fazer a primeira venda essencialmente pública de Bitcoin, e ele tinha 10,000 deles.

Acho que ele apenas os extraiu, como você fez naquela época, e disse: “Quero US $ 50 por eles”.

Então, ele os está avaliando em meio centavo cada um… e ninguém estava disposto a pagar tanto.

Então o Bitcoin foi para $ 10, e então, em um ponto, eles eram, o que, $ 60,000 mais.

Então, acho que existe essa ideia de que se você entrar *mesmo antes* é como as ações da Apple… *bem no começo*.

E então você não ganha apenas 10 vezes o seu dinheiro ou 100 vezes o seu dinheiro... você ganha 1,000,000 vezes o seu dinheiro.

E eu acho que, como você diz, é o sonho que muitas pessoas estão olhando.

E isso significa, eu suspeito, que isso os torna mais dispostos a investir em coisas que não existem... ironicamente, precisamente porque elas ainda não existem, então eles realmente estão entrando no térreo.

Você ainda recebe apenas US $ 100,000 em recompensa, aparentemente, por informações que levem à condenação de Ruja Ignatova.

Mas ela certamente está lá em cima: Top Ten Wanted!

---

CHET.  Eu prometo, se eu descobrir onde ela está e receber a recompensa de $ 100,000, não vou apostar em criptomoedas.

Posso assegurar-lhe isso.

---

PATO.  Então, Chester, agora vamos passar para o outro parte da lei e da ordem do podcast.

Eu sei que isso é algo que você disse especificamente que queria falar sobre isso, e não apenas porque inclui a palavra “Desjardins”, sobre a qual falamos da última vez.

Este é o Sr. Vachon-Desjardins, e já falamos sobre ele, ou você já falou sobre ele, no podcast antes.

Então conte-nos esta história – é fascinante e bastante destrutiva.

---

CHET.  Sim. Achei uma coincidência que você me convidou para esta semana, quando, aleatoriamente, alguns anos atrás, você também me convidou na semana em que acredito que ele foi extraditado.

---

PATO.  Não, isso foi em março deste ano quando falamos sobre isso pela última vez!

---

CHET.  Foi isso?

---

PATO.  Sim, acho que quando ele tinha acabado de desembarcar na Flórida…

---

CHET.  Sim! Ele tinha acabado de ser extraditado, exatamente!

Ele havia sido enviado aos Estados Unidos para ser processado, o que é uma coisa bastante comum que fazemos aqui no Canadá.

Os EUA geralmente têm leis mais rígidas em muitos casos, mas mais do que isso, o FBI [a polícia federal dos EUA] faz um trabalho muito bom em reunir as informações para processar esses casos.

Não estou dizendo que a RCMP [a polícia federal canadense] não é capaz disso, mas o FBI é um pouco mais experiente, então acho que eles geralmente sentem que os EUA terão uma chance melhor de colocá-los atrás das grades.

---

PATO.  Dito isso, a RCMP o havia processado no Canadá, e ele foi sentenciado a quase sete anos de prisão.

E como você disse da última vez: “Nós o deixamos sair da prisão temporariamente. Nós o emprestamos aos americanos. E se ele for para a prisão lá, quando terminar sua pena, ele voltará e o colocaremos de volta na prisão pelo restante de seus sete anos”.

Parece que ele ficará fora de circulação por um tempo.

---

CHET.  Sim, eu suspeito que sim.

Embora, nesses tipos de crimes não violentos, quando você está cooperando com as autoridades, elas geralmente reduzem as sentenças ou deixam você em liberdade condicional mais cedo, esse tipo de coisa.

Veremos o que acontece.

De fato, em seu acordo de confissão, quando ele se declarou culpado na Flórida, meu entendimento é que ele estaria cooperando com as autoridades em praticamente tudo e qualquer coisa a que ele tivesse acesso e que eles desejassem … basicamente ajudando-os a construir seu caso .

Quando falamos sobre esses grupos de ransomware, acho esse caso particularmente interessante porque ele é canadense e eu estou no Canadá.

Mas mais do que isso, acho que temos essa percepção de que esses crimes são cometidos por criminosos na Rússia, e eles estão longe e nunca podem ser tocados, então não faz sentido denunciar esses crimes porque não podemos encontrar essas pessoas – eles são muito bons em se esconder; eles estão na dark web.

E a verdade é que alguns deles estão no seu quintal. Alguns deles são seus vizinhos. Eles estão em todos os países do mundo.

O crime não conhece fronteiras... as pessoas são gananciosas em todos os lugares e estão dispostas a cometer esses crimes.

E eles valem a pena persegui-los quando podemos persegui-los, assim como devemos.

---

PATO.  Absolutamente.

Na verdade, se você não se importa, vou ler o acordo de confissão, porque concordo com você: o FBI faz um trabalho fantástico não apenas fazendo essas investigações, mas reunindo as informações - mesmo em algo que é um documento legal conspícuo e formal - no tipo de inglês simples que facilita para um tribunal, para um juiz, para um júri e para qualquer pessoa que queira entender o lado feio do ransomware e como ele funciona para aprender muito mais .

Estes são documentos muito legíveis, mesmo que você não esteja interessado no lado legal do caso.

E isto é o que eles dizem:

“O NetWalker operava como um sistema Ransomware-as-a-Service com desenvolvedores baseados na Rússia e afiliados que residiam em todo o mundo. Sob o modelo Ransomware-as-a-Service, os desenvolvedores eram responsáveis ​​por criar e atualizar o ransomware e disponibilizá-lo para os afiliados. Os afiliados foram responsáveis ​​por identificar e atacar vítimas de alto valor com o ransomware. Depois que uma vítima paga, desenvolvedores e afiliados dividem o resgate. Sebastian Vachon-Desjardins foi um dos mais prolíficos afiliados do ransomware NetWalker.”

Esse é um resumo fantástico de todo o modelo de ransomware como serviço, não é, com um exemplo prático de alguém longe da Rússia que é realmente muito ativo em fazer todo o sistema funcionar.

---

CHET.  Absolutamente.

Ele é responsável, acredito, por mais de 50% do suposto dinheiro embolsado pela quadrilha NetWalker.

Quando ele foi capturado, ele tinha pouco mais de US$ 20 milhões em criptomoedas desses resgates… e eu pensei ter lido que o valor total do resgate que se acredita ser coletado pelo NetWalker estava em algum lugar na faixa de US$ 40 milhões a US$ 50 milhões.

Portanto, é uma quantidade significativa do lucro – ele era talvez o principal afiliado.

---

PATO.  É claro, como você diz, que ele está enfrentando um mundo de problemas…

…mas que ele é definitivamente esperado para delatar seus ex-companheiros.

E talvez isso seja uma coisa boa?

Talvez consigam fechar mais exemplos desse tipo de criminalidade, ou mais pessoas envolvidas nesse prolífico grupo.

---

CHET.  Talvez devêssemos concluir isso com algumas palavras mais sucintas diretamente do acordo, porque acho que realmente encerra bem isso:

“O réu está se declarando culpado porque ele é, de fato, culpado.”

[RISOS]

Então essa é uma declaração bem clara de que ele não está usando palavras de doninha, que ele não está assumindo responsabilidade pelo que fez, o que eu acho muito importante para as vítimas ouvirem.

E, além disso, eles dizem:

“O réu concorda em cooperar plenamente com os Estados Unidos na investigação e acusação de outras pessoas, incluindo uma divulgação completa e completa de todas as informações relevantes, incluindo a produção de todos e quaisquer livros, papéis, documentos e outros objetos em posse do réu. ou controle”.

E tenho certeza de que “outros objetos” podem incluir coisas como carteiras de criptomoedas, fóruns de bate-papo e coisas onde o planejamento de todas essas ações sujas foi realizado.

---

PATO.  Sim, e a boa notícia é que foi devido à apreensão de um servidor, acredito, que eles conseguiram trabalhar para trás em direção a ele, entre outras pessoas.

Vamos passar para a última parte do podcast relacionada a uma história que você também pode ler no Naked Security…

Isso é sobre Phishing 2FA do Facebook, algo que eu estava disposto a escrever porque eu mesmo recebi esse golpe.

Quando fui investigar, pensei: “Esse é um dos sites falsos mais críveis que já vi”.

Houve um erro de ortografia, mas tive que procurá-lo; o fluxo de trabalho é bastante crível; não há erros óbvios, exceto o nome de domínio errado.

E quando olhei para a hora em que recebi o e-mail, onde quer que estivesse na lista de destinatários – talvez não no topo, talvez no meio, talvez na parte inferior, quem sabe? – foi apenas 28 minutos depois que os bandidos registraram originalmente o domínio falso que eles estavam usando nesse golpe.

Então, eles não estão dormindo – tudo acontece na velocidade da luz nos dias de hoje.

---

CHET.  Exatamente.

Eu tenho um aviso antes de entrar nisso, que é que não queremos sugerir às pessoas que elas não devem usar a autenticação multifator.

Mas isso me lembra… Eu estava traindo você com outro podcast esta manhã, e enquanto eu estava naquele outro podcast, surgiu o tópico de multifatores.

E um dos desafios que temos com o multifator que consiste apenas em “códigos de números secretos”, é que os criminosos podem agir como uma espécie de proxy-in-the-middle, onde eles podem pedir gentilmente a sequência de números, e se você for enganado para dar a eles, isso não fornecerá nenhuma camada extra de proteção.

Há uma diferença distinta entre usar algum tipo de chave de segurança, como uma chave Titan do Google ou uma Yubikey, ou autenticação FIDO usando coisas como um smartphone Android…

Há uma diferença entre isso e algo que exibe seis dígitos na tela e diz: “Dê isso ao site”.

Os seis dígitos na tela são uma grande melhoria em relação ao uso de apenas uma senha, mas você ainda precisa ficar atento a esses tipos de ameaças.

---

PATO.  Se os bandidos já o atraíram até o ponto em que você está disposto a digitar seu nome de usuário e sua senha, então você espera que o código de autenticação de dois fatores chegue em um SMS; você espera consultar seu aplicativo e redigitar o código, não é?

Não estou dizendo às pessoas: “Pare de usá-lo”, porque definitivamente torna as coisas mais difíceis para os bandidos.

Mas não é uma panacéia – e, ainda mais importante, se você tem o segundo fator de autenticação, isso não significa que você pode ficar casual com o primeiro.

A ideia é pegar algo que você fez o mais forte possível, por exemplo, usando uma boa senha gerada por um gerenciador de senhas, e então adicionar algo que também tenha força.

Caso contrário, você tem meio FA mais meio FA igual a 1FA tudo de novo, não é?

---

CHET.  Sim, absolutamente.

E há duas coisas para combater esse tipo de ataque, e uma certamente é Usar esse gerenciador de senhas.

A ideia lá, é claro, é que o gerenciador de senhas está validando que a página que está pedindo a senha *é na verdade aquela para a qual você a armazenou originalmente*.

Então, esse é o seu primeiro sinal de alerta... quando ele não oferece sua senha do Facebook porque o site não é de fato facebook.com, isso deve estar tocando alarmes de que algo está errado, se você precisar pesquisar no seu gerenciador de senhas para encontre a senha do Facebook.

Então, é uma espécie de sua primeira chance aqui.

E então, se você, como eu, usa um token FIDO onde quer que seja suportado (também conhecido como U2F, ou Universal Second Factor), isso também verifica se o site que está solicitando a você é de fato o site com o qual você configurou originalmente essa autenticação.

Muitos sites, especialmente sites grandes que são muito procurados, como Gmail e Twitter, suportam esses pequenos tokens USB que você pode carregar em seu chaveiro ou tokens Bluetooth que você pode usar com seu celular se você usar a marca de celular telefone que não gosta que você conecte tokens nele.

Essas são uma camada extra de segurança que é melhor do que esses seis dígitos.

Então, use a melhor coisa que você tem disponível para você.

Mas quando você recebe uma dica como “Isso é estranho, meu gerenciador de senhas não está preenchendo automaticamente minha senha do Facebook”… esse é o seu grande sinal de alerta de que algo sobre isso não é o que parece.

---

PATO.  Absolutamente, porque o seu gerenciador de senhas não está tentando ser artificialmente inteligente, senciente, “Ei, eu posso reconhecer aquela linda foto de fundo que eu vi tantas vezes no site”.

Não se deixa enganar pela aparência; ele apenas diz: "Estou sendo solicitado a inserir uma senha para um site que já conheço?"

Se não, então ele não pode nem tentar ajudá-lo e, como você diz, é um aviso perfeito.

Mas foi a velocidade disso que me interessou.

Eu sei que tudo acontece super rápido hoje em dia, mas foi 28 minutos depois que o domínio foi lançado pela primeira vez que eu recebi o e-mail.

---

CHET.  Sim, este é outro indicador que usamos no SophosLabs quando estamos analisando as coisas: “Ah, que estranho, esse domínio não existia há uma hora. Qual é a probabilidade de aparecer em um e-mail dentro de uma hora após a criação?”

Porque mesmo nos melhores dias em que comprei um novo nome de domínio, não consegui configurar meu servidor de e-mail com um registro MX por pelo menos uma hora. [RISOS]

---

PATO.  Chester, vamos terminar com o que anunciei no início como “O Curioso Caso dos Novos Amigos de Chester”. Este é um tipo intrigante de golpistas. Conheça Chester que está acontecendo com você nas últimas 24 horas, não é?

---

CHET.  Sim…

Eu tenho um certo tipo de seguidor, digamos, e geralmente consigo identificar pessoas me seguindo que são bots com bastante facilidade... mídia social.

E qualquer um que esteja nesse estado de espírito e queira saber o que estou pensando pode me seguir no Twitter (@chetwisniewski).

Mas eu bloqueio coisas que parecem suspeitas para mim, porque eu já estive no quarteirão algumas vezes e sei como as informações são frequentemente obtidas por bots para atrair as pessoas com coisas que parecem legítimas.

Quando vejo algo suspeito, eu bloqueio.

Infelizmente, um conhecido meu esteve na tragédia nos Estados Unidos ontem, XNUMX de julho, onde houve um tiroteio, e postou um tweet sobre como fugiu com suas filhas para um local seguro.

Felizmente, ele e sua família estão bem, mas foi um evento muito traumático e emocional para eles e, como resultado, seu tweet meio que teve um momento, certo?

Dezenas de milhares de retuítes; centenas de milhares de curtidas… e ele normalmente não é uma pessoa do tipo celebridade que recebe esse tipo de atenção no Twitter.

E eu mesmo respondi preocupado com a segurança dele, da minha conta no Twitter, e não coloquei dois e dois juntos até que estávamos planejando este podcast…

De repente, comecei a receber curtidas muito aleatórias em um tweet antigo que não tinha relevância para nenhuma situação atual.

Postei algo sobre conhecer pessoas em São Francisco na conferência RSA.

Claro, esse evento foi há mais de um mês e já acabou há muito tempo e, como resultado, esse tweet é, de fato, completamente desinteressante, mesmo para pessoas que poderiam ter sido temporariamente interessantes, que queriam se encontrar comigo em RSA, e começou a receber todos esses gostos.

---

PATO.  Mesmo para pessoas que *realmente* se encontraram exatamente com você na RSA. [RISADA]

---

CHET.  O que não era muita gente, porque depois que cheguei lá e vi o pesadelo do COVID que estava acontecendo, eu meio que pensei melhor em conhecer muitas pessoas na RSA.

Mas esse tweet começou a receber curtidas aleatórias, e comecei a olhar para os perfis dessas pessoas que estão curtindo o tweet, e eles não eram meu povo… essas não são pessoas que normalmente me seguiriam.

Um estava professando quanto amor ele tinha por diferentes jogadores de futebol nigerianos, e outro estava fingindo ser uma mulher de Nova York que estava na cena da moda e modelos e todo esse tipo de coisa…

---

PATO.  Bem na sua rua, Chester! [RISADA]

---

CHET.  Sim. [RISOS]

E quando olhei para quem essas contas estavam seguindo, elas seguiram um conjunto muito aleatório de pessoas que não eram temáticas.

A maioria das pessoas que me seguem me seguem por causa de coisas de segurança sobre as quais eu tweeto; eles geralmente seguem muitas outras pessoas de TI.

Verei que eles seguem diferentes tipos de pessoas “celebridades de TI”, ou seguem muitas empresas de tecnologia… esses são sinais para mim de que são seguidores legítimos.

Mas esses relatos: quando eu olhei para eles, era como uma dispersão de pessoas aleatórias que eles estavam seguindo.

Não havia rima ou razão para nada disso, o que é diferente da maioria de nós.

A maioria de nós gosta de nossos times esportivos favoritos, ou de quaisquer hobbies que tenhamos, e sempre há um tema passando pelas pessoas que seguimos que você pode identificar com muita facilidade.

---

PATO.  Sim – quando você chega ao “16º grau de separação”, perseguindo alguém na toca do coelho do Twitter, é uma boa aposta que eles realmente não se movem em seus círculos de forma alguma!

---

CHET.  Sim.

E o que é bizarro sobre isso é que eu não tenho certeza do que eles estão fazendo, além de me agarrar a essa tragédia horrível e tentar construir algum tipo de reputação.

E meu único palpite é que talvez eles estejam tentando fazer com que outras pessoas sigam de volta porque gostaram do tweet, ou talvez pelo menos para gostar de algo que postaram, para tentar dar-lhes um tipo de impulso nas mídias sociais.

É deplorável que as pessoas se apeguem a essas tragédias para tentar criar algo além de alguma empatia e simpatia pelas pessoas envolvidas.

Dar a essas contas o que eles querem pode parecer inocente o suficiente… Conheço muitas pessoas que dizem: “Ah, eu sempre sigo de volta”.

É bem perigoso fazer isso.

Você está construindo reputações que fazem as coisas parecerem legítimas, que permitem a disseminação contínua de desinformação, ameaças e golpes.

Aquele pequeno like ou aquele follow back realmente importa de uma maneira muito ruim.

---

PATO.  Eu concordo!

Chester, muito obrigado por compartilhar essa história sobre o que aconteceu com você no Twitter e, em particular – assim como a história do Facebook 2FA Scam in 28 Minutes – a velocidade com que aconteceu.

Presumivelmente, bandidos estão apenas tentando ordenhar um pouco de simpatia de pessoas que sentem que talvez seja a hora de ser um pouco mais amoroso do que o normal ... sem pensar nos efeitos a longo prazo de essencialmente abençoar alguém que não merece isso. tenho.

Muito obrigado por intensificar o podcast inteiro em curto prazo.

Obrigado a todos que ouviram.

E como sempre, até a próxima…

---

AMBAS.  Fique seguro!

[MODEM MUSICAL]