WhatsApp vai atrás de golpistas de senhas chinesas via tribunal dos EUA

Se você não pode vencê-los, processá-los!

Na verdade, a citação original não é bem assim, mas você entendeu: se você não consegue impedir as pessoas de baixar aplicativos falsos e contaminados por malware que fingem ser apoiados por sua poderosa marca global…

…por que não usar sua poderosa marca global para processar os criadores desses aplicativos maliciosos que espalham malware?

Essa não é uma técnica nova (a ação legal dos gigantes do setor de TI já ajudou a derrubar sites maliciosos e serviços de distribuição de malware antes) e não impedirá que a próxima onda de criminosos continue de onde o último lote parou.

Mas vale a pena tentar qualquer coisa que torne mais difícil para os vendedores de malware operarem à vista de todos.

WhatApp na ofensiva

O WhatsApp, juntamente com sua empresa-mãe Meta, começou ação legal contra três empresas que alega “induziu mais de um milhão de usuários do WhatsApp a comprometerem suas contas como parte de um ataque de aquisição de contas”.

Falando livremente, autocompromisso neste contexto, refere-se a phishing baseado em aplicativo: crie uma caixa de diálogo de login falsa que mantenha uma cópia não autorizada de qualquer coisa que você inserir, incluindo dados pessoais, como senhas.

Como você provavelmente pode imaginar, e como o WhatsApp alega em seu processo judicial, o principal valor dessas contas comprometidas para os supostos infratores era que elas poderiam ser usadas para “enviar mensagens comerciais de spam”.

Ao contrário do ecossistema de e-mail, onde qualquer pessoa pode enviar e-mail para qualquer pessoa (ou, no caso de remetentes de mensagens em massa, onde alguém pode enviar e-mail para todos), aplicativos de mensagens e redes sociais, como o WhatsApp, são baseados em grupos fechados.

Esse tipo de mundo online não é tão fácil para spammers e golpistas se infiltrarem.

De fato, conhecemos muitas pessoas que quase não usam mais e-mail, preferindo se comunicar com amigos e familiares exatamente por meio desse tipo de grupo fechado, principalmente porque evita a enxurrada de lixo intrusivo e indesejado que enfrentam por e-mail.

Claro, o outro lado de um ecossistema de mensagens de grupo fechado é que é mais provável que você acredite, ou pelo menos dê uma olhada, nas coisas que recebe de pessoas que conhece.

É improvável que você abra documentos ou clique em links que claramente vieram de um remetente de e-mail que você nunca conheceu antes, não quer conhecer e nunca conhecerá…

...mas mesmo que você saiba que seu primo Chazza é propenso a compartilhar memes e vídeos de levantar sobrancelhas, você provavelmente ainda dá uma olhada neles, porque você já sabe o que esperar e, ei, é seu primo, não totalmente remetente online aleatório.

Em outras palavras, se os golpistas conseguirem entrar em suas contas de mídia social, eles não apenas terão acesso à sua lista de pessoas-estou-prazer em conversar, mas também adquirirão a capacidade de enviar spam a essa lista de pessoas-que -estão-felizes-de-ouvir-de-você com mensagens que aparentemente foram enviadas com sua bênção.

Infelizmente, não basta confiar no remetente, porque você também precisa confiar no dispositivo do remetente e na conta dele.

Spamming e scamming de rede social com base em contas comprometidas é um pouco como Compromisso de email comercial (BEC), onde os bandidos se dão ao trabalho de obter acesso a uma conta de e-mail oficial dentro de uma empresa.

Isso significa que eles estão em posição de enganar os funcionários dessa empresa de forma muito mais convincente do que poderiam como remetentes externos:

Nomeado e envergonhado

O WhatsApp nomeou três empresas no processo, operando no Sudeste Asiático sob três nomes de marcas diferentes.

As empresas são Rockey Tech HK Ltda (Hong Kong), Pequim Luokai Technology Co. Ltd (RPC), e Chichat Tecnologia Ltda (Taiwan).

As marcas sob as quais o WhatsApp alega que eles vendiam aplicativos e complementos falsos são Heymods, Destaque Mobi e HeyWhatsApp.

Simplificando, o WhatsApp está argumentando que os réus sabiam perfeitamente que seu comportamento não estava em conformidade com os vários termos e condições da Meta e que o objetivo de violar esses termos e condições era obter acesso e abusar das contas de usuários legítimos.

O documento judicial arquivado pelo WhatsApp inclui uma captura de tela do aplicativo supostamente desonesto chamado HeyWhatsApp Android que acabou no mercado alternativo de downloads do Android Malavida, onde a descrição do aplicativo avisa abertamente os usuários:

O WhatsApp não autoriza o usuário dessas [ferramentas de modificação], então baixar HeyWhatsApp […] pode levar a ser banido do serviço […] Nem garante o funcionamento correto, o que significa que muitas vezes encontramos uma falta de estabilidade.”

Outros aplicativos desonestos no processo, diz Meta, estavam disponíveis na própria Google Play Store, o que significa que não apenas receberam o imprimatur oficial do Google, mas também potencialmente atingiram um público muito mais amplo (e provavelmente um público com atitudes mais cautelosas em relação à segurança cibernética).

Um desses aplicativos foi baixado mais de 1,000,000 vezes, dizem os queixosos, e um segundo aplicativo ultrapassou 100,000 downloads.

Como o WhatsApp afirma ironicamente, “Os réus não divulgaram na Google Play Store ou em suas Políticas de Privacidade que este aplicativo continha malware projetado para coletar as informações de autenticação do WhatsApp do usuário.”

(Como um aparte igualmente irônico, não podemos deixar de imaginar quantas pessoas teriam instalado o aplicativo de qualquer maneira, mesmo que os réus tivessem admitido antecipadamente que “este software rouba sua senha”.)

O que fazer?

• Evite sair do mercado, se puder. Como este caso nos lembra, muitos malwares passam pelo processo automatizado de “verificação de software” do Google Play, mas há pelo menos algumas verificações e equilíbrios básicos de segurança cibernética aplicados pelo Google. Em contraste, muitos sites de download do Android fora do mercado adotam deliberadamente uma abordagem “vale tudo”, e alguns até se orgulham de aceitar aplicativos que o Google rejeitou.
• Considere um aplicativo de segurança cibernética de terceiros para o seu Android. Aplicativos de especialistas em segurança cibernética ajudam você a detectar e bloquear uma ampla variedade de sites maliciosos e aplicativos maliciosos, mesmo que a Play Store do Google os permita. (Sim, A Sophos tem um, e é grátis.)
• Se parece bom demais para ser verdade, é bom demais para ser verdade. Você realmente precisa mudar as cores do WhatsApp? Se o aplicativo oficial não permite que você faça isso, por que você confiaria em um que afirma ter descoberto uma solução alternativa? Em particular, não preste muita atenção às classificações de crowdsourcing em sites de download de aplicativos, incluindo o próprio Google Play. Esses comentários poderiam ter sido deixados por qualquer pessoa.
• Remova regularmente aplicativos que você realmente não precisa ou não está usando muito. Falando livremente, quanto mais aplicativos você tiver em seu telefone, maior será sua área de superfície de ataque e maior a probabilidade de você acabar fornecendo dados pessoais que não pretendia. Por que dar espaço para aplicativos que não estão servindo a um propósito claro e útil?

Seja especialmente cauteloso com aplicativos que afirmam estar disponíveis apenas em sites de download alternativos por motivos intrigantes, como "O Google não quer que você tenha este aplicativo porque reduz a receita de anúncios" ou "este aplicativo de investimento é somente para convidados, então não compartilhe este link especial com ninguém”.

Existem muitos aplicativos legítimos e úteis que não se alinham com as regras comerciais e de negócios do Google e, portanto, nunca entrarão no mundo competitivo do Google Play…

...mas há muitos, muitos outros aplicativos que são rejeitados pelo Google porque claramente contêm falhas de segurança cibernética, seja devido a programadores preguiçosos, incompetentes ou ambos, ou porque os criadores do aplicativo eram criminosos cibernéticos não reconstruídos.

Como gostamos de dizer: Em caso de dúvida/Deixe de fora.

---