Hackers russos ligados à inteligência estão comprometendo ativamente contas de Signal e WhatsApp usadas por funcionários do governo dos EUA, militares, políticos e jornalistas, de acordo com avisos do FBI e de agências de segurança cibernética. Isto não é apenas hacking aleatório; é uma campanha coordenada para obter acesso a comunicações confidenciais, explorando uma técnica de phishing básica, mas eficaz.
Como funcionam os ataques: personificando o suporte
Os invasores se passam por contas de suporte legítimas no Signal e no WhatsApp, enviando mensagens que alegam falsamente atividades de login suspeitas. As vítimas são então levadas a compartilhar códigos de verificação ou PINs, o que concede imediatamente aos hackers controle total sobre as contas comprometidas. Uma vez lá dentro, os hackers podem se passar pela vítima, enviar mais links de phishing para seus contatos e potencialmente intensificar os ataques.
“A vigilância do usuário é, em última análise, a melhor defesa contra o phishing”, escreveu Signal em resposta aos ataques.
Por que esses aplicativos? O apelo dos canais seguros
A escolha do Signal e do WhatsApp é deliberada. Ambas as plataformas são conhecidas pela criptografia ponta a ponta, o que as torna populares entre os funcionários que exigem comunicação segura. O interesse da Rússia no Signal, conforme observado pelos serviços de inteligência holandeses, decorre da sua reputação como um canal confiável e independente, tornando-o um alvo de alto valor para vigilância.
O que as agências estão dizendo: avisos coordenados
O FBI e a Agência de Segurança Cibernética e de Infraestrutura (CISA) emitiram uma declaração conjunta na semana passada alertando sobre esse esquema. Alertas semelhantes também foram divulgados por agências em Portugal, nos Países Baixos e em França, indicando um esforço generalizado e coordenado para se infiltrar em canais de mensagens seguros. Apesar destes ataques, a Signal afirmou que a sua infraestrutura permanece intacta.
Como se proteger: etapas simples
As agências recomendam tratar as mensagens não solicitadas com extrema suspeita. Bloqueie e denuncie qualquer remetente desconhecido imediatamente. Ative todos os recursos de segurança disponíveis nos aplicativos de mensagens, incluindo autenticação de dois fatores sempre que possível. Nunca compartilhe códigos de verificação ou PINs em resposta a solicitações não solicitadas, mesmo que pareçam vir do suporte oficial.
Este tipo de campanha de phishing destaca uma tendência crescente: mesmo as plataformas criptografadas ficam vulneráveis se os usuários caírem em táticas de engenharia social. Os ataques sublinham a importância da vigilância e do ceticismo constantes ao interagir com comunicações online.
