Venda de equipamento de pesca

Na TMT, há uma série de razões pelas quais estamos entusiasmados com o nosso novo serviço TMT Authenticate, o nosso novo serviço de autenticação silenciosa sem fricção, em parte porque acreditamos que representa o ecossistema móvel a voltar a estar na linha da frente na luta contra a fraude.

No entanto, esta semana, algumas informações interessantes da Microsoft ilustram de forma muito eficaz a necessidade de avançar.

A equipa de informações sobre ameaças da Microsoft tem vindo a monitorizar as actividades de um grupo a que chamam DEV-1101 e que começou a vender um kit de phishing pronto a usar, que, entre outras coisas, permite que os burlões contornem o próprio mecanismo de segurança concebido para proteger os utilizadores, como a SMS One-Time Password (OTP).

Simplificando, o kit inclui uma série de modelos padrão para imitar coisas como o Microsoft Outlook, mas o que é realmente interessante é que utiliza “bots” de IA para ficar no meio do processo de autenticação, contornando a autenticação de dois factores (2FA) existente.

Quando a vítima se deixa enganar por um e-mail de Phishing e “clica no link”, é levada para uma página web que se parece com a página de login real da sua marca favorita, mas que está obviamente lá para recolher os seus dados de login. A IA recolhe essas credenciais e, em paralelo, abre uma sessão de início de sessão no sítio real. Quando o site real envia o seu pedido de autenticação de dois factores, como uma palavra-passe de uso único, o bot espelha-o no site falso, para que o utilizador introduza o código correto no site falso e o bot, por sua vez, o transfira rapidamente para a tentativa de início de sessão real perpetrada pelo fraudador.

A Microsoft diz que este kit foi anunciado pela primeira vez online há quase um ano e é vendido por apenas 300 dólares na versão standard e 1000 dólares na versão deluxe.

Embora o acima exposto não faça nada que já não tenhamos visto antes, é claro que reduz substancialmente a barreira de entrada dos fraudadores e espera-se que anuncie um aumento maciço deste tipo de crime, contornando uma OTP que, convenhamos, é a forma mais comum de autenticação de dois factores e ainda é utilizada pela maioria das marcas online.

A razão pela qual isto é relevante para o TMT Authenticate também é bastante simples, porque funciona diretamente em conjunto com os operadores de redes móveis que autenticam o dispositivo a partir de dados encriptados guardados no cartão SIM, não requer que o utilizador introduza quaisquer credenciais, pelo que não há nada a partilhar com os maus da fita.

Além disso, o fluxo de comunicação não envolve apenas o dispositivo, porque as mensagens de autenticação são enviadas diretamente entre o operador, a TMT Analysis e o sítio Web a que estás a tentar aceder, e não o telemóvel. Portanto, nunca será suscetível a esses tipos de ataques chamados Man-in-the-middle, porque não há nada para intercetar.

Como sempre, os conselhos do sector continuam a ser os mesmos:

1. Fica sempre atento a mensagens de correio eletrónico suspeitas;
2. Não cliques na ligação – a menos que tenhas a certeza de que é genuína;
3. Fala com a TMT Analysis sobre o Authenticate e vê se ele pode melhorar a segurança e a experiência de utilização dos teus clientes!