Nova modalidade de phishing detectada: muito olho com as PWA

Os aplicativos site progressivas (PWA) são um meio-termo entre os sites tradicionais e os aplicativos clássicos (as que qualquer poderia descarregar em Google Play). Permitem realizar tarefas que geralmente se adjudicavam às apps, e incluem grandes vantagens, como a possibilidade de ver notificações ou de funcionar sem conexão a Internet . Ainda que poderia confundir com uma extensão do navegador site, não tem nada que ver. Não obstante, é um software que também têm seus riscos.

Tal e como explica a empresa especializada em Ciberseguridad Kaspersky, todos os navegadores modernos, incluído Chrome, admitem as PWA. Uma de suas características principais é que não têm barras de direcções, o que a priori é uma vantagem… mas também facilita as coisas aos ciberestafadores, que podem "desenhar uma barra própria que mostre uma URL que satisfaça seus objectivos de phishing".

Como funciona o ataque de phising

Há que recordar que o phishing é um tipo de ataque muito comum e, até verdadeiro ponto, perigoso. Por exemplo, imaginemos que uma pessoa recebe um correio electrónico que parece ser de seu banco ou de uma loja muito conhecida, como Zara ou Ikea. Na mensagem diz-se-lhe que tem acesso a uma oferta especial, e se lhe pede ao receptor que actualize seus dados pessoais ou lhe convida a clicar num enlace para aceder a sua conta.

Este correio electrónico poderia ser um ataque de phishing cujo objectivo é que o utente releve informação pessoal como senhas, números de cartões de crédito ou dados bancários.

Como detectar os ataques

Este tipo de mensagens costumam ter um tom urgente ou alarmante: os estafadores instam à vítima a actuar rápido para evitar problemas ou aproveitar uma oferta.

Ademais, ainda que a cada vez são menos frequentes, não é raro que tenha erroes ortográficos ou gramaticales. E, por suposto, enlaces ou arquivos adjuntos suspeitos: se clicas neles, poderias ser dirigido a um lugar site falso ou descarregar malware em teu dispositivo.

Artículo relacionado

Que faço se um desconhecido me escreve por WhatsApp: como saber se é uma fraude e como reagir

Ana Carrasco González

Como funciona a fraude das PWA

Assim, no caso das PWA, os estafadores simplesmente têm que criar janelas com URLs convincentes para enganar aos utentes. Depois disto, devem convencer à vítima para que instale dita PWA. "No entanto, isto se pode conseguir facilmente utilizando uma linguagem persuasivo e elementos de interface desenhados inteligentemente", advertem desde Kaspersky.

O processo para roubar uma senha mediante uma PWA, explicam, costuma-se desenvolver da seguinte maneira:

• A vítima abre um lugar site malicioso.
• O lugar site convence à vítima para que instale a PWA.
• A instalação ocorre quase ao instante e abre-se a janela da PWA.
• Abre-se uma página de phishing com uma barra de direcções falsa na que se mostra uma URL que parece legítima na janela da PWA.
• A vítima introduz suas credenciais de início de sessão no formulário, com o que proporcionar-lhas-á directamente aos atacantes.