Os ataques cibernéticos estão se multiplicando e, com eles, percebemos um aumento significativo nas tentativas de golpes e fraudes digitais. O usuário não só precisa estar ciente dessas manobras: também deve aprender a reconhecer as vulnerabilidades mais comuns. Uma pergunta muito frequente (talvez com certa intenção maliciosa) é como contas do Facebook são hackeadas. Nosso objetivo hoje não é explicar isso, mas sim como se defender diante de um hipotético ataque e manter protegido o seu perfil.
Contas do Facebook hackeadas: senhas fracas
Parece mentira ter que explicar isso, mas se um usuário acaba com a conta do Facebook hackeada, o mais provável é que tenha usado uma senha muito fraca, ou pior, repetido essa mesma senha em diferentes serviços. Se um deles sofrer um ataque e as credenciais vazarem na internet, toda a sua vida digital pode ficar exposta.
A primeira linha de defesa é trocar a senha por outra muito mais robusta e usar um gerenciador de senhas ao mesmo tempo. Previamente, compartilhamos uma lista com os melhores do mercado, mas pessoalmente acredito que o KeePass se mantém alguns degraus acima do resto, graças ao seu perfil gratuito, open source e offline.
Outro recurso fundamental é o site Have I Been Pwned, que nos ajuda a verificar se nossos endereços de e-mail estão em bases de dados vazadas. Se você não puder substituir seus e-mails, no mínimo deve garantir que cada serviço que os utilize como login esteja protegido com senhas fortes.
Phishing (e-mails, páginas, ligações, etc.)
Um e-mail que diz ser do "departamento de segurança do Facebook", uma "emergência" na sua conta bancária, um perfil em redes sociais que anuncia você como vencedor de um sorteio, um aviso sobre possíveis fotos vazadas, alertas sobre o fechamento de uma conta... já lemos e ouvimos de tudo. Bem-vindo ao mundo do phishing, um dos métodos mais eficazes de engenharia social.
A ideia é simples: roubar algo de você. Credenciais, números, códigos, contas, o que for. Alguns atacantes usam e-mails, páginas e perfis falsos. Outros apostam no vishing, voice phishing ou voice solicitation, com interações mais diretas, como chamadas ou mensagens de voz.
O mais importante que devemos entender sobre phishing e vishing é que se trata de segurança humana. A vulnerabilidade é você, e com isso em mente, há alguns pontos que você jamais deve perder de vista:
- Ninguém vai ligar ou entrar em contato sem consentimento prévio explícito. Nem Facebook, nem Netflix, nem Spotify, nem Starbucks, nem o banco, nem seu provedor de internet, nem o Fundo Monetário (já me aconteceu), nem príncipes nigerianos, nem Bill Gates, nem Elon Musk. Ninguém. Você deve assumir que todas essas tentativas de comunicação são maliciosas e buscam roubar algo de você.
- Não abra nenhum e-mail suspeito, não clique em nenhum link estranho e não baixe anexos se você não puder verificar a procedência.
- Nunca insira ou compartilhe informações pessoais, especialmente em janelas pop-up. Nenhuma empresa real pedirá seus dados dessa forma.
- Procure erros de digitação ou problemas de tradução. Uma característica do phishing é que muitos ataques são de baixa qualidade e ignoram detalhes básicos como ortografia.
Man in the Middle, "MITM"
Adoramos o WiFi público e gratuito, por que negar? Ele nos mantém conectados, ajuda a economizar dados nos nossos pacotes e já nos tirou de várias enrascadas, no entanto... não é necessariamente seguro. O conceito de Man in the Middle se aplica a muitos casos, mas aqui devemos imaginar uma rede WiFi falsa ou comprometida por um elemento malicioso que se faz passar por uma rede WiFi pública. Não importa exatamente como: se o atacante sabe o que faz, ele pode escutar/registrar tudo o que passa pela rede, incluindo credenciais do Facebook e de outras redes sociais.
O ideal seria evitar completamente as redes WiFi públicas, mas precisamos ser realistas: no mínimo, garanta que a rede disponível seja de confiança (perguntar o nome da rede em um estabelecimento nunca é demais) e tente usar uma VPN para as conexões mais delicadas. Aqui estão quatro opções gratuitas se você não sabe por onde começar.
Keylogging
De longe, o pior caso. A presença de um keylogger equivale a um dispositivo comprometido, e o mesmo acontece com todos os serviços aos quais você tenha acessado. Como o nome sugere, o keylogger registra tudo o que passa pelo teclado, desde nomes de usuário e senhas até números de cartão e PINs de segurança. Se alguém instalou um keylogger no seu equipamento, procura muito mais do que hackear sua conta do Facebook.
Tecnicamente é possível se recuperar de um ataque como esse ("Nuke and pave", troca de todas as senhas em todos os serviços e extrema vigilância para detectar movimentos estranhos em home banking e outros perfis), mas a melhor defesa é impedir que o keylogger seja instalado em primeiro lugar.
- Mais uma vez, desconfie de qualquer link de download ou anexo estranho que você possa receber. Tente verificar sua origem. Pergunte.
- Em dispositivos móveis, evite teclados alternativos desenvolvidos por empresas sem reputação. A Play Store está em uma batalha constante contra aplicativos maliciosos que buscam roubar informações, e nunca falta o teclado com brindes em segundo plano...
- A segurança dos sistemas operacionais atuais melhorou muito, mas nunca é má ideia adicionar uma ferramenta extra de proteção. O Malwarebytes continua sendo uma das mais recomendadas e tem um artigo completo dedicado a keyloggers.
- Computador compartilhado? Verifique portas USB e outros detalhes. Já ouvimos histórias sobre hardware misterioso no passado...
Em resumo
Alguns atacantes se concentram em uma dessas estratégias. Outros aplicam uma combinação de todas elas, mas para obter acesso a uma conta do Facebook, o mais provável é que tentem senhas fracas e apostem no phishing. Claro, isso não se limita ao Facebook. Você também deve pensar no Twitter, TikTok, Instagram, Discord, Twitch e em tudo o que for de seu interesse online. Boa sorte!
