Cuidado! Uma Nova Técnica de Phishing Tem como Alvo os Usuários de Serviços Bancários no Celular Usando Aplicativos Sofisticados

Uma nova e preocupante técnica de phishing surgiu, representando uma séria ameaça aos usuários de serviços bancários móveis nas plataformas iOS e Android. De acordo com um aviso recente do fornecedor de antimalware ESET, os cibercriminosos estão aproveitando os Progressive Web Applications (PWAs) e WebAPKs para contornar medidas de segurança e roubar credenciais bancárias confidenciais.

Como Funciona o Ataque

Esta nova campanha de phishing aproveita a flexibilidade dos PWAs, que são aplicativos da web projetados para parecer e funcionar como aplicativos nativos. Os PWAs não exigem que os usuários habilitem instalações de aplicativos de terceiros, fazendo com que pareçam menos suspeitos. Os cibercriminosos estão instruindo os usuários do iOS a adicionar esses PWAs às suas telas iniciais, enquanto os usuários do Android são solicitados a confirmar pop-ups personalizados em seus navegadores, levando à instalação desses aplicativos enganosos.

Para usuários do Android, a ameaça aumenta com o uso de WebAPKs. Esses são essencialmente PWAs atualizados que imitam a aparência e o comportamento de aplicativos legítimos, muitas vezes enganando os usuários a acreditar que os baixaram do Google Play. A pesquisa da ESET destaca que esses WebAPKs não acionam os avisos de segurança usuais, mesmo que o usuário não tenha permitido a instalação de aplicativos de fontes desconhecidas. Uma vez instalados, esses aplicativos maliciosos se misturam perfeitamente ao dispositivo do usuário, exibindo ícones e informações que sugerem que são aplicativos bancários oficiais.

Métodos de Distribuição

A distribuição desses aplicativos de phishing é orquestrada por meio de uma combinação de chamadas de voz automatizadas, malvertising de mídia social e mensagens SMS. Os usuários são atraídos a clicar em links que os direcionam para sites falsos que lembram lojas de aplicativos oficiais ou o site do banco visado. Eles são então solicitados a instalar o que parece ser uma atualização para seu aplicativo de banco móvel.

Após a instalação, esses aplicativos solicitam as credenciais de login do usuário sob o pretexto de acessar sua conta bancária. Sem o conhecimento do usuário, essas informações confidenciais são imediatamente enviadas aos servidores de comando e controle (C&C) dos invasores.

Uma Visão Geral da Ameaça

A investigação da ESET indica que essa campanha de phishing provavelmente começou em novembro de 2023, com os servidores C&C se tornando ativos em março de 2024. Embora o foco principal tenha sido os usuários de serviços bancários móveis na República Tcheca, os ataques também tiveram como alvo indivíduos na Hungria e na Geórgia. A ESET identificou dois atores de ameaças separados por trás desses ataques, cada um usando técnicas semelhantes para comprometer os usuários.

Além disso, há uma preocupação crescente de que esses invasores expandam seu arsenal desenvolvendo mais aplicativos imitadores. A sofisticação desses PWAs e WebAPKs os torna particularmente perigosos, pois podem ser quase indistinguíveis de aplicativos bancários legítimos.

Protegendo-se contra essa Ameaça

Com o surgimento de técnicas avançadas de phishing, é mais crítico do que nunca que os usuários permaneçam vigilantes. Aqui estão algumas etapas que você pode seguir para se proteger:

1. Tenha cuidado com instalações de aplicativos : Evite instalar aplicativos que não venham diretamente de lojas de aplicativos oficiais. Se for solicitado a instalar um aplicativo ou uma atualização por meio de um link, verifique sua legitimidade primeiro.
2. Cuidado com solicitações incomuns : Desconfie de qualquer aplicativo que solicite informações confidenciais, como credenciais de login ou dados bancários, especialmente se ele alega ser uma atualização.
3. Mantenha-se informado : Mantenha-se atualizado com as últimas notícias de segurança e garanta que o software de segurança do seu dispositivo esteja atualizado para detectar e bloquear esses tipos de ameaças.

Esta nova técnica de phishing ressalta as táticas em evolução dos cibercriminosos e a necessidade de maior conscientização entre os usuários. À medida que a linha entre aplicativos legítimos e fraudulentos continua a se confundir, manter-se informado e cauteloso é sua melhor defesa.