Há cada vez mais bots direcionados para roubar códigos de autenticação de dois fatores (2FA) de serviços como o Apple Pay, PayPal, Amazon, Coinbase ou outros à venda no mercado negro. Um hacker mostrou ao Motherboard que o sistema realmente funciona e é bastante simples, sendo uma escolha natural para os piratas que não têm tantas capacidades de engenharia social.
Kaneki, o pirata contactado, usou o bot para ligar ao jornalista do Motherboard, que foi iludido para digitar um código no telefone e mostrou que o bot recebeu esse mesmo código do seu lado. OTPGOD777, outro utilizador nestes fóruns, complementa que “o bot é espetacular para as pessoas que não têm skills de engenharia social (…) nem toda a gente é confortável e convincente ao telefone”. Estes bots estão disponíveis por algumas centenas de dólares no mercado negro e, aliados a outras formas de pirataria e outros dados, são uma forma de se entrar nas contas de utilizadores, pondo em causa privacidade ou roubando mesmo conteúdos e dinheiro.
Para começar o esquema, o hacker necessita de ter o nome de utilizador ou endereço de email e password da vítima, que podem estar disponíveis em repositórios criados com base em fugas de informação anteriores. Uma vez que muitas pessoas reutilizam credenciais, é uma questão de probabilidades até se acertar numa password usada noutro serviço. Depois, no Telegram ou no Discord, o pirata pode digitar o número de telefone que pretende atacar, com o bot a colocar o número em plataformas de chamadas online semelhantes ao Twilio para começarem a ser feitas as chamadas. “O Twilio tem vindo a encerrar as contas de bots OTP (de one time password)”, asseguram os hackers envolvidos, com a empresa também a revelar ter uma equipa a monitorizar este tipo de atividade.
Independentemente da plataforma de conversação usada, o bot pretende telefonar para a vítima e, com uma história qualquer como sendo a proteção contra uma transação fraudulenta ou o bloqueio de uma tentativa de entrada não autorizada, ludibriá-la a colocar o código OTP recebido. O hacker, ao receber esse código introduzido pelo utilizador, pode depois usá-lo para levar a sua avante.
Rachel Tobac, CEO e co-fundadora da SocialProof Security, considera, depois de ter ouvido uma chamada de exemplo, que “isto seria suficiente para convencer muitas vítimas a ceder os seus códigos OTP/2FA e o pirata nem sequer precisa de ser um engenheiro social muito bom, podem só usar este bot para tentar entrar na conta”.
No Telegram, em determinados grupos, é possível ver capturas de ecrã como evidências de utilização bem-sucedida destes bots na obtenção dos códigos junto das vítimas. Os preços começam nos 600 dólares para utilização de um mês ou 4000 dólares para licenças ‘vitalícias’.
