Um dia normal, igual a tantos outros. Recebemos uma mensagem de alguém conhecido, um amigo, um familiar ou um colega de trabalho. O conteúdo parece inofensivo. Talvez seja uma fotografia, talvez um link acompanhado de uma frase curta e inspiradora. Em todo o caso, um convite para a nossa interação.
O passo seguinte? Clicamos, claro está. Não porque confiemos no link, mas porque confiamos na pessoa que o enviou. E é precisamente aqui que começa o problema. Durante demasiado tempo, fomos ensinados a não confiar em desconhecidos. Mais tarde, já online, aprendemos a desconfiar de mensagens, endereços estranhos e comunicações suspeitas. Criámos, assim, uma espécie de regra mental bastante simples: se não conheço, desconfio. Mas e quando conhecemos… fazemos o quê?
Já ouviu falar de GhostPairing? O nome pode parecer técnico, mas a lógica do ataque é profundamente humana. A vítima é levada a realizar uma sequência de ações que pode concluir com a associação de outro dispositivo à sua conta de WhatsApp. O atacante não precisa necessariamente de piratear o WhatsApp no sentido tradicional da palavra. Não precisa sequer de quebrar sistemas complexos ou ultrapassar barreiras tecnológicas aparentemente intransponíveis.
A verdade é que os hackers maliciosos necessitam apenas de algo muito mais simples: que sejamos nós a abrir a porta. E, para isso, exploram um dos mecanismos mais poderosos do comportamento humano: a confiança.
Quando recebemos uma mensagem de alguém conhecido, o nosso cérebro faz uma validação quase automática: conheço esta pessoa, logo, posso confiar. Mas há um problema nesta equação. Uma mensagem enviada através da conta de alguém que conhecemos já não significa necessariamente que tenha sido essa mesma pessoa a escrevê-la. E, já agora, esta é uma ideia que vale a pena guardar.
Se uma conta for comprometida, o atacante não ganha apenas acesso a uma ferramenta de comunicação. Ganha algo muito mais valioso: a confiança que aquela pessoa construiu ao longo dos anos com todos os seus contactos. E é aqui que começa o efeito dominó.
A premissa não é de todo rebuscada, basta que um de nós caia no esquema para que a nossa conta possa depois ser utilizada para chegar a amigos, familiares ou colegas. Essas pessoas recebem uma mensagem de alguém que conhecem e confiam… confiam porque o nome, a fotografia e até o histórico da conversa lhes são familiares. Tudo parece estar no sítio certo e, por isso, baixam a guarda.
O ataque ganha credibilidade não porque o criminoso seja necessariamente mais convincente, mas porque está a comunicar através da identidade de alguém em quem já confiamos. A confiança passa, assim, de mecanismo de proteção social a instrumento de ataque.
Ao longo dos anos, um dos principais conselhos de segurança digital foi simples: Não abra mensagens ou links enviados por desconhecidos. Nos dias de hoje oconselho continua a fazer todo sentido, mas deixou de ser suficiente. Hoje, precisamos também de aprender a questionar aquilo que recebemos de pessoas que conhecemos. E isto, só por si, vale um minuto de reflexão…
Não significa, de todo, que tenhamos de viver num estado permanente de desconfiança. Significa apenas que devemos atualizar a forma como validamos a confiança no mundo digital. Perante uma mensagem inesperada, talvez a primeira pergunta já não deva ser apenas “Conheço esta pessoa?”. Devemos acrescentar uma segunda: “Faz sentido esta pessoa estar a pedir-me isto?”.
A diferença parece pequena, mas pode ser enorme. Se alguém nos envia inesperadamente um link, pede um código, solicita uma ação pouco habitual ou nos conduz por um processo que não compreendemos, reconhecer o remetente já não é suficiente. É preciso reconhecer também o comportamento. E, quando algo não encaixa, confirmar. Neste sentido, uma chamada de alguns segundos pode evitar um problema que venha a durarsemanas.
Antes de agir, vale a pena parar um pouco, e refletir emtrês comportamentos simples que podem fazer toda a diferença: confirmar pedidos inesperados através de outro canal, nunca introduzir códigos ou associar dispositivos sem compreender exatamente o que estamos a autorizar e verificar regularmente quais os dispositivos que têm acesso às nossas contas.
Nenhuma destas medidas exige conhecimentos técnicos avançados. Exige algo aparentemente mais simples, mas nem sempre fácil de operacionalizar: uma alteração de comportamento, do nosso comportamento.
Com o passar do tempo, aprendemos a desconfiar de quem não conhecemos. Agora temos de aprender a verificar também quem julgamos conhecer. Não se trata de viver permanentemente a desconfiar do outro, no entanto, no mundo digital, reconhecer uma identidade já não significa necessariamente saber quem está do outro lado.
A tecnologia pode mudar. Os ataques também, mas a decisão de confiar continua a ser nossa.
Segurança não é técnica. É humana.
Os textos nesta secção refletem a opinião pessoal dos autores. Não representam a VISÃO nem espelham o seu posicionamento editorial.
