O som do smartphone desperta a atenção. Olha para o ecrã e vê o nome do contacto. Pode ser o seu banco, a operadora ou até um organismo do Estado. Atende com tranquilidade, uma vez que o número está identificado e tudo parece correto. Mas há um problema: hoje, isso já não significa que esteja realmente a falar com quem pensa.
Esta técnica designa-se por spoofing e consiste na falsificação da identidade associada a uma chamada telefónica. O objetivo é relativamente simples: levar a vítima a acreditar que está a falar com uma entidade legítima quando, na realidade, do outro lado está um burlão. À primeira vista, é um cenário digno de um filme, mas, infelizmente, já faz parte do nosso quotidiano.
O mais preocupante é que este ataque não começa apenas na manipulação da tecnologia. Começa, muito antes, na exploração da confiança. Durante muito tempo, aprendemos a verificar quem nos ligava através do número apresentado no ecrã. Se reconhecíamos o contacto, confiávamos e, este, era um comportamento perfeitamente lógico. O número de telefone funcionava como uma espécie de cartão de identificação. Infelizmente, hoje já não funciona assim.
Os criminosos conseguem fazer aparecer no ecrã um número legítimo, que pode pertencer a um banco, a uma empresa ou até a um familiar, ou seja, o smartphone apresenta uma identificação aparentemente verdadeira e o nosso cérebro faz o resto: liga o piloto automático. Confiamos, não porque sejamos ingénuos, mas porque fomos habituados a interpretar aquela informação como uma confirmação da identidade de quem nos contacta.
É precisamente isso que torna o spoofing tão eficaz. Os atacantes não exploram apenas uma vulnerabilidade tecnológica. Exploram, sobretudo, um comportamento humano. Quando vemos algo familiar, tendemos a questionar menos. Quando acreditamos saber quem está do outro lado, ouvimos com outra atenção. E quando alguém utiliza o nome da nossa instituição bancária e demonstra conhecer alguns dos nossos dados, a sensação de legitimidade aumenta ainda mais.
É nesse preciso momento que muitos ataques começam. Surge um problema urgente: uma transferência suspeita, um acesso indevido à conta ou um cartão que terá de ser bloqueado. A conversa transmite preocupação, mas também uma aparente vontade de ajudar. A urgência não é, de todo, acidental. É, totalmente, deliberada.
Quando sentimos que temos pouco tempo para decidir, pensamos menos e reagimos mais e é exatamente isso que o atacante procura. Muitas vítimas recordam, mais tarde, que houve pequenos detalhes estranhos durante a chamada: uma pergunta inesperada, um pedido pouco habitual ou um excesso de pressão. No entanto, naquele momento, o contexto parecia fazer todo o sentido. O número apresentado no ecrã funcionou como uma confirmação de confiança, mas, na realidade, era apenas uma ilusão.
Vale a pena recordar uma ideia simples: o número que aparece no telefone identifica a chamada, mas não identifica necessariamente quem a fez. Esta diferença, aparentemente pequena, pode ser também o primeiro passo para despertar a nossa atenção.
Como podemos então reduzir o risco? A primeira medida é provavelmente a mais simples: nunca tomar decisões importantes durante uma chamada inesperada. Se alguém afirma ser do banco e informa que existe um problema, desligue a chamada educadamente. Aguarde alguns minutos e contacte a instituição através de um número oficial, disponível no cartão bancário, no website ou na aplicação.
Deve, também, desconfiar de qualquer pedido urgente que envolva códigos enviados por SMS, palavras-passe, transferências, dados bancários ou instalação de aplicações. As instituições financeiras têm procedimentos definidos e não precisam de pressionar os clientes para tomarem decisões em poucos segundos.
Por fim, fale sobre este tema com familiares e amigos. Muitos destes ataques continuam a resultar porque as pessoas desconhecem que esta técnica existe. A tecnologia evolui todos os dias e os ataques acompanham essa evolução. O verdadeiro desafio é garantir que o comportamento evolui ao mesmo ritmo.
Talvez a maior mudança que tenhamos de fazer seja esta: deixar de confiar automaticamente naquilo que aparece no ecrã. Em cibersegurança, a confiança não pode depender apenas do que aparenta ser legítimo. Tem de depender da nossa capacidade de verificar antes de agir.
Convém recordar uma ideia simples: os criminosos podem falsificar um número de telefone. A decisão de verificar antes de agir continua, essa sim, a depender apenas de nós.
Segurança não é técnica. É humana.
Os textos nesta secção refletem a opinião pessoal dos autores. Não representam a VISÃO nem espelham o seu posicionamento editorial.
