Aquele momento como tantos outros, estamos a navegar na Internet e, a determinada altura, surge a necessidade de iniciar sessão. No ecrã surge uma janela que nos é familiar, tem o logotipo da Microsoft, da Google ou de outra plataforma que utilizamos habitualmente. Fazemos o óbvio: introduzimos o endereço de email, a palavra-passe e continuamos o que estávamos a fazer.
Mas e se aquela janela de login não for realmente uma janela? E se o que parece pertencer à Microsoft ou à Google fizer, na realidade, parte da própria página onde estamos? Rebuscado? Nem tanto, bem-vindo ao Browser-in-the-Browser, (BitB), uma técnica de phishing particularmente interessante porque explora algo em que aprendemos a confiar: aquilo que vemos no ecrã.
O princípio baseia-se em algo simples, o atacante cria uma página maliciosa capaz de se apresentar como uma janela legítima de autenticação. Visualmente, está tudo no lugar correto: o logotipo, as cores, os campos para introduzir as credenciais e até o endereço (URL) que esperamos encontrar no topo da suposta janela.
O problema é que não estamos perante uma janela independente do browser. Na verdade, estamos prestes a confiar numa representação criada dentro da própria página. Um cenário montado para parecer verdadeiro, que provavelmente irá funcionar porque parece verdadeiro.
Durante muito tempo, dar conselhos em cibersegurança era relativamente simples: antes de introduzir uma palavra-passe, confirme sempre o URL do website. Este conselho continua, obviamente, a fazer sentido, no entanto ataques como o BitB mostram-nos que a aparência, por si só, deixou de ser suficiente para merecer a nossa confiança.
Sendo possível simular uma janela legítima dentro de uma página falsa, então o problema deixa de estar apenas na capacidade de reconhecer um logotipo ou um URL. Estará, muito certamente, na forma como reagimos quando lidamos com o conjunto de todos esses elementos.
O nosso cérebro gosta de padrões. Deparamo-nos com a janela onde já iniciámos sessão dezenas de vezes e tudo parece estar no sítio certo. Perante essa familiaridade, ligamos o piloto automático e, a seguir, o inevitável: email. Palavra-passe. Enter.
É justamente o piloto automático que o atacante procura acionar. Não se trata de ingenuidade nem sequer de desconhecimento dos princípios básicos de segurança. Basta acreditar que já fizemos a verificação necessária.
O BitB explora, por isso, mais do que uma questão tecnológica. Explora confiança no que estamos a ver no ecrã. Ora, se visualizarmos uma janela da Microsoft, assumiremos que é da Microsoft. Se reconhecemos o URL, o cérebro faz o resto e encontra mais uma razão para confirmar aquilo em que já acreditava.
Um ataque bem construído será cada vez menos suspeito. Aliás, quanto menos dúvidas levantar, maior será a probabilidade de resultar. O objetivo do atacante já não é sequer levar-nos a fazer algo extraordinário. É conseguir, apenas, que façamos exatamente aquilo que fazemos todos os dias: iniciar sessão.
E agora? Perante este contexto o que fazer para diminuir a exposição a este ataque? Um bom princípio será não iniciar sessões a partir de páginas às quais tenhamos acedido através de links inesperados, principalmente quando recebidos por email, mensagem ou redes sociais. Ter em atenção que se determinado serviço precisa realmente de autenticação, podemos e devemos abrir uma nova janela ou separador e aceder diretamente ao URL que conhecemos.
Existe ainda um pequeno comportamento que pode fazer a diferença: quando surgir uma janela de autenticação inesperada, não ter pressa em preencher os campos. Fazer uma pequena pausa, observar a janela e questionar por que razão está novamente a ser solicitado um início de sessão. Um pedido autenticação que aparece onde não era esperado merece, pelo menos, a tal pausa.
Claro que utilizar autenticação multifator continua a acrescentar uma camada de proteção, embora não deva servir como desculpa para deixar de estar atento. E talvez seja, precisamente, essa a principal lição do BitB: atenção. Passámos muito tempo a aprender a reconhecer páginas falsas e, agora, precisamos também de aceitar que esta pode conter elementos que parecem absolutamente verdadeiros.
Confrontados com este risco, isso não significa que devamos viver permanentemente desconfiados. Significa que precisamos de atualizar a forma como construímos confiança no mundo digital. Uma janela pode parecer verdadeira, um URL pode parecer verdadeiro e até um início de sessão pode parecer verdadeiro. Mas para todos nós, ainda assim, saber que nada daquilo que nos parece ser legítimo, o é na realidade, vai acrescentar, sem dúvida, uma importante camada de proteção. Na Internet, reconhecer, deixou há muito, de ser suficiente. Precisamos de verificar muito antes de agir.
Segurança não é técnica. É humana.
Os textos nesta secção refletem a opinião pessoal dos autores. Não representam a VISÃO nem espelham o seu posicionamento editorial.
