Novo vírus intercepta transferências via Pix e altera valor e destinatário; veja como funciona

Falhas do usuário

“Olhando sob o ponto de vista de prevenção à fraude, a pessoa [que fez o Pix] estava em uma geolocalização conhecida. Ela reconheceu a transação e colocou a senha. Tudo o que o banco poderia observar, do ponto de vista do usuário, ele fez”, afirma Fernando Guariento, líder de professional services da AllowMe (startup que é uma plataforma de prevenção à fraude), sobre o papel das instituições em tentar combater o golpe.

O BrasDex explora duas falhas do usuário, afirma Guariento. Bispo, da Accenture, também destaca problemas de segurança do sistema operacional Android, que é da Alphabet — dona do Google (GOGL34). Não há relatos, até o momento, do vírus no sistema iOS, da Apple (AAPL34).

“São duas falhas do usuário: baixar um aplicativo fora da loja e dar consentimento total e acesso irrestrito ao celular”, afirma Fernando Guariento, da AllowMe. “A infecção acontece porque a pessoa baixou algum aplicativo que não estava na app store. Ela pode ter baixado por um link no WhatsApp, por um SMS ou um link mesmo, que ela clicou”.

Guariento diz que muitas vezes as pessoas caem em golpes e baixam o aplicativo acreditando que vão ter um ganho financeiro (um exemplo são as mensagens enviadas por SMS ou no WhatsApp que prometem muito dinheiro trabalhando pouco, sem sair de casa). “É sempre um discurso de ganho rápido e fácil”.

O especialista diz que, além de a vítima baixar o aplicativo infectado (que vai instalar o BrasDex no celular), ela também dá autorização para o malware fazer absolutamente tudo no aparelho. Apesar disso, o vírus fica “adormecido”, esperando uma transação, porque o seu único propósito é desviar as transferências. Ele então precisa de mais uma “cooperação” da vítima: ela acessar o app do banco com a biometria e confirmar a transação com a senha, por exemplo.

“Os celulares têm proteções que mesmo o consentimento total não dão acesso, Mesmo com o consentimento total do usuário, por exemplo, eu não consigo acessar a área reservada do celular onde fica a biometria. É um cofre virtual onde as informações estão guardadas. Nem o banco consegue acessar isso”, afirma Guariento, sobre a necessidade de o golpe precisar da “ajuda” do usuário. “A senha do banco também fica em uma área restrita”.

Sobre o aplicativo pedir acesso irrestrito ao aparelho, o especialista da AllowMe faz uma analogia com a vida real. “Ele pede acesso completo ao celular. É como se uma pessoa batesse na porta da sua casa e pedisse pra entrar, pegar sua chave e pegar as suas senhas do banco, argumentando que ‘só precisa disso para você ganhar dinheiro fácil’. Muitas vezes a pessoa não para para pensar no que está fazendo”.

Por que o Pix?

Segundo os especialistas, o vírus explora o Pix pela sua velocidade de transação e porque não é possível desfazer uma transferência. Além disso, até a vítima perceber que caiu em um golpe e avisar o banco — e a instituição tentar recuperar o dinheiro —, o valor já vai ter sido transferido da conta “laranja” para outras contas, praticamente inviabilizando o seu rastreio.

O diretor de resiliência cibernética para a América Latina da Accenture diz que é por isso que a primeira coisa que o BrasDex faz é checar o cartão SIM do celular, para saber se ele é do Brasil. “Se não for do Brasil, para de funcionar. Se for brasileiro, ele procura os aplicativos dos maiores bancos e começa a explorar vulnerabilidades de privilegio de acessibilidade”.

Segundo a Threat Fabric, o “BrasDex é uma família de malware estritamente focada no mercado brasileiro” e “contém verificações para garantir que ele só opera em dispositivos do Brasil”. “Essa dedicação total e árdua a um único mercado pode ser motivada pelo fato de o BrasDex usar seus recursos para abusar de um subconjunto específico de transações dentro do ecossistema bancário brasileiro. O BrasDex abusa especificamente do sistema de pagamento Pix”.

A empresa de cibersegurança ressalta que o sistema de pagamentos instantâneos do Banco Central brasileiro não é vulnerável. “Os atacantes não estão explorando nenhuma vulnerabilidade do sistema Pix, mas sim abusando do sistema de pagamentos rápidos e problemas conhecidos do Android para fazer transferências fraudulentas”.

“O surgimento de sistemas de pagamento convenientes não apenas torna os pagamentos mais fáceis para os clientes, mas também abre uma oportunidade para os cibercriminosos usá-los para operações fraudulentas”, afirma a Threat Fabric. “O caso da BrasDex mostra a necessidade de mecanismos de detecção e prevenção de fraudes nos dispositivos dos clientes”.

Guariento, da AllowMe, diz que outro fator é o tempo que as instituições financeiras têm para checar as informações antes de confirmar uma transação via Pix. “É o celular da pessoa, o consentimento da pessoa, a localização habitual da pessoa… Tudo que ela geralmente faz antes de uma transação. É muito difícil para o banco para identificar esse tipo de fraude”, diz o especialista.

“Uma TED ou DOC poderia parar em uma mesa de análise de prevenção à fraude. No caso do Pix não dá, porque a transação tem de ser rápida por regulamentação. Tem uma chance menor de a transação ser barrada”, afirma o especialista.

Dicas de segurança

A instalação de malwares, em geral, se dá a partir de e-mails, mensagens de WhatsApp, sites não confiáveis (que requerem a instalação de um aplicativo) ou até SMS de phishing (que tentam convencer o usuário da necessidade de atualização de determinado programa ou até preencher algum formulário).

“Toda mensagem com links deve ser encarada com desconfiança pelo usuário. É preciso que ele se certifique de que a origem é um canal oficial de comunicação da empresa”, afirma Guariento. “Se a pessoa caiu em algum golpe ou foi vítima de alguma fraude, é preciso acionar imediatamente a instituição financeira”.

Bispo da Accenture, dá algumas dicas básicas:

1. Seu aparelho precisa ter uma senha forte
2. Qualquer aplicativo que tenha um segundo fator de autenticação, como biometria: ative essa camada extra de proteção. É um bloqueio a mais contra o atacante.
3. Fuja deste negocio de dar “next next finish” (uma referência ao hábito das pessoas de darem consentimento a tudo sem ler o que estão fazendo).
4. Pare com a mania de baixar vários aplicativos no celular, inclusive aqueles de ficar mais velho. Depois você esquece de apagar e ele fica por dois anos no seu celular, pegando seus dados.

O diretor de resiliência cibernética para a América Latina da Accenture dá um exemplo pessoal. “Troquei de celular na semana passada e tenho o aplicativo de quatro bancos no celular. Um pediu para tirar duas fotos (uma mais perto e outra mais longe); outro pediu para eu baixar um token; um terceiro pediu só a senha e o quarto pediu para eu ir na agência e desbloquear o app”.

“Qual você acha que é o mais seguro? Obviamente o que pediu para eu ir até a agência. Segurança sempre esbarra na questão da ‘usabilidade’, mas você ganha em segurança”, afirma Bispo. “A praticidade e facilidade dos aplicativos, junto com uma cultura muito baixa de segurança do brasileiro, é um prato cheio para os atacantes”.

O que dizem os bancos

Banco do Brasil

“Até o momento não temos registros de problemas com clientes causados pelo malware BrasDex.

O Banco do Brasil mantém política permanente de alerta e orientação aos seus clientes sobre os cuidados com a segurança digital – em complemente ao trabalho realizado pela Federação Brasileira dos Bancos, que representa o sistema financeiro.

O Guia de Segurança do BB, disponível no site do bb.com.br/seguranca, traz dicas importantes para prevenção a golpes. O WhatsApp do BB também oferece orientações sobre dicas de segurança, soluções de segurança do BB e golpes mais comuns, quando o cliente digita #segurança.

Semanalmente, o BB publica orientações sobre segurança digital e prevenção a fraudes nas redes sociais. No Blog BB há uma editoria específica sobre segurança digital com dicas importantes para o dia dia e sobre os principais golpes financeiros do momento.

Reforçamos ainda:

• O BB sempre orienta seus clientes sobre os cuidados com segurança digital.
• O Banco não solicita a instalação de aplicativos para acesso remoto.  A forma oficial de baixar o App BB é realizada pela loja de aplicativos do seu celular. 
• Nunca instale apps desconhecidos. 
• Desconfie de mensagens que falem sobre benefícios exagerados ou com senso de urgência.
• Não cadastre a mesma senha usada no banco em outros serviços.
• O BB não entra em contato por telefone para solicitar a liberação de dispositivos ou solicitar comandos de cancelamento e nem te orienta a ir até um Terminal de Autoatendimento para realizar qualquer tipo de transação”

Caixa Econômica Federal

“A CAIXA informa que atua em colaboração com os órgãos de segurança pública competentes, com o objetivo de coibir eventuais ocorrências de fraude.

O banco aperfeiçoa continuamente os critérios de segurança de acesso aos seus aplicativos e movimentações financeiras, acompanhando as práticas de mercado e as evoluções necessárias ao observar a maneira de operar de fraudadores e golpistas.

Neste sentido, o Internet Banking CAIXA conta com módulo de segurança que dispõe de mecanismos capazes de identificar a existência de vírus, malwares e comportamentos suspeitos nos dispositivos dos clientes, bloqueando imediatamente o acesso à aplicação.

A CAIXA emprega, ainda, mecanismos múltiplos de proteção e monitoramento para aprimorar a segurança de seus sistemas e mitigar a ação de fraudadores, tais como:

• validação de dados;
• autenticação por biometria e/ou senha;
• validação de documentos;
• segundo fator de autenticação.

Para segurança e proteção de seus clientes, o banco recomenda os cuidados listados abaixo para evitar os malwares:

• Evite clicar em links de fontes desconhecidas;
• Não instale aplicações que não estejam nas lojas de aplicativos oficiais (Play Store ou Apple Store);
• Mantenha a opção de “Instalação de aplicações de fontes desconhecidas” desativada;
• Observe o comportamento da aplicação durante o uso e desconfie de alterações no fluxo de transações;
• Só entre em contato com a instituição bancária através dos canais oficiais;
• Nunca salve senhas abertas em seu dispositivo;
• Mantenha software de antivírus instalado e sempre atualizado;
• Desconfie de contatos recebidos em nome do banco. Na dúvida, ignore e busque informações através dos canais oficiais da instituição.

O banco orienta que os cidadãos utilizem única e exclusivamente seus canais oficiais para buscar informações e acesso aos serviços, jamais compartilhando dados pessoais, usuário de login e senha. Senhas e cartões são pessoais e intransferíveis.