Ataque de phishing agora foca em donos de Macs, após ser visto primeiro no Windows
De acordo com a firma de segurança LayerX Labs, um ataque de phishing que até há algumas semanas atrás focava exclusivamente em usuários de PCs com Windows voltou-se agora para donos de Macs.
Feito para roubar a Conta Apple do usuário, o ataque assume a forma de supostos alertas de segurança que aparecem na tela do computador sempre que o usuário comete um erro na hora de digitar a URL de algum site, levando-o a uma página falsa.
O exemplo usado pela LayerX Labs mostra uma versão da site oficial da Apple, que congela completamente (dando ainda mais credibilidade ao alerta) e exibe um popup o qual diz que o Mac foi “bloqueado”. Para reverter essa situação, o usuário é encorajado a fornecer o email e a senha da sua Conta Apple, além de ser apresentado a número de “suporte”.
Como averiguado pelo pessoal do Macworld, o número exibido resulta em uma mensagem gravada a qual diz para o usuário realizar sua ligação em horário comercial. No entanto, como muitos de vocês já devem estar suspeitando, ninguém nunca chega realmente a atender a ligação.
O popup é si não é dos mais convincentes, apresentando um estilo bastante distinto daquele usado pela Apple no seu sistema — isso sem contar os erros de digitação, como “MacOS”. Entretanto, usuários menos inteirados sobre o ecossistema da Apple e sobre essas táticas de phishing podem sim acabar caindo nesse truque.
Como dito, esse mesmo ataque havia sido notado primeiro no Windows, mas depois que a Microsoft, bem como navegadores como o Google Chrome e Mozilla Firefox, implementou correções, os casos de phishing caíram cerca de 90%. A calmaria, porém, não durou, já que os primeiros ataques envolvendo usuários de Mac começaram a surgir apenas duas semanas depois.
É possível que a Apple, bem como desenvolvedores de navegadores, implemente correções que bloqueiem esses ataques no macOS em breve. Até lá, no entanto, é uma boa ideia redobrar a atenção ao digitar URLs de sites e nunca fornecer dados de login para ninguém — por mais que o pedido possa parecer legítimo.