Existem diversas formas de enganar donos de carteiras cripto e roubar suas seed phrases. Golpistas podem enviar e-mails falsos, criar versões fraudulentas de sites de serviços de criptomoedas ou instalar malware nos dispositivos das vítimas. No entanto, quase todos esses golpes têm um ponto em comum: a engenharia social.
No contexto da segurança da informação, isso significa manipular a vítima para que ela faça o que o fraudador deseja. Muitas vezes, só a engenharia social já é suficiente. Mas como ela funciona e por quê?
O que é engenharia social?
Engenharia social é a arte de manipular pessoas para que revelem informações confidenciais ou realizem ações que comprometem a segurança. No universo cripto, táticas de engenharia social são usadas para enganar vítimas e fazê-las revelar chaves privadas, enviar criptomoedas para endereços fraudulentos ou instalar malware.
Fingir ser um funcionário e obter acesso a contas pessoais é uma tática comum de engenharia social usada por cibercriminosos. A engenharia social depende do erro humano e é difícil de detectar, mesmo com outras técnicas de exploração disponíveis.
Erros humanos legítimos são mais imprevisíveis do que invasões baseadas em malware, que exploram vulnerabilidades em software e sistemas operacionais. Por isso, a engenharia social aumenta as chances de um hacker burlar medidas de segurança, já que as pessoas podem ser enganadas com mais facilidade.
Como funcionam os ataques de engenharia social?
Ataques de engenharia social costumam ter duas etapas principais. Na primeira, o atacante investiga o alvo para coletar informações essenciais, como pontos de entrada e protocolos de segurança que possam estar vulneráveis.
Antes de executar suas ações maliciosas, golpistas tentam conquistar a confiança da vítima. Eles fazem isso oferecendo incentivos para que a pessoa tome atitudes contrárias às boas práticas, como divulgar informações confidenciais ou conceder acesso a recursos importantes.
A engenharia social é surpreendentemente simples. Tudo o que um hacker precisa é convencer alguém ocupado, desatento ou confiante a seguir suas instruções. Um dos exemplos mais conhecidos foi quando hackers enganaram funcionários do Twitter para obter acesso a processos confidenciais. Depois, usaram esse acesso para assumir contas de destaque, como as de Joe Biden, Elon Musk, Bill Gates e Kanye West, e convencer milhões de seguidores a transferir fundos em Bitcoin diretamente para os hackers.
Esses ataques são assustadoramente fáceis de executar e geralmente seguem um padrão parecido.
O primeiro passo é identificar e investigar alvos que possuam o que o atacante procura.
Depois, tentam se infiltrar criando laços de confiança e relacionamento com a vítima.
Assim que conquistam a confiança, lançam o ataque propriamente dito.
Por fim, recuam assim que a vítima realiza a ação desejada.
Esses golpes podem ocorrer por meio de simples trocas de e-mail ou uma série de conversas em redes sociais. No fim, podem levar você a compartilhar seus dados pessoais com terceiros ou se expor a softwares maliciosos.
Tipos de ataques de engenharia social
Veja um panorama dos tipos mais comuns de ataques de engenharia social no universo cripto.
1. Ataques de phishing
Ataques de phishing envolvem e-mails ou mensagens de texto maliciosos que fingem ser comunicações legítimas de empresas confiáveis. O objetivo é enganar você, fazendo parecer que são reais para roubar informações sensíveis, como seed phrases e senhas.
Os ataques de phishing podem acontecer de duas formas:
Spam phishing: são e-mails ou mensagens enviados em massa para o maior número de pessoas possível. O hacker espera que alguém caia no golpe.
Spear phishing: são ataques direcionados. Os hackers pesquisam o máximo possível sobre as vítimas em potencial e criam mensagens personalizadas para enganá-las. Normalmente, miram em pessoas de destaque, como celebridades, executivos e figuras políticas influentes.
Pretexting é um ataque de engenharia social em que alguém cria um cenário falso para enganar pessoas e obter informações sensíveis. Os atacantes precisam ser ainda mais convincentes para conquistar a confiança da vítima.
Podem, por exemplo, ligar para um banco fingindo ser funcionário e pedir que clientes confirmem senhas ou dados pessoais. Essas ligações são difíceis de identificar e costumam ter sucesso. Enquanto e-mails e mensagens de phishing são mais fáceis de notar, é essencial estar atento ao pretexting e saber como se proteger.
3. Baiting
Engenheiros sociais usam o baiting para induzir pessoas a infectar seus próprios computadores com softwares maliciosos. Esse é o tipo menos comum de ataque de engenharia social. O “isco” normalmente é um brinde, como um USB ou CD deixado em locais públicos, como escritórios e universidades.
Se alguém pega e conecta o dispositivo ao computador, o sistema pode ser comprometido sem que a pessoa perceba. Cuidado com anexos de e-mail que prometem softwares gratuitos ou outros brindes. Eles podem danificar seu computador, então sempre desconfie.
4. Scareware
Scareware é um software malicioso que faz você acreditar que seu computador está infectado por malware. Ele exibe alertas falsos de segurança ou pop-ups, incentivando o download de uma ferramenta de remoção de vírus que, na verdade, é o próprio malware.
O criminoso por trás do scareware então obtém acesso aos seus dados. Esse tipo de software também pode tentar induzir você a comprar programas de segurança falsos ou revelar informações confidenciais, como credenciais de login.
5. Quid Pro Quo
O ataque Quid Pro Quo é um golpe de engenharia social em que cibercriminosos oferecem algo em troca de informações pessoais. Os golpistas podem usar ofertas falsas para induzir pessoas a revelar detalhes sensíveis, como e-mails e senhas. Eles podem se passar por pessoas prestativas, alegando que vão resolver um problema no seu computador ou oferecer um serviço.
Mas a oferta é apenas um isco para fazer você entregar seus dados pessoais. Esse é um golpe perigoso, pois o atacante pode usar suas informações para roubo de identidade, fraudes ou outras atividades maliciosas. Fique atento e nunca forneça dados pessoais a desconhecidos.
Faça o novo quiz de segurança da Tangem e descubra o quanto você está protegido contra esquemas de engenharia social.
Quem são os alvos dos ataques de engenharia social?
Ataques de engenharia social podem ter como alvo pessoas físicas, organizações e empresas. Entre os indivíduos em risco estão executivos, celebridades ou qualquer pessoa com acesso a informações confidenciais. Organizações e empresas também podem ser visadas se tiverem medidas de segurança insuficientes.
Gerações mais jovens e funcionários recém-contratados podem estar mais vulneráveis a ataques de engenharia social por terem menos experiência e conhecimento sobre cibersegurança. Empresas devem redobrar a atenção ao treinar esses colaboradores, garantindo que estejam cientes dos riscos.
Como identificar a maioria dos ataques de engenharia social
Desconfie ao receber mensagens de remetentes desconhecidos. Pesquise o e-mail ou perfil em redes sociais para evitar ser enganado por contas falsas. Sempre investigue antes de interagir online.
Sempre confirme o remetente de uma mensagem para garantir que foi realmente ele quem enviou. Entre em contato pessoalmente ou por telefone para verificar a identidade, especialmente se suspeitar que a conta foi invadida ou se alguém está se passando por essa pessoa nas redes sociais.
Para garantir a legitimidade de um site, confira o URL, a qualidade das imagens e os logotipos da empresa. Erros de digitação ou informações desatualizadas podem ser sinais de alerta. Se desconfiar que o site é falso, saia imediatamente para proteger sua segurança.
Cuidado com ofertas boas demais para ser verdade. Elas podem ser uma forma de aplicar golpes de engenharia social. Pense duas vezes antes de fornecer dados pessoais; até mesmo seu e-mail pode ser coletado e vendido.
Fique atento a links ou nomes de arquivos suspeitos em e-mails. Questione o contexto ou o momento em que o e-mail foi enviado. Não abra anexos ou links se não tiver certeza da procedência. Redobre os cuidados para garantir sua segurança e autenticidade das mensagens.
Dicas para evitar ataques de engenharia social
Você pode evitar ser vítima de ataques de engenharia social seguindo estas orientações:
Não clique em links de e-mails ou mensagens de remetentes desconhecidos, principalmente se o conteúdo parecer suspeito.
Use senhas fortes para proteger suas contas.
Ative a autenticação em dois fatores sempre que possível.
Mantenha seus aplicativos e sistemas operacionais atualizados para corrigir vulnerabilidades de segurança.
Evite compartilhar informações demais em redes sociais e fóruns públicos.
Não responda a quizzes no Twitter que peçam informações privadas, como o nome do seu primeiro jogo, nome de solteira da mãe, nome do pet, cidade de nascimento ou outros dados pessoais.
Golpes de engenharia social que miram usuários de cripto
Alguns esquemas de engenharia social têm como alvo usuários de cripto, tanto iniciantes quanto experientes.
O golpe do reset da Coinbase
Em fevereiro de 2024, o investigador ZachXBT identificou um golpe de engenharia social chamado de esquema de reset da Coinbase. Os atacantes coletam informações pessoais para enganar as vítimas e induzi-las a redefinir os dados de acesso à Coinbase. Em um caso, uma vítima perdeu mais de 1.400 ETH, cerca de US$ 4 milhões. Para evitar cair nesse tipo de golpe, recomenda-se usar uma chave de segurança extra, como 2FA, não reutilizar senhas ou e-mails e desconfiar de solicitações de login suspeitas.
Alguns membros da comunidade especulam que os atacantes podem ter conhecimento interno da exchange, enquanto outros acreditam que eles estejam se passando por funcionários da Coinbase. Curiosamente, um golpista aparentemente enganou outro, mostrando como essas atividades criminosas são nebulosas.
Golpes por e-mail
Vítimas de fraudes com criptomoedas costumam receber mensagens do suporte de exchanges, wallets ou projetos DeFi. O conteúdo geralmente traz histórias prontas, como alegar que a conta da vítima foi invadida e precisa de restauração urgente.
O golpista pode se passar por “suporte técnico” e oferecer a geração de uma nova seed phrase para a vítima. No entanto, ela é induzida a fornecer a seed phrase antiga — uma armadilha. Esse golpe é feito apenas por troca de mensagens, sem exigir que a vítima acesse sites ou locais físicos.
Golpe do serviço conveniente
Vale lembrar que o medo de perder os ativos é um ponto explorado por golpistas, mas não é o único. Eles também aproveitam o desejo de facilitar tarefas. Um de nossos usuários se deparou com um site agregador durante a busca por uma plataforma que prometia conectar a qualquer DeX ou plataforma de NFT via WalletConnect.
Apesar de ser muito prático, o serviço não funcionava. Após várias tentativas de escanear o QR code, o site apontou um problema no lado do usuário e, para resolver, pediu a chave privada ou seed phrase. Por sorte, neste caso, a Tangem Wallet protegeu o usuário de um erro grave, já que não havia seed phrase.
Golpe do especialista
Outra forma de conquistar a confiança das pessoas é pelas redes sociais. Golpistas criam perfis falsos e se passam por especialistas para enganar usuários. Eles postam conteúdos, compartilham fotos, tentam adicionar alvos como amigos e entram em comunidades de criptomoedas.
O objetivo é criar a impressão de que a conta é de uma pessoa real. Quando atingem o número desejado de seguidores, o golpista faz uma oferta extremamente “lucrativa” para os inscritos. Pode ser instalar uma wallet, registrar-se em um projeto ou participar de um airdrop.
Muitos golpistas não se preocupam com detalhes ao criar suas histórias. Dependendo da qualidade, chegam a comprar contas “reais” em redes sociais por apenas US$ 5 para ingressar em grupos relevantes e começar a abordar usuários. Esses perfis costumam ser básicos, com poucas informações e postagens.
Como se proteger e proteger seus fundos
Psicólogos explicam que o dinheiro é a base da existência e sua perda pode ser associada até à morte. Nessas situações, toda racionalidade é deixada de lado, dando lugar ao instinto de sobrevivência. Ao receber uma mensagem dizendo que seus fundos estão em risco, pare e reflita criticamente sobre a situação.
Provavelmente não estamos dizendo nada novo, mas sempre vale repetir: nunca forneça sua chave privada ou seed phrase para ninguém. Guarde seus fundos em uma carteira fria que não exija seed phrase, como a Tangem Wallet.
Pergunte à IA se a Tangem é uma boa opção para as suas necessidades.
Pesquise a carteira Tangem com IA para descobrir se nossa segurança e usabilidade se adequam aos seus casos de uso específicos.
