Utilizadores de Mac e de Windows: não cliquem em imagens, nem escrevam texto distorcido, antes de lerem isto.
Os CAPTCHA são uma das grandes chatices da internet moderna, mas têm um papel importante na segurança da web. Estes testes, que costumam pedir para resolver puzzles simples ou decifrar texto distorcido, ajudam os sites a perceber se um visitante é humano, o que ajuda a travar ataques de bots maliciosos.
Mas agora os burlões usam este teste omnipresente para atacar os humanos. E se cair numa burla do CAPTCHA, todos os seus dados podem ficar à mão de semear.
Para perceber o que é uma burla do CAPTCHA, é necessário antes de mais perceber o que é um CAPTCHA. De certeza que já viu algum, mesmo sem saber o nome.
Um CAPTCHA é aquela caixinha que por vezes numa página a pedir-nos para escrever um texto propositadamente distorcido, ou para clicar em imagens com algo em comum, como autocarros ou pontes, dispostas numa grelha de 3×3.
CAPTCHA é a sigla de “Completely Automated Public Turing test to tell Computers and Humans Apart“. Serve para os donos dos sites garantirem que é um humano, e não um bot, a aceder à informação. Assim protegem-se de scraping automático e de ataques de negação de serviço.
Como os CAPTCHA estão por todo o lado, as pessoas habituaram-se a esperá-los.
E isso é apetecível para os burlões, que estão agora a usar CAPTCHA falsos para levar utilizadores desprevenidos a instalar código malicioso, feito para roubar dados, nos seus Mac e PC, conta a Fast Company.
Os CAPTCHA falsos estão a tornar-se tão comuns que a reguladora norte-americana FTC lançou em junho um alerta a avisar os consumidores sobre a tática.
Como funciona?
A burla mostra um CAPTCHA falso, numa janela pop-up, dentro de um site malicioso que imita o site verdadeiro de uma empresa de confiança, como a Amazon ou a Facebook.
Mas, em vez de pedir para escrever o texto distorcido que aparece no ecrã ou resolver um puzzle, o CAPTCHA falso manda carregar em certas teclas do teclado, supostamente para confirmar que é humano ou para validar a conta.
Estas combinações de teclas são atalhos de teclado. Ao carregar nelas, está a copiar e a colar código que o CAPTCHA falso meteu na área de transferência, o que permite aos burlões descarregar e instalar software malicioso, de forma automática, no telemóvel ou no portátil.
Num computador Windows, podem pedir para carregar em Windows+R e depois em Ctrl+V. Num Mac, podem pedir para carregar em Command+Espaço, escrever “Terminal” e depois em Command+V.
O Windows+R abre o menu Executar do Windows. O Terminal é o equivalente no Mac. Ambos deixam dar instruções por linha de comandos, que podem mandar o computador descarregar e instalar ficheiros e aplicações.
Longe de confirmar que é humano, o texto colado instala keyloggers ou spyware no aparelho, para roubar nomes de utilizador, palavras-passe e outros dados. Os burlões usam-nos depois, muitas vezes, para cometer crimes financeiros e outros.
Como saber se sou alvo de uma burla do CAPTCHA?
A melhor forma de saber se é alvo de uma burla destas é ter noção de que ela existe e perceber como os CAPTCHA funcionam de facto.
Um CAPTCHA legítimo nunca pede para executar comandos de teclado nem para abrir qualquer aplicação ou linha de comandos no computador. No momento em que vir um CAPTCHA que o peça, ou que traga uma longa lista de instruções, desconfie.
É sinal de que o CAPTCHA é uma burla.
Outros sinais de que o CAPTCHA pode ser uma burla? Quando aparece de repente e diz ser de um site, como o Facebook, onde não está nesse momento. Ou quando surge num site que claramente não é aquele que diz ser, como uma falsa página da Amazon ou da Apple.
Como posso proteger-me?
O conhecimento é a melhor defesa. Assim que suspeitar de que pode ser alvo de uma burla do CAPTCHA, não interaja com o CAPTCHA que aparece no ecrã.
Se já interagiu com um CAPTCHA falso, e sobretudo se reparar que isso descarregou algo para o computador, a FTC aconselha a desligar depressa o computador da internet (ou seja, cortar o Wi-Fi) e a correr logo um programa de segurança para encontrar e remover eventual malware.
(ZAP )