O Golpe do Atendente Falso: A Ameaça Emergente do Trojan Bancário Fakecalls
Imagine o seguinte cenário. No meio de uma manhã de trabalho, Ricardo, um empresário bem-sucedido de Minas Gerais, recebe uma ligação de seu banco, sob alegação de terem sido detectadas atividades suspeitas em sua conta na instituição financeira. Para aferir a idoneidade das transações e a identidade de seu cliente, o funcionário do banco, que se apresentou como Eduardo, inicia uma série de perguntas para verificações de segurança, como confirmação de nome, data de nascimento e outros detalhes aparentemente inócuos, mas importantes. Apesar de uma sensação de incômodo, Ricardo segue as orientações de Eduardo, inclusive confirmando um código enviado por SMS.
Ao final da ligação, Ricardo, ainda incomodado, decide efetuar ligação diretamente para o telefone de seu banco. Ao falar com seu gerente, Ricardo descobre a terrível verdade: não houve qualquer atividade suspeita em sua conta e nenhuma chamada de segurança havia sido efetuada pela instituição financeira. Atônito, nossa personagem acessa o aplicativo do banco no smartphone e descobre que uma grande quantia de dinheiro havia sido transferida da sua para uma conta desconhecida.
Terrível, né? Mas o pior está por vir. E se o amigo leitor soubesse que o tal Eduardo, suposto funcionário do banco, fosse, na verdade uma inteligência artificial programada para imitar a voz de um ser humano e não um ser humano real? Seria possível?
Segundo relatório da empresa de segurança cibernética Kaspersky, um Trojan bancário, que classificou como “Trojan-Banker.AndroidOS.Fakecalls”, conhecido como “Fakecalls”, possui essa habilidade de “falar” com a vítima como se fosse um funcionário de banco.
O termo “Trojan”, tem inspiração na famosa história do “Cavalo de Tróia”, retratada na epopeia homérica e na mitologia grega. Conforme a narrativa, dada a impossibilidade de invadir os muros de Tróia, os gregos construíram um grande cavalo de madeira e o ofertaram aos inimigos, que não perceberam que o artefato ocultava poderosos guerreiros. Por acreditar se tratar de um presente inocente e sinal de desistência da guerra, os troianos atravessaram o “presente de grego” por entre os muros da cidade. Durante a noite, os soldados emergiram e permitiram a entrada do restante do exército grego no que resultou na derrota de Tróia.
Analogamente, na cibersegurança, um Trojan é um tipo de malware que se disfarça como um software legítimo ou se infiltra em um. Assim como os troianos na antiguidade, os usuários deste novo século são levados a baixar e executar o malware no sistema computacional. A vulnerabilidade instalada pode, assim, executar ações sem o consentimento ou conhecimento do usuário, a exemplo da obtenção de acesso não autorizado às informações financeiras e bancárias, furto de credenciais de login, números de cartão de crédito e de outros dados pessoais sensíveis.
Em relação ao Trojan Fakecalls, descoberto na Coreia do Sul, em 2022, e já com novas versões em 2023, apresenta-se como um aplicativo falso para smartphones com sistema operacional Android, que imita app de bancos populares daquele país, incluindo os logos das instituições e até mesmo os números de suporte. Após ser instalado, o malware solicita uma série de permissões, o que inclui acesso aos contatos da agenda telefônica, ao microfone e câmera do aparelho, sua geolocalização, dentre outras.
Quando a vítima tenta efetuar ligação para o telefone de suporte do banco, o Fakecalls interrompe sutilmente a chamada, abre uma tela falsa para dar início ao diálogo, como se fosse um funcionário da instituição. A partir desse ponto, o Fakecalls pode conectar a vítima diretamente aos cibercriminosos, uma vez que tem a habilidade de realizar ligações telefônicas, ou pode simplesmente apresentar áudios pré-gravados que imitam a voz humana, conforme padrão utilizado pela instituição bancária.
Esse malware do tipo “vishing” (phishing de voz) permite que os cibercriminosos ativem o microfone do celular da vítima e enviem gravações feitas pela internet. Também pode fazer transmissões de áudio e vídeo do aparelho em tempo real e de forma oculta, determinar a localização do dispositivo, ou seja, saber onde se encontra naquele exato momento, copiar contatos, imagens, vídeos, ter acesso às chamadas feitas e às mensagens de texto trocadas, dentre outras ações de espionagem e de controle, incluindo o bloqueio de chamadas legítimas que poderiam ser recebidas dos bancos.
É cediço que a tendência de digitalização e o uso cada vez maior de dispositivos móveis para transações financeiras aumentam a vulnerabilidade dos usuários a tais ameaças. Portanto, é crucial que os indivíduos e as instituições estejam sempre atualizados e preparados para enfrentar e combater esses tipos de golpes.
Ainda que não seja possível garantir segurança absoluta, algumas medidas podem ser adotadas para que o leitor desta coluna, seus familiares e amigos possam reduzir o risco de tornarem-se vítimas desse e de outros trojans bancários emergentes, dentre elas: a) apenas usar aplicativos de fontes confiáveis, como a Google Play Store ou a App Store da Apple; b) sempre verificar as permissões solicitadas pelos “apps” antes de instalá-los e conceder apenas as que são necessárias; c) usar software antivírus confiável e atualizado; d) nunca clicar em links suspeitos ou abrir anexos de e-mails de remetentes desconhecidos.
Por fim, mas não menos importante, caso venha a receber uma chamada de um número que afirma ser do seu banco, é sempre prudente desligar o telefone e efetuar a ligação diretamente para o número oficial da instituição, a fim de verificar se a chamada é legítima.
Vivemos em uma sociedade globalizada onde as fronteiras virtuais praticamente inexistem. As informações, bem como as inovações tecnológicas, tanto as benéficas quanto as mal-intencionadas, são disseminadas rapidamente, alcançando todos os cantos do planeta. A interconexão das redes e a familiaridade universal com as transações bancárias digitais certamente criam um ambiente fértil para esse tipo de golpe. A transposição de tais ameaças para diferentes contextos geográficos é facilitada pela semelhança dos sistemas e processos bancários em todo o mundo.
Trojans bancários inovadores tem, pois, grande potencial de se espalhar rapidamente pelo planeta, dado o alcance e a eficácia de seu método de fraude. Considerando o crescente uso da tecnologia bancária digital no Brasil, é provável que golpes como o do Fakecalls, ainda restrito à Coréia do Sul, cheguem ao país em breve.
Para que a segurança continue a se reafirmar jurídico-normativamente como um princípio, direito e garantia fundamental e cláusula pétrea constitucional, é imprescindível o foco em prevenção, em políticas de segurança cibernética e na ação coordenadas de todas as partes interessadas, governo, indústria e sociedade civil organizada.
Comments