"As forças do mal são muito sofisticadas e há inclusivamente na dark web empresas que vendem o ransomware as a service." O aviso não é descartável, tanto mais quando vem de António Gameiro Marques, alguém que tem conhecimento profundo e acesso privilegiado às ciberameaças que todos os dias parecem tornar-se mais perigosas.
Basta ter um smartphone, aceder à internet ou até atender uma chamada para estar em risco. O cibercrime é hoje um negócio sofisticado. "Quem quer fazer mal, encomenda um serviço, paga e os frutos dessa ação criminosa são depois repartidos conforme definido contratualmente", explica o diretor do Centro Nacional de Cibersegurança (CNCS) no podcast Tech Balance, by Fundação Altice (veja aqui). E avisa: "Não há almoços grátis." Quando se revela demais ou não se usa medidas adequadas de proteção, abre-se a porta ao pior.
Burlas de emprego: a nova forma de ataque
Não admira por isso que continuem a vingar burlas como o "Olá pai, olá mãe" — descoberta e amplamente divulgada há mais de um ano, mas que ainda faz vítimas, como se entende pela mulher de 25 anos hoje detida, suspeita de ter conseguido dezenas de milhares de euros com este esquema.
Porque a criatividade não tem limites, além dos esquemas mais antigos, novas burlas continuam a surgir todos os dias, com crescentes graus de sofisticação. A mais recente é direcionada a quem anda à procura de emprego, usando plataformas de recrutamento credíveis como chamariz.
"Quando se atende diz numa mensagem gravada que quer tentar uma vaga de trabalho e pede para adicionar no whatsapp." "Ligam a falar de uma oferta de vaga de trabalho para adicionar no whatsapp. Burla quase de certeza."
As referências em sites de reclamações são diversas, mas todas revelam um esquema comum: recebe uma mensagem ou o telefone toca e a voz do outro lado identifica o contacto com uma empresa conhecida e reputada de recrutamento, pedindo o envio do currículo por whatsapp para um dado número. Qualquer link seguido (para marcar ou confirmar uma entrevista, por exemplo), chamada feita ou contacto realizado na sequência disso resulta no roubo dos seus dados.
O que ganham os cibercriminosos?
Apesar de todos os alertas que as empresas, reguladores e instituições vão lançando com regularidade, o cibercrime tem prosperado. Segundo o Gabinete de Cibercrime, do Ministério Público, só de 2022 a 2023, as denúncias aumentaram 37,29%, estando entre os esquemas mais frequentes o "olá mãe, olá pai", os falsos pagamentos à EDP, as falsas ofertas de emprego e as burlas com criptomoedas.
Basta carregar num link aparentemente inofensivo para desencadear o descarregamento de uma aplicação maliciosa (malware). Quando esse programa é instalado no seu dispositivo, basicamente tudo quanto ali tem e todos os seus acessos passam a estar à disposição dos cibercriminosos, para usar ou vender, sejam os seus acessos a plataformas de homebanking, finanças, redes sociais, etc. sejam quaisquer dados e passwords que utilize para aceder a todo o tipo de plataformas através desse aparelho.
O acesso pode ser utilizado contra si, ameaçando a divulgação dos dados a menos que pague uma dada quantia, ou impedindo-o de aceder às suas plataformas até pagar o "resgate" (frequentemente usado contra empresas).
Noutras versões mais recentes das burlas de emprego, o malware que entra nos aparelhos das vítimas instala um cryptojacker, que utiliza os recursos do computador para gerar criptomoedas para os burlões, sem o conhecimento do utilizador (saiba mais aqui).
Como é que os cibercriminosos agem?
Normalmente, conforme explica a PJ, os cibercriminosos recorrem a cartões SIM distribuídos por operadoras em festivais de música e eventos culturais e que permitem a utilização gratuita por 15 dias. Com esses cartões, abrem contas de Whatsapp e enviam mensagens de forma massiva. Sendo os cartões descartáveis, quando termina o período de utilização ou o saldo disponibilizado, ficam inativos e são descartados.
No âmbito da operação Cartões Sem Rasto, a Judiciária entendeu que os cartões SIM utilizados não se repetiam e que, naquele caso, havia até alguns envolvidos que utilizavam modems com portas múltiplas que lhes permitiam enviar mensagens a partir de mais de 200 cartões SIM em simultâneo.
Banco de Portugal também já lançou alertas
Noutros casos, incluindo os focados em alertas do Banco de Portugal lançados há meses, as ofertas de emprego são uma máscara para sacar dinheiro diretamente aos mais incautos. O princípio é semelhante: vem uma mensagem supostamente de uma reconhecida plataforma de recrutamento, anunciando uma oferta de emprego e sugerindo contacto através de um número de whatsapp. Quem reage, é adicionado a um "grupo de trabalho" e logo lhe pedem uma taxa de inscrição (com promessa de devolução) ou sugerem um "investimento imperdível em criptomoedas", por exemplo.
Como proteger-se?
Muitos ainda acreditam que estão seguros com as passwords que usam (tantas vezes definidas a partir de datas facilmente descobertas, repetidas em várias aplicações por facilidade), mas o facto de se trazer a internet e os seus múltiplos acessos no bolso e de cada vez mais se partilhar a vida e os gostos nas redes sociais não ajuda a proteger-se dos cibercriminosos. E estes não têm vítimas preferenciais — ou, tendo-as, são os que menos trancas põem à porta.
Há, ainda assim, métodos a que pode recorrer para se proteger, e que começam por definir palavras-passe efetivamente seguras e variadas, mas também por comportamentos básicos.
No caso das burlas mais recentes, confirme sempre, antes de carregar em links ou devolver chamadas, a legitimidade da oferta de emprego, diretamente com a empresa e através dos canais oficiais.
Nunca clique em links que venham em mensagens recebidas de desconhecidos, nem abra mensagens cuja origem desconheça e não adira a grupos de chat que não saiba quem criou ou quem são os participantes. Naturalmente, também é desaconselhado que faça pagamentos ou instale programas/aplicações a pedido de terceiros, sobretudo quando acompanhados de uma promessa de rendimento fácil.
Caso aceda a um link cuja origem não esteja certo de ser fidedigna, nunca divulgue informação pessoal, credenciais de acesso (nomeadamente ao homebanking, a apps, ou códigos que o banco lhe envie para o telemóvel) e informações de qualquer tipo. Em caso de dúvida ou suspeita, denuncie.
