Hack de uma conta Gmail com 2FA custa €350

Quem se sentir protegido pelo recurso à autenticação de 2-factores (2FA) no acesso a coisas como o Gmail, poderá gostar de saber que o roubo de contas idênticas é algo à distância de 350 euros em serviços de aluguer de hackers.

A autenticação 2FA é, hoje em dia, indispensável para quem quiser ter um mínimo de segurança no acesso a serviços online. A dependência numa única password, por muito complexa que seja, acaba por ser sempre de risco elevado (bastará algo como um keylogger, por exemplo, para a deixar em risco - para não falar daqueles que usam passwords repetidas, que eventualmente podem ser revelados em leaks de outros sites). No entanto, nem o 2FA deverá ser visto como uma forma de segurança absoluta.

Existem sites que disponibilizam serviços de "hacks" a contas, e o acesso a uma conta Gmail com protecção 2FA é algo que actualmente está na tabela por um valor de cerca de 350 euros.

Ora, sabendo que não há falta de promessas falsas neste submundo da internet, os repórteres contrataram o serviço, criando todo um cenário com contas falsas para dar credibilidade ao pedido, e monitorizando todo o processo.

Sem surpresas, o método de ataque foi o phishing direccionado (spear-phishing), com o envio de emails que tentavam fazer com que a vítima fosse parar a uma páginas controlada pelos atacantes.

Alguns dos emails de phishing faziam-se passar por emails da própria Google a alertar para a tentativa de acesso não-autorizado, tentando fazer com que a vítima trocasse a password - e no processo a revelasse aos hackers.

No caso da autenticação 2FA o método não chegava ao roubo da conta do telefone, optando por uma versão mais básica em que o código 2FA era pedido à vítima em páginas a simular o login oficial ou a troca de password. Mas que, mesmo assim, poderá revelar-se moderadamente eficaz - e que, tal como os especialistas de segurança têm dito há anos, serve para promover a adopção de chaves de segurança como forma de acesso realmente seguro (não é possível ceder uma chave física a um atacante remoto, por muito que ele tente).

Fica por isso o alerta lançado... que toda e qualquer pessoa pode facilmente estar no lado da vítima de um destes ataques, e que importa manter atenção permanente sobre tudo o que se recebe via email, e ainda mais cuidado com aquilo em que se clica.