Apps na Play Store roubavam passwords do Facebook

Investigadores descobriram mais uma série de apps na Play Store que se faziam passar por apps inofensivas, quando na verdade o seu propósito era roubarem a password de acesso ao Facebook.

A Google removeu 25 apps da Play Store, que investigadores de uma empresa de segurança francesa detectaram como sendo maliciosas e que tentavam roubar a password do Facebook dos utilizadores. A táctica era relativamente simples, verificando se os utilizadores tinham aberto a app do Facebook recentemente, e fazendo surgir uma página de phishing no browser sobre ela, com o intuito dos utilizadores, ao tentarem regressar à app do Facebook, se deixassem enganar e fizessem o login na página de phishing que daria aos atacantes a sua password.

Entre estas apps estavam apps que se faziam passar por apps de lanterna, contadores de passos, editores de fotos e de vídeo, wallpapers, jogos, e outras. Eram apps que já acumulavam mais de 2 milhões de downloads no total, sendo que algumas delas já estavam na Play Store há mais de um ano.

Embora este caso sirva - mais uma vez - para relembrar que o facto de uma app estar na Play Store não serve de garantia de que é segura, penso que servirá ainda mais para nos provar que não basta uma password para garantir a segurança no acesso a um qualquer site ou serviço. É imperativo que se utilizem métodos de autenticação 2-factor para fazer com que este tipo de ataques, assim como todo os outros que tenham como missão roubar passwords (keyloggers, brute-force, etc.) se tornem infrutíferos.