Especialistas da Kaspersky Lab advertem sobre novo golpe que usa o Windows Live ID como isca para obter informações pessoais dos perfis de usuários de serviços como Xbox LIVE, Zune, Hotmail, Outlook, MSN, Messenger e One Drive.
O usuário recebe um e-mail informando que sua conta do Windows Live ID está sendo usada para distribuir e-mails não solicitados e que, por isso, ela será bloqueada. Para evitar a suspensão da conta, ele deve acessar um link e atualizar seus dados, de acordo com os novos requisitos de segurança do serviço. A mensagem se assemelha muito a um típico e-mail de phishing.
Ao clicar no link, a vítima seria direcionada para um site falso, imitando a página oficial do Windows Live, e qualquer dado inserido nela seria enviado para os golpistas. No entanto, os especialistas da Kaspersky Lab ficaram surpresos porque o link do e-mail levava realmente para o site do Windows Live e não havia qualquer tentativa de obter os logins e as senhas das vítimas.
Qual é o truque?
Depois de clicar no link contido no e-mail e autorizar a conta no site live.com oficial, o usuário recebe um aviso estranho do serviço: um aplicativo solicita permissão para entrar na conta, obter as informações e a lista de contatos vinculadas ao perfil, além de acessar uma lista de seus endereços de e-mail pessoais e comerciais. Essa técnica é possível por causa das falhas de segurança no protocolo aberto de autorização, o OAuth.
Os usuários que atendem à solicitação não compartilham suas credenciais de login e senha, mas fornecem suas informações pessoais, os e-mails de seus contatos e os apelidos e nomes verdadeiros de seus amigos. Eles também podem permitir o acesso a outros parâmetros, como listas de compromissos e eventos importantes. O mais provável é que essas informações sejam usadas em fraudes, por exemplo, para enviar spam para os contatos do catálogo de endereços da vítima ou realizar ataques de phishing.
"Já temos conhecimento sobre essas falhas de segurança no protocolo OAuth há algum tempo: no início de 2014, um estudante de Cingapura descreveu meios possíveis de roubar dados do usuário após a autenticação. No entanto, essa é a primeira vez que nos deparamos com fraudadores que usam um e-mail de phishing para colocar essas técnicas em prática. Os golpistas usam os dados interceptados para criar um perfil detalhado dos usuários, com informações sobre o que fazem, quem encontram, quem são seus amigos e outras informações. E podem usa-lo para fins criminosos", explica Andrey Kostin, analista sênior de conteúdo da Web da Kaspersky Lab.
Na América Latina, analistas da Kaspersky Lab recentemente reportaram uma fraude similar que usava o Netflix como isca.
