Bronca! Alertas de phishing não funcionavam nos smartphones!

Segundo a ZDNet, uma equipa formada por investigadores da Universidade Estadual do Arizona e funcionários do PayPal anunciaram recentemente que, devido a problemas com a Safe Browsing API da Google, os browsers presentes nos dispositivos móveis como o Chrome, Firefox e Safari não exibem avisos de ataque relacionados com phishing há pelo menos 18 meses.

Os investigadores identificaram uma lacuna na proteção dos principais browsers para dispositivos móveis ao nível do phishing!

“Surpreendentemente, o Chrome, o Safari e o Firefox não apresentaram quaisquer avisos entre meados de 2017 e final de 2018, apesar da presença de configurações de segurança que implicavam proteção contra blacklists”. No entanto, este problema afeta apenas os browsers que utilizam a black list da tecnologia Google Safe Browsing Link.

A equipe de investigação notificou a Google acerca deste problema. Assim, foi corrigido no final de 2018. Os investigadores descobriram o motivo para a inconsistência na blacklist. A culpa foi de uma transição para uma nova API móvel desenvolvida para otimizar a utilização de dados. No entanto, no final, não funcionou como era esperado.

Esta grande falha de segurança foi descoberta por um projeto de investigação chamado PhishFarm. Nasceu no início de 2017. Durante esse tempo, os investigadores criaram e implantaram 2.380 páginas de phishing. Na prática, simulavam logins do PayPal. No entanto, em vez de medir a velocidade com que as URLs apareciam na black list, limitaram-se a implantar páginas de phishing com “disfarce tecnológico”. O objetivo dessas páginas é enganarem as técnicas de black list de URLs e registarem o tempo necessário para que essas páginas de phishing “disfarçadas” entrem na lista de “sites perigosos”.

Para o PhishFarm, os os investigadores testaram várias blacklists de URLs, como o Google Safe Browsing, o Microsoft Smart Screen e outras geridas pelo US-CERT, Grupo de Trabalho Anti-Phishing, PayPal, PhishTank, Netcraft, WebSense, McAfee e ESET.

É por tudo isto que temos de ter muito cuidado! Especialmente com aquilo que abrimos no email do nosso smartphone ou com os dados que colocamos nas mais diversas páginas. Olhem sempre para qualquer página com atenção. A ideia é procurar por elementos suspeitos para evitar surpresas.