Como não ser fisgado com um Phishing Scam (para leigos)

Estou para escrever isso faz algum tempo.

Como alguns que me conhecem pessoalmente já sabem, eu trabalho com informática. Analista de sistemas desenvolvedor de soluções Java. Trabalho com computadores muito antes de existir a internet (meu primeiro micro foi um TK-85 da Prológica, mas isso é outra história). Com este currículo as pessoas frequentemente vem para mim quando tem alguma dúvida a respeito dessas maquininhas tão misteriosas que tomaram nossas vidas de assalto: O famigerado computador.

Uma das questões que mais recebo é sobre e-mails estranhos. "Recebi uma mensagem XYZ com um anexo. Posso abrir?", "O orkut mandou uma mensagem engraçada. Isso é vírus?", "Meu micro está lento. Estou com vírus?"

Bom, antes de tudo não vou dar aqui uma lição sobre as diferenças entre vírus, worms ou cavalos de tróia. Quem quiser saber mais é só seguir os links acima. Para o bom leigo isso não faz a menor diferença. Eles querem seus computadores funcionando, só isso. Então, numa metáfora apropriada, não vou dar o peixe. Vou ensiná-los a pescar. Melhor ainda. Vou ensiná-los a NÃO serem pescados.

Basicamente existem 2 maneiras básicas de se proteger:

1) Mantendo o computador sempre atualizado, instalando um antivírus confiável (os gratuitos AVG e Avast! dão conta do recado) e instalar um bom firewall (por incrível que pareça, o Windows Defender mesmo já é o suficiente).

2) Usando o cérebro.

"Usando o que?!"

"Pronto, já começou o papo pretensioso...", você deve estar resmungando. Pois é. Mas é verdade. Eu já explico. Antes, deixe-me esclarecer um conceito importante ou dois.

O ato de enviar um e-mail "malicioso" (que tente enganar o usuário de alguma forma) é conhecido no meio com a alcunha de "Phishing Scam", que nada mais é que uma outra grafia para Fishing Scam, ou "Golpe da Pescaria" em tradução livre. O conceito é simples: crie uma mensagem que de alguma maneira atraia incautos a clicar em links no corpo da mensagem ou abram anexos que contenham programas que se instalarão em seu sistema e o utilizarão de alguma maneira, à revelia do usuário. É o mesmo conceito de mail marketing (ou mala direta). Envie 2 mil mensagens e pelo menos 200 trouxas vão clicar no link ou executar o anexo. O que estes programas fazem varia um pouco, mas basicamente o que vai acontecer é:

- O programa irá vasculhar sua caixa postal e roubar todos os seus contatos, alimentando a base de replicação da mensagem.

- Em seguida ele mandará uma cópia da mensagem original para todos os contatos "roubados" (seus contatos não irão desaparecer, fique tranquilo).

- Em alguns casos este programa se aproveitará de alguma falha não corrigida de seu sistema (por isso é importante manter seu computador sempre atualizado) e abrirá uma porta para que seu micro se transforme em um "zumbi", ou seja, uma máquina que, em conjunto com outras máquinas infectadas, auxiliará o criador do programa a invadir ou derrubar algum outro sistema.

"Ih, fedeu!"

O problema é que a maioria destas invasões são imperceptíveis ao usuário. Nenhum dado seu será apagado, nenhum monstrinho ficará pulando em sua tela, comendo seus ícones, nada disso. O máximo que pode acontecer é um declínio no desempenho tanto de seu computador quanto de sua conexão. Mas vale ressaltar que não é porque seu micro está lento que você foi infectado. Perda de desempenho tem dezenas de causas. Micro infectado é apenas uma delas.

Bom, como podem ver, mesmo as consequências não sendo tão nefastas quanto se pensava, é algo desagradável e que deve ser evitado. E é aí que voltamos ao assunto principal deste texto: Como usar o cérebro me ajuda a não ser infectado?

Bom, usar o cérebro é algo que deve ser feito sempre, é claro. Mas, neste caso estamos falando de um golpe, algo feito com a clara intenção de te enganar. Então, para evitar morder este anzol, algumas dicas são importantes:

1) Normalmente estas mensagens chegam com assuntos como "Veja a Fulana do BBB dando prum jumento na praia" ou "Seu CPF (ou título de eleitor, ou cadastro no SPC) foi cancelado (negativado, excluído, etc)" ou outras coisas que nós, meros cidadãos tarados e pagadores de impostos sempre nos arrepiamos só de pensar. Normalmente estas mensagens apelam pro medo, luxúria ou curiosidade. Fique esperto.

2) Desconfie de tudo. Não acredite que você ganhou numa loteria que nunca jogou. Não abra as fotos que aquela menina mandou pro namorado e "sem querer" enviou pra você. Se não contratou um detetive, então não abra as "fotos comprometedoras" de sua esposa que te enviaram. Nem acredite em promoções absurdas. Nem em garotos com câncer na Argentina. Boas fontes de referência são os sites de companhias de segurança de software ou mesmo páginas especializadas em desmistificar esses esquemas. Aqui no Brasil uma boa fonte de referência (apesar do design horroroso) é o site Quatrocantos. Antes de sair clicando inadvertidamente é sempre bom dar uma checada nesses lugares.

3) Desconfie de mensagens mal redigidas. Parece exagero, mas aparentemente estes hackers (mau uso da palavra, mas é um texto para leigos mesmo...) cabularam as aulas de português para ficarem estudando falhas de segurança na internet. Sites como Submarino, Americanas, Receita Federal, etc, possuem REDATORES e REVISORES para suas mensagens. Então uma mensagem com a frase "Clique aki e ganhe o prezente que vc sempre quiz" com certeza é golpe. Não seja idiota.

4) Perceba discrepâncias. Estas mensagens são enviadas em massa. Sendo assim seus conteúdos precisam ser o mais genéricos possível de modo a atingir a maior gama de otários possível. Pare de olhar para o próprio umbigo e perceba que aquela mensagem não foi enviada APENAS para você.

Isso cobre o básico. Então, quando receber uma mensagem suspeita não se apavore. Desconfie. Use seu poder de dedução. Não saia clicando em qualquer coisa que te mandam. MESMO se o remetente for conhecido. É simples: PENSE antes de agir. Mesmo que sua ação seja pegar o telefone e ligar pra mim e perguntar. Pense. Analise. Não é tão complicado.

Vamos a um pequeno teste?

Acabei de receber a seguinte mensagem por e-mail:

de: Ministério Público <avisoprocessual@mp.gov.br>

assunto: Comunicado importante!
Procuradoria Regional da Justiça
Coordenação de Defesa dos Interesses Difusos e Coletivos – CODIN
Procedimento investigatório n.º 40925/2008

O Ministério Público da Justiça, no desempenho de suas atribuições institucionais, com fundamento nos artigos 137 e 119, inciso VI da Constituição Federal e artigo 6º, inciso VII, da Lei Complementar n.º 175, de 20 de maio de 1993, INTIMA Vossa Senhoria a comparecer na Procuradoria Regional do Trabalho, no dia 13 de abril (segunda feira) de 2009, às 10:30 horas, a fim de participar de audiência administrativa, relativa ao procedimento investigatório em epígrafe, em tramitação nesta Regional, conforme despacho em anexo abaixo.

Anexo Despacho.doc

SAF Sul Quadra 4 Conjunto C - Brasília / DF - CEP 70050-900 - PABX: (61) 3031-5100

E aí? Essa é dureza, né? Devo clicar no link ou não? Vamos seguir o pequeno manual que redigi acima:

1) Assunto Urgente: É uma mensagem do Ministério Público, a respeito de uma intimação para a participação em um procedimento investigatório. Quem foi investigado? Eu? Algum conhecido? É algo a se prestar atenção.

2) Golpe Conhecido: Uma visita rápida ao Quatrocantos (em páginas estrangeiras com certeza não apareceriam) não mostra nenhum tipo de golpe com este teor. Então se for golpe é coisa recente. Ou será que é verdade?

3) Péssima Redação: Nenhum erro grotesco no conteúdo da mensagem. Um texto bem redigido, bem formatado. Parece autêntico. Estou quase clicando!

4) Discrepâncias: O fato de meu nome não ter sido citado uma vez sequer na mensagem inteira já é motivo de desconfiança. Claro, pode ser uma daquelas mensagens instantâneas, geradas e enviadas automaticamente. Estranho seria usarem algo tão impessoal para um assunto tão pessoal, mas isso não é tão grave. Pode ser um novo procedimento, não é?

Muito bem, a mensagem passou em todos os passos de meu pequeno manual básico de segurança, não passou? Raspando, mas passou. Então, é seguro clicar no link?

CLARO QUE NÃO, SEU IDIOTA! NÃO LEU NADA ATÉ AQUI?

Pense! Analise! Não se prenda a manuais ou soluções mastigadas. Use sua capacidade de investigação básica. Como eu disse, DESCONFIE SEMPRE. Esta mensagem é claramente um Phishing Scam. E eu explico porque:

1) O endereço de envio da mensagem já é meio estranho: avisoprocessual@mp.gov.br. Não o prefixo (antes do arroba), mas o domínio. Existem diversas instituições denominadas "Ministério Público". Uma para cada estado, especificamente. O endereço do de São Paulo é http://www.mp.sp.gov.br. Há o Ministério Público Federal (http://mpf.gov.br) e o da União (http://mpu.gov.br). Tente acessar o endereço http://mp.gov.br. Eu espero. Nada, né? Pois é, nesse angu tem caroço...

2) Recebi a mensagem no dia 16/4. A mensagem diz que preciso comparecer no dia 13/4. Mesmo levando em conta a incrível capacidade do poder judiciário em atrasar tudo, duvido que enviassem uma mensagem me convocando numa data ANTERIOR a seu recebimento.

3) O link aponta para um endereço totalmente diferente de qualquer outro que referencie a algum Ministério Público (não vou colocar o endereço aqui). Nem mesmo ao tal mp.gov.br (que, como já comprovado, nem existe). Ou seja, é apenas uma página que hospeda um arquivo malicioso (ou um "vírus", pra facilitar o entendimento).

Pronto. Caso receba essa mensagem denuncie como spam e apague-a. Sem dó. É um Phishing Scam. Não seja fisgado. Não seja um cabeça de bagre. De novo: PENSE. Se eu fiz isso você também pode fazer. Perceba que não usei nenhum conhecimento técnico avançado para esta análise.

Chega de alimentarmos essa prática tão chata. Pensar não dói.

Pensa nisso.