Mil milhões de mensagens fraudulentas saíam de três lojas. A Microsoft acabou de apreender os seus domínios.
Se alguma vez recebeu uma SMS sobre uma encomenda retida num armazém, sobre uma multa de estacionamento de que não se lembra, ou sobre um banco que precisa que confirme algo já, há uma boa probabilidade de a página por trás ter saído de uma loja. Não em sentido figurado. Uma loja a sério, com catálogo, preços e apoio ao cliente.
A 14 de outubro a Digital Crimes Unit da Microsoft, em conjunto com a Agência Nacional de Polícia do Japão e o grupo de saúde Health-ISAC, obteve uma ordem de um tribunal norte-americano para apreender os domínios por trás de três delas: YAM Store, CoGUI e Iron Man. Segundo a Microsoft, desde janeiro estas três ajudaram a enviar mais de mil milhões de emails e SMS de phishing, fazendo-se passar por mais de 75.000 organizações em mais de 150 países. Foram desativadas mais de 20.000 contas ligadas à YAM Store e estão a ser bloqueados mais de 100.000 domínios usados para personificação.
O catálogo é a parte que vale a pena ler. O Iron Man vinha com mais de 2.335 páginas isco prontas a usar, cobrindo 139 países: Amazon, Australia Post, Medicare, autoridades de trânsito e estacionamento, forças policiais, bancos japoneses. Seja qual for o pretexto credível onde vive, alguém já tinha construído a página. E não eram cópias estáticas. Assim que a vítima escrevia a palavra-passe, o operador recebia uma notificação no Telegram e podia pedir o código de verificação em direto, enquanto entrava no lugar dela no site verdadeiro.
Operações destas compram meses, não anos, e os grupos por trás voltam a montar tudo. O que não muda é o formato: uma mensagem que não estava à espera, um prazo curto, uma ligação para uma página de início de sessão. Abra a aplicação ou escreva o endereço você mesmo e todo o modelo de negócio deixa de funcionar. A pontuação de saúde do Tendvane faz uma passagem pelo resto do essencial, incluindo se as proteções do Windows e a encriptação do disco estão onde deviam estar.