Numa hora, hackers apagaram a vida digital de um jornalista!

[Claudio Novais]

Com um pouco de navegação na internet e algumas artimanhas sociais, hackers exploraram falhas de segurança da Apple e da Amazon para acabar com a vida digital de um jornalista americano.

Saiba como hackers apagaram a vida digital de um jornalista numa hora

---

Mat Honan teve sua vida digital apagada dentro de uma hora
(Fonte da imagem: Ariel Zambelich/Ross Patton/Wired)

O jornalista Mat Honan passou por maus bocados nas últimas horas. Repentinamente, ele percebeu que sua vida digital estava sendo completamente apagada por alguém que obteve acesso indevido aos seus perfis. Tudo começou quando o iPhone de Honan simplesmente desligou sozinho. Ao conectá-lo na tomada, uma surpresa: o aparelho reiniciou diretamente para a janela de configurações.

Depois de passar por essa etapa, Honan estava prestes a restaurar suas configurações pela iCloud, quando percebeu que não conseguia se autenticar ao sistema. Já irritado, resolveu conectar o telefone ao seu Macbook e, ao abrir o computador, percebeu uma mensagem do iCal informando que os dados da conta do Gmail dele estavam incorretos. Em seguida, a tela ficou cinza e exigiu uma senha numérica que ele nunca havia configurado.

Foi então que Honan percebeu que algo muito errado estava acontecendo. O jornalista teve seus perfis do Google, Twitter e da AppleID hackeados e, por meio desses, os “piratas” resolveram apagar todos os dados de seu iPhone, iPad e Macbook, usando o serviço Find my Mac.

E sabe o que é mais curioso? Que para fazer tudo isso eles não precisaram escrever uma linha de código sequer. Bastaram algumas estratégias sociais e a exploração de falhas de seguranças das empresas envolvidas. Confira como aconteceu.

O passo a passo da destruição

---

Amazon forneceu dígitos essenciais do cartão de crédito
da vítima (Fonte da imagem: Luke Dorny/Flickr)

Depois de voltar à internet e de trocar mensagens com um dos hackers que invadiu seus perfis, Honan conseguiu reconstruir o roteiro usado pelos piratas para destruir a vida digital dele. E qual não foi a surpresa quando ele percebeu que, apesar de boa parte da culpa ter sido dele próprio, outros grandes responsáveis pelo sucesso da invasão foram os processos de segurança da Apple e da Amazon.

Para começar, o hacker deixou claro que tudo não passou de um ataque casual, não tendo sido motivado por alguma bronca ou desentendimento com Mat. O agressor simplesmente havia gostado do login da conta de Twitter de Honan e resolveu tomá-la.

Por meio do perfil na rede de microblogs, os piratas descobriram o site pessoal de Honan e, assim, entraram em contato com o endereço do perfil do jornalista no Google. Bastou “somar 2 + 2” para saber que aquele era o email cadastrado no Twitter. Sendo assim, eles precisavam invadir o Gmail de Honan.

Ao tentar descobrir a senha do jornalista, o pirata percebeu que Honan havia cadastrado um email da Apple (.Me) como caixa de entrada alternativa para resgatar passwords esquecidos. E foi isso que mostrou que Mat poderia ser facilmente invadido.

Tabelinha entre Apple e Amazon

---

Com acesso ao iCloud, hacker apagou arquivos pessoais do
Macbook de Honan (Fonte da imagem: Reprodução/Apple)

No caso de uma pessoa esquecer a sua própria senha, o suporte técnico da Apple pode devolver o acesso à conta com duas informações básicas: o endereço de cobrança e os quatro últimos números do cartão de crédito vinculado ao cadastro. E, acredite, esses não foram dados difíceis de descobrir.

Com uma simples consulta ao domínio do site pessoal de Mat (whois), o invasor descobriu o endereço de cobrança. A parte do cartão de crédito foi mais complicada, mas o hacker detalhou para Honan como foi feita. O jornalista, que entre outros meios também escreve para a revista Wired, conseguiu repetir o truque duas vezes com sucesso antes de reportá-lo.

Primeiro, o hacker ligou para a Amazon e se identificou como proprietário da conta de Honan, pedindo para que um novo cartão de crédito fosse adicionado ao perfil. Para isso, a empresa exigiu dados muito simples de confirmação: nome completo, email associado ao perfil e o endereço de cobrança das faturas. Adicionado o cartão de crédito novo, o agressor encerra a ligação.

Depois, liga novamente dizendo que não consegue se logar. Informando nome, endereço de cobrança e o novo número do cartão de crédito, a Amazon acredita que o agressor é o verdadeiro proprietário da conta e permite que ele informe um novo endereço de email para configurar uma nova senha. A partir daí, tudo o que o hacker precisa é seguir o procedimento normal de recuperação de password e ganhar acesso completo à conta da vítima.

Autenticando-se no site da Amazon, o agressor não pode ver o número completo do cartão de crédito da vítima, mas tem acesso aos exatos quatro últimos dígitos exigidos pelo suporte técnico da Maçã para a confirmação de dados. Dessa forma, depois de ligar para o suporte técnico da Apple, o hacker também conseguiu entrar na conta do iCloud de Mat e, com isso, recuperar também a senha do Gmail, chegando, finalmente, a obter controle sobre o tão desejado perfil do Twitter.

Dos males, o menor

---

Felizmente, os invasores estavam preocupados apenas em se divertir um pouco e não tinham nada contra Honan. Caso contrário, eles poderia ter usado o email pessoal do jornalista para ganhar acesso ao web banking e até mesmo exercer um pouco mais de engenharia social.

Honan, que escreve para diversas mídias especializadas em tecnologia, possui muitas pessoas influentes em sua agenda de contato e até mesmo elas estariam expostas às ameaças do hacker. Mesmo assim, Mat perdeu arquivos insubstituíveis, como fotos de família e do primeiro ano de vida de sua filha.

Aprenda com os erros de Mat Honan

---

De acordo com o relato do jornalista, ele também cometeu diversos erros que facilitaram a ação dos invasores. Para começar, ele não usou o sistema de verificação em duas etapas do Gmail, que comprova a identidade do proprietário do perfil por meio de mensagens enviadas para o celular cadastrado na conta.

Além disso, Mat também se arrepende de ter configurado o serviço Find My Mac. Segundo o jornalista, há algumas falhas que impedem o verdadeiro proprietário do Mac de reverter a remoção de dados pessoais caso uma pessoa mal-intencionada tenha obtido acesso indevido à sua conta do iCloud.

Até segunda passada (06), essas falhas nos processos de autenticação da Apple e da Amazon continuavam funcionando e a Wired foi capaz de reproduzi-las com sucesso. Entretanto, a Apple respondeu ao jornalista alegando que o atendente do suporte técnico não seguiu as normas internas com a rigidez necessária, facilitando assim o ataque. Até o momento, a Amazon não se pronunciou sobre o assunto.

Artigo Original:

---

Saiba como hackers apagaram a vida digital de um jornalista em apenas uma hora

[Renato Santos]

Comodidade e facilidade têm seu preço. A engenharia social é algo que tende a crescer ainda mais. Basta ver como as pessoas usam a política de criação de senhas: adicionam ao Lembrete de senha algo como a data de nascimento da mãe ou nome do animal de estimação.

Uma vez tive acesso ao e-mail do namorado de uma amiga (com ela do meu lado) simplesmente colocando no 'Lembrete de senha' o nome do seu time de futebol.

Utilizo a verificação em duas etapas do Google e recomendo! E pra quem acha chato ter que digitar um código sempre que acessa à internet, você pode registrar aquele dispositivo por 30 dias. (se mudar de dispositivo, precisa de um novo código, que também pode valer por 30 dias).

[Claudio Novais]

Exato Renato! Uma das melhores ideias de Engenharia de software dos últimos tempos foi dúvida essa técnica dos dois passos na autênticação. Claro que ela é falível, basta que alguém fique sem o seu smartphone e fica com "a vida em risco", uma vez que tem a conta autenticada e tem o segundo passo em mãos!

Acima de tudo, devemos ter um cuidado muito bem pensado nas senhas. Utilizar senhas super complexas e aleatórias, mesmo na resposta à pergunta secreta, e senhas sempre diferentes é a melhor política. Eu faço isso, não conheço nenhuma senha minha, mas imprimo-as sempre que crio novas ou altero-as para segurança. Assim sei que não perco a senha e tenho total segurança.

[Renato Santos]

No caso do Google, eu tenho um arquivo de texto com o backup dos códigos.

[Claudio Novais]

Mas ter no computador não é nada seguro! Eu isso não faço! Mesmo o Ubuntu sendo seguro, eu não sei até que ponto algum programa de algum PPA pode de um momento para o outro fazer pesquisas por passwords, portanto nunca se deve guardar senhas no computador! Pelo menos senhas desencriptadas!

Eu para ter a certeza absoluta ponha as senhas numa folha guardada num local seguro em casa.

[Renato Santos]

Acho que vou fazer como você faz, Claudio! Melhor mesmo imprimir e deixar guardado em um local seguro. Minha cabeça não aguenta mais tantas senhas.

[beneskate]

Eu uso o KeepassX, não tem software melhor pra gerenciar senhas...

[Bitetti]

Mesmo assim, Mat perdeu arquivos insubstituíveis, como fotos de família e do primeiro ano de vida de sua filha.

depois dizem que "pena de morte" não é coisa boa. Eu matava um desses

[nuno_nunes]

A net está cheia de perigos