Criminosos têm perfis do Instagram com muitos seguidores como alvo

Grupos de cibercriminosos estão com uma campanha para hackear perfis com muitos seguidores no Instagram. Segundo a Trend Micro, a campanha maliciosa se utiliza do golpe mais comum no Brasil: o phishing.

"Os pesquisadores [da Trend Micro] encontraram casos em que proprietários de perfis do Instagram com 15k a 70k seguidores foram hackeados e nunca recuperados. As vítimas variam de atores e cantores famosos a proprietários de empresas de startups”, diz a empresa.

Além de roubar a conta, os cibercriminosos também realizam extorsão digital. Ou seja: caso a vítima entre em contato com os atacantes, ela é forçada a comprar um resgate ou enviar fotos e vídeos nus para recuperar a conta, mas nunca recuperam o acesso.
“Entretanto, os atacantes irão buscar tomar controle de contas cada vez maiores, com até milhões de seguidores com intuito de tirar vantagem de sua influência e alcance, afetando também, por meio de diferentes táticas, os milhões de usuários que seguem essas contas”, afirma Aloísio Marinho, Sales Engineer da Trend Micro.

O ataque começa com um esquema clássico de phishing para fisgar a vítima: um email falso fingindo ser do Instagram. O email estimula a possível vítima a confirmar a conta para receber o selo Verificado do perfil do usuário do Instagram. Note que o Instagram tem requisitos específicos e o processo de verificação acontece somente depois que um usuário solicitar, além de não pedir credenciais.

Depois disso, um link é enviado e o domínio pede informações pessoais da vítima. Assim que o invasor tiver acesso ao perfil do Instagram da vítima e ao email relacionado à conta, ele pode modificar as informações necessárias para ter acesso à conta roubada. Uma vez enviadas as informações, uma notificação de selo aparece, mas por apenas quatro segundos. Esse é um truque para dar aos usuários a impressão de que o perfil deles foi verificado.

“As imitações de e-mails sempre tentam parecer legítimas, se aproveitando da engenharia social e, nesse caso, do desejo de receber o selo de verificação no perfil, para enganar os usuários”, afirma Aloísio.

Como dica, é importante que os usuários devam sempre se atentar ao uso de domínios que não sejam da própria rede social, estilos de fontes duvidosos, gramáticas e pontuações incorretas e emails que pedem credenciais, pois as redes sociais nunca as solicitam fora de suas páginas de login reais e seguras.

A Trend Micro enviou os casos para o Facebook e Instagram, mas não obteve resposta até o momento.