De olho no crescimento de acessos ao mobile banking, criminosos brasileiros focam seus ataques contra este público de forma mais consistente, utilizando o SMiShing (phishing enviado por SMS), além de registrar novos domínios já preparados para esse fim.

Conforme dados da FEBRABAN - Federação Nacional de Bancos - só em 2015, o uso do mobile banking alcançou a marca de 11,2 bilhões de transações no Brasil – crescimento de 138% em relação a 2014 (4,7 bilhões de operações), tornando este o segundo canal bancário mais acessado - são mais de 33 milhões de contas móveis ativas. Além disso, o uso do SMS como canal de mensagens corporativas deve continuar a crescer nos próximos 10 anos, à medida que mais organizações adotam serviços A2P (Aplicação a Pessoa) para integrar em suas comunicações digitais.  

Ataques como estes são simples e baratos, basta o criminoso registrar um domínio, preparar página de phishing em formato móvel, contratar serviço de envio de SMS em massa (geralmente utilizando cartão de crédito clonado) e assim faz o golpe. A facilidade continua ao obter números de telefones de vítimas.

É mais fácil invadir contas bancárias a partir de terminais móveis do que via desktop, veja abaixo:

 - Sem proteção: pesquisa realizada em 2015 pela B2B International mostrou que apenas 56% dos usuários têm software de proteção instalado em seus dispositivos.
 
- Sem plug-ins: mesmo com apps de acesso dedicado à conta, a maioria dos bancos não exige que seus clientes instalem plug-ins de segurança em seus dispositivos móveis, como acontece no acesso via desktop. Como já visto anteriormente, apps falsos de bancos já apareceram na Play Store, além de ataques de phishing poderem afetar qualquer plataforma por meio de seus navegadores.
 
- Autenticação simples: a maioria dos bancos brasileiros utiliza autenticação simplificada ao acesso móvel, solicitando apenas número da conta e senha de quatro ou seis dígitos caso o acesso seja feito pelo navegador do smartphone.
 
- Notificações reais via SMS: sabemos que grande parte dos bancos nacionais tem usado SMS como canal de comunicação com seus clientes, com informações sobre saques e compras no cartão, o que inclusive tem possibilitado a identificação mais rápida de fraudes. Portanto, pode ser fácil confundir mensagem de SMiShing com SMS legítimo.
 
Para adaptar-se aos novos tempos, phishers estão preparando versões móveis das páginas dos bancos, que podem ser abertas em qualquer navegador. A tática dos phishers é forçar a vítima a acessar o site falso por meio de seu celular – caso o acesso seja feito via desktop, será exibida mensagem semelhante à abaixo:
 

 
Após esta mensagem, a página de phishing completa só estará disponível inteiramente caso o acesso seja feito pelo navegador.
 

Phishers estão criando páginas falsas de vários bancos, em todas as cores e formas. Além disso, a maioria dos domínios falsos estão usando o TLD .mobi. 

 


 
Também é importante dizer que a maioria desses domínios impede o acesso a partir de IPs fora do Brasil. Isto acontece para limitar o acesso aos usuários brasileiros e manter o ataque por mais tempo ar, além de ser mais efetivo, uma vez que companhias de segurança sem presença local irão demorar mais para bloquear o ataque.

R7