O FBI está alertando os usuários das redes sociais sobre criminosos que invadem contas pessoais em busca de fotos e vídeos íntimos, que depois podem ser distribuídos online ou colocados à venda. Os ataques dependem de vários métodos, incluindo mensagens de phishing, interações falsas com suporte ao cliente e tentativas de tomar conta usando senhas previamente expostas.
De acordo com a public service announcement o Internet Crime Complaint Center (IC3) do FBI, atacantes podem mirar em determinados indivíduos ou abrir uma rede mais ampla em busca de contas contendo material privado. Após obter conteúdo íntimo, criminosos foram observados compartilhando-o em comunidades online ou tentando vendê-lo em mercados ilícitos.
As consequências podem ir além do roubo inicial. O FBI afirma que imagens roubadas podem ser publicadas junto com informações identificativas sobre a pessoa envolvida, incluindo nomes, datas de nascimento, endereços de e-mail, números de telefone e nomes de usuário das redes sociais. Combinar material íntimo com essas informações pode expor as vítimas a mais assédio e perseguições repetidas.
Um método descrito pelo FBI começa com criminosos fingindo representar a equipe de suporte de uma empresa de mídia social. Atacantes podem criar endereços de e-mail ou sites convincentes e contatar usuários com um aviso fabricado de que alguém tentou acessar sua conta.
A mensagem então direciona o destinatário para um link malicioso. Uma vítima que segue as instruções pode, sem saber, fornecer informações que permitem ao agressor acessar a conta real da rede social.
Outra variação foca em códigos de verificação de conta. Criminosos que se passam por suporte ao cliente podem dizer aos usuários que sua conta está prestes a ser suspensa ou excluída e alegar que um código de verificação é necessário para evitar que isso aconteça. Nos bastidores, o atacante inicia uma redefinição genuína da senha, fazendo com que a plataforma envie um código de autenticação para o dono da conta.
Se esse código for entregue, o criminoso pode usá-lo para completar o reset e assumir o controle da conta. O proprietário legítimo pode então perceber que a senha foi alterada e o acesso perdido.
Nem todo comprometimento de conta exige interação direta com a vítima. O FBI também alerta sobre ataques por senha em que criminosos tentam combinações de nomes de usuário e senhas até encontrarem credenciais que funcionem. Informações de login expostas por violações de dados anteriores ou obtidas em mercados criminosos podem ser usadas nessas tentativas.
O FBI recomenda evitar o armazenamento de fotos e vídeos sexualmente explícitos em contas de redes sociais ou outros serviços acessíveis à internet sempre que possível. Os usuários também são aconselhados a proteger contas com frases de acesso fortes e únicas e a habilitar a autenticação multifator quando disponível.
Senhas e PINs não devem ser baseados em dados pessoais facilmente encontrados, como datas de nascimento ou nomes de parentes. Reutilizar senhas também é arriscado porque credenciais expostas por uma violação envolvendo um serviço podem potencialmente ser testadas contra contas em outros lugares.
Notificações inesperadas de redefinição de senha, avisos de conta e mensagens contendo links de login devem ser tratados com cautela. Em vez de seguir um link fornecido em e-mail ou mensagem de texto, os usuários podem abrir o aplicativo oficial da plataforma ou acessar manualmente seu site para verificar sua conta.
O FBI também enfatiza que códigos de autenticação e credenciais de login não devem ser fornecidos a alguém que afirme trabalhar para uma empresa de mídia social. Um pedido por essas informações pode, por si só, indicar que alguém está tentando tomar o controle da conta.