Riscos de softwares de acesso remoto

Três coisas diferentes costumam ser agrupadas sob o mesmo rótulo, e as diferenças são importantes:

O compartilhamento de tela permite que outra pessoa veja a sua tela em tempo real. Ferramentas como o Zoom, Microsoft Teams e Google Meet fazem isso. Elas não podem controlar o seu dispositivo, mas quem estiver assistindo pode ler tudo o que você exibe — incluindo senhas enquanto você as digita, códigos de uso único conforme eles chegam e uma frase semente se você abrir o backup da sua carteira.

O controle remoto entrega o seu mouse e teclado. Ferramentas como o AnyDesk, TeamViewer, LogMeIn, UltraViewer, RustDesk e Windows Quick Assist fazem isso. Quem estiver conectado pode abrir seus arquivos, instalar outros softwares, alterar suas configurações e operar suas contas como se estivesse sentado em sua mesa.

Um trojan de acesso remoto (RAT) faz o mesmo que uma ferramenta de controle remoto, mas se esconde. Ele é instalado sem a sua permissão, é executado silenciosamente em segundo plano e é projetado para não aparecer nos lugares onde você pensaria em procurar. Os invasores também instalam ferramentas de monitoramento remoto legítimas — do tipo que os departamentos de TI usam, como o ScreenConnect, Atera ou SimpleHelp — exatamente para esse fim, pois essas ferramentas são assinadas, confiáveis e dificilmente serão bloqueadas.

As duas primeiras são aplicações legítimas e amplamente utilizadas. É exatamente por isso que são atraentes para agentes mal-intencionados: o seu software antivírus pode não sinalizá-las como uma ameaça, e baixá-las não parece suspeito. O perigo raramente está no software em si — está em quem acaba na outra extremidade da conexão.

Assim que um agente mal-intencionado estiver conectado ao seu dispositivo, ele poderá:

• Ler qualquer coisa na sua tela, incluindo a sua senha enquanto você a digita, códigos de autenticação de dois fatores (2FA), códigos de aprovação de dispositivo e frases de recuperação.
• Abrir, copiar ou excluir seus arquivos — incluindo capturas de tela, exportações de gerenciadores de senhas e backups de carteiras.
• Operar contas nas quais você já está conectado, sem precisar da sua senha.
• Instalar malwares ou deixar a ferramenta de acesso remoto em execução silenciosa, para que possam retornar dias ou semanas depois.
• Desativar o seu software antivírus ou alterar suas configurações de segurança.
• Apagar ou congelar a sua tela para que você não consiga ver o que eles estão fazendo enquanto fazem.

Existem motivos legítimos para usar essas ferramentas. Você pode se conectar ao seu próprio computador de trabalho de casa, permitir que um colega faça uma apresentação para você, ajudar um familiar com o dispositivo dele ou trabalhar com um técnico de TI que você mesmo contatou. O que importa é quem está na outra ponta e o que é visível enquanto eles estão conectados. Se você usar:

• Aceite apenas sessões que você mesmo organizou, com uma pessoa ou empresa que você contatou.
• Feche qualquer coisa confidencial primeiro — contas de exchange, bancos, e-mail, gerenciadores de senhas e backups de carteiras. Presuma que tudo na tela pode ser lido e copiado.
• Nunca faça login na Kraken, aprove um saque ou abra um backup de carteira enquanto uma sessão estiver ativa.
• Fique no dispositivo, acompanhe a sessão e encerre-a assim que o trabalho for concluído.
• Desinstale o software quando não precisar mais dele ou desative o acesso não supervisionado para que ninguém possa se reconectar sem a sua aprovação.
• Sempre que possível, mantenha-o fora de qualquer dispositivo usado para guardar ou movimentar criptomoedas.

Quase todas as versões de um golpe de acesso remoto seguem os mesmos quatro passos.

1. Um motivo para instalá-lo. Você é contatado do nada — por telefone, e-mail, SMS, um pop-up do navegador ou uma mensagem nas redes sociais — e informado de que há um problema urgente que só o suporte remoto pode resolver.
2. A instalação. Você é orientado passo a passo no download de uma ferramenta de acesso remoto ou de compartilhamento de tela e na concessão de permissão. A pessoa que liga permanece amigável, paciente e tranquilizadora o tempo todo.
3. O roubo. O agente malicioso assume o controle do teclado e movimenta os fundos enquanto a sua tela fica escura, ou orienta você durante a transferência para que você mesmo a autorize. A orientação é comum porque anula as verificações de segurança pelas quais, de outra forma, você teria que passar.
4. O encobrimento. Eles mantêm você na chamada, explicam quaisquer alertas que você receba e desconectam assim que os fundos forem movimentados. Muitas vezes, o software é deixado instalado para que possam voltar.

• Suporte técnico falso: um pop-up, uma chamada ou um anúncio em mecanismo de busca avisa que seu dispositivo está infectado e oferece uma limpeza.
• Reembolso ou pagamento em excesso: informam que você tem um reembolso a receber, mostram um “erro” em que foi pago um valor a mais e pedem que você devolva a diferença em criptomoedas.
• Equipe de segurança falsa: alguém alegando ser de uma fonte legítima (seu banco, departamento fiscal, provedor de e-mail, suporte de exchange de criptomoedas) diz que sua conta está sob ataque e oferece proteção remota.
• Gerente de investimentos ou de conta: um “corretor” oferece configurar sua conta de negociação ou realizar operações para você, e precisa de acesso para fazer isso. Corretores legítimos não solicitam acesso remoto ao seu dispositivo.
• Golpes de recuperação: depois que você já perdeu fundos, alguém se oferece para recuperá-los e solicita acesso remoto ao seu dispositivo ou carteira.

Você não precisa ser convencido a instalar um software de acesso remoto para perder o controle do seu dispositivo. O acesso remoto também pode ser instalado silenciosamente, através de um único clique, e pode não haver nenhuma pessoa persuadindo você. Nesses casos, o primeiro sinal de problema costuma ser um saque não autorizado.

Os métodos de entrega mais comuns são:

• Prompts de verificação falsos. Uma página exibe o que parece ser um CAPTCHA ou uma verificação de “prove que você é humano” e pede que você pressione um atalho de teclado e cole algo em uma caixa Executar do Windows ou em uma janela de Terminal do Mac para concluir a verificação. Colar esse comando instala o malware. Um CAPTCHA genuíno nunca pede que você abra uma janela de comando ou execute qualquer coisa.
• Anexos e links de phishing. Um e-mail ou mensagem — um convite de reunião, uma fatura, um aviso de entrega, um código QR, uma carta de uma agência governamental — leva a um arquivo que instala silenciosamente uma ferramenta de monitoramento remoto em segundo plano. Esses instaladores geralmente são assinados corretamente, portanto não exibem nenhum aviso ao serem executados.
• Páginas de download e anúncios de busca falsos. Anúncios pagos e sites semelhantes de softwares populares, incluindo ferramentas de acesso remoto e carteiras de criptomoedas, podem aparecer acima do fornecedor real. O instalador funciona conforme o esperado, mas também instala outra coisa. Sempre digite ou salve o endereço do próprio fornecedor em vez de clicar em um anúncio ou resultado de busca.
• Atualizações falsas de navegador ou aplicativo. Um pop-up em um site legítimo, mas comprometido, afirma que seu navegador, player de vídeo ou extensão de carteira está desatualizado. A “atualização” é o malware. Atualize softwares apenas de dentro do aplicativo ou do site do fornecedor.
• Ofertas de emprego e testes de programação falsos. Alguém se passando por recrutador de uma empresa convida você para uma entrevista e pede que instale o software de entrevista ou avaliação, ou que baixe e execute um projeto prático. Essa tática costuma visar especificamente pessoas que trabalham com ou possuem criptomoedas.
• Extensões de navegador, incluindo aquelas em que você já confia. Uma extensão falsa que se passa por uma carteira, um rastreador de preços ou uma ferramenta de segurança pode estar em uma loja oficial e solicitar permissão para ler tudo o que você faz no navegador. O risco mais sutil é uma extensão que você instalou há anos e usa com segurança desde então: as extensões podem ser vendidas a um novo proprietário ou ter a conta do desenvolvedor comprometida e, como elas se atualizam silenciosamente em segundo plano, uma em que você confia pode se tornar hostil sem que você clique em nada. Revise suas extensões instaladas de tempos em tempos, remova qualquer coisa que não use mais e trate uma solicitação de novas permissões como um motivo para olhar mais de perto.
• Softwares craqueados e ferramentas de ativação. Aplicativos piratas são uma rota de entrega antiga para softwares de acesso remoto. Em um dispositivo que contém criptomoedas, o risco raramente vale a pena.

O acesso remoto oculto foi projetado para ser difícil de detectar e nenhum desses sinais é uma prova por si só. Considere o surgimento de vários deles simultaneamente como um motivo para investigar:

• O cursor se move, janelas se abrem ou textos são digitados sem que você esteja tocando no dispositivo.
• Sua tela fica preta brevemente, trava ou pisca, ou seu dispositivo desperta sozinho do modo de repouso.
• Programas que você não reconhece aparecem nos seus aplicativos instalados ou nos itens de inicialização.
• Seu software antivírus foi desativado ou as configurações foram alteradas sem que você tenha feito isso.
• Seu dispositivo está lento, quente ou com a ventoinha funcionando intensamente enquanto você não o está usando.
• Você recebe alertas de login, solicitações de aprovação de dispositivo ou avisos de 2FA que não solicitou.
• Há e-mails enviados, mensagens ou e-mails de redefinição de senha em suas contas que você não enviou nem solicitou.

Para saber mais sobre como softwares maliciosos chegam ao seu dispositivo e como removê-los, consulte Cuidado com malwares de computador. Se você acha que um software de acesso remoto está sendo executado no seu dispositivo, siga as etapas na seção "Se você acha que seu dispositivo foi acessado" abaixo — elas se aplicam independentemente de você ter concedido acesso ou não.

Considere qualquer um dos seguintes itens como um motivo para encerrar a conversa imediatamente:

• Você não iniciou o contato.
• Solicitam que você instale AnyDesk, TeamViewer, Quick Assist, UltraViewer ou qualquer ferramenta semelhante.
• Solicitam que você compartilhe sua tela ao fazer login em uma conta.
• Solicitam que você leia um código 2FA, código de aprovação de dispositivo, senha ou frase semente.
• Solicitam que você desative o 2FA, remova uma Master Key ou desative o seu Global Settings Lock durante um contato que você não iniciou.
• Dizem que sua tela ficará preta "enquanto trabalhamos" ou pedem para você não olhar para a tela.
• Solicitam que você mova seus fundos para uma carteira ou conta "segura", "protegida" ou "blindada". Isso é um roteiro de golpe, não um procedimento de segurança real.
• Você é pressionado a agir imediatamente, instruído a não contar a ninguém, aconselhado sobre como responder a e-mails de suporte legítimos ou solicitado a permanecer na linha enquanto faz uma transferência.
• Você encontrou o número de "suporte" por meio de um mecanismo de busca, um anúncio ou uma resposta em redes sociais, em vez do site oficial.

O suporte da Kraken nunca solicitará que você:

• Instale softwares de acesso remoto ou compartilhamento de tela, nem conceda acesso ao seu dispositivo.
• Forneça sua senha, código 2FA, código de aprovação de dispositivo, Master Key ou frase semente da carteira.
• Faça qualquer alteração de segurança enquanto alguém estiver conectado ao seu dispositivo ou durante uma chamada ou chat que você não solicitou.
• Mova seus fundos para outra carteira ou conta para mantê-los seguros.

Se você receber uma chamada alegando ser da Kraken sem tê-la solicitado, desligue. Você pode verificar se está falando com um especialista legítimo da equipe de suporte da Kraken usando o recurso de verificação no aplicativo descrito em Como entrar em contato com o suporte de voz.

Estas etapas se aplicam se você concedeu acesso durante uma chamada ou se acredita que algo foi instalado sem o seu conhecimento. Aja rapidamente e use um dispositivo diferente de sua confiança para qualquer ação que envolva fazer login.

1. Desconecte o dispositivo afetado da internet e encerre a sessão remota, caso ainda esteja ativa.
2. Desinstale completamente o software de acesso remoto. Verifique seus aplicativos instalados e seus itens de inicialização em busca de algo que você não reconheça — não apenas a ferramenta que pediram para você instalar.
3. A partir de um dispositivo separado e confiável, altere a senha do endereço de e-mail vinculado à sua conta Kraken e de qualquer outra conta que estivesse visível durante a sessão.
4. Altere sua senha da Kraken e encerre todas as sessões ativas. Consulte Protegendo sua conta Kraken e sua vida digital.
5. Analise sua conta Kraken em busca de alterações que você não fez: métodos 2FA novos ou removidos, novas chaves de API, novos endereços de saque em seu catálogo de endereços e detalhes de contato atualizados.
6. Execute uma verificação completa de antivírus no dispositivo afetado. Se o controle remoto total foi concedido, o caminho mais seguro é reinstalar o sistema operacional — uma verificação não garante que nada tenha sido deixado para trás.
7. Entre em contato com seu banco se suas contas bancárias foram acessadas ou ficaram visíveis e peça que analisem a atividade recente.
8. Denuncie para nós usando nosso formulário de atividade suspeita.
9. Se você possuía uma carteira fora da Kraken nesse dispositivo, considere a frase semente comprometida e mova esses fundos para uma nova carteira com uma frase semente gerada recentemente.

• Ative as Passkeys. As Passkeys são resistentes a phishing e não podem ser lidas na tela ou repetidas para um chamador, ao contrário de um código 2FA. Veja O que é uma Passkey?.
• Ative uma Master Key. Uma Master Key impede que sua senha da Kraken seja redefinida, mesmo que seu e-mail seja comprometido. Veja O que é uma Master Key?.
• Ative o Global Settings Lock (GSL). O GSL bloqueia alterações nas configurações da sua conta e endereços de saque, além de ocultar informações confidenciais da conta. É sua última linha de defesa caso sua senha e o 2FA sejam comprometidos. Veja O que é o Global Settings Lock (GSL)?.
• Nunca instale softwares a pedido de estranhos. Se precisar de ajuda técnica, entre em contato com a empresa você mesmo usando um número ou link encontrado no site oficial — não um que tenha sido fornecido a você.
• Nunca cole um comando que você não escreveu. Nenhum site legítimo, verificação ou processo de suporte exige que você execute um comando no Terminal, PowerShell ou na caixa Executar do Windows.
• Baixe softwares diretamente da fonte. Digite ou salve nos favoritos o endereço do fornecedor em vez de clicar em um resultado de busca ou anúncio, e instale atualizações de dentro do próprio aplicativo.
• Mantenha seu dispositivo e navegador atualizados, e deixe softwares de segurança confiáveis ativados. Nenhum deles impedirá todos os ataques, mas ambos aumentam o custo para chegar até você.
• Não tenha pressa. A urgência é a ferramenta que faz esse golpe funcionar. Encerrar uma chamada não custa nada; se for genuína, você sempre poderá ligar de volta em um número verificado.

• Proteja-se contra golpes

• Protegendo sua conta Kraken e sua vida digital

• Cuidado com malwares de computador

• Este e-mail é da Kraken?

• Como entrar em contato com o suporte por voz