Riscos do software de acesso remoto

Três coisas diferentes são frequentemente agrupadas sob o mesmo nome, mas as diferenças são importantes:

Partilha de ecrã permite que outra pessoa veja o seu ecrã em tempo real. Ferramentas como Zoom, Microsoft Teams e Google Meet fazem isto. Não conseguem controlar o seu dispositivo, mas quem estiver a observar pode ler tudo o que apresenta — incluindo as palavras-passe enquanto as escreve, os códigos de utilização única à medida que chegam e uma frase-semente se abrir a cópia de segurança da sua carteira.

Controlo remoto dá o controlo do rato e do teclado a outra pessoa. Ferramentas como AnyDesk, TeamViewer, LogMeIn, UltraViewer, RustDesk e Windows Quick Assist fazem isto. Quem estiver ligado pode abrir os seus ficheiros, instalar outro software, alterar as suas definições e utilizar as suas contas como se estivesse sentado à sua secretária.

Um trojan de acesso remoto (RAT) faz o mesmo que uma ferramenta de controlo remoto, mas esconde-se. É instalado sem a sua autorização, funciona silenciosamente em segundo plano e foi concebido para não aparecer nos locais onde pensaria procurá-lo. Os atacantes também instalam ferramentas legítimas de monitorização remota — do tipo utilizado pelos departamentos de TI, como ScreenConnect, Atera ou SimpleHelp — precisamente para este fim, porque essas ferramentas são assinadas, consideradas de confiança e raramente são bloqueadas.

As duas primeiras são aplicações legítimas e amplamente utilizadas. É precisamente por isso que são atrativas para agentes maliciosos: o seu software antivírus pode não as assinalar como uma ameaça e o seu download não parece suspeito. O perigo raramente está no software em si — está em quem acaba do outro lado da ligação.

Quando um agente malicioso estabelece ligação ao seu dispositivo, pode:

• Ler tudo o que aparece no seu ecrã, incluindo a sua palavra-passe enquanto a escreve, códigos de autenticação de dois fatores (2FA), códigos de aprovação do dispositivo e frases de recuperação.
• Abrir, copiar ou eliminar os seus ficheiros – incluindo capturas de ecrã, exportações de gestores de palavras-passe e cópias de segurança de carteiras.
• Utilizar contas nas quais já tenha iniciado sessão, sem nunca precisar da sua palavra-passe.
• Instalar malware ou deixar a ferramenta de acesso remoto a funcionar silenciosamente, para poder voltar dias ou semanas mais tarde.
• Desativar o seu software antivírus ou alterar as suas definições de segurança.
• Apagar ou bloquear o seu ecrã para que não consiga ver o que está a fazer enquanto o faz.

Existem razões legítimas para utilizar estas ferramentas. Pode ligar-se ao seu computador de trabalho a partir de casa, permitir que um colega faça uma apresentação para si, ajudar um familiar com o respetivo dispositivo ou trabalhar com um técnico de TI que tenha contactado pessoalmente. O que importa é saber quem está do outro lado e o que fica visível enquanto essa pessoa está ligada. Se utilizar a ferramenta:

• Aceite apenas uma sessão que tenha agendado pessoalmente, com uma pessoa ou empresa que tenha contactado.
• Feche primeiro tudo o que for sensível – contas de exchange, serviços bancários, email, gestores de palavras-passe e cópias de segurança de carteiras. Parta do princípio de que tudo o que aparece no ecrã pode ser lido e copiado.
• Nunca inicie sessão na Kraken, aprove um levantamento ou abra uma cópia de segurança de uma carteira enquanto houver uma sessão ativa.
• Permaneça junto do dispositivo, acompanhe a sessão e termine-a assim que o trabalho estiver concluído.
• Desinstale o software quando já não precisar dele ou desative o acesso não assistido, para que ninguém possa voltar a ligar-se sem a sua aprovação.
• Sempre que possível, não o mantenha em nenhum dispositivo que utilize para guardar ou movimentar criptomoedas.

Quase todas as versões de um esquema de acesso remoto seguem os mesmos quatro passos.

1. Uma razão para o instalar. Alguém contacta-o inesperadamente — por telefone, e-mail, mensagem de texto, uma janela pop-up do navegador ou uma mensagem nas redes sociais — e diz-lhe que existe um problema urgente que só a assistência remota pode resolver.
2. A instalação. A pessoa orienta-o passo a passo na transferência de uma ferramenta de acesso remoto ou de partilha de ecrã e na concessão de permissões. O autor da chamada mantém-se sempre simpático, paciente e tranquilizador.
3. O roubo. O agente malicioso assume o controlo do teclado e transfere fundos enquanto o seu ecrã fica em branco, ou orienta-o durante a transferência para que seja você a autorizá-la. Esta orientação é comum porque contorna as verificações de segurança que, de outro modo, teria de concluir.
4. O encobrimento. Mantêm-no na chamada, explicam quaisquer alertas que receba e desligam quando os fundos já foram transferidos. Muitas vezes, o software fica instalado para que possam voltar a aceder ao dispositivo.

• Falso suporte técnico: uma janela pop-up, uma chamada ou um anúncio num motor de pesquisa avisa que o seu dispositivo está infetado e oferece-se para o limpar.
• Reembolso ou pagamento excessivo: dizem-lhe que tem direito a um reembolso, mostram-lhe depois um «erro» em que foi devolvido demasiado dinheiro e pedem-lhe que devolva a diferença em cripto.
• Falsa equipa de segurança: alguém que afirma pertencer a uma fonte legítima (o seu banco, a autoridade tributária, o seu fornecedor de e-mail ou o apoio de uma exchange de criptomoedas) diz que a sua conta está sob ataque e oferece-se para a proteger remotamente.
• Gestor de investimentos ou de conta: um «corretor» oferece-se para configurar a sua conta de trading ou executar operações por si e diz precisar de acesso para o fazer. Os corretores legítimos não precisam de acesso remoto ao seu dispositivo.
• Esquemas de recuperação: depois de já ter perdido fundos, alguém oferece-se para os recuperar por si — e pede acesso remoto ao seu dispositivo ou à sua carteira.

Não é necessário que o convençam a instalar software de acesso remoto para perder o controlo do seu dispositivo. O acesso remoto também pode ser instalado silenciosamente, através de um único clique, sem que qualquer pessoa tente persuadi-lo. Nestes casos, o primeiro sinal de problemas é frequentemente um levantamento não autorizado.

Os métodos de disseminação mais comuns são:

• Pedidos de verificação falsos. Uma página apresenta algo semelhante a um CAPTCHA ou a uma verificação para «confirmar que é humano» e pede-lhe que prima um atalho de teclado e cole algo numa janela Executar do Windows ou numa janela do Terminal do Mac para concluir a verificação. Ao colar esse comando, instala o malware por si próprio. Um CAPTCHA genuíno nunca lhe pede para abrir uma janela de comandos ou executar qualquer ação.
• Anexos e ligações de phishing. Um e-mail ou uma mensagem — um convite para uma reunião, uma fatura, um aviso de entrega, um código QR ou uma carta de uma entidade pública — conduz a um ficheiro que instala discretamente uma ferramenta de monitorização remota em segundo plano. Estes instaladores têm muitas vezes uma assinatura válida, pelo que não geram qualquer aviso quando são executados.
• Páginas de transferência e anúncios de pesquisa falsos. Anúncios pagos e sites que imitam os sites de software popular, incluindo ferramentas de acesso remoto e carteiras de criptomoedas, podem aparecer acima do fornecedor legítimo nos resultados. O instalador funciona como esperado, mas instala também outra coisa. Introduza sempre o endereço do próprio fornecedor ou guarde-o nos favoritos, em vez de clicar num anúncio ou num resultado de pesquisa.
• Atualizações falsas do navegador ou da aplicação. Uma janela pop-up num site legítimo, mas comprometido, afirma que o seu navegador, leitor de vídeo ou extensão da carteira está desatualizado. A «atualização» é o malware. Atualize o software apenas a partir da própria aplicação ou do site do fornecedor.
• Ofertas de emprego e testes de programação falsos. Alguém que se faz passar por recrutador de uma empresa convida-o para uma entrevista e pede-lhe depois que instale o software da entrevista ou da avaliação, ou que transfira e execute um projeto para realizar em casa. Esta tática visa frequentemente, de forma específica, pessoas que trabalham com cripto ou que detêm cripto.
• Extensões do navegador, incluindo extensões em que já confia. Uma extensão falsa que imita uma carteira, um monitor de preços ou uma ferramenta de segurança pode estar numa loja oficial e pedir permissão para ler tudo o que faz no navegador. O risco mais subtil é uma extensão que instalou há anos e utilizou em segurança desde então: as extensões podem ser vendidas a um novo proprietário ou a conta do respetivo programador pode ser comprometida e, como se atualizam silenciosamente em segundo plano, uma extensão em que confia pode tornar-se maliciosa sem que clique em nada. Reveja periodicamente as extensões instaladas, remova as que já não utiliza e considere um pedido de novas permissões um motivo para analisar a extensão com atenção.
• Software pirateado e ferramentas de ativação. As aplicações pirateadas são, há muito tempo, uma forma de disseminar software de acesso remoto. Num dispositivo que contém cripto, o risco raramente compensa.

O acesso remoto oculto foi concebido para ser difícil de detetar, e nenhum destes sinais é, por si só, uma prova. Considere o aparecimento de vários sinais em simultâneo como motivo para investigar:

• O cursor move-se, as janelas abrem-se ou é introduzido texto quando não está a tocar no dispositivo.
• O ecrã fica brevemente preto, bloqueia ou cintila, ou o dispositivo sai sozinho do modo de suspensão.
• Aparecem programas que não reconhece nas aplicações instaladas ou nos itens de arranque.
• O software antivírus foi desligado ou as respetivas definições foram alteradas sem que o tenha feito.
• O dispositivo está lento, quente ou com a ventoinha a funcionar intensamente quando não o está a utilizar.
• Recebe alertas de início de sessão, pedidos de aprovação de dispositivos ou solicitações de 2FA que não iniciou.
• Existem e-mails enviados, mensagens ou e-mails de reposição de palavra-passe nas suas contas que não enviou nem solicitou.

Para saber mais sobre como o software malicioso chega ao seu dispositivo e como removê-lo, consulte Tenha cuidado com o malware informático. Se pensa que existe software de acesso remoto em execução no seu dispositivo, siga os passos da secção «Se pensa que alguém acedeu ao seu dispositivo» abaixo — aplicam-se quer tenha concedido acesso, quer não.

Considere qualquer uma das situações seguintes como motivo para terminar imediatamente a conversa:

• Não foi você que iniciou o contacto.
• É-lhe pedido que instale o AnyDesk, o TeamViewer, o Quick Assist, o UltraViewer ou uma ferramenta semelhante.
• É-lhe pedido que partilhe o ecrã enquanto inicia sessão numa conta.
• É-lhe pedido que diga em voz alta um código de 2FA, um código de aprovação do dispositivo, uma palavra-passe ou uma seed phrase.
• É-lhe pedido que desative o 2FA, remova uma Master Key ou desligue o Global Settings Lock durante um contacto que não iniciou.
• Dizem-lhe que o ecrã ficará em branco “enquanto trabalhamos” ou pedem-lhe que desvie o olhar.
• É-lhe pedido que transfira os seus fundos para uma carteira ou conta “segura”, “protegida” ou “blindada”. Este é um guião de burla, não um procedimento de segurança real.
• É pressionado a agir imediatamente, dizem-lhe para não contar a ninguém, aconselham-no sobre como responder a e-mails legítimos do suporte ou pedem-lhe que permaneça em linha enquanto faz uma transferência.
• Chegou ao número do “suporte” através de um motor de pesquisa, de um anúncio ou de uma resposta nas redes sociais, em vez do site oficial.

O Kraken Support nunca lhe pedirá para:

• Instalar software de acesso remoto ou de partilha de ecrã, nem conceder acesso ao seu dispositivo.
• Fornecer a sua palavra-passe, o código de 2FA, o código de aprovação do dispositivo, a Master Key ou a seed phrase da carteira.
• Fazer qualquer alteração de segurança enquanto alguém está ligado ao seu dispositivo ou durante uma chamada ou conversa que não solicitou.
• Transferir os seus fundos para outra carteira ou conta para os manter em segurança.

Se receber uma chamada de alguém que afirma ser da Kraken e não a tiver solicitado, desligue. Pode verificar se está a falar com um especialista genuíno do Kraken Support através da funcionalidade de verificação na aplicação, descrita em Como contactar o Voice Support.

Estes passos aplicam-se quer tenha concedido acesso durante uma chamada, quer acredite que algo foi instalado sem o seu conhecimento. Aja rapidamente e utilize um dispositivo diferente, em que confie, para tudo o que envolva iniciar sessão.

1. Desligue o dispositivo afetado da Internet e termine a sessão remota, caso ainda esteja ativa.
2. Desinstale completamente o software de acesso remoto. Verifique as aplicações instaladas e os itens de arranque para detetar tudo o que não reconhece — não apenas a ferramenta que lhe pediram para instalar.
3. A partir de um dispositivo separado e de confiança, altere a palavra-passe do endereço de e-mail associado à sua conta Kraken e de qualquer outra conta que tenha ficado visível durante a sessão.
4. Altere a sua palavra-passe Kraken e termine sessão em todas as sessões ativas. Consulte Proteja a sua conta Kraken e a sua vida digital.
5. Verifique se existem alterações na sua conta Kraken que não tenha efetuado: métodos de 2FA novos ou removidos, novas chaves API, novos endereços de levantamento na sua lista de endereços e dados de contacto atualizados.
6. Execute uma verificação completa com o antivírus no dispositivo afetado. Se tiver sido concedido controlo remoto total, a opção mais segura é reinstalar o sistema operativo — uma verificação não pode garantir que nada tenha ficado para trás.
7. Contacte o seu banco se os seus serviços bancários tiverem sido acedidos ou ficado visíveis e peça-lhe que analise a atividade recente.
8. Comunique-nos o incidente através do nosso formulário de atividade suspeita.
9. Se tinha uma carteira fora da Kraken nesse dispositivo, considere a seed phrase comprometida e transfira esses fundos para uma nova carteira com uma seed phrase gerada recentemente.

• Ative as chaves de acesso. As chaves de acesso são resistentes a phishing e não podem ser lidas no seu ecrã nem repetidas a quem lhe telefona, ao contrário de um código 2FA. Consulte O que é uma chave de acesso?.
• Ative uma Master Key. Uma Master Key impede que a sua palavra-passe Kraken seja reposta, mesmo que o seu e-mail seja comprometido. Consulte O que é uma Master Key?.
• Ative o Global Settings Lock (GSL). O GSL impede alterações às definições da sua conta e aos endereços de levantamento, além de ocultar informações sensíveis da conta. É a sua última linha de defesa se a sua palavra-passe e o 2FA forem comprometidos. Consulte O que é o Global Settings Lock (GSL)?.
• Nunca instale software a pedido de um desconhecido. Se precisar de ajuda técnica, contacte a empresa diretamente, utilizando um número ou ligação que tenha encontrado no respetivo site oficial – não um número ou ligação que lhe tenham fornecido.
• Nunca cole um comando que não tenha escrito. Nenhum site legítimo, verificação de identidade ou processo de suporte exige que execute um comando no Terminal, no PowerShell ou na caixa Executar do Windows.
• Transfira software a partir da fonte. Introduza o endereço do fornecedor ou guarde-o nos favoritos, em vez de clicar num resultado de pesquisa ou num anúncio, e instale as atualizações a partir da própria aplicação.
• Mantenha o seu dispositivo e navegador atualizados e mantenha ativado um software de segurança de confiança. Nenhum dos dois impedirá todos os ataques, mas ambos aumentam o custo de chegar até si.
• Não tenha pressa. A urgência é a ferramenta que faz este esquema resultar. Terminar uma chamada não lhe custa nada; se for legítima, pode sempre ligar novamente para um número verificado.

• Proteja-se contra esquemas fraudulentos

• Proteja a sua conta Kraken e a sua vida digital

• Tenha cuidado com malware informático

• Este e-mail é da Kraken?

• Como contactar o Voice Support