Falso CAPTCHA: o golpe que faz você hackear seu PC

Você já parou para pensar que um simples CAPTCHA pode ser a porta de entrada para um ataque cibernético? Pois é exatamente isso que está acontecendo. Recentemente, a Ucrânia emitiu um alerta sobre uma campanha de falsos CAPTCHAs que engana as vítimas para que elas mesmas infectem seus computadores. Neste artigo, vou explicar como esse golpe funciona, como ele se relaciona com ameaças em dispositivos móveis e, o mais importante, como você pode se proteger.

O que é um CAPTCHA e por que os criminosos o falsificam?

CAPTCHA é aquela verificação chata que aparece em sites para confirmar que você é humano, geralmente pedindo para clicar em imagens de semáforos ou digitar letras distorcidas. A ideia é impedir robôs de acessar serviços. Mas os criminosos perceberam que podem usar a confiança que temos nesses mecanismos para nos enganar.

No golpe relatado pela CERT-UA (equipe de resposta a emergências cibernéticas da Ucrânia), hackers ligados ao grupo Sandworm, conhecido por ataques destrutivos, comprometeram sites legítimos e inseriram um CAPTCHA falso. Quando o usuário acessava a página, aparecia uma mensagem pedindo para ele provar que era humano. Mas, em vez de marcar uma caixinha, a instrução era:

• Pressionar Windows + R (abre o menu Executar)
• Colar um comando (que já estava no clipboard)
• Apertar Enter

O problema? Esse comando era um script PowerShell malicioso. Em segundos, ele baixava e executava malware no computador da vítima, sem que ela percebesse. É o que os especialistas chamam de ataque ClickFix: em vez de explorar uma falha técnica, explora a confiança e a falta de atenção do usuário.

Você pode ler mais sobre o alerta original no artigo do Bitdefender.

Como o golpe do falso CAPTCHA funciona passo a passo

Vou detalhar o passo a passo do ataque para você entender a engenharia social por trás dele:

1. Comprometimento do site: Os hackers invadem um site legítimo (geralmente com pouca segurança) e injetam um código que exibe o CAPTCHA falso.
2. Exibição da mensagem enganosa: Ao visitar a página, o usuário vê uma tela que imita um CAPTCHA real, mas com instruções suspeitas. O texto pode dizer algo como: "Para verificar que você é humano, pressione Windows + R, cole o código e pressione Enter".
3. Execução do comando: O comando, que já foi copiado para a área de transferência do usuário (através de um script no site), é colado no menu Executar e executado. Esse comando baixa e roda um malware.
4. Infecção silenciosa: O malware pode fazer várias coisas: roubar dados, instalar um backdoor para acesso remoto, ou até mesmo se espalhar pela rede.

O pior é que a vítima acha que está apenas completando uma verificação de segurança, quando na verdade está entregando o controle do seu computador aos criminosos.

CAPTCHA falso e malware em dispositivos móveis: qual a conexão?

Você pode pensar: "Ah, mas isso só acontece em computadores, certo?". Errado. Embora o golpe do falso CAPTCHA use o menu Executar do Windows, a mesma tática pode ser adaptada para celulares. E o risco não para por aí: os dispositivos móveis são alvos constantes de malware e spyware.

Imagine que você está navegando no celular e aparece um pop-up dizendo que seu aparelho está infectado e que você precisa baixar um aplicativo de "limpeza". Se você baixar, pode estar instalando um spyware que monitora tudo o que você digita, incluindo senhas bancárias e mensagens. Ou, em um cenário parecido com o do CAPTCHA, um site malicioso pode pedir que você copie e cole um comando em um aplicativo de terminal (menos comum, mas possível).

A lição é a mesma: nunca execute comandos ou instale aplicativos fora das lojas oficiais por causa de uma solicitação inesperada. Os criminosos estão sempre buscando novas maneiras de enganar, e os celulares, por serem tão pessoais, são um prato cheio.

Como identificar um CAPTCHA falso

Fique atento a estes sinais de alerta:

• Instruções para abrir o menu Executar ou Terminal: CAPTCHAs legítimos nunca pedem para você executar comandos no sistema.
• Pedido para copiar e colar algo: Nenhum CAPTCHA real exige que você cole códigos.
• Erros de gramática ou aparência estranha: Muitas vezes, os falsos CAPTCHAs têm textos mal escritos ou design inconsistente.
• URL suspeita: Se o site não for confiável ou o endereço parecer estranho, desconfie.

Se você se deparar com algo assim, feche a página imediatamente e não siga as instruções.

Boas práticas para se proteger de golpes como o ClickFix

Agora que você já sabe como o golpe funciona, vou compartilhar algumas ações práticas para se manter seguro:

1. Desconfie de solicitações incomuns: Se um site pedir para você executar comandos, instalar algo ou fornecer informações sensíveis, pare e pense. Verifique a legitimidade do site.
2. Mantenha seu sistema e aplicativos atualizados: As atualizações corrigem vulnerabilidades que podem ser exploradas por malware.
3. Use um bom antivírus e anti-malware: Eles podem detectar e bloquear ameaças antes que causem danos.
4. Eduque-se continuamente: A segurança digital é um aprendizado constante. Compartilhe essas informações com amigos e familiares.
5. Monitore seus dados: Se você caiu em um golpe, seus dados podem ter sido comprometidos. Utilize ferramentas de monitoramento para saber se suas informações vazaram na dark web.

O papel do monitoramento de vazamentos de dados

Mesmo com todos os cuidados, às vezes somos pegos de surpresa. É aí que entra o monitoramento de vazamentos de dados. Serviços como o da Kzarka verificam constantemente se suas informações pessoais (e-mail, senhas, CPF) apareceram em vazamentos públicos. Se algo for encontrado, você é alertado para tomar medidas imediatas, como trocar senhas e ativar a autenticação de dois fatores.

Imagine que você caiu no golpe do falso CAPTCHA e seu e-mail e senha foram roubados. Sem monitoramento, você pode não saber até que alguém acesse sua conta bancária. Com o monitoramento, você recebe um alerta e pode agir rápido.

Comparativo: CAPTCHA legítimo vs. CAPTCHA falso

Para facilitar a identificação, veja esta tabela comparativa:

Guarde essa tabela e compartilhe com quem você conhece. A prevenção começa com o conhecimento.

Perguntas frequentes sobre o golpe do falso CAPTCHA

1. O que é um ataque ClickFix?

É um tipo de golpe em que o criminoso induz a vítima a executar ações que infectam seu próprio dispositivo, como colar comandos maliciosos. O nome vem da ideia de "consertar" algo clicando, mas na verdade é uma armadilha.

2. Como sei se caí no golpe do falso CAPTCHA?

Se você executou um comando suspeito e depois notou lentidão, programas desconhecidos ou atividades estranhas na sua conta, pode ter sido infectado. Faça uma varredura completa com um antivírus e troque suas senhas imediatamente.

3. O golpe do falso CAPTCHA pode afetar celulares?

Embora o exemplo mais comum use o Windows, a tática pode ser adaptada para celulares, geralmente pedindo para instalar aplicativos maliciosos ou acessar links suspeitos. Mantenha-se atento a solicitações incomuns em qualquer dispositivo.

4. O que devo fazer se meus dados vazaram por causa de um golpe?

Primeiro, troque as senhas de todas as contas importantes. Ative a autenticação de dois fatores. Depois, use um serviço de monitoramento de vazamentos, como o da Kzarka, para saber se suas informações estão circulando na dark web e receber alertas contínuos.

Conclusão: sua atenção é a melhor defesa

O golpe do falso CAPTCHA é um lembrete de que os criminosos estão sempre inovando. Mas, com conhecimento e boas práticas, você pode se manter um passo à frente. Lembre-se: nenhuma verificação legítima pedirá que você execute comandos no seu computador. Desconfie, verifique e proteja-se.

E para uma camada extra de segurança, convido você a conhecer a Kzarka. Nossa plataforma monitora vazamentos de dados e ajuda a proteger sua identidade digital. Faça uma verificação gratuita e veja se suas informações já foram expostas. Sua segurança começa agora!