Opinião: O que pode aprender sobre cibersegurança ao “bisbilhotar” a sua paixoneta (ou ex) online

Por Diva Hurtado (*)

Podemos não nos sentir orgulhosos disto, mas a maioria de nós já se viu em modo detetive, a “bisbilhotar” online uma paixoneta ou um ex, quando a curiosidade levou a melhor. Eis como transformar isto numa lição, em vez de numa perda de tempo pouco saudável.

Mesmo que tenha resolvido limitar a sua “bisbilhotice” online quando iniciou o novo ano, à medida que nos aproximamos do Dia dos Namorados, essa resolução pode ser posta à prova. A não ser que o seu antigo parceiro viva “fora do radar” ou seja suficientemente esperto para permanecer incógnito online, uma pesquisa provavelmente renderá alguma informação pessoal sobre ele.

E, embora isto possa ser excelente para satisfazer a nossa curiosidade, obriga-nos a confrontar a ideia de que, se estivermos a pesquisar no Google os nossos matches do Tinder, estes provavelmente estarão a fazer o mesmo connosco. (O descaramento!) Por isso, neste Dia dos Namorados, colocamos a seguinte questão: será que nos tornamos demasiado vulneráveis a “bisbilhotice” online?

De um ponto de vista social, a quantidade de informação que gostaria de mostrar ao mundo depende inteiramente de si. De um ponto de vista de segurança, no entanto, há riscos em tornar as nossas informações pessoais públicas. Aqui estão as lições a retirar de uma “bisbilhotice” online sobre o seu ex ou paixoneta. (Vê? Afinal estava a ser produtivo!)

A publicação de informações pessoais pode torná-lo mais susceptível a esquemas de phishing e spear phishing

Os esquemas de phishing, o mais psicológico e excessivamente comum dos esquemas online, são altamente direcionados para indivíduos vs. um negócio ou repositório de dados. O phishing refere-se à prática de pessoas mal intencionadas que se fazem passar por entidades legítimas (como a Amazon, por exemplo) e que enviam indiscriminadamente séries de e-mails falsos com o objetivo de o enganar e o levar a clicar num link malicioso ou a revelar passwords ou detalhes financeiros. O spear phishing é a versão mais assustadora. Num esquema de spear phishing, os hackers podem utilizar informações pessoais sobre si para se fazerem passar por amigos, colegas, ou familiares. As mensagens públicas nas redes sociais podem ser alimento para estes hackers.

Por exemplo, se colocar uma fotografia sua e de um amigo na sua roulotte favorita de lagosta nos Hamptons, um hacker pode fazer-se passar por seu amigo e solicitar um pagamento digital por rolos de lagosta. Ou podem enviar-lhe um e-mail fazendo-se passar por uma roulotte de lagosta, afirmando que o seu cartão de crédito foi recusado e que, por isso, se pudesse telefonar-lhes para efetuar o pagamento por telefone, seria ótimo.

Embora existam diferentes razões para manter um perfil público online, não fará mal passar as suas publicações a pente fino à procura de informações pessoais gratuitas. (Ou simplesmente tome isto como um sinal para finalmente atualizar as suas definições de privacidade nas redes sociais para “Apenas Amigos”, onde quer que isto seja possível).

As contas públicas em serviços de pagamento digital (como o Venmo) podem ser perigosas nas mãos erradas

Temos já vindo a discutir se deve manter ou não o seu Venmo privado. Spoiler alert: deve. Se pode estender o âmbito das transacções recentes da sua nova paixoneta para ver se está a comprar flores ou a pagar o jantar a alguém por volta do dia 14 de fevereiro, então que tipo de informações pode um hacker recolher? Tenha isto em conta: os feeds do Venmo revelam muitas informações pessoais, incluindo o dispositivo que utiliza, se vende ou compra substâncias ilegais, e com quem vive (se lhe pagar mensalmente as contas através do Venmo). Os hackers podem utilizá-lo para spear phishing, chantagem (no caso de transações de substâncias ilegais), e para roubar as suas credenciais. Devido ao seu API público, é fácil para os hackers encontrar informações sobre muitos utilizadores de Venmo de uma só vez.

O seu e-mail e número de telefone podem ser facilmente pesquisáveis

Para muitos profissionais, os websites pessoais e de portfólio podem significar a diferença entre conseguir ou não um emprego. Se quisermos que as pessoas nos contactem através dos nossos websites, é provável que incluamos o nosso endereço de correio electrónico e números de telefone. Uma vez que os websites pessoais normalmente aparecem nos primeiros resultados associados à digitação do nome de uma pessoa no Google – como provavelmente já sabe por jogar Nancy Drew antes de um encontro – um hacker terá a mesma sorte ao tentar “desenterrar” as suas informações pessoais.

Somos muitas vezes liberais em relação ao local onde introduzimos ou partilhamos o nosso e-mail, o que significa que devemos estar igualmente atentos quando se trata de avaliar quaisquer e-mails (ou textos ou mensagens privadas desconhecidos) que recebemos. Verifique duas vezes os endereços de correio electrónico e os nomes dos remetentes (as pessoas mal intencionadas podem alterar ligeiramente uma letra ou um número de um endereço de e-mail existente), e se seguir quaisquer ligações para websites de terceiros, verifique três vezes o URL para se certificar de que está correto antes de introduzir qualquer uma das suas credenciais ou informações pessoais.

O seu trabalho atual e histórico de trabalho são potencialmente úteis para hackers e pessoas mal intencionadas

Uma das coisas mais convincentes a pesquisar sobre uma potencial ligação amorosa – se já não o soubermos à partida – é onde esta trabalha. Isto poderia fornecer pistas quanto à compatibilidade de estilos de vida, conhecimentos e interesses, estabilidade de rendimentos – ou talvez uma razão indecente para um despedimento recente. Embora não haja nada inerentemente inseguro na criação de um perfil LinkedIn (semelhante a um website, pode ser uma necessidade quando se trata de procurar emprego ou fazer parte de uma empresa), existe informação potencialmente prejudicial que um hacker pode obter a partir do seu perfil.

Um artigo do F-Secure Blog explica que os hackers podem usar perfis do LinkedIn para obter informações sobre colaboradores e construir um relacionamento com o objetivo de engendrar um ataque de engenharia social a uma empresa. Se forem capazes de localizar nomes e endereços de e-mail de colaboradores, podem então utilizar a descrição de funções no seu perfil para elaborar um e-mail direcionado de um colaborador falso ou de uma ligação laboral. O e-mail pode conter um documento malicioso ou um link para um website de terceiros que roube as suas credenciais.

Se for um administrador de TI, pode já estar familiarizado com as formas de testar os conhecimentos do seu colaborador sobre esquemas comuns, e como evitá-los.

Como regra geral, pense: “Se eu consigo ver isto num perfil alheio, um hacker consegue ver isto no meu”. Embora hoje em dia seja quase impossível optar por não partilhar informação online, nunca é má ideia proteger os seus dados sensíveis bloqueando as suas definições de privacidade nas redes sociais, tendo passwords fortes, ficando atento aos e-mails e mensagens “phishy”, e utilizando proteção adicional como a identificação de dois fatores para aceder às suas contas.

(*) Digital Lifestyle Expert na Dashlane