Aplicativo de Android que convertia arquivos PDF deixou documentos expostos na web

A conversão ocorria em um servidor web que deixava os arquivos ficarem disponíveis sem nenhuma proteção.

Por Altieres Rohr, G1 
06/03/2019 08h00 Atualizado há 4 dias 
Postado em 10 de março de 2019 às 23h00m 

  

Aplicativo 'pdf to word' cadastrado na Play Store. Software não está mais na loja — Foto: Reprodução/Eset

A fabricante de antivírus Eset publicou um alerta sobre o aplicativo "pdf to word", que prometia converter documentos em formato PDF para arquivos editáveis no Microsoft Word. Embora cumprisse o prometido, o aplicativo enviava todos os documentos para um servidor, onde os arquivos ficavam expostos.

No momento, o aplicativo não está mais disponível na Play Store, a loja oficial do Google para o Android.

O aplicativo acumulava mais de 100 mil downloads na Play Store. De acordo com Lukáš Štefanko, o pesquisador da Eset que encontrou a brecha, o servidor para onde os arquivos eram enviados para a conversão acumulava mais de 360 mil arquivos. Essa coleção foi acumulada ao longo de dois anos em que o programa ficou registrado na App Store.

Entre os documentos estavam diplomas escolares, documentos de identidade e passaportes, boletins e inquéritos policiais, contratos de seguro, passagens aéreas, currículos e outros.

Todos os arquivos podiam ser acessados facilmente, sem a necessidade de digitar nenhuma senha. Bastava que alguém soubesse o endereço para colocar no navegador web, o que podia ser descoberto por meio de uma análise do comportamento do aplicativo.

Além dos documentos, o repositório contava ainda com fotos e arquivos de áudio. É possível que esses arquivos tenham sido enviados por outros aplicativos do mesmo desenvolvedor.

O alerta sobre o "pdf to word" foi acompanhado de um alerta sobre outro aplicativo, o gerenciador de senhas "Password Cloud". De acordo com a Eset, esse programa deixava as senhas expostas para outros aplicativos instalados no celular. Normalmente, dados privados de aplicativos ficam inacessíveis para outros softwares instalados.

Os alertas sobre esses aplicativos fazem parte de novo um projeto da Eset chamado "Android App Watch", que vai destacar problemas de segurança e privacidade em aplicativos de Android aparentemente legítimos.

Dúvidas sobre segurança, hackers e vírus? Envie para g1seguranca@globomail.com

  

Selo Altieres Rohr — Foto: Ilustração: G1

Como reativar conta clonada do WhatsApp?

Blog também tira dúvidas sobre como localizar o celular perdido e bloquear conta no WhatsApp.

Por Ronaldo Prass 
10/03/2019 16h48 Atualizado há 4 horas 
Postado em 10 de março de 2019 às 21h00m 

(Se você tem alguma dúvida sobre tecnologia, utilize o espaço para comentários abaixo e escreva sua pergunta)

Como recuperar conta clonada do WhatsApp?

Olá, Ronaldo! A minha conta no WhatsApp foi desconectada do meu celular e não recebi nenhuma mensagem de notificação sobre o motivo dessa alteração. Quando tento reinstalar o aplicativo, é exigido código de verificação de duas etapas, porém, eu nunca cadastrei essa informação. Fiquei aguardando o recebimento do código de segurança na minha conta de e-mail, mas ela não chegou também. Então cancelei o número e transferi a linha para um novo chip, mas não estou conseguindo configurar a conta no meu celular. Você pode me ajudar? - Fabiane

Olá, Fabiane! Quando uma conta do WhatsApp é configurada em um novo aparelho, ele deixa de funcionar no antigo. Mas para que isso seja possível é enviado um código por mensagem de SMS para o celular que tiver o chip ativo. A clonagem de contas do WhatsApp só é possível tecnicamente se houver acesso ao novo chip (SIM Card), no entanto, esse procedimento requer a intervenção de um funcionário da operadora de telefonia para que um novo chip seja ativado. Quando isso acontece, o antigo deixa de funcionar. Se você já possuir o chip ativo no seu aparelho é possível solicitar um novo código após sete dias do último acesso à conta no WhatsApp. Assim que você redefinir o código de segurança, ative a autenticação de duas etapas, indique uma conta de e-mail válida para a recuperação do PIN e se possível atualize a senha da conta de e-mail.

  

WhatsApp, aplicativo de mensagens instantâneas para celular e computador. — Foto: Divulgação/WhatsApp

Como localizar o celular perdido?

A minha filha perdeu o aparelho celular do meu trabalho. E ele está por perto, mas estava quase sem carga na bateria e o GPS estava ligado. É possível rastreá-lo? - Heloisa

Olá, Heloisa! Localizar um celular perdido depende de alguns fatores. Primeiramente, o aparelho não pode ter tido o número de IMEI bloqueado; é necessário que ele esteja conectado na internet - o GPS ativo aumenta a precisão da localização, caso contrário será utilizado como referência a triangulação da posição das torres de comunicação com a operadora. O mecanismo nativo que permite verificar a localização do celular, é protegido por senha (conta no Google ou iCloud ID). Sem ter os dados corretos de login, você não terá como acessar o painel de controle.

Mas vale salientar que a posição atual do aparelho só será exibida desde que ele esteja ligado e conectado na internet. Se o aparelho teve redefinidas as configurações originais de fábrica, ou sofreu o desbloqueio da conta do Google, ele dificilmente será recuperado. O blog já mostrou em detalhes como tentar recuperar o celular perdido e também a senha do e-mail.

Como bloquear conta no WhatsApp?

Oi, Ronaldo! Como devo proceder para bloquear uma conta no WhatsApp? - Eduardo

Olá, Eduardo! Para bloquear uma conta no WhatsApp, você deve enviar um e-mail para essa conta support@whatsapp.com com a seguinte frase: "Perdido/Roubado: Por favor, desative minha conta" no corpo do e-mail. Informe o número de telefone no formato internacional +55 9 xxx xxx xxxx. A conta do WhatsApp permanecerá desativada durante trinta dias para que você consiga reativá-la, após esse prazo ela será apagada definitivamente.

  

Selo Ronaldo Prass — Foto: Ilustração: G1

•  WhatsApp

O que fazer com e-mails que ameaçam divulgar vídeos íntimos e cobram pagamento em Bitcoin?

Pacotão de Segurança Digital também responde a leitor que desconfiou do que foi feito no celular dele pelo funcionário de uma operadora.

Por Altieres Rohr 
07/03/2019 17h49 Atualizado há 2 dias 
Postado em 09 de março de 2019 às 23h35m 

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados etc.) vá até o fim da reportagem e utilize o espaço de comentários ou envie um e-mail para g1seguranca@globomail.com. A coluna responde perguntas deixadas por leitores no pacotão, às quintas-feiras.

E-mail com ameaça

E-mails tentam extorquir vítimas ameaçando divulgar vídeo íntimo ou até violência — Foto: channah/Freeimages.com

Um conhecido recebeu um e-mails em que disseram que sabiam a senha dele e que conseguiram ativar a câmera e filmá-lo acessando um site adulto. A pessoa pediu pagamento de bitcoins. Caso não recebesse, ela enviaria esse vídeo para todos os contatos dele. Ele não pagou, bateu uma foto da tela do PC com essa mensagem e depois reencaminhou para outro e-mail e deletou da lixeira. Agora, nem o e-mail nem a foto foram mais localizadas. O que deve ser feito? – Luciano

Luciano, esses e-mails são falsos. 

Normalmente, eles acompanham alguma senha que o golpista obteve em um vazamento, ou seja, uma senha já conhecida associada ao e-mail da vítima e que foi revelada quando algum site foi hackeado.

Como a vítima não sabe que essa senha foi vazada, ela pode ficar assustada e achar que o golpista realmente teve acesso ao seu computador e pode ter gravado o vídeo em questão. Porém, a ameaça é falsa, com raríssimas exceções.

Reconhecer esses e-mails não é muito difícil. Eles estão normalmente escritos em inglês. A EFF traz alguns exemplos dessas mensagens (veja aqui). Mas a essência é a mesma: o golpista fornece uma senha como uma suposta prova de que teria invadido seu sistema e faz alguma ameaça. Para impedir que ela se concretize, é preciso pagar uma certa quantia em criptomoeda, normalmente Bitcoin. Em todo caso, a ameaça é falsa.

Se você recebeu algum destes e-mails, não é preciso fazer nada. Basta apagar a mensagem.

Em todo caso, é importantíssimo que você troque qualquer senha que foi vazada para evitar o ataque de "credential stuffing", que ocorre quando golpistas tentam usar uma senha conhecida sua em outros serviços. Para saber mais sobre esse ataque e como se proteger, leia aqui.

Quanto ao fato de a mensagem ter sumido, verifique a caixa de spam. Quando a mensagem foi reencaminhada, ela pode ter sido identificada assim no e-mail em que foi recebida. Como a original foi apagada, as duas acabam ficando inacessíveis.

Celular nas mãos de funcionário de operadora

A dúvida do leitor Rodrigo trata de um caso em que o funcionário de uma loja de uma operadora solicitou o aparelho para conferir uma configuração. A tela não ficou visível para o cliente.

Estive esses dias na loja de uma operadora por causa de problemas de reconhecimento de chip. Tinha quase certeza que o problema ocorria porque o chip era cortado. Enfim, na loja, o atendente prontamente comentou que esse era o problema provável, mas que verificaria se tinha algo mais.

Ele pegou o meu celular e, na minha frente, mas sem que eu pudesse ver a tela, começou a mexer no aparelho. Percebi que ele mexia muito rapidamente, e após um tempo, achei que estava demorando.

Me levantei para ver a tela, dizendo para ele me ensinar como era o procedimento para ver se o chip estava funcionando e vi apenas que ele fechou rapidamente algumas janelas/programas. Fiquei encabulado com aquilo e o confrontei, perguntando no que ele estava mexendo. Ele negou qualquer irregularidade, obviamente, e disse que estava verificando o chip, mas sei que estava mentindo. Reportei o caso ao gerente da loja, que disse que ia averiguar.

O problema é que não consegui reconhecer quais telas ele fechou e agora estou sem saber o que pode ter feito ou o que poderia ter feito com alguns minutos a mais. Ele deve ter ficado uns dois minutos mexendo no meu celular sem eu ver a tela.

Por favor, me ajudem. Resetar o celular é suficiente para eu me proteger de apps indesejados ou será que preciso trocar de número ou mesmo de aparelho? Sendo da operadora, ele certamente teve acesso aos meus dados, o que dá a ele a oportunidade de realizar golpes mais sofisticados. O que eu faço? – Rodrigo

De fato, Rodrigo, essa é uma situação bastante inadequada. O detalhe é que o funcionário pode não ter feito nada de errado.

Muitas lojas de operadoras funcionam como franquias, ou seja, são terceirizadas. Isso, somado ao grande número de atendentes dessas lojas (pensando em termos de Brasil), abre espaço para que haja diversos problemas no atendimento.

Pegar o celular de um cliente e mexer sem que ele esteja vendo a tela pode ter sido uma incompetência. Ocorre uma situação muito parecida com cartões de crédito, que, por recomendação das bandeiras, nunca devem ser entregue a terceiros.

Procure conversar diretamente com o atendimento e chegar até a ouvidoria da sua operadora. Você pode ainda procurar a polícia e o Procon. Pode ser que eles consigam periciar seu aparelho como parte de uma denúncia contra esse funcionário, mas isso vai depender muito do atendimento disponível em sua localidade – a perícia pode ser muito simples ou muito complexa, dependendo do que foi feito.

Não sendo isso possível, restaure seu aparelho aos padrões de fábrica o quanto antes.

Embora seja possível que esse funcionário tenha feito algo irregular que persista mesmo após uma restauração de fábrica, isso é improvável.

Você pode levar o aparelho a uma assistência autorizada e solicitar uma reinstalação da imagem de sistema (flash). Você também pode fazer isso em casa, mas os passos variam conforme o modelo do seu smartphone, e as marcas em geral não fornecem instruções para tal. Portanto, é algo que você teria que fazer por sua conta e risco.

Não é recomendado levar o aparelho a assistências não oficiais, já que o processo de flash pode, em si, introduzir novos programas maliciosos no seu telefone. Esse processo precisa ser realizado por alguém de confiança.

O pacotão da coluna Segurança Digital vai ficando por aqui. Não se esqueça de deixar sua dúvida na área de comentários, logo abaixo, ou enviar um e-mail para g1seguranca@globomail.com. Você também pode seguir a coluna no Twitter em @g1seguranca. Até a próxima!