Nos últimos anos, a experiência mais rápida e conveniente de realizar compras, serviços bancários e interagir com empresas pelo celular também facilitou a exploração de ataques de cibercriminosos. Técnicas que antes eram feitas com conhecimento especializado agora podem ser reproduzidas ou adaptadas com o apoio de ferramentas de IA para acessar informações e transações.
Esse cenário representa uma mudança importante na segurança mobile: é preciso acompanhar a evolução dos aplicativos e a velocidade com que os métodos de ataque se transformam. Basta uma vulnerabilidade no código, uma informação vazada ou uma identidade falsificada para viabilizar golpes mais convincentes por meio de imagens, vídeos e outras formas de conteúdo.
“Com a IA, ficou muito mais fácil obter informações sobre vulnerabilidades e entender como determinados golpes são realizados. Mesmo quem não tem conhecimento técnico pode cruzar informações de diferentes ferramentas e chegar a um ataque”, afirma Bruno Ortale, Head de Cibersegurança da Delfia, curadoria de jornadas digitais.
Um dos exemplos mais recentes está no próprio uso de biometria. O reconhecimento facial, utilizado para autenticar usuários, também passou a ser alvo de técnicas de bypass que combinam dados pessoais expostos, imagens disponíveis na internet, inteligência artificial e ferramentas que simulam movimentos do rosto. A partir de informações como nome, CPF, data de nascimento e fotografias, um fraudador pode produzir um vídeo artificial da vítima e tentar enganar mecanismos de autenticação do celular.
Para Bruno Ortale, isso mostra que a proteção de um aplicativo não pode depender de uma única camada de segurança. De acordo com o especialista, há mecanismos que verificam, por exemplo, se a imagem capturada vem, de fato, da câmera do dispositivo, além de analisar elementos como movimentação do usuário, oscilações provocadas pelo próprio manuseio do celular características da pessoa e até o som ambiente para identificar sinais de uma tentativa de fraude. Quanto mais sofisticada fica a tentativa de imitar uma pessoa real, mais camadas precisam ser utilizadas para verificar sua autenticidade.
Longe do aplicativo
Outro desafio está no fato de que uma jornada digital raramente acontece somente dentro de um único ambiente. Um pagamento, por exemplo, pode envolver banco, aplicativo de mensagens, APIs e outros serviços, e cada conexão cria uma etapa adicional que precisa ser protegida.
“Existe a segurança que o próprio aplicativo precisa prover, existe a segurança do banco, mas também existe uma comunicação entre os dois. Essa comunicação precisa ser protegida porque pode haver uma tentativa de alterar, por exemplo, o destinatário de uma transação”, explica o Head de Cibersegurança da Delfia.
O WhatsApp também se torna um ponto vulnerável: a dificuldade de distinguir uma comunicação legítima de uma abordagem fraudulenta. Com informações sobre o usuário, seus relacionamentos e sua rotina, criminosos podem construir histórias cada vez mais personalizadas. Saber o nome do gerente de um banco, conhecer uma negociação que está em andamento ou descobrir que uma pessoa está prestes a fazer uma transação de alto valor pode tornar tudo muito mais convincente.
“Às vezes o banco está protegido, mas as pessoas continuam vulneráveis a determinados ataques. As informações também são muito valiosas, porque podem dar ao atacante elementos para pensar em como realizar um golpe”, argumenta Ortale.
A educação cibernética também tem um papel importante nesse cenário. Para Ortale, a redução dos golpes depende não apenas da evolução das tecnologias de proteção, mas também do conhecimento das pessoas sobre como as fraudes funcionam e como identificá-las. Quanto mais preparadas estiverem para reconhecer abordagens suspeitas, maiores serão as condições de evitar ações que comprometam seus dados e suas transações.
Por isso, uma das recomendações é evitar que decisões sensíveis sejam tomadas apenas com base em mensagem recebida por canais de comunicação. “Quando houver dúvida sobre uma solicitação, a vítima deve recorrer a um ambiente oficial, como o próprio aplicativo da instituição, para confirmar a informação antes de realizar qualquer ação”.
Segurança mobile nas empresas x velocidade dos ataques
O desafio ainda pode ser maior em empresas que utilizam aplicativos de mensagens para tratar de assuntos profissionais. Bruno Ortale explica que ambientes corporativos precisam considerar não apenas o risco de ataques externos, mas também possíveis fraudes envolvendo colaboradores e comunicações internas. Um criminoso que tenha acesso a informações públicas ou vazadas pode se apresentar como gerente de banco, fornecedor, colega de trabalho ou familiar. Nesses casos, soluções de proteção e monitoramento podem ser aplicadas a dispositivos destinados ao uso profissional.
Com novas vulnerabilidades e técnicas de ataque surgindo, a proteção precisa evoluir junto com o aplicativo. Para empresas que têm grandes volumes de usuários e transações digitais, o desafio passa a ser acompanhar novas formas de fraude, adicionar mecanismos de defesa e manter a segurança atualizada ao longo de toda a jornada digital, além de olhar desde o dispositivo e a identidade do usuário até às APIs, canais de comunicação e informações que podem ser utilizadas para uma nova exploração.
Um atacante precisa encontrar apenas uma falha que possa ser explorada. E essa falha nem sempre está em uma tecnologia sofisticada. Pode estar em uma configuração, em uma comunicação entre sistemas, no código do aplicativo ou em uma camada de autenticação.
O Head de Cibersegurança da Delfia explica que existem soluções que utilizam IA para aplicar automaticamente camadas de proteção ao código durante a própria esteira de desenvolvimento, fazendo com que a segurança já esteja incorporada ao aplicativo antes de sua publicação ou atualização, além de adicionar uma camada de telemetria do aplicativo a fim de identificar e rastrear fraudes desde o início. No entanto, no atual cenário, novas tecnologias criam possibilidades de proteção, mas também, novos caminhos para os ataques.
“Não existe uma solução que torne uma empresa 100% segura. O que existe é a possibilidade de reduzir riscos, acompanhar a evolução dos ataques e tornar a proteção mais preparada para as novas formas de exploração”, conclui Bruno Ortale, da Delfia.
