Home > Notícias

Phishing usa servidores seguros do PayPal para enganar usuário

Armadilha virtual aproveita certificado de segurança do serviço de pagamentos online para coletar informações financeiras do usuário

Por Peter Sayer, para o IDG Now!*

16/06/2006 às 15h21

Foto:

Armadilha virtual aproveita certificado de segurança do serviço de pagamentos online para coletar informações financeiras do usuário

Uma falha de script em páginas interligadas do serviço de pagamento online PayPal permite um novo ataque de phishing ao se camuflar como uma página genuína de login do serviço, com direito até a certificado de segurança, segundo pesquisadores de segurança.

Hackers estão explorando a falha para colher detalhes pessoais, incluindo logins do PayPal, número do Seguro Social e detalhes sobre o cartão de crédito, de acordo com a empresa de internet Netcraft.

O serviço PayPal, pertencente ao eBay, permite que usuários façam pagamentos online, que são cobrados em seus cartões de crédito, e credenciais de autenticação no serviço são um alvo desejado por fraudadores.

O ataque funciona ao enganar membros do PayPal para que cliquem em um link malicioso para uma página segura no site do serviço. Qualquer usuário preocupado com a segurança online ficará aliviado ao ver que o endereço usa o mesmo certificado de 256-bits do PayPal, escreveu Paul Mutton, empregado da Netcraft, no blog da companhia.

No entanto, a URL enviada ao usuário explora uma falha do PayPal que permite que fraudadores injetem alguns códigos próprios na página aberta, escreveu. Neste caso, o resultado é um alerta que a conta do usuário possa ter sido comprometida, e que ele não será redirecionado ao Centro de Soluções.

A página pra onde o usuário é direcionado pede detalhes de sua conta no PayPal, mas, graças à introdução de códigos externos pelos hackers, o site não está mais no PayPal. Ao invés disto, a armadilha rouba dados de login do usuário e os envia a servidores dos fraudadores, disse Mutton.

O servidor que coleta os detalhes pessoais está hospedado na Coréia, disse Mutton.

A técnica de integração de códigos maliciosos torna o phishing bastante difícil de ser detectado, disse Mike Prettejohn, também da Netcraft.

Se o link malicioso chegar por e-mail, então "pode haver pistas na mensagem se ele é genuíno ou não", disse ele. "É uma técnica escolhida por fraudadores por ser difícil de desvendar".

Mesmo que possa haver usos benignos da técnica para trocar informações entre sites, a integração de códigos maliciosos apresenta um risco de segurança inerente, disse Prettejohn. "Eu não acho que as pessoas usariam a técnica com intenção em sua própria página", disse.

"Se alguém souber que existe uma brecha do tipo em sua site, a coisa certa a ser feita é consertá-la".

*Peter Sayer é editor do IDG News Service, em Paris

Tags

Junte-se a nós e receba nossas melhores histórias de tecnologia. Newsletter por e-mail Newsletter por e-mail