A dark web é uma peça fundamental para viabilizar economicamente o crime virtual no mundo inteiro. Essa rede é uma espécie de “subterrâneo” da internet, com acesso restrito a usuários comuns e frequentado por hackers criminosos para fazer negócios. Como veremos mais adiante, o comércio de contas de serviço de VPN, contas de plataformas de streaming e outros serviços digitais é comum nesse ambiente.
Mais recentemente, a perspectiva do uso de novos assistentes avançados de inteligência artificial (IA) parece ter criado novas oportunidades para essa comunidade fora da lei. De acordo com os pesquisadores da firma de cibersegurança Group-IB, até maio de 2023, 100 mil credenciais de uso do ChatGPT foram postas à venda no mercado da dark web.
A tendência é preocupante por alguns motivos. Primeiramente, esse assistente de IA da OpenAI sagrou-se como o aplicativo de mais rápida adesão da História, com 100 milhões de usuários ativos somente entre seu lançamento, em novembro de 2022, e janeiro de 2023.
Portanto, a quantidade de vítimas em potencial para criminosos é muito expressiva. Para golpistas virtuais, os ganhos de capturar contas pagas desse serviço e revendê-las ilegalmente devem superar os riscos implicados nesse processo.
Em segundo lugar, o “robozinho” ChatGPT tem sido percebido por organizações e profissionais de todo o mundo como uma ferramenta muito valiosa para ganhar eficiência na execução de tarefas criativas e complexas.
A inovação trazida por esse modelo interativo motiva a adesão ao serviço pago da empresa, lançado em fevereiro de 2023, pois tem mais funcionalidades e capacidade de processamento que a versão gratuita.
Prejuízo multiplicado
O ChatGPT tem sido aplicado pelos mais diversos tipos de trabalhadores nos mais variados ramos em diversos países. Assim, o dano potencial de roubos em massa de credenciais leva a prejuízos de grande consequência.
As contas pagas do serviço são vendidas pelos criminosos a outros usuários, potencialmente cortando o acesso de quem de fato as assina, interrompendo seu uso adequado. Mais do que o sequestro de dados pessoais, esse tipo de roubo de contas poderá também comprometer produtos e serviços e seus consumidores finais – de clientes de empresas a pacientes médicos.
Além disso, o roubo de credenciais de uso profissional do ChatGPT pode colocar em mãos erradas dados sensíveis de organizações e até de informações confidenciais.
Como ocorre o roubo de conta
A maioria das invasões de conta do ChatGPT constatadas foram ligadas principalmente ao malware Racoon, especializado em roubo de informações. O programa é bastante usado pela comunidade mundial do cibercrime para se apropriar de dados sensíveis de navegadores de internet e cookies, dados de cartão de crédito e de carteiras de criptomoedas.
Estima-se que o acesso ao Racoon esteja na faixa de meros 200 dólares. Já o preço de venda de uma conta premium funcional do ChatGPT na dark web está orçada em torno dos 30 dólares, de acordo com levantamento Dark Web Price Index de 2023, da organização informativa sobre cibersegurança Privacy Affairs.
O mesmo levantamento evidencia o preço de venda de outros tipos de credenciais roubadas na internet, como uma conta do Instagram (25 dólares), uma conta do Netflix com assinatura anual (20 dólares) ou uma conta verificada na corretora de criptomoedas Binance (410 dólares).
A digitalização dos serviços e produtos cotidianos traz grande praticidade ao consumidor no dia a dia, mas também cria novas vulnerabilidades. O roubo de contas e o vazamento de informações sensíveis estão dentre as mais danosas, e podem ser evitadas com algumas precauções.
Precauções contra roubos de contas digitais
Apesar da constatação do uso do Racoon para o roubo de contas de ChatGPT, o phishing é um dos meios mais comuns para obter informações alheias ilegalmente.
A prática do phishing é um tipo de fraude: apresentar-se para uma vítima assumindo a identidade, o visual e o discurso de uma pessoa ou marca conhecida. Frequentemente, a imitação é muito realista.
Portanto, evitar clicar em links desconhecidos ou entrar em grupos de WhatsApp ou Telegram de pessoas desconhecidas (em busca de oportunidades de lucro, por exemplo) é fundamental para desviar desses tipos de golpe. Links em e-mails também devem evitados, sempre que possível.
Além disso, um serviço de VPN é fundamental para se conectar à internet em ambientes públicos em que não sabemos se a rede é segura. A VPN cria uma comunicação criptografada, evitando interceptações e ataques.
Por fim, algumas boas práticas fundamentais são comumente ignoradas. Uma delas é nunca revelar informação sensível pelo telefone. Alguns compartilhamentos a se evitar são o envio de imagens que identifiquem a localização atual para a paquera virtual ou o número do CPF como resposta a uma mensagem de texto que alega ser do DETRAN, por exemplo.
Outra dessas práticas elementares é assinar um bom serviço antivírus. Além de rodar o programa depois de contratá-lo, é de bom tom ativar varreduras automáticas frequentes para gerar alertas contra ameaças.