Nos anos 2000, a máxima era clara: só insira dados sensíveis, como os do seu cartão de crédito, em sites que exibissem um cadeado ao lado da barra de endereços. Essa tática, embora um dia eficiente, hoje se mostra perigosamente desatualizada. A realidade é que mais de 80% dos sites de phishing — páginas falsas criadas para roubar suas informações — também ostentam o tão familiar cadeado, um sinal de conexão criptografada. A confiança depositada no símbolo, infelizmente, voltou-se contra os próprios usuários.
O que o cadeado realmente significa?
O famoso “cadeado” nada mais é do que a garantia de certificados SSL/TLS (Secure Sockets Layer/Transport Layer Security) em um site. Isso significa que a conexão entre seu computador e o servidor da página web é criptografada e privada, identificada pelo prefixo HTTPS (Hypertext Transfer Protocol Secure). Imagine que você está enviando seu dinheiro em um carro-forte: a conexão é blindada, tornando impossível para ladrões interceptarem seus dados durante o transporte.
O problema crucial é que essa segurança na transmissão não garante, de forma alguma, que o destino final de seus dados não seja mal-intencionado. Você pode estar enviando suas informações de forma extremamente segura, mas diretamente para a conta de um golpista virtual. A criptografia protege o caminho, não necessariamente quem está no final dele.
Como os cibercriminosos conseguem o cadeado?
A proliferação de autoridades certificadoras gratuitas, como o Let’s Encrypt, democratizou a emissão de certificados SSL. Hoje, qualquer pessoa, incluindo cibercriminosos, pode obter um certificado SSL em questão de minutos, facilitando enormemente a criação de sites falsos com aparência legítima.
Além disso, técnicas mais sofisticadas são empregadas. Um estudo recente da GitGuardian revelou que chaves privadas TLS, as “chaves mestras” da criptografia, ainda vazam em plataformas como o GitHub. Isso permite que hackers criem clones perfeitos de sites de governos ou bancos, fazendo com que o navegador reconheça o site fraudulento como oficial – uma tática conhecida como spoofing.
Outra estratégia popular é o typosquatting. Nela, os criminosos registram domínios quase idênticos aos originais, substituindo caracteres latinos por outros de alfabetos diferentes que se parecem muito. O navegador exibe o endereço “correto” e o cadeado da encriptação, mas a vítima, sem saber, está em uma página fraudulenta, idêntica à original.
Como evitar sites falsos encriptados?
Diante desse cenário, é fundamental nunca confiar apenas no visual de um site. É preciso desenvolver um olhar mais crítico e ativo:
- Verifique o endereço: Leia atentamente a URL em busca de erros de digitação sutis, caracteres estranhos ou extensões de domínio suspeitas (como .xyz, .top, etc., em vez de .com, .br, .gov, .org).
- Clique no cadeado: O ícone do cadeado pode revelar detalhes do certificado. Sites de grandes empresas e instituições geralmente exibem a razão social da empresa nos detalhes do certificado.
- Cuidado com links patrocinados: Cibercriminosos frequentemente incluem seus sites falsos, com cadeado, em anúncios pagos (Google Ads e outros serviços de publicidade). Evite clicar nos primeiros resultados de busca que são identificados como “Anúncio” ou “Patrocinado”; prefira os resultados orgânicos que aparecem logo abaixo.
- Desconfie de urgência: Bancos e outras instituições financeiras não enviam links com cronômetros alertando que sua conta será bloqueada em poucos minutos, nem mensagens que exigem ação imediata. Nunca clique em mensagens suspeitas que criam um senso de urgência extrema.
A segurança digital, hoje, exige atenção ativa e constante. O cadeado é uma ferramenta necessária, mas é apenas o primeiro passo para se proteger. O selo definitivo de confiança vem de um conjunto de verificações, e a responsabilidade de fazê-las recai sobre você, caro internauta.
Fonte: canaltech.com.br