O assunto desta quarta-feira está relacionado a prisão dos suspeitos de invadirem contas do Telegram de autoridades, entre elas do então Juiz Sergio Moro, hoje Ministro da Justiça, e o “modus operandi” utilizado pelos suspeitos foi divulgado, no entanto muitas pessoas ainda não entenderam muito bem como tudo aconteceu.

Então com base no que já foi divulgado pela imprensa, vou trazer aqui um breve resumo, tentando ser simples e direto, então vamos lá!

➡ RESUMO: Como ocorreu o roubo de dados do Telegram das autoridades!

1 – O cara instala o Telegram, e informa o número da vítima;
2 – Solicita ao Telegram que envie o código de ativação por mensagem de voz;
2.1 –Ao mesmo tempo, ao solicitar esse código de ativação, passa a ligar diversas vezes para o celular da vítima, para que o mesmo fique com a linha ocupada e essa mensagem de voz caia em caixa postal;
3 – Com uso de VOIP capaz de simular o número de qualquer telefone no identificador de chamadas, o cara liga para a vítima tendo como saída o número da própria vítima, com isso acaba tendo acesso a caixa postal da vítima, e lá tem acesso o código de ativação que foi enviado por mensagem de voz.

➡ Explicando melhor!

Esse roubo de dados só foi possível devido aos seguintes pontos:
1 – Possibilidade de acessar a caixa postal do número de celular ao ligar do próprio número.
“As chamadas de um número de origem é igual ao número do destino são direcionadas diretamente para a caixa postal, sem necessidade de inserção de senha de acesso ao conteúdo das mensagens gravadas”, conforme a descrição da PF.

Caso queira faça um teste, pegue seu telefone celular e ligue para o seu próprio número, você vai perceber que automaticamente você será direcionado para a caixa postal do seu número.

2 – Utilização de Voip com a possibilidade de simular qualquer número telefônico
Existem serviços de VOIP e até mesmo aplicativos que permitem a modificação do número chamador, com isso é possível realizar ligações telefônicas simulando o número de qualquer terminal telefônico como origem das chamadas.

É por isso que as vítimas alegaram ter recebido ligações do próprio número, mas na verdade era alguém do outro lado utilizando um destes serviços de VOIP para ter acesso a caixa postal da vítima.

Para quem deseja saber mais sobre o assunto, pode acessar o artigo Caller ID spoofing da Wikipedia que trás mais detalhes sobre essa alteração do número chamador.

➡ Como se proteger desse tipo de ataque

Uma maneira bem simples de se proteger desse tipo de ataque é fazendo a verificação em duas etapas, na qual você cria uma senha que será solicitada ao ativar a conta em um outro aparelho, com isso mesmo de posse do código de ativação é necessário ter essa senha para poder ter acesso ao aplicativo.

Essa funcionalidade de verificação dupla está presente praticamente em todos os aplicativos mais utilizados como Telegram, WhatsApp entre outros.

Inclusive já publiquei um post aqui no blog Como evitar clone do Whatsapp onde comento como ativar a verificação em duas etapas no WhatsApp e assim trazer mais proteção a sua conta, porém essa mesma dica serve para outros mensageiros e redes socais que você utiliza.