Os clientes da Amazon relatam que foram cobrados por pedidos estranhos sem o seu conhecimento, mesmo que sua conta estivesse protegida por autenticação de dois fatores. Os hackers parecem ter conseguido quebrar a segurança da autenticação dupla e fingir ser vendedores falsos para roubar melhor seu dinheiro.
Vários usuários da Amazon que reclamam pedidos estranhos feitos sem seu conhecimento enquanto sua conta estava protegida por autenticação dupla. Esse mecanismo de segurança significa que é necessário um código único adicional para efetuar login. Esse código pode ser criado por meio de um gerador, seja por meio de um aplicativo no smartphone do usuário, ou por meio de um código recebido por SMS.
Amazon: clientes veem pedidos estranhos aparecendo em seu histórico
Uma vez conectados, os piratas solicitam uma quantia de várias centenas de euros a vendedores falsos e imediatamente definem o status do pedido como “Entregue”, o que impede qualquer reembolso. O objetivo é, como você deve ter entendido, não receber o produto, o que envolveria fornecer um endereço diferente do dono da conta – mas extorquir dinheiro. As contas do vendedor afirmam ser baseadas na China.
Eles dão a aparência de contas genuínas, embora os itens que deveriam vender regularmente desapareçam do catálogo. Eles parecem operar em vários idiomas e, portanto, em muitos países. As vítimas dizem que mudaram suas senhas e receberam um reembolso da Amazon. Uma grande questão permanece: como eles conseguiram contornar a dupla autenticação do site da Amazon?
No momento, a plataforma não fornece uma explicação. Ao acessar as páginas de ajuda da Amazon, no entanto, percebemos que o site realmente oferece dois métodos de autenticação de dois fatores. Um através de um gerador de código instalado no seu smartphone, o outro através de um código recebido por SMS. A Amazon também incentiva seus clientes a inserir seu número de telefone para usar a autenticação dupla via código recebido por SMS caso o gerador não funcione mais.
As contas da Amazon parecem vulneráveis à troca de SIM
“Para habilitar a verificação em duas etapas, você precisa adicionar um número de telefone secundário para ter uma opção alternativa para receber o código de segurança no caso de não ter mais acesso ao seu dispositivo móvel principal”, explica a Amazon. Claro, é impossível dizer como está as técnicas que esses piratas realmente usaram para fazer essas ordens – uma investigação completa provavelmente seria necessária para descobrir.
mas já sabemos há algum tempo que nem todas as autenticações de dois fatores são criadas da mesma forma. Os códigos recebidos por SMS, em particular, representam uma falha de segurança escancarada. Falamos com você há algum tempo sobre a preocupante técnica de troca de SIM: envolve um pirata fingindo ser cliente de uma operadora para obter uma cópia de seu cartão SIM.
Leia também: Facebook – autenticação de dois fatores torna seu número de telefone público
O invasor pode receber esses códigos de uso único e fazer login como quiser nas contas de sua vítima que usam autenticação de dois fatores. Você ativou a autenticação de dois fatores na Amazon? Você já notou comandos estranhos aparecendo em seu histórico? Compartilhe seus comentários na seção de comentários deste artigo!
