Em junho deste ano, ocorreu um ciberataque atribuído ao grupo ShinyHunters contra uma base de dados da Salesforce utilizada pelo Google. De acordo com a empresa do motor de busca, informação que é repetida pelo Tom’s Guide, esse incidente não expôs informações de utilizadores do Gmail, mas sim dados empresariais básicos e em grande parte públicos, mas abriu a porta para que agentes maliciosos intensificassem táticas de engenharia social contra clientes do serviço.

É por isso que o Google emitiu um aviso a milhões de utilizadores do Gmail para que alterem a sua palavra-passe e permaneçam atentos às comunicações sobre o serviço que possam receber no futuro.

A empresa considera que o grupo pode estar a preparar uma escalada através da criação de um site de fuga de dados (DLS). As pessoas potencialmente afetadas já devem ter recebido um e-mail informativo.

Paralelamente, foram detetadas campanhas de «vishing» — falsificação de identidade através de chamadas telefónicas — nas quais os atacantes se fazem passar por funcionários da Google para comunicar uma suposta falha de segurança. De acordo com publicações em fóruns, essas chamadas estariam a chegar de números com o prefixo 650, e o seu objetivo é que a vítima redefina a sua palavra-passe e a partilhe durante a chamada, o que provoca o bloqueio do proprietário legítimo e entrega o controlo da conta ao burlão.

Medidas recomendadas pelo Google

O Google recomenda alterar a palavra-passe, ativar a verificação em duas etapas e rever os dados de recuperação (perguntas, e-mails e telefones) para facilitar a recuperação da conta, se necessário.

Também sugerem utilizar o Security Checkup para obter recomendações específicas e detetar possíveis vulnerabilidades automaticamente. Para quem precisa de maior proteção, o Google destaca o Programa de Proteção Avançada como uma camada adicional para bloquear downloads potencialmente prejudiciais e limitar o acesso de aplicações que não pertencem ao Google aos dados do Gmail.

No plano preventivo, a empresa lembra a importância de reconhecer os sinais de fraude: evitar abrir links ou anexos inesperados e não fornecer informações pessoais por telefone a contactos não solicitados.

O Google indica que não faz chamadas para comunicar violações de segurança aos utilizadores, por isso é aconselhável desconfiar sistematicamente de comunicações deste tipo e verificar sempre as informações que nos são fornecidas através de canais oficiais.