Metade dos sites maliciosos mostra cadeado de segurança no navegador

Um site com cadeado de segurança não necessariamente é legítimo: esse ícone na barra de endereços apenas indica que a conexão entre você e o servidor é privada (mas você também pode ter uma conexão privada com o diabo). E a consultoria de segurança PhishLabs deixou isso claro: um levantamento mostra que 49% dos sites de phishing no terceiro trimestre de 2018 estavam exibindo o tal cadeado.

• Por que HTTPS não quer dizer “site seguro”
• Como saber se um site é seguro?

Segundo a pesquisa, os criminosos têm adotado o cadeado de segurança com mais frequência em sites cuja finalidade é aplicar golpes de phishing, para roubar senhas, dados bancários e outras informações sensíveis. Há um ano, o cadeado só estava presente em 25% dos sites maliciosos; no segundo trimestre de 2018, essa taxa subiu para 35%.

Isso é preocupante porque a maioria das pessoas confia no cadeado para determinar a legitimidade de um site: mais de 80% acreditam nessa antiga (e errada) recomendação de segurança, apesar dos esforços dos navegadores para quebrar o mito. O Chrome, por exemplo, já não exibe mais a palavra “Seguro” quando um site é HTTPS; futuramente, nem o cadeado de segurança será mostrado.

Técnicas mais elaboradas podem enganar até usuários atentos: o Krebs on Security descobriu um site com o domínio bỉbox.com que mostra o cadeado. Ele se passa por uma página de login para roubar senhas de usuários da Bibox, uma casa de câmbio de criptomoedas. E a prova de que o truque funciona é que você provavelmente não percebeu que o domínio acima é diferente de bibox.com.

Enquanto os cibercriminosos continuam aprimorando suas técnicas, a melhor forma de proteção continua sendo desconfiar de tudo — principalmente de páginas que pedem sua senha do nada.