Verifique a ação que está autorizando, não apenas a aparência do código.
Uma mensagem diz que você precisa ler um código QR para entrar em um grupo privado ou manter sua conta ativa. A tela seguinte pede para vincular um dispositivo. São ações diferentes. Pare antes de aprovar: um mecanismo legítimo de vinculação de conta ainda pode ser usado para uma finalidade desonesta.
A criptografia de ponta a ponta protege as mensagens entre os dispositivos participantes. Ela não pode decidir se você realmente pretendia adicionar o dispositivo que agora as recebe. Este guia explica como distinguir um link da web, um pedido de vinculação de dispositivo e um código de verificação de contato — e o que verificar se você já agiu.
Duas armadilhas diferentes com códigos QR
Um site falso: o código abre uma página que imita um serviço conhecido e pede uma senha ou outras informações sensíveis. A FTC alerta sobre códigos QR em mensagens inesperadas e recomenda verificar os destinos e contatar o suposto remetente por um canal conhecido, em vez de seguir a mensagem. Um logotipo familiar não comprova quem opera a página. Orientações da FTC sobre golpes com códigos QR.
Um dispositivo vinculado indesejado: o invasor convence você a conectar o computador dele ou outro dispositivo à sua conta de mensagens. Isso pode explorar uma função legítima, em vez de quebrar a criptografia. O Google Threat Intelligence documentou ataques à vinculação de dispositivos do Signal disfarçados de convites para grupos e avisos de segurança. Nos ataques observados, a vinculação bem-sucedida permitia que mensagens futuras chegassem a um dispositivo controlado pelo invasor. Investigação do Google sobre phishing na vinculação de dispositivos.
Essa diferença importa. Alterar a senha não substitui a verificação dos dispositivos vinculados. Da mesma forma, apenas apontar uma câmera para um código não prova que uma conta foi invadida. Identifique qual página abriu, quais informações você forneceu e qual ação aprovou.
Três códigos parecidos, três finalidades diferentes
| Código ou tela | Finalidade prevista | Pergunta antes de continuar |
|---|---|---|
| Código QR de site | Abrir um endereço | Este é o destino que eu esperava, independentemente desta mensagem? |
| Código QR de vinculação | Autorizar outro dispositivo | Este dispositivo é meu e fui eu quem iniciou a vinculação? |
| Código QR de verificação de contato | Comparar informações de identidade criptográfica | Estou na tela de verificação de contato, comparando com a pessoa certa? |
Por exemplo, o Signal documenta um fluxo específico de vinculação pelas configurações de dispositivos vinculados e pela câmera do aplicativo. Suas instruções atuais também incluem uma escolha sobre transferir o histórico de mensagens. Essa não é a mesma tarefa que conferir o número de segurança de um contato. Instruções do Signal para dispositivos vinculados.
A documentação de números de segurança do Signal descreve a comparação dos números ou a leitura do código QR de verificação do contato, idealmente em pessoa. Essa comparação ajuda a verificar a identidade criptográfica da conversa; não é uma instrução para conceder a um novo computador acesso à sua conta. Por si só, ela não comprova a identidade de uma pessoa no mundo real. Siga a finalidade efetiva da tela, não a descrição feita pelo remetente. Explicação do Signal sobre números de segurança.
Um exemplo prático: o convite que muda de significado
Imagine esta situação fictícia. Mina recebe uma mensagem aparentemente de um colega: “O grupo do projeto mudou. Leia isto para entrar novamente.” A página parece bem-feita. Ela instrui Mina a abrir o leitor de vinculação de dispositivos do seu aplicativo de mensagens.
Mina percebe a incompatibilidade: queria entrar em uma conversa, não conectar outro computador. Ela cancela, abre por conta própria o contato habitual e confirma com o colega por um canal separado e confiável. Não usa o número de telefone informado na página suspeita.
O exemplo mostra uma regra útil de decisão: se a permissão solicitada pelo aplicativo for mais ampla ou diferente da tarefa pretendida, pare. Uma conta de remetente conhecida não basta, porque contas podem ser imitadas ou comprometidas. Um endereço de site tranquilizador, por si só, também não explica por que um dispositivo inesperado precisa de acesso.
Uma lista rápida antes de aprovar
- Defina sua tarefa. Você está abrindo uma página, entrando em um grupo, verificando um contato ou vinculando seu próprio computador?
- Comece por conta própria. Para administrar a conta, abra o aplicativo instalado ou um destino que já conhece, em vez de seguir instruções de uma mensagem não solicitada.
- Leia o aviso do aplicativo. Trate a vinculação de dispositivos, a recuperação da conta e a inserção de credenciais como decisões separadas. Cancele um pedido que não corresponda à sua tarefa.
- Identifique o outro dispositivo. Vincule apenas equipamentos que pretendia usar e controla. Um nome de dispositivo amigável não comprova a propriedade.
- Mantenha segredos fora das conversas. Não envie senhas, códigos de registro ou chaves de recuperação a alguém que diz estar ajudando.
- Use software atualizado. Atualizações e alertas integrados importam, mas não tornam confiável um pedido de aprovação inesperado.
As próprias orientações antiphishing do Signal recomendam a verificação independente, o sigilo dos códigos e cautela com pedidos inesperados. Também diferenciam seus anúncios oficiais somente para leitura de alguém que se passa pelo suporte e conversa com você. Esses detalhes são específicos do Signal, não afirmações sobre o sistema de suporte de todos os aplicativos de mensagens. Orientações do Signal sobre phishing e falsificação de identidade.
Se você já leu o código ou aprovou o pedido
Parta da ação que realmente aconteceu:
- Apenas abriu uma página: feche-a e pare de interagir. Verifique se inseriu informações, baixou algo ou aprovou uma ação do aplicativo. Não conclua que houve invasão nem que está seguro apenas pela leitura do código.
- Inseriu credenciais ou compartilhou um código: siga as instruções oficiais de recuperação do serviço em um dispositivo confiável. Altere senhas expostas e revise o acesso à conta; trate separadamente as senhas reutilizadas.
- Vinculou um dispositivo desconhecido: abra a lista real de dispositivos ou sessões do aplicativo e remova a conexão indesejada. Não suponha que excluir a mensagem do golpe revogue o acesso.
- Instalou software ou concedeu permissões incomuns: investigue isso separadamente. Revogar uma sessão da conta não remove, por si só, software malicioso de um celular.
Especificamente para o Signal, suas orientações de proteção recomendam inspecionar os dispositivos vinculados, remover os desconhecidos e remover todos os dispositivos listados em caso de dúvida. As instruções de desvinculação explicam como revogar um dispositivo pelo celular principal. Outros serviços podem usar controles diferentes. Orientações de proteção de conta do Signal, instruções de desvinculação do Signal.
A revogação não recupera informações já copiadas para outro lugar. A exposição depende do serviço, das permissões concedidas, de qualquer escolha de transferência de histórico e da duração do acesso — não de uma regra universal de “todas as conversas”. Se conversas sensíveis podem ter sido expostas, avise as pessoas afetadas por uma via confiável e siga qualquer procedimento aplicável de notificação de incidentes.
O que verificar ao avaliar a Livara ou outro aplicativo de mensagens
Pergunte como novos dispositivos são autorizados, onde as sessões ativas aparecem, como revogar o acesso e se o histórico é transferido separadamente. Consulte a documentação atual do produto, em vez de supor que uma indicação de criptografia responde a essas perguntas. Este artigo não estabelece que a Livara use login por QR ou um fluxo específico de vinculação de dispositivos.
A conclusão prática é simples: verifique a ação que está autorizando, não apenas a aparência do código.
