Short Message Service (SMS) Phishing Attacks and Defenses: A Comprehensive Review

Todos os dias, bilhões de pessoas carregam um dispositivo no bolso que serve como uma linha direta para suas contas bancárias, suas fotos pessoais e suas conversas mais privadas. Como dependemos desses dispositivos para tanta coisa, criminosos encontraram uma maneira de voltar essa confiança contra nós. Eles enviam mensagens de texto que parecem vir de uma empresa confiável, de um serviço de entrega ou até mesmo de um amigo. Essas mensagens frequentemente criam um senso de pânico ou urgência, dizendo ao destinatário que sua conta foi bloqueada, que um pacote está à espera ou que um prêmio foi ganho. O objetivo é enganar a pessoa para que ela clique em um link ou digite uma senha. Esse tipo específico de truque, conhecido como phishing de SMS ou "smishing", tornou-se um problema global massivo. Somente nos Estados Unidos, esses golpes baseados em texto custaram aos usuários quase US$ 640 milhões em um único ano recente, um valor que saltou mais de seis vezes em apenas cinco anos. A situação está piorando porque os criminosos não estão apenas enviando as mesmas mensagens de antes; eles estão usando novas ferramentas para fazer com que suas mentiras soem mais convincentes e sejam mais difíceis de detectar.

Uma equipe de pesquisadores da Tennessee Technological University e da University of Colorado Colorado Springs decidiu dar um passo atrás para entender o alcance total desta ameaça crescente. Em vez de apenas construir uma nova ferramenta para bloquear um tipo de mensagem ruim, eles realizaram uma revisão abrangente de tudo o que se sabe sobre o smishing. Eles reuniram e analisaram centenas de estudos científicos, documentos legais e conjuntos de dados públicos para criar um mapa completo do problema. O trabalho deles cobre quatro áreas principais: como as pessoas reagem a essas mensagens, como os ataques são estruturados, quais defesas existem atualmente e quais dados os pesquisadores têm disponíveis para estudar a questão. Ao reunir todas essas peças, eles esperam mostrar onde os esforços atuais estão falhando e apontar o caminho para uma proteção melhor para todos.

Os pesquisadores primeiro olharam para as pessoas que recebem essas mensagens. Eles descobriram que a suscetibilidade a esses golpes não é apenas uma questão de ser descuidado ou desinformado. Embora algumas pessoas sejam mais propensas a cair em um truque do que outras, o risco é influenciado por uma mistura complexa de hábitos, emoções e contexto. Por exemplo, alguém que utiliza frequentemente redes sociais ou aplicativos bancários pode achar uma mensagem relacionada a esses serviços mais verossímil, simplesmente porque parece familiar. O estudo também destacou que os atacantes são especialistas em usar a psicologia humana. Eles elaboram mensagens que desencadeiam medo, ganância ou um senso de urgência, levando as pessoas a agir rapidamente sem pensar. Os pesquisadores observaram que, embora algumas defesas foquem em detalhes técnicos, o elemento humano continua sendo o elo mais fraco. Mesmo pessoas que conhecem os golpes podem ser enganadas se a mensagem for bem projetada para explorar seus medos ou desejos específicos.

Quando se trata dos próprios ataques, os pesquisadores descobriram que o cenário tornou-se incrivelmente diverso. No passado, as mensagens de smishing eram frequentemente rudimentares, repletas de gramática ruim e links óbvios. Hoje, os ataques são muito mais sofisticados. Eles podem vir de números que parecem exatamente os de organizações legítimas, ou podem ser enviados em ondas massivas para pessoas aleatórias. Os pesquisadores identificaram que esses ataques frequentemente seguem temas específicos, como falsos reembolsos de impostos, notificações de entrega ou alertas de segurança de conta. Eles também observaram que os criminosos estão começando a usar inteligência artificial para escrever essas mensagens, fazendo com que soem perfeitamente naturais e personalizadas para a vítima. Essa evolução significa que os métodos antigos de bloquear mensagens, que dependiam de listas simples de palavras ruins ou links conhecidos como maliciosos, não são mais suficientes. Os atacantes estão mudando constantemente suas táticas para passar por esses filtros.

Para combater, os pesquisadores examinaram o estado atual da defesa. Eles descobriram que a maioria das soluções modernas depende de aprendizado de máquina, um tipo de programa de computador que aprende a reconhecer padrões a partir de grandes quantidades de dados. Esses programas estão ficando muito bons em detectar textos suspeitos, com alguns modelos recentes alcançando taxas de precisão acima de 99 por cento. No entanto, os pesquisadores apontaram um problema significativo: muitos desses sistemas poderosos são "caixas pretas". Eles podem dizer que uma mensagem é um golpe, mas não conseguem explicar facilmente o porquê. Essa falta de transparência torna difícil para os usuários confiarem nos avisos ou para os reguladores entenderem como as decisões são tomadas. Além disso, embora existam muitos aplicativos móveis projetados para bloquear essas mensagens, sua eficácia varia amplamente. Alguns são excelentes em capturar golpes, enquanto outros perdem muitos deles ou bloqueiam muitas mensagens inofensivas. O estudo também analisou leis e regulamentações, descobrindo que, embora alguns países tenham regras fortes contra essas práticas, a aplicação da lei é frequentemente difícil e inconsistente entre diferentes regiões.

Uma parte importante do trabalho dos pesquisadores envolveu a análise dos conjuntos de dados que os cientistas usam para treinar esses sistemas de detecção. Eles descobriram que muitos desses conjuntos de dados estão desatualizados ou são limitados. Por exemplo, alguns conjuntos de dados mais antigos contêm mensagens de uma década atrás que não refletem como os golpistas operam hoje. Outros são fortemente enviesados para o inglês, deixando uma lacuna na compreensão de como esses ataques funcionam em outros idiomas. Os pesquisadores também descobriram que muitos conjuntos de dados contêm links para sites que não existem mais, o que dificulta o estudo dos destinos reais desses golpes. Para resolver isso, eles criaram uma nova coleção de dados unificada chamada "Smishing Data Hub", que organiza e limpa as informações existentes para ajudar futuros pesquisadores a construir defesas melhores.

A revisão conclui que, embora a tecnologia esteja avançando, a batalha contra o smishing exige uma abordagem mais ampla. Os pesquisadores sugerem que os esforços futuros devem ir além de apenas construir filtros melhores. Eles defendem uma compreensão mais profunda dos truques psicológicos usados pelos golpistas, para que os usuários possam ser ensinados a reconhecer a manipulação emocional por trás das palavras. Eles também pedem conjuntos de dados mais diversos que incluam mensagens em muitos idiomas diferentes e formatos, não apenas texto. Finalmente, eles enfatizam a necessidade de uma melhor colaboração entre empresas de tecnologia, autoridades policiais e formuladores de políticas para criar uma resposta mais coordenada. O estudo não afirma ter resolvido o problema, mas fornece um roteiro claro de como a comunidade científica pode seguir em frente para proteger os usuários em um mundo digital cada vez mais enganoso.