Engane a Si Mesmo: Golpistas no TikTok Prometem Hackear Contas Roblox e Roubam Credenciais de 'Hackers'

Olá! Aqui é Ilya Savin, analista sênior do departamento de Proteção contra Riscos Digitais (Digital Risk Protection) da F6, e hoje vou falar sobre um dos esquemas de fraude mais insidiosos e massivos que cibercriminosos estão usando para roubar contas do Roblox. Este jogo continua popular em várias partes do mundo, apesar de seu bloqueio oficial em alguns países. O esquema de phishing com sites que operam sob a marca fictícia BloxTools está sendo usado contra jogadores em escala internacional. BloxTools se posiciona como uma ferramenta para copiar conteúdo e hackear contas. O engano é construído com base em engenharia social e visa usuários com baixo nível de literacia técnica. Considerando a popularidade do Roblox entre crianças de 10 a 14 anos, elas estão entre os principais alvos deste esquema cibercriminosa.

Como é sabido, roubar uma conta em um mensageiro ou jogo de computador pode ser feito de várias maneiras. Uma delas é atrair o usuário para um site espelho e pedir que ele insira login, senha e código de confirmação para entrar. Outra é obter um arquivo de cookie do navegador do usuário, com o qual o invasor pode entrar na conta imediatamente, sem que o proprietário perceba e sem precisar da senha. Cookies são pequenos dados de texto que um site salva no navegador do usuário para lembrar sua conta e configurações (por exemplo, idioma). Graças aos cookies, o site pode fazer login automaticamente na conta do usuário e salvar suas preferências para conveniência em visitas futuras. Cibercriminosos podem obter arquivos de cookie de várias maneiras. A primeira é através de malware instalado sob o disfarce de aplicativos úteis. Para este fim, os invasores usam trojans de acesso remoto (RATs), stealers, extensões maliciosas de navegador e outros. O segundo é obter o cookie do usuário através de engenharia social. Isso é como entregar as chaves do carro a um ladrão com suas próprias mãos. Pode parecer um engano muito óbvio, mas com a ajuda da engenharia social, os invasores tentam torná-lo convincente. O objetivo dos criminosos é obter o cookie .ROBLOSECURITY. Este é um arquivo usado pelo navegador no site Roblox para armazenar sessões de usuários. Compartilhá-lo com estranhos é inaceitável: isso dá aos invasores acesso instantâneo à conta do usuário – eles nem precisam digitar a senha ou contornar a autenticação de dois fatores. Se o jogador não sabe disso, sua conta fica vulnerável a roubos.

Por que os invasores roubam contas do Roblox? Isso depende dos objetivos dos cibercriminosos. A conta pode ser vendida, e quanto maiores as conquistas reais do usuário no jogo, quanto mais dinheiro real ele gastou em itens e melhorias do jogo, maior pode ser o lucro do invasor. Itens do jogo podem ser vendidos separadamente em plataformas de terceiros. Uma conta hackeada pode ser usada para espalhar links de phishing para outros jogadores ou para ataques direcionados a usuários jovens, através dos quais os golpistas tentam roubar o dinheiro de seus pais. Recentemente, para obter o arquivo .ROBLOSECURITY, os invasores atacavam jovens jogadores com ofertas no Discord para testar um jogo ou um cheat (software especial para usar erros e vulnerabilidades em jogos para obter vantagem injusta sobre outros jogadores), obter moeda do jogo gratuitamente, e para isso, instalar um programa que permitia o acesso aos arquivos do usuário. Agora os invasores desenvolveram o esquema: BloxTools oferece aos jogadores "hackear" o Roblox, mas na verdade eles hackeiam os próprios jogadores. A publicidade de sites fraudulentos sob a marca BloxTools está sendo ativamente distribuída através de vídeos curtos no TikTok. Os sites bloxtools[.]st, bloxtools[.]icu e dezenas de clones se disfarçam como "ferramentas para copiar jogos", "geradores de Robux grátis", oferecem "hack de contas", "cópia de roupas" e muito mais. Na verdade, o único propósito desses sites é roubar cookies de sessão (.ROBLOSECURITY). A página principal do site parece promissora – botões "Experimente agora", "Copiar jogo", "Copiar roupa", "Copiar acessório" e outras promessas: "Tecnologia de IA", "100% seguro", "sem login", "sem banimentos", "sem violação de ToS" (ToS – termos de serviço em serviços online). Mas tudo isso é um engano. A transição para qualquer uma das seções do site fraudulento leva o usuário a uma página com "tutoriais" (guias passo a passo, vídeos de treinamento com uma sequência de ações), que geralmente são postados no YouTube, TikTok e Discord. Todas essas instruções convencem os usuários: "Quer baixar/copiar qualquer jogo, roupa, UGC ou hackear uma conta? Basta acessar o Bloxtools, colar o player file e clicar em 'Iniciar Hacking!' Na verdade, essas instruções explicam aos usuários como eles hackeiam a si mesmos e transferem seus dados para o golpista.

A instrução inclui: Abrir Roblox (perfil, jogo, inventário). Pressionar F12 → DevTools → aba Network. Clicar com o botão direito em qualquer solicitação → Copy → Copy as PowerShell (ou Copy as cURL). O código resultante (aquele que começa com $session = New-Object Microsoft.PowerShell.Commands.WebRequestSession + cabeçalhos fetch-site, sec-fetch-user, etc.) contém o cookie principal .ROBLOSECURITY. Este não é um "arquivo do jogador" nem uma senha – é uma sessão de conta completa e ativa. Funciona mesmo com 2FA ativado. Ir para o site BloxTools, colar o código PowerShell copiado no campo grande, clicar em "Create A Pin" (ou botão similar) → inserir qualquer PIN (em tutoriais, eles geralmente aconselham usar 1234, mas isso não afeta nada). Clicar em "Start Copying!" / "Start Hacking!". Neste momento, o site coleta instantaneamente os cookies e os envia para os golpistas. O PIN é apenas um degrau falso para coletar mais um pedaço de dados. Ele não criptografa nada, não verifica e não é necessário para os golpistas – eles recebem uma sessão de trabalho imediatamente. BloxTools "Hack Accounts / Copy Tools" não é uma ferramenta, mas um esquema clássico de phishing com interceptação de sessão. Não há "hacks reais" ou copiadores lá – apenas roubo de cookies do usuário para posterior roubo da conta. Por solicitação da CERT F6, cinco sites de phishing usados neste esquema, incluindo bloxtools[.]icu, bloxtools[.]vip e bloxtools[.]cyou, já foram bloqueados – eles se tornaram inacessíveis para todos os usuários da internet. No entanto, como em qualquer outro esquema de fraude, os invasores podem postar cópias de recursos de phishing para enganar usuários do Roblox em novos domínios.

O que fazer se o acesso à conta Roblox for comprometido? Especialistas da F6 recomendam: nunca copie nada "as PowerShell" do site Roblox e não insira seus dados (incluindo códigos) em sites suspeitos. Se o usuário inseriu os dados solicitados em um site fraudulento semelhante, ele deve imediatamente, ao detectar a compromissão da conta, tomar as seguintes medidas. Acesse Roblox.com → Configurações → Segurança, verifique o acesso à conta e os dispositivos conectados. Se o acesso foi mantido, altere a senha e encerre todas as sessões / saia de todos os dispositivos. Se o acesso à conta foi perdido, entre em contato com o Suporte Roblox, selecione "Account Hacked", entre em contato com o suporte e descreva a situação. Indique o e-mail usado para o registro, esteja preparado para fornecer dados de compras para confirmar a propriedade. Se você encontrou um site suspeito, envie o link ou mensagem para a plataforma "Antiphishing". Especialistas da F6 verificarão as informações e as transmitirão aos reguladores para bloqueio.