Golpe de marketing do Coinbase Super Bowl gera debate sobre segurança do código QR

A plataforma de negociação de criptomoedas Coinbase foi derrubada por seu próprio anúncio do Super Bowl no domingo, depois que um grande fluxo de usuários afluiu ao site depois que ele usou um código QR para direcionar os espectadores para sua promoção gratuita de Bitcoin.

Imitando a clássica tela de espera do DVD em que um logotipo saltava pela tela, o próprio riff da Coinbase sobre a ideia viu um código saltando por 60 segundos e direcionou os usuários para seu site, onde atualmente oferece US $ 15 em Bitcoin para todas as contas recém-registradas, com a oferta expira em 15 de fevereiro.

No entanto, um grande número de indivíduos que escanearam o código levou a um volume de tráfego muito pesado para a plataforma, forçando o aplicativo a ficar off-line.

"A Coinbase apenas viu mais tráfego do que já encontramos, mas nossas equipes se uniram e só tiveram que limitar o tráfego por alguns minutos", disse Surojit Chatterjee, diretor de produtos da Coinbase via Twitter.

"Tivemos mais de 20 milhões de acessos em nossa página de destino em um minuto", acrescentou. "Isso foi histórico e sem precedentes. Também vimos um engajamento seis vezes maior do que nossos benchmarks anteriores."

Embora considerado um sucesso na Coinbase, o incidente provocou discussões online na comunidade de segurança cibernética sobre as implicações envolvidas no uso de códigos QR.

Há temores em torno da tecnologia em relação à natureza oculta do serviço da Web que eles ocultam. Alguns especialistas acreditam que não devem ser totalmente confiáveis ​​devido ao potencial de sequestro por criminosos cibernéticos.

"A tecnologia de código QR é segura por si só, mas à medida que a dependência dela cresce, os criminosos cibernéticos estão tomando nota", disse Anna Chung, pesquisadora principal da Unidade 42 da Palo Alto Networks ao Profissional de TI . "Esses códigos podem oferecer uma porta de entrada para possíveis ataques cibernéticos porque não fornecem visibilidade da página da Web, aplicativo etc. por trás deles.

“Em vez disso, eles redirecionam automaticamente os usuários para páginas da web, lojas de aplicativos para baixar aplicativos, fazer pagamentos e muito mais, o que oferece aos criminosos cibernéticos oportunidades de se inserir no processo”.

Outros acham que a preocupação com a tecnologia é exagerada e a ameaça do mundo real para indivíduos em cenários normais é relativamente baixa.

"É importante não se deixar levar pela ameaça dos códigos QR", disse Chris Boyd, pesquisador sênior de ameaças da Malwarebytes Pro de TI. "Existem alguns exemplos de vítimas que conectam golpistas a suas contas bancárias por meio de aplicativos, e você pode encontrar facilmente explicações sobre como criar cargas úteis vinculadas à digitalização de QR.

"No entanto, qualquer encontro com um código falso provavelmente envolverá direcionar as pessoas para páginas de phishing. Alguns telefones exibem links antes da visita e, mesmo que não mostrem, o conselho padrão de cautela de phishing se aplica."

A conversa em torno do uso de códigos QR tornou-se mais urgente nos últimos anos, à medida que indústrias como a hotelaria recorreram ao uso da tecnologia para facilitar os pedidos à mesa em cenários de refeições ao ar livre, por exemplo.

Recentemente, em janeiro de 2022, o Federal Bureau of Investigation (FBI) emitiu um anúncio de serviço público alertando as pessoas sobre os perigos de escanear códigos encontrados em locais aparentemente inócuos no mundo e como eles podem ser usados ​​indevidamente por criminosos cibernéticos.

O anúncio seguiu-se a relatos de uma semana antes de que os códigos QR estavam aparecendo com mais frequência em Austin, Texas – especificamente em máquinas de estacionamento – projetados para direcionar os motoristas para um site falso de pagamento de estacionamento.

"HTTPs não é uma garantia de que o site é legítimo porque os certificados HTTPs estão disponíveis gratuitamente", disse Boyd. "Qualquer site acessado a partir de um código na rua ou em outro lugar deve ser verificado com a empresa com a qual você assume estar lidando antes de inserir os dados de login ou bancários."

A Coinbase respondeu às discussões que ocorreram imediatamente após o sucesso do anúncio dizendo que a segurança "é super importante para nós", apontando os usuários para um link direto e alertando-os de que, se o link não vier diretamente da empresa, pode ser uma farsa.