Cuidado com sites falsos do mercado de seguros obamacare

Entre os combates em Washington e os relatos de interrupções no site do Marketplace, um problema em torno da Affordable Care Act (também conhecido como Obamacare) não foi abordado: golpistas.

A empresa de segurança Trend Micro informou que já está vendo spam direcionado para palavras como "medicare", "inscrição" e "seguro médico". Esses termos ainda não estão bem esclarecidos, mas Christopher Budd, gerente de comunicação de ameaças da Trend Micro, disse ao SecurityWatch que problemas profundos nos sites do Marketplace podem piorar as coisas.

Uma Web Confusa

"A maioria dos estados tem seus próprios sites oficiais, e então você pode ter sites de corretores de terceiros", explicou Budd, abordando como os mercados de seguros são organizados. "O ambiente que isso cria logo de cara é tão confuso que cria espaço para phishing".

Budd diz que, sem meios claros para verificar se um site é oficial ou não, as pessoas correm o risco de serem enganadas por sites fraudulentos de aparência convincente. Já vimos como os spammers e scammers são muito adepto de adaptar suas mensagens para corresponder ao zeitgeist . E como esses sites lidam com questões médicas e seguros, as pessoas já estão preparadas para entregar toneladas de informações pessoais - como seus números de Seguro Social. Pior ainda, algumas pessoas inscreverão suas famílias inteiras, potencialmente dando aos ladrões acesso a muitas informações pessoais.

O principal problema, diz Budd, é que alguns dos sites estaduais não seguiram as melhores práticas de segurança - ou até se identificaram adequadamente como parte da ACA. "Para dar crédito, o site federal é profissional, bem marcado e fornece SSL", disse Budd, apontando como o HealthCare.gov usou automaticamente o SSL.

Os mercados de nível estadual não foram tão bem organizados. "Existem alguns sites estaduais que, se você usa HTTPS, isso gera um erro 404", disse Budd. Outros estados tinham certificados de teste em vez dos legítimos, e um site de terceiros automaticamente reverteu o Budd para o HTTP quando ele tentou se conectar via HTTPS.

Como permanecer seguro

Para evitar sites fraudulentos, Budd disse que as pessoas não deveriam começar a usar mecanismos de busca para encontrar informações. Os resultados da pesquisa podem ser facilmente contaminados por sites de phishing, e a segmentação de frases populares é uma estratégia importante usada pelos golpistas.

Em vez disso, as pessoas devem começar em https://www.healthcare.gov. A partir daqui, eles podem encontrar o site do Marketplace apropriado para seu estado. Informações sobre fornecedores legítimos de seguros de terceiros também podem ser encontradas nesses sites.

Sempre que possível, conecte-se via SSL e use HTTPS, em vez de HTTP, no início da URL. Nos sites HTTPS, um pequeno ícone de cadeado deve aparecer logo à esquerda da URL. Você pode clicar aqui e verificar a autenticidade do site.

Se o certificado expirou ou se você não tiver certeza de que pode confiar no site por qualquer motivo, coloque-o offline. Budd disse ao SecurityWatch que alguns fornecedores de seguros podem ser contatados por telefone ou pessoalmente.

A maioria dos navegadores modernos, como o Chrome, exibirá uma tela de aviso se detectar algo indesejável na certificação do site. "Se o seu navegador emitir um aviso, pare aí, a menos que você saiba o que está fazendo", disse Budd.

Hora da mudança

Budd reconheceu que os estados têm uma batalha difícil enfrentando as questões de segurança que cercam os mercados. Ele disse que a infraestrutura de chave pública, a tecnologia criptográfica que protege esse tipo de comunicação, era "uma das tecnologias mais complicadas, caras e confusas existentes". Acrescente o fato de que a maioria dos estados precisa de dinheiro hoje em dia e não é de surpreender que esses problemas existam.

Para ajudar a proteger os usuários dos golpistas, Budd disse que a primeira prioridade deveria ser a instalação do SSL para todos os sites associados à ACA. Em seguida, ele sugeriu a criação de um selo - como o usado pela Verisign - para que pessoas menos conhecedoras de tecnologia saibam que estão em um site legítimo. Ele também sugeriu que o governo federal pudesse seguir o exemplo do setor financeiro e auditar os sites da ACA.

Budd enfatizou que os mercados de seguros - de fato, todo esse serviço - são novos. Ele apontou novamente para o setor financeiro, que levou anos para ajustar sua abordagem aos serviços online. Dado o nível de interesse neste programa, os golpistas e spammers não ficarão para trás. Felizmente, os sites do Marketplace amadurecerão com rapidez suficiente para enfrentar essas ameaças.