A conta oficial do Ubuntu no X (antigo Twitter) foi comprometida em um ataque cibernético que divulgou um tweet falso promovendo uma suposta “IA da Ubuntu” — na verdade, um golpe de criptomoedas. O post, já removido, fazia parte de uma thread com respostas desabilitadas e direcionava usuários para o domínio ai-ubuntu.com, uma página de phishing cuidadosamente projetada para imitar a identidade visual da Canonical.
O que aconteceu?
O tweet foi publicado poucas horas após o fim de um intenso ataque DDoS que derrubou os principais serviços da Canonical por cinco dias consecutivos — entre 30 de abril e 5 de maio de 2024. Apesar da recuperação parcial dos sites, a invasão da conta social evidenciou uma nova falha de segurança, desta vez voltada à engenharia social.
O conteúdo do tweet explorava elementos legitimamente associados ao Ubuntu: mencionava o codinome da versão 24.04 LTS — Noble Numbat — e usava a imagem do numbata (um marsupial australiano), reforçando falsa credibilidade. Também citava tecnologias reais, como a blockchain Solana, e incluía marcações (@solana) para aumentar a aparência de autenticidade.
Como o golpe funcionava?
Ao clicar no link ai-ubuntu.com, os usuários eram levados a uma página quase idêntica ao site oficial da Ubuntu. A interface continha referências legítimas ao projeto — como links para o Snap Store, Launchpad e documentação — reforçando a ilusão de confiabilidade.
No entanto, ao clicar nos botões “Check eligibility” ou “Explore Ubuntu AI”, o site solicitava a conexão de uma carteira de criptomoedas. A mensagem exibida era:
"Early ecosystem participants may qualify for future $UM allocations. Snapshot approaching."
O token $UM não tem relação com a Canonical nem com nenhuma iniciativa oficial de IA da Ubuntu. Trata-se de uma tentativa de coletar endereços de carteiras e, potencialmente, executar ações maliciosas em nome dos usuários.
Ataque DDoS prévio e possível ligação
Entre 30 de abril e 5 de maio, os serviços ubuntu.com, Snap Store, Launchpad e outros foram afetados por um ataque DDoS descrito pela Canonical como “sustentado e transfronteiriço”. Um grupo hacker pró-Irã chamado 313 reivindicou a autoria do ataque, mas não há confirmação oficial da Canonical.
Embora o grupo tenha anunciado o fim do DDoS via Telegram, não fez menção à invasão da conta no X, o que sugere que os dois incidentes podem ter origens distintas. O domínio ai-ubuntu.com foi registrado com um registrador com sede em Hong Kong, mas isso não indica a localização geográfica dos invasores.
Possíveis vetores de comprometimento
Não há detalhes oficiais sobre como a conta foi invadida. É plausível que o acesso tenha ocorrido por meio de:
- Ferramentas terceirizadas de gerenciamento de redes sociais;
- Credenciais expostas ou reutilizadas;
- Engenharia social contra membros da equipe de comunicação.
A Canonical ainda não publicou um relatório pós-incidente nem confirmou a causa raiz da brecha.
Impacto real para usuários do Ubuntu
Importante destacar:
✅ O sistema operacional Ubuntu, seus repositórios APT e instalações locais não foram afetados.
✅ Atualizações de pacotes continuaram funcionando normalmente graças à infraestrutura descentralizada de espelhos globais.
❌ O que ficou indisponível durante o DDoS foram serviços web — como instalação de snaps, acesso a PPAs e submissões no Launchpad.
O ataque à conta no X não representa risco direto à integridade dos sistemas instalados, mas sim um alerta crítico sobre a necessidade de vigilância ao clicar em links — mesmo quando provenientes de contas verificadas.
Recomendações de segurança
- Nunca insira chaves privadas ou conecte carteiras em sites acessados via redes sociais.
- Verifique sempre o domínio completo antes de interagir:
ai.ubuntu.comnão existe, masai-ubuntu.comé fraudulento. - Ative a autenticação de dois fatores (2FA) em todas as contas de redes sociais e ferramentas de gerenciamento.
- Desconfie de anúncios “exclusivos” que exigem ações imediatas com carteiras digitais — especialmente se envolvem tokens não oficiais.
A Canonical continua investigando o incidente. Enquanto isso, a comunidade é orientada a reportar atividades suspeitas diretamente pelo canal de segurança oficial: [email protected].
