O que é phishing?

O phishing é uma forma de ataque de engenharia social em que partes mal-intencionadas enganam uma pessoa para que ela forneça informações confidenciais. O invasor envia uma mensagem projetada para parecer que é de um terceiro respeitável. Os ataques de phishing podem ser usados para roubar informações financeiras, detalhes de login e outros dados confidenciais. A FTC informou que os consumidores relataram ter perdido US$ 5,8 bilhões para fraudes em 2021, sendo que golpes praticados por impostores representaram um dos principais tipos de fraude. Compreender o que é phishing e como evitá-lo pode ajudar consumidores e empresas a protegerem seus dados.

Tipos de phishing

O phishing pode ser realizado em qualquer meio de comunicação. Alguns dos tipos mais comuns de phishing incluem:

Phishing por e-mail

Quando a maioria das pessoas pensa em phishing, pensa em e-mails. Phishing por e-mail pode ser dividido em alguns tipos diferentes:

• Spear phishing: Os ataques direcionados de phishing são conhecidos como spear phishing. Nesse ataque, alguém que já tem alguma informação pessoal sobre a vítima usará essas informações para fazer com que suas comunicações pareçam mais legítimas.
• Whaling: Quando um ataque de phishing é direcionado especificamente a um indivíduo de alto perfil, como um gerente sênior ou CEO de uma empresa, isso é conhecido como Whaling. Esses ataques geralmente são muito sofisticados e podem levar muito tempo para serem planejados e executados.
• Fraude de CEO: Na fraude de CEO, os invasores se passam por um executivo ou gerente na tentativa de enganar um funcionário para que ele faça algo.
• Phishing de clone: Com esse ataque, os hackers enviam uma mensagem projetada para parecer que é de uma marca conhecida. Ataques comuns de phishing de clone envolvem grandes bancos, processadores de pagamentos e transportadoras, bem como organizações governamentais.

Phishing por voz

Os ataques de phishing por voz envolvem ligar para a vítima em potencial e tentar persuadi-la a executar uma ação. O chamador pode se passar por uma agência de cobrança consultando uma conta não paga, ou alguém do "suporte técnico" que precisa acessar o computador do usuário.

Phishing por SMS

Em um ataque de phishing por SMS, a parte mal-intencionada enviará uma mensagem de texto pedindo que a vítima clique em um link ou responda à mensagem. Esses ataques geralmente copiam o tipo de mensagem SMS que uma pessoa receberia de um entregador ou de um site do governo, até mesmo replicando o número de onde foi enviada.

Sequestro de página

Os ataques de sequestro de página envolvem o invasor clonando um site e direcionando a vítima para ele. Isso pode ser feito na forma de um ataque amplo, em que eles tentam gerar muito tráfego para a página falsa por meio de publicidade paga, ou um ataque direcionado, em que o sequestro da página é combinado com outras formas de phishing.

Phishing de calendário

Esse ataque se aproveita de padrões de calendário mal configurados para colocar links de phishing nos calendários online das pessoas. Muitas pessoas são treinadas para procurar links de phishing em seus e-mails, mas podem não estar cientes de que é possível inserir links maliciosos em seus calendários também, dando a esses ataques uma chance relativamente alta de sucesso.

Técnicas de phishing

A forma como as mensagens são entregues é apenas uma parte do phishing. Também é importante ficar atento a como o golpe funciona. Os e-mails de phishing bem-sucedidos empregam várias técnicas para contornar os filtros de e-mail e enganar o destinatário para que ele clique no link ou siga com a ação desejada.

Manipulação de links

A manipulação de links é usada para fazer com que os links em um e-mail sejam parecidos com o endereço do site pelo qual o invasor está tentando se passar. No entanto, quando o usuário clica no link, ele o leva ao site do invasor. Alguns perpetradores vão um passo além e usam caracteres incomuns ou endereços longos e complexos para enganar os usuários que podem não entender a diferença entre um domínio de nível superior e um subdomínio.

Evasão de filtro

Os invasores geralmente usam imagens para burlar filtros de phishing e spam. As plataformas de e-mail e os softwares geralmente têm filtros para bloquear spam e e-mails maliciosos, mas esses filtros nem sempre são bons no processamento de imagens.

Engenharia social

A prática da engenharia social envolve identificar vítimas e construir confiança. Por exemplo, se alguém cair no primeiro estágio de um ataque de phishing e responder a um e-mail, o invasor gradualmente pedirá que ele entregue informações pessoais, usando desculpas plausíveis sobre por que cada parte é necessária, em vez de exigir tudo de uma só vez.

Como reconhecer phishing

As tentativas de phishing podem variar, desde mensagens de e-mail relativamente mal construídas, cheias de erros de ortografia, pontuação e gramática, até mensagens cuidadosamente elaboradas e altamente direcionadas. Algumas coisas comuns a serem observadas incluem:

• O endereço de e-mail de origem da mensagem não é um que você reconheça
• Há erros ortográficos ou gramaticais no e-mail
• A marca/logotipos parecem "estranhos"
• A mensagem não consegue se referir a você pelo seu nome/nome de usuário correto
• A mensagem se refere a uma transação que nunca aconteceu
• Você recebe um anexo que não estava esperando
• Você é instigado a executar uma ação que o remetente nunca pediu que você realizasse antes
• A mensagem foi enviada para sua pasta de lixo eletrônico, mas outras mensagens alegando ser desse remetente são recebidas normalmente em sua caixa de entrada

Melhores práticas de prevenção contra phishing

As empresas que desejam se proteger de ataques de phishing direcionados devem considerar tomar uma variedade de precauções, incluindo melhorias em suas políticas de segurança e treinamento de sua equipe para identificar e evitar ataques cibernéticos. Algumas precauções úteis incluem:

Filtragem de e-mails e edição de conteúdo

Habilite a filtragem agressiva de e-mails e edição de conteúdo no nível da rede, se possível. Bloquear malware conhecido ou sites de rastreamento pode ajudar muito a reduzir as ameaças de phishing. Considere exibir um aviso em todos os e-mails que vêm de um endereço que não está no catálogo de endereços do usuário.

Alertas do navegador

Use um navegador configurado para exibir um alerta se o usuário for direcionado para um site inseguro ou um site de phishing conhecido. Verifique se os usuários não são capazes de desabilitar ou ignorar esses alertas.

Aprimorando os logins com senha

Use recursos de segurança extras além dos logins com senha. Por exemplo, a segurança biométrica pode ser utilizada para sistemas importantes. Além disso, o uso de "imagens de confiança" como parte do processo de login pode alertar os usuários sobre a possibilidade de estarem em um site de phishing.

Autenticação Multifator (MFA)

Habilitar a MFA para sistemas importantes pode reduzir o risco de phishing e outras formas de ataques virtuais. Considere o uso de um autenticador de hardware em vez da autenticação de dois fatores baseada em SMS, porque a autenticação por SMS pode ser ignorada por meio de ataques de troca de SIM.

Como a Veeam pode ajudar

Os ataques de phishing contra empresas podem ser incrivelmente caros, especialmente se fornecerem uma rota para os invasores infectarem a sua rede com ransomware. Saiba como a Veeam pode ajudar você a proteger os dados vitais da sua empresa com soluções de backup e recuperação e proteção contra ransomware.