Phishing

Phishing refere-se a qualquer tentativa de obter informações sensíveis, como nomes de utilizador, palavras-passe ou dados bancários, muitas vezes por razões maliciosas, ao fazer-se passar por uma entidade de confiança numa comunicação eletrónica.

O phishing é um exemplo de uma técnica de engenharia social utilizada para enganar os utilizadores e explorar fraquezas na segurança da rede. Foram feitas várias tentativas para controlar o aumento dos casos de phishing relatados, incluindo legislação, formação de funcionários e utilizadores em geral, educação pública e protocolos de segurança de rede padronizados.

O phishing é normalmente realizado através de comunicação digital direta. Um ataque frequentemente direciona os utilizadores a inserirem informações sensíveis num site falso, cujo aspeto e funcionalidade correspondem ao site legítimo. Correspondência, alegando ter origem em redes sociais, sites de leilões ou retalho, instituições financeiras, ou administradores de rede e TI, são usadas para atrair os utilizadores. Emails de phishing podem até conter links para malware distribuído, causando danos adicionais ao sistema da vítima.

Tipos de phishing

Para além das técnicas de phishing standard, tipos específicos de phishing podem ser utilizados para alcançar vários objetivos.

• Spear phishing: Um ataque de spoofing de email que visa uma organização ou indivíduo específico, procurando acesso não autorizado a informações sensíveis. Os atacantes geralmente recolhem informações pessoais sobre o alvo pretendido para aumentar a sua chance de sucesso.
• Phishing por clonagem: Onde um email autêntico, previamente válido, tem o seu conteúdo e endereço de destinatário roubados, e é retroengenheirado para criar um email idêntico ou clonado. Quaisquer anexos reais ou links no email original são substituídos por software malicioso e, em seguida, enviados de um endereço de email falsificado para enganar a vítima a acreditar na sua autenticidade.
• Whaling: Um ataque de phishing criado para atingir um gestor superior com base na função da pessoa na empresa. O conteúdo de um email de ataque whaling é frequentemente escrito como uma intimação legal, reclamação de cliente ou questão executiva. Os emails de fraude whaling são concebidos para se disfarçarem como um email empresarial crítico, enviado por uma autoridade empresarial legítima.

Características comuns de emails de phishing

Ao lidar com segurança na web, é importante conseguir reconhecer os aspectos mais comuns de um ataque de phishing. Os utilizadores são frequentemente a única razão pela qual os ataques de phishing são bem-sucedidos, por isso evitar os principais erros pode ajudar as empresas a evitar ameaças de cibersegurança.

• Declarações dramáticas: Ofertas lucrativas e declarações apelativas ou chamativas são concebidas para atrair imediatamente a atenção das pessoas. Por exemplo, muitos afirmam que um alvo ganhou um telemóvel, uma lotaria ou algum outro prémio extravagante.
• Urgência: Uma tática comum entre os cibercriminosos é pedir à vítima que aja rapidamente antes que uma oportunidade termine. A maioria das organizações de confiança dá bastante tempo antes de encerrar uma conta e nunca pede informalmente aos seus utilizadores que atualizem detalhes pessoais pela Internet.
• Hiperligações: Um link pode não ser exatamente o que parece. Ao passar o cursor sobre um link, é mostrado o URL real, que pode ser totalmente diferente do texto do link. Às vezes, pode parecer ser um site seguro, mas com uma ortografia ligeiramente alterada – por exemplo, com o número “1” a substituir um “L” minúsculo.
• Anexos: Anexos inesperados em emails devem ser tratados com suspeita. Muitas vezes contêm cargas como ransomware ou outros vírus.
• Remetente incomum: O spam de baixo nível é frequentemente enviado por utilizadores desconhecidos ou com nomes suspeitos. Ao receber um e-mail de alguém desconhecido, que parece agir de forma suspeita, pratique o controlo ao responder demasiado rapidamente, se é que deve responder.

Evitar ataques de phishing

• Respostas sociais: Treinar pessoas para reconhecer tentativas de phishing e lidar com elas. A educação pode ser eficaz, especialmente quando a formação enfatiza o conhecimento conceptual.
• Alertas do navegador: Mantenha uma lista de sites de phishing conhecidos e verifique os sites em relação à lista. Um desses serviços é o serviço de Navegação Segura fornecido pelo Google Chrome.
• Eliminando emails de phishing: Filtros de spam especializados que reduzem o número de emails de phishing que chegam às caixas de entrada dos destinatários, ou que proporcionam remediação pós-entrega, analisando e removendo ataques de phishing após a entrega através de integração ao nível do fornecedor de email.
• Monitorização e eliminação: Serviços ininterruptos para monitorizar, analisar e ajudar no encerramento de sites de phishing.
• Verificação e assinatura de transações: Usar um telemóvel (smartphone) ou endereço de e-mail alternativo como canal de backup para autenticação e autorização de interações sensíveis (como transações financeiras).

O phishing é uma das maiores ameaças para as empresas atualmente. Um ataque de phishing bem-sucedido pode não só custar dinheiro, mas também expor uma empresa a brechas de segurança e de dados muito maiores. É por isso que o treino e a educação são tão importantes, pois podem reduzir significativamente a taxa de ataques de phishing bem-sucedidos.