Existem centenas de estratégias de ataque diferentes usadas pelos cibercriminosos. Uma dessas técnicas é o phishing. Embora seja uma estratégia mais antiga, ainda é usada com sucesso por cibercriminosos com novas variações sendo consideradas e implementadas. Contudo, o que é phishing e como evitá-lo?
O que é phishing?
Quais são os diferentes tipos de phishing?
Como impedir phishing
O que é phishing?
Phishing é uma forma de crime cibernético na qual o invasor entra em contato com um indivíduo alegando ser de empresas respeitáveis com a intenção de enganar o usuário para obter acesso a dados pessoais e corporativos confidenciais, sigilosos e essenciais ou para implantar software malicioso, como ransomware. Seus dados bancários e a senha de acesso da empresa são as informações mais procuradas pelos cibercriminosos.
Quais são os diferentes tipos de phishing?
Existem diferentes tipos de técnicas de phishing usadas por golpistas e a lista cresce constantemente pois os cibercriminosos estão sempre concebendo novas maneiras de obter acesso às informações de que precisam. À medida que a tecnologia e os serviços de Internet evoluem, os hackers procuram novas oportunidades para explorar as fraquezas dos sistemas de segurança e obter acesso a informações confidenciais e isso pode levar os usuários a serem pegos em um tipo de ataque de phishing mais recente e menos conhecido. Exploramos alguns dos diferentes tipos de golpes de phishing abaixo:
- Phishing enganoso
- Spear Phishing
- Whale phishing
- Pharming
- Smishing
- Aplicativos do Google
- Notas fiscais falsas
O que é phishing enganoso?
O phishing enganoso, ou phishing de e-mails, é o tipo mais comum de ataque de phishing e tem sido usado há décadas. Uma mensagem fraudulenta, bem elaborada e manipuladora é enviada para se passar por empresas legítimas. Normalmente, há apenas uma pequena variação no endereço de e-mail do remetente e muitas vezes pode passar despercebido pelos usuários regulares da Internet. O e-mail contém um link que leva a uma página da Internet falsa ou instala malware no seu dispositivo. Estas mensagens não são personalizadas ou direcionadas a um indivíduo específico e também são conhecidas como phishing "em massa". A intenção é hackear seus dados e obter acesso às suas informações pessoais confidenciais ou sigilosas.
O que é spear phishing?
Spear phishing é uma estratégia destinada a pessoas que trabalham em uma determinada empresa, ou setor, na tentativa de obter acesso ao verdadeiro alvo: a própria empresa. Os e-mails são pelo menos personalizados, costumam conter logotipos e assinaturas de e-mail e são apresentados como uma campanha de marketing corporativo, deixando muito pouco espaço para o destinatário duvidar de sua autenticidade.
O que é whale phishing?
Whale phishing é um ataque de phishing altamente direcionado aos 'peixes grandes' de uma empresa – executivos seniores, incluindo empresários, diretores e funcionários graduados. Os invasores fazem uma profunda pesquisa de antemão e, para parecerem legítimos, os e-mails são apresentados de maneira personalizada, mencionando os detalhes essenciais da empresa. O remetente usa o endereço de e-mail semelhante ao da Receita Federal ou de qualquer outro órgão do governo e geralmente solicita algumas informações essenciais ou transferência de dinheiro. Têm-se a impressão de que é um e-mail muito profissional, mas como o objetivo é atingir o pessoal inteligente de nível superior, sua taxa de sucesso é bastante baixa.
O que é pharming?
O pharming é outra estratégia de phishing em que são enviados e-mails fraudulentos de fontes autênticas, como bancos e sites de mídia social. Esses e-mails solicitam que você execute uma ação urgente em sua conta, que pode ser desde alterar a senha até tomar algumas medidas de segurança e redirecioná-lo de forma manipuladora para uma página falsa da Internet. O pharming não envolve apenas e-mails fraudulentos, ele também manobra o cache de DNS. Ele usa o mesmo endereço da web que a fonte e tem a aparência exata do site original. Ele pede seus detalhes de login e hackeia suas contas.
O que é smishing?
Smishing é um tipo de ataque de phishing que envolve o uso de SMS. Mensagens de texto falsas são recebidas e solicitam uma resposta direta ou contêm um link para um site de phishing, que geralmente é parecido com um site com o qual você está mais familiarizado.
Posso ser hackeado por meio de aplicativos do Google, como o Docs?
Um grande número de usuários da Internet depende dos aplicativos do Google, da Play Store ao Gmail. Uma conta do Gmail permite que você acesse e use uma ampla variedade de serviços do Google. A maioria das pessoas usa o Google Docs, Sheets, Drive e outros aplicativos do Google para armazenar documentos e fotos, pois parece muito conveniente e seguro. Esta é a razão pela qual hackear as senhas do Google é um dos principais objetivos dos golpistas. Eles criam e-mails e os enviam aos usuários do Gmail, que os direciona para a página de login do Google. Depois de inserir a senha, sua conta e todos os arquivos armazenados nela ficam acessíveis ao golpista.
Além disso, no início de 2022, foi relatado que o recurso de comentários no Google Docs estava sendo explorado para enviar e-mails aparentemente legítimos para convencer os alvos a clicar em links maliciosos. O agente da ameaça cria um documento do Google Docs e adiciona um comentário contendo o link malicioso, a vítima é adicionada por meio do recurso “@” acionando um e-mail com um link para o arquivo do Google Docs. O e-mail exibirá o comentário completo, incluindo os links ruins e outros textos adicionados pelo invasor.
Posso ser enganado por uma nota fiscal?
Sim, o faturamento falso é um tipo de golpe de phishing no qual uma nota fiscal ou cobrança é enviada a uma empresa ou pessoa física, solicitando o pagamento de bens ou serviços. Isso pode incluir a demanda por fundos, a data de vencimento do pagamento ou uma notificação de alteração nos detalhes do pagamento.
Como impedir phishing
Os ataques de phishing estão se tornando uma preocupação crescente para as empresas. De acordo com um relatório recente da IBM, o phishing é a segunda causa mais comum de violação de dados, e também é a mais cara, custando às empresas em média US$ 4,91 milhões. Contudo, que medidas sua empresa pode tomar para evitar ataques de phishing?
- Confira o conteúdo
- Confira todos os links
- Proteja sua identidade
- E-mails assinados digitalmente
Confira o conteúdo
A maioria dos e-mails fraudulentos tem diversas brechas no conteúdo. Embora a maioria dos e-mails de phishing dirija-se diretamente a você e use informações pessoais para enganá-lo, eles não têm as informações completas. Se você examinar cuidadosamente o assunto e o conteúdo desses e-mails, conseguirá ter uma ideia sobre sua autenticidade.
- Desconfie de anexos – você está esperando o conteúdo (p.ex.: nota fiscal ou download de arquivo)?
- Tenha cuidado ao fornecer informações confidenciais, como credenciais de login, detalhes do cartão de crédito, números de telefone ou dados bancários.
- Cuidado com erros gramaticais e ortográficos medíocres.
Para obter mais dicas sobre o que observar quando detectar e-mails maliciosos, clique aqui.
O principal truque dos golpistas é que eles criam um senso de urgência com os e-mails de phishing. Você só cairá na armadilha se agir precipitadamente. Portanto, é essencial manter a calma, pensar antes de clicar e agir com sabedoria.
Confira todos os links
Para evitar phishing, recomenda-se verificar os endereços de e-mail e os links do site antes de clicar em qualquer link. Os endereços fraudulentos são quase idênticos aos originais, mas não são os mesmos, muitas vezes possuem uma ligeira alteração na ortografia ou nos caracteres usados.
- Se o link estiver solicitando detalhes de login, acesse o site diretamente e não pelo link exibido no e-mail.
- Se estiver em um computador, passe o mouse sobre um link antes de clicar para garantir que seja um link confiável.
- Procure sites protegidos por HTTP para a assinatura de confiança como um site com um certificado TLS.
Proteja sua identidade
Uma VPN, ou Rede Privada Virtual, fornece um túnel criptografado para todas as suas atividades on-line. Ele disfarça sua identidade e localização originais e permite que você conecte com o mundo por meio de servidores remotos seguros. Isso elimina a chance de espionagem e os cibercriminosos não conseguem acessar suas informações e identidade. Uma VPN forte também ajuda a proteger sua conexão contra qualquer malware agressor e torna sua presença on-line segura e protegida. A VPN é uma barreira segura para que e-mails de phishing cheguem ao seu dispositivo.
E-mails assinados digitalmente
Combata ataques de phishing com e-mails assinados digitalmente e fortaleça a segurança de e-mail de sua empresa com certificados S/MIME. Usando duas funções criptográficas, o S/MIME pode verificar a origem dos e-mails e a identidade do remetente e proteger as comunicações de e-mail em trânsito nos servidores de e-mail por meio de criptografia. Com o protocolo S/MIME, é impossível interceptar e retirar a assinatura digital do e-mail e os e-mails assinados digitalmente são garantidos como válidos e legítimos.
