O que é Phishing

O que é phishing? Tudo o que você precisa saber para se proteger de e-mails fraudulentos e muito mais

Não clique nesse e-mail! Encontre tudo o que você precisa saber neste guia de phishing, incluindo como se proteger de uma das formas mais comuns de ataque cibernético.

O que é phishing?

Phishing é uma das formas mais fáceis de ciberataque para os criminosos realizarem e uma das mais fáceis de cair. Também pode fornecer tudo o que os hackers precisam para vasculhar as contas pessoais e de trabalho de seus alvos.

Normalmente realizado por e-mail – embora o golpe agora tenha se espalhado além de e-mails suspeitos para ligações (chamadas de ‘vishing’) mídias sociais, serviços de mensagens (também conhecido como ‘smishing’) e aplicativos – um ataque de phishing básico tenta enganar o alvo fazendo o que o golpista deseja.

Isso pode ser entregar senhas para facilitar o hack de uma empresa ou alterar dados bancários para que os pagamentos sejam enviados para fraudadores em vez de para a conta correta.

Phishing também é um método popular para invasores cibernéticos distribuírem malware, incentivando as vítimas a baixar um documento ou visitar um link que instalará secretamente a carga maliciosa em ataques que podem estar distribuindo malware de trojan, ransomware ou todos os tipos de ataques prejudiciais e perturbadores.

O objetivo e a mecânica precisa dos golpes variam: por exemplo, as vítimas podem ser induzidas a clicar em um link para uma página da web falsa com o objetivo de persuadir o usuário a inserir informações pessoais – estima-se que uma média de 1,4 milhão desses sites são criados todos os meses. 

Esquemas de phishing mais complexos podem envolver um jogo longo, com hackers usando perfis de mídia social falsos, e-mails e muito mais para construir um relacionamento com a vítima ao longo de meses ou até anos, em casos em que indivíduos específicos são alvos de dados que apenas entregariam para as pessoas em quem confiam.

Esses dados podem variar de endereço de e-mail pessoal ou corporativo e senha, a dados financeiros, como detalhes de cartão de crédito ou credenciais de banco on-line ou até mesmo dados pessoais, como data de nascimento, endereço e número de segurança social.

Nas mãos de fraudadores, todas essas informações podem ser usadas para realizar golpes como roubo de identidade ou usar dados roubados para comprar coisas ou até mesmo vender informações privadas de pessoas na dark web. Em alguns casos, é feito para chantagem ou para embaraçar a vítima.

Em outros casos, o phishing é uma das ferramentas usadas para espionagem ou por grupos de hackers apoiados pelo estado para espionar oponentes e organizações de interesse.

E qualquer pessoa pode ser uma vítima, desde o Comitê Nacional Democrata na corrida até a eleição presidencial dos EUA de 2016, a infraestrutura crítica, negócios comerciais e até mesmo indivíduos.

Qualquer que seja o objetivo final do ataque, o phishing gira em torno de golpistas que enganam os usuários, levando-os a ceder dados ou acesso a sistemas por acreditarem que estão lidando com alguém que conhecem ou em quem confiam.

Como funciona um ataque de phishing?

Um ataque de phishing básico tenta induzir um usuário a inserir detalhes pessoais ou outras informações confidenciais, e o e-mail é o método mais comum de realizar esses ataques.

O grande número de e-mails enviados todos os dias significa que é um vetor de ataque óbvio para criminosos cibernéticos. Estima-se que 3,7 bilhões de pessoas enviem cerca de 269 bilhões de e-mails todos os dias.

Pesquisadores da Symantec sugerem que quase um em cada 2.000 desses emails é um email de phishing, o que significa que cerca de 135 milhões de ataques de phishing são tentados todos os dias.

A maioria das pessoas simplesmente não tem tempo para analisar cuidadosamente cada mensagem que chega em sua caixa de entrada – e é isso que os phishers procuram explorar de várias maneiras.

Os golpes variam em seus alvos – alguns visam consumidores incautos. Aqui, o assunto do e-mail será projetado para chamar a atenção da vítima – técnicas comuns de campanha de phishing incluem ofertas de prêmios ganhos em competições falsas, como loterias ou concursos por varejistas que oferecem um ‘voucher vencedor’.

Neste exemplo, para ‘ganhar’ o prêmio, as vítimas são solicitadas a inserir seus dados como nome, data de nascimento, endereço e dados bancários para reclamar. Obviamente, não há prêmio e tudo o que eles fizeram foi colocar seus dados pessoais nas mãos de hackers.

técnicas semelhantes são usadas em outros golpes nos quais os invasores afirmam ser de um banco ou outra instituição financeira que busca verificar detalhes, lojas online que tentam verificar compras inexistentes ou, às vezes – ainda mais descaradamente – os invasores afirmam ser de tecnologia empresas de segurança e que precisam de acesso às informações para manter seus clientes seguros.

Veja: O que você precisa saber para trabalhar com cibersegurança.

Outros golpes, geralmente mais sofisticados, visam usuários comerciais. Aqui, os invasores também podem se passar por alguém da mesma organização ou de um de seus fornecedores e pedirão que você baixe um anexo que alegam conter informações sobre um contrato ou negócio.

Em alguns casos, o objetivo pode ser coletar dados pessoais, mas em muitos casos também é usado para implantar ransomware ou sistemas de corda em um botnet.

Os atacantes costumam usar eventos de alto perfil como isca para atingir seus objetivos finais. Por exemplo, em 2020, os cibercriminosos enviaram extensivamente e-mails que supostamente contêm informações sobre o coronavírus como um meio de atrair pessoas para serem vítimas. Os cibercriminosos também tentaram usar a eleição presidencial de 2020 nos Estados Unidos como meio de ataque.

Uma técnica comum é entregar um documento do Microsoft Office que requer que o usuário habilite a execução de macros. A mensagem que acompanha o documento tem como objetivo enganar a vítima potencial para habilitar macros para permitir que o documento seja visualizado corretamente, mas, neste caso, permitirá que os criminosos entreguem sua carga de malware.

Por que o phishing é chamado de phishing?

O termo geral para esses golpes – phishing – é uma versão modificada de ‘pesca’, exceto, neste caso, quem está pescando é o bandido, e eles estão tentando pegá-lo e atraí-lo com sua isca por e-mail.

Provavelmente também é uma referência à história dos hackers: alguns dos primeiros hackers eram conhecidos como ‘phreaks’ ou ‘phreakers’ porque faziam engenharia reversa de telefones para fazer chamadas gratuitas.

Quando começou o phishing?

O consenso é que o primeiro exemplo da palavra phishing ocorreu em meados da década de 1990, com o uso de ferramentas de software como o AOHell, que tentava roubar nomes de usuário e senhas da AOL.

Esses primeiros ataques foram bem-sucedidos porque era um novo tipo de ataque, algo que os usuários não tinham visto antes. A AOL avisou os usuários sobre os riscos, mas o phishing continuou sendo um sucesso e ainda está aqui mais de 20 anos depois. De muitas maneiras, ele permaneceu o mesmo por uma razão simples – porque funciona.

Como o phishing evoluiu?

Embora o conceito fundamental de phishing não tenha mudado muito, houve ajustes e experimentação ao longo de duas décadas, à medida que a tecnologia e a forma como acessamos a Internet mudaram. Após os ataques iniciais da AOL, o e-mail se tornou o vetor de ataque mais atraente para golpes de phishing à medida que o uso da Internet em casa decolou e um endereço de e-mail pessoal começou a se tornar mais comum.

Muitos dos primeiros golpes de phishing vieram com sinais de que não eram legítimos – incluindo ortografia estranha, formatação esquisita, imagens de baixa resolução e mensagens que muitas vezes não faziam todo o sentido. No entanto, nos primeiros dias da Internet, as pessoas sabiam ainda menos sobre as ameaças em potencial que significavam que esses ataques ainda tinham sucesso – muitos deles ainda são eficazes.

Algumas campanhas de phishing permanecem muito, muito óbvias de detectar – como o príncipe que quer deixar sua fortuna para você, seu único parente há muito perdido, mas outras tornaram-se tão avançadas que é virtualmente impossível distingui-las de mensagens autênticas. Alguns podem até parecer que vêm de seus amigos, familiares, colegas ou até mesmo de seu chefe.

Qual é o custo dos ataques de phishing?

É difícil calcular o custo total da fraude decorrente dos golpes de phishing, mas o FBI sugere que o impacto de tais golpes pode custar às empresas americanas algo em torno de US $ 5 bilhões por ano, com milhares de empresas atingidas por golpes anualmente.

Um exemplo de um incidente de alto perfil: em julho de 2017, a MacEwan University em Edmonton, Alberta, Canadá, foi vítima de um ataque de phishing.

“Uma série de e-mails fraudulentos convenceu os funcionários da universidade a alterar as informações de banco eletrônico de um dos principais fornecedores da universidade. A fraude resultou na transferência de US $ 11,8 milhões para uma conta bancária que os funcionários acreditavam pertencer ao fornecedor”, disse a universidade em um comunicado.

Veja: Como descobrir se fui hackeado?

É difícil calcular o custo total da fraude decorrente dos golpes de phishing, mas o FBI sugere que o impacto de tais golpes pode custar às empresas americanas algo em torno de US $ 5 bilhões por ano, com milhares de empresas atingidas por golpes anualmente.

Um exemplo de um incidente de alto perfil: em julho de 2017, a MacEwan University em Edmonton, Alberta, Canadá, foi vítima de um ataque de phishing.

“Uma série de e-mails fraudulentos convenceu os funcionários da universidade a alterar as informações de banco eletrônico de um dos principais fornecedores da universidade. A fraude resultou na transferência de US $ 11,8 milhões para uma conta bancária que os funcionários acreditavam pertencer ao fornecedor”, disse a universidade em um comunicado.

Como são os golpes de phishing?

O ‘spray and pray’ é o tipo menos sofisticado de ataque de phishing, em que mensagens básicas e genéricas são enviadas em massa para milhões de usuários. Estas são as mensagens de ‘mensagem URGENTE do seu banco’ e ‘Você ganhou na loteria’, que procuram levar as vítimas ao pânico a cometer um erro – ou cegá-las de ganância. Alguns e-mails tentam usar o medo, sugerindo que há um mandado de prisão da vítima e que ela será jogada na prisão se não clicar.

Esquemas desse tipo são tão básicos que muitas vezes não há nem mesmo uma página da web falsa envolvida – as vítimas geralmente são apenas instruídas a responder ao invasor por e-mail. Às vezes, os e-mails podem atuar com a pura curiosidade da vítima, simplesmente aparecendo como uma mensagem em branco com um anexo malicioso para download.

Foi assim que o ransomware Locky se espalhou em 2016 e, na época, era uma das formas mais eficazes de malware para criptografar arquivos. Muitas das campanhas de ransomware mais prejudiciais agora mudaram para outros meios de obter acesso a redes, como comprometer servidores voltados para a Internet ou portas de desktop remotas, embora recentemente tenha havido um ressurgimento de e-mails de phishing usados ​​para distribuir ransomware. 

Esses ataques são, em sua maioria, ineficazes, mas o grande número de mensagens enviadas significa que haverá pessoas que cairão no esquema e, inadvertidamente, enviarão detalhes para invasores cibernéticos que exploraram as informações de todas as maneiras possíveis.

O que é spear phishing?

O spear phishing é mais avançado do que uma mensagem de phishing normal e visa grupos específicos ou até mesmo indivíduos específicos. Em vez de mensagens vagas serem enviadas, os criminosos as projetam para direcionar qualquer coisa de uma organização específica a um departamento dentro dessa organização ou até mesmo a um indivíduo, a fim de garantir a maior chance de que o e-mail seja lido e o golpe seja um sucesso.

São esses tipos de mensagens especialmente criadas que costumam ser o ponto de entrada para uma série de ataques cibernéticos de alto perfil e incidentes de hackers. Tanto as gangues cibercriminosas quanto os invasores apoiados pelo Estado-nação continuam a usar isso como meio de iniciar campanhas de espionagem.

No nível do consumidor, pode ser projetado para parecer uma atualização do seu banco, pode dizer que você pediu algo online, pode estar relacionado a qualquer uma de suas contas online. Os hackers são conhecidos por procurar vítimas de violações de dados e se passarem por profissionais de segurança alertando as vítimas de comprometimento – e os alvos devem garantir que suas contas ainda estejam seguras inserindo os detalhes de suas contas neste link acessível.

Embora o spear phishing tenha como alvo consumidores e usuários individuais da Internet, é muito mais eficaz para os criminosos cibernéticos usá-lo como meio de se infiltrar na rede de uma organização-alvo, pois pode produzir uma recompensa muito mais lucrativa.

Este tipo específico de mensagem de phishing pode vir em várias formas, incluindo uma consulta falsa do cliente, uma fatura falsa de um contratante ou empresa parceira, uma solicitação falsa para examinar um documento de um colega ou, até mesmo, em alguns casos, uma mensagem que parece que vem diretamente do CEO ou de outro executivo.

Em vez de ser uma mensagem aleatória, a ideia é fazer com que pareça ter vindo de uma fonte confiável e persuadir o alvo a instalar malware ou entregar credenciais ou informações confidenciais. Esses golpes exigem mais esforço, mas também há um retorno potencial maior para os criminosos.

É bem possível que os hackers comprometam a conta de um usuário e usem isso como um trampolim para ataques futuros. Esses ataques de ‘sequestro de conversas’ tiram proveito do uso da conta de uma pessoa real para enviar e-mails de phishing adicionais para seus contatos reais – e como o e-mail vem de uma fonte confiável, a vítima pretendida tem mais probabilidade de clicar.  

O que é compromisso de email comercial?

Nos últimos anos, assistimos ao surgimento de uma forma extremamente bem-sucedida de ataque de phishing direcionado que vê os hackers se passarem por fontes legítimas – como a gerência, um colega ou um fornecedor – e enganar as vítimas para que enviem grandes transferências financeiras para suas contas. Isso costuma ser conhecido como Business Email Compromise (BEC).

De acordo com o FBI, os golpes de BEC comuns incluem: criminosos cibernéticos se passando por um fornecedor com quem sua empresa lida regularmente e que envia uma fatura com um endereço de correspondência atualizado (falso); um CEO da empresa pedindo a um funcionário para comprar cartões-presente para enviar como recompensa – e para receber os códigos dos cartões-presente imediatamente; ou um comprador de uma casa recebendo um e-mail sobre a transferência de um adiantamento.

Em cada instância, o invasor dependerá muito da engenharia social, muitas vezes tentando gerar um senso de urgência de que a transferência de dinheiro precisa ser feita agora, e em segredo.

Por exemplo, sabe-se que os invasores comprometem a conta de e-mail de um fornecedor que usarão para enviar uma fatura ‘urgente’ que precisa ser paga à vítima.  

Os criminosos cibernéticos também se envolvem em Fraude de CEO, um subconjunto do ataque de BEC, em que os invasores se passam por um membro do conselho ou gerente, pedindo a um funcionário para transferir fundos para uma conta específica – muitas vezes alegando que isso é uma questão de sigilo e urgência.

Em cada um desses casos, os invasores direcionam os fundos para contas bancárias que controlam e, em seguida, fogem com o dinheiro.

Estima-se que os ataques de BEC foram responsáveis ​​por metade do dinheiro perdido para criminosos cibernéticos durante 2019, e quase US $ 700 milhões estão sendo perdidos com esses ataques todos os meses.

O crescimento do trabalho remoto em 2020 provavelmente tornou mais fácil para os criminosos conduzirem esses esquemas, porque as pessoas que trabalham em casa não podem falar tão facilmente com um de seus colegas para verificar se o e-mail é legítimo.  

Que tipos de ataques de phishing existem?

Embora o e-mail ainda seja um grande foco de invasores que realizam campanhas de phishing, o mundo está muito diferente de como era quando o phishing começou. O e-mail não é mais o único meio de atingir uma vítima, já que o surgimento de dispositivos móveis, mídias sociais e muito mais forneceram aos invasores uma ampla variedade de vetores para atacar as vítimas.

O que é phishing de mídia social?

Com bilhões de pessoas em todo o mundo usando serviços de mídia social como Facebook, LinkedIn e Twitter, os invasores não estão mais restritos a usar um meio de enviar mensagens para vítimas em potencial.

Alguns ataques são simples e fáceis de detectar: ​​um bot do Twitter pode enviar uma mensagem privada contendo um URL encurtado que leva a algo ruim, como malware ou talvez até mesmo uma solicitação falsa de detalhes de pagamento.

Mas há outros ataques que duram mais tempo. Uma tática comum usada por phishers é se passar por uma pessoa usando fotos extraídas da Internet, banco de imagens ou o perfil público de alguém. Freqüentemente, eles estão apenas colhendo ‘amigos’ do Facebook para alguma missão futura e não interagem de fato com o alvo.

No entanto, às vezes a simples pesca-gato entra em cena, com o atacante estabelecendo um diálogo com o alvo (geralmente masculino) – tudo isso enquanto se faz passar por uma falsa persona.

Depois de um certo tempo – pode levar dias, pode levar meses – o invasor pode inventar uma história falsa e pedir à vítima detalhes de algum tipo, como dados bancários, informações e até mesmo credenciais de login, antes de desaparecer no éter com suas informações.

Uma campanha dessa natureza teve como alvo indivíduos em organizações nos setores financeiro, de petróleo e de tecnologia com engenharia social avançada baseada em uma única e prolífica persona de mídia social que era absolutamente falsa.

Acredita-se que os responsáveis ​​por ‘Mia Ash’ tenham trabalhado em nome do governo iraniano e enganado as vítimas para que entregassem credenciais de login e documentos privados.

O que é SMS e phishing móvel?

A ascensão dos serviços de mensagens móveis – Facebook Messenger e WhatsApp em particular – forneceu aos phishers um novo método de ataque.

Os invasores nem precisam usar e-mails ou aplicativos de mensagens instantâneas para cumprir o objetivo final de distribuir malware ou roubar credenciais – a natureza das comunicações modernas conectadas à Internet significa que as mensagens de texto também são um vetor de ataque eficaz.

Os ataques de phishing – ou smishing – de SMS funcionam da mesma maneira que um ataque de email; apresentar à vítima uma oferta fraudulenta ou aviso falso como um incentivo para clicar em um URL malicioso.

A natureza da mensagem de texto significa que a mensagem de smishing é curta e projetada para chamar a atenção da vítima, geralmente com o objetivo de levá-la ao pânico e fazê-la clicar no URL de phishing. Um ataque comum por smishers é se passar por um banco e avisar de forma fraudulenta que a conta da vítima foi encerrada, teve dinheiro retirado ou está comprometida de alguma forma.

A natureza truncada da mensagem geralmente não fornece à vítima informações suficientes para analisar se a mensagem é fraudulenta, especialmente quando as mensagens de texto não contêm sinais indicadores, como o endereço do remetente.

Depois que a vítima clica no link, o ataque funciona da mesma forma que um ataque de phishing normal, com a vítima sendo enganada e entregando suas informações e credenciais ao perpetrador.

O que é phishing de criptomoeda?

À medida que a popularidade – e o valor – de criptomoedas como Bitcoin, Monero e outros crescem, os invasores querem uma fatia do bolo. Alguns hackers usam malware de criptojacking, que secretamente aproveita o poder de uma máquina comprometida para explorar a criptomoeda.

No entanto, a menos que o invasor tenha uma grande rede de PCs, servidores ou dispositivos IoT fazendo seu lance, ganhar dinheiro com esse tipo de campanha pode ser uma tarefa árdua que envolve meses de espera. Outra opção para os criminosos é usar o phishing para roubar criptomoedas diretamente das carteiras de proprietários legítimos.

Em um exemplo proeminente de phishing de criptomoeda, um grupo criminoso conduziu uma campanha que copiou a capa do site da carteira Ethereum MyEtherWallet e incentivou os usuários a inserirem seus dados de login e chave privada.

Uma vez que essas informações foram coletadas, um script automático criou automaticamente a transferência de fundos pressionando os botões como um usuário legítimo faria, mas durante todo o tempo a atividade permaneceu oculta do usuário até que fosse tarde demais. O roubo de criptomoedas em campanhas de phishing como essa e outros ataques está custando milhões.

Como posso detectar um ataque de phishing?

No centro dos ataques de phishing, independentemente da tecnologia ou do alvo específico, está o engano.

Enquanto muitos no setor de segurança da informação podem levantar uma sobrancelha quando se trata da falta de sofisticação de algumas campanhas de phishing, é fácil esquecer que existem bilhões de usuários da Internet – e todos os dias há pessoas que acessam a Internet apenas pela primeira vez Tempo.

Portanto grandes grupos de usuários da Internet nem estarão cientes da ameaça potencial de phishing, muito menos de que podem ser alvos de invasores usando isso. Por que eles suspeitariam de que a mensagem em sua caixa de entrada não é realmente da organização ou do amigo que afirma ser?

Mas, embora algumas campanhas de phishing sejam tão sofisticadas e especialmente elaboradas que a mensagem pareça totalmente autêntica, há alguns brindes importantes em campanhas menos avançadas que podem tornar óbvio a detecção de uma tentativa de ataque.

Sinais de phishing: ortografia e gramática inadequadas

Muitos dos operadores de phishing menos profissionais ainda cometem erros básicos em suas mensagens – principalmente no que diz respeito à ortografia e gramática.

É improvável que as mensagens oficiais de qualquer grande organização contenham erros de ortografia ou gramática, e certamente não serão ocorrências repetidas em todo o corpo. Uma mensagem mal escrita deve funcionar como um aviso imediato de que a comunicação pode não ser legítima.

É comum que invasores usem um serviço como o Google Translate para traduzir o texto de seu próprio idioma nativo, mas, apesar da popularidade desses serviços, eles ainda lutam para fazer as mensagens parecerem naturais.

Como localizar um link de phishing

É muito comum que mensagens de phishing de e-mail coagam a vítima a clicar em um link para um site malicioso ou falso projetado para fins maliciosos.

Muitos ataques de phishing conterão o que parece ser um URL de aparência oficial. No entanto, vale a pena dar uma segunda olhada cuidadosa.

Em alguns casos, pode ser simplesmente um URL encurtadonele, por meio do qual os invasores esperam que a vítima não verifique o link e apenas clique. Em outros casos, os invasores farão uma pequena variação em um endereço da Web legítimo e esperam que o usuário não perceba.

Por fim, se você suspeitar de um URL em um e-mail, passe o mouse sobre ele para examinar o endereço da página de destino e, se parecer falso, não clique nele. E verifique se é o URL correto e não um muito semelhante, mas ligeiramente diferente daquele que você normalmente espera.

 Um endereço de remetente estranho ou incompatível

Você recebe uma mensagem que parece ser de uma conta oficial da empresa. A mensagem avisa que houve alguma atividade estranha usando sua conta e pede que você clique no link fornecido para verificar seus detalhes de login e as ações que ocorreram.

A mensagem parece legítima, com boa ortografia e gramática, a formatação correta e o logotipo da empresa, endereço e até endereço de e-mail de contato corretos no corpo da mensagem. Mas e quanto ao endereço do remetente?

Em muitos casos, o phisher não pode falsificar um endereço real e apenas espera que os leitores não verifiquem. Freqüentemente, o endereço do remetente será listado apenas como uma sequência de caracteres, e não como enviado de uma fonte oficial.

Outro truque é fazer com que o endereço do remetente seja quase exatamente igual ao da empresa – por exemplo, uma campanha que dizia ser da ‘Equipe de Segurança da Microsoft’ pedia aos clientes que respondessem com detalhes pessoais para garantir que não foram hackeados. No entanto, não existe uma divisão da Microsoft com esse nome – e provavelmente não seria sediada no Uzbequistão, de onde o e-mail foi enviado.

Fique de olho no endereço do remetente para garantir que a mensagem seja legitimamente enviada por ela.

Esta mensagem de phishing parece estranha e boa demais para ser verdade

Parabéns! Você acabou de ganhar na loteria / passagens aéreas gratuitas / um voucher para gastar em nossa loja – agora, basta nos fornecer todas as suas informações pessoais, incluindo seus dados bancários, para reivindicar o prêmio. Como acontece com muitas coisas na vida, se parece bom demais para ser verdade, provavelmente é.

Em muitos casos, os emails de phishing com o objetivo de distribuir malware serão enviados em uma mensagem em branco contendo um anexo – nunca clicar em anexos misteriosos e não solicitados é uma tática muito boa quando se trata de não ser uma vítima.

Mesmo que a mensagem seja mais detalhada e pareça ter vindo de alguém de sua organização, se você achar que a mensagem pode não ser legítima, entre em contato com outra pessoa na empresa – por telefone ou pessoalmente, em vez de por e-mail, se necessário – para certifique-se de que eles realmente o enviaram.

Como se proteger contra ataques de phishing

Treinamento, treinamento e mais treinamento. Pode parecer uma ideia simples, mas o treinamento é eficaz. Ensinar a equipe o que observar quando se trata de um e-mail de phishing pode ajudar muito a proteger sua organização contra ataques maliciosos.

Os exercícios permitem que a equipe cometa erros – e principalmente aprenda com eles – em um ambiente protegido. Em um nível técnico, desabilitar a execução de macros em computadores em sua rede pode desempenhar um grande papel na proteção de funcionários contra ataques. As macros não são projetadas para serem maliciosas – elas são projetadas para ajudar os usuários a realizar tarefas repetitivas com atalhos de teclado.

Veja: Engenheiro de Cibersegurança – Como se tornar um

No entanto, os mesmos processos podem ser explorados por invasores para ajudá-los a executar código malicioso e eliminar cargas de malware.

A maioria das versões mais recentes do Office desabilita macros automaticamente, mas vale a pena verificar para garantir que esse seja o caso para todos os computadores em sua rede – pode atuar como uma grande barreira para emails de phishing que tentam entregar uma carga maliciosa.

A autenticação multifator também oferece uma barreira forte contra ataques de phishing, pois exige uma etapa extra a ser superada pelos criminosos cibernéticos para conduzir um ataque com êxito. De acordo com a Microsoft, o uso de autenticação multifatorial bloqueia 99,9% das tentativas de invasão de contas.

Qual é o futuro do phishing?

Pode ter existido há quase vinte anos, mas o phishing continua a ser uma ameaça por dois motivos – é simples de realizar – mesmo por operações de uma pessoa – e funciona, porque ainda há muitas pessoas na Internet que não sabem das ameaças que enfrentam. E mesmo os usuários mais sofisticados podem ser apanhados de vez em quando.

Para o pessoal de segurança experiente ou pessoas com conhecimento tecnológico, pode parecer estranho que existam pessoas que podem facilmente cair em um golpe alegando ‘Você ganhou na loteria’ ou ‘Nós somos o seu banco, por favor, insira seus dados aqui’.

Além disso, o baixo custo das campanhas de phishing e as chances extremamente baixas de os golpistas serem pegos significa que continua sendo uma opção muito atraente para os fraudadores.

Por causa disso, o phishing continuará à medida que os criminosos virtuais procuram lucrar com o roubo de dados e o descarte de malware da maneira mais fácil possível. Mas pode ser interrompido e sabendo o que procurar e empregando treinamento quando necessário, você pode tentar garantir que sua organização não se torne uma vítima.

Deixe uma resposta

Instagram

[instagram-feed num=6 cols=6 showfollow=false showheader=false showbutton=false showfollow=false]
%d blogueiros gostam disto: