O que é phishing? Como funciona esse ataque cibernético e como evitá-lo

O Relatório de Investigações de Violação de Dados de 2020 da Verizon concluiu que o Phishing é a principal ação de ameaça associada a violações, com mensagens e técnicas cada vez mais sofisticadas.

Aqui está o que você precisa saber sobre como esse ataque cibernético funciona e detectá-lo de forma rápida.

Definição de Phishing

A expressão phishing (pronuncia-se “fichin”) surgiu a partir da palavra em inglês “fishing”, que significa “pescando”. Ou seja, os criminosos utilizam esta técnica para “pescar” os dados das vítimas que “mordem o anzol” lançado pelo phisher (“pescador”), nome que é dado a quem executa um phishing.  O termo surgiu em meados da década de 1990 entre hackers com o objetivo de induzir os usuários da AOL, um provedor de serviço online situado em Nova York, a fornecer suas informações de login. 

O objetivo é enganar o destinatário do e-mail fazendo-o acreditar que a mensagem é algo que ele deseja ou precisa – uma solicitação de seu banco, por exemplo, ou uma mensagem de alguém em sua empresa – e direcionar para clicar em um link ou baixar um anexo. 

O que realmente distingue o phishing é a forma que a mensagem assume: os invasores se disfarçam como uma entidade confiável de algum tipo, geralmente uma pessoa real ou uma empresa com a qual a vítima possa fazer negócios.

As informações são então usadas para acessar contas importantes e podem resultar em roubo de identidade e perda financeira. 

Alguns golpes de Phishing bem sucedidos:

• Ano de 2016, quando os hackers conseguiram fazer com que o presidente da campanha de Hillary Clinton, John Podesta, oferecesse sua senha do Gmail.

• O ataque “fapenning”, no qual fotos íntimas de celebridades foram tornadas públicas, foi originalmente pensado como resultado da insegurança nos servidores iCloud da Apple, mas foi na verdade o produto de uma série de tentativas bem-sucedidas de phishing. 

• No ano de 2016 novamente, os funcionários da Universidade do Kansas responderam um e-mail de phishing e entregaram o acesso às informações do depósito de seu salário, resultando em perda de pagamento.

Como o ataque de Phishing aparece?

Se há um denominador comum entre os ataques de phishing, é o disfarce. 

Existem algumas maneiras diferentes de dividir os ataques em categorias. Geralmente, uma campanha de phishing tenta fazer com que a vítima faça uma das seguintes coisas:

• Boas demais para ser verdade: Ofertas lucrativas que são projetadas para atrair a atenção das pessoas, imediatamente. Por exemplo, um e-mail dizendo que você ganhou um iPhone, uma loteria ou algum outro prêmio luxuoso. Lembre-se que, se parece bom demais para ser verdade, provavelmente é phishing!

• Senso de Urgência: Uma tática favorita dos cibercriminosos é pedir que você aja rápido porque os negócios são por tempo limitado. Alguns até dirão que você tem poucos segundos para responder. Às vezes, eles dirão que sua conta será suspensa a menos que você atualize seus dados pessoais imediatamente. Em caso de dúvida, visite a fonte diretamente, em vez de clicar no link do e-mail.

• Hiperlinks: Passar o mouse sobre um link mostra a URL real para onde você será direcionado ao clicar nele. É necessário atenção, pois pode ser um site popular com algum erro ortográfico, por exemplo.

• Anexos: Se você receber um anexo em um e-mail inesperado ou que não faça sentido, não abra! Como muitos spams, esses tipos de e-mail de phishing têm como objetivo fazer com que a vítima infecte seu próprio computador com malware, um software intencionalmente feito para causar danos a um computador, servidor, cliente, ou rede de computadores. Frequentemente, as mensagens são “direcionadas” – elas podem ser enviadas a um funcionário de RH com um anexo que pretende ser o currículo de um candidato a emprego, por exemplo. Esses anexos são geralmente arquivos zip. ou documentos do Microsoft Office com código incorporado malicioso. A forma mais comum de código malicioso é o ransomware – em 2017, estimou-se que 93% dos e-mails de phishing continham anexos de ransomware. 

Leia mais: O que é e por que devemos nos preocupar com Ransomware?

Os e-mails de Phishing podem ser direcionados de várias maneiras diferentes. A Ironscales, uma plataforma de segurança de e-mail baseada em I.A, registrou as marcas mais populares que os hackers usam em suas tentativas de phishing. 

Das mais de 50.000 páginas de login falsas que a empresa monitorou, estas foram as principais marcas usadas pelos invasores:

• PayPal: 22%
• Microsoft: 19%
• Facebook: 15%
• eBay: 6%
• Amazon: 3%

Quais os ataques de Phishing mais comuns?

Alguns ataques de phishing têm como objetivo obter informações de login ou infectar os computadores de pessoas específicas. Os atacantes dedicam muito mais energia para enganar as vítimas, que foram selecionadas porque as recompensas potenciais são muito altas. 

• Spear Fishing: Nome dado para quando os invasores tentam atrair um indivíduo específico. A imagem é de um pescador mirando em um peixe específico, em vez de lançar um anzol com isca na água para ver quem o morde. Por exemplo, o cibercriminoso pode ter como alvo alguém do departamento financeiro e fingir ser o gerente da vítima solicitando uma grande transferência bancária em curto prazo. 

• Whaling: Whale Phishing, ou whaling, é uma forma voltada para peixes muito grandes – CEOs ou outros de alto valor. Muitos desses golpes têm como alvo os membros do conselho da empresa, que são considerados particularmente como vulneráveis: costumam usar endereços de e-mail pessoais para correspondência comercial, o qual não possui as proteções oferecidas pelo e-mail corporativo. 

• Vishing: Phishing por telefone.Normalmente, a vítima recebe uma chamada com uma mensagem de voz disfarçada de comunicação de uma instituição financeira. Por exemplo, a mensagem pode pedir ao destinatário para ligar para um número e inserir as informações da conta ou PIN para segurança ou outros fins oficiais. No entanto, o número de telefone toca diretamente para o invasor por meio de um serviço de voz sobre IP.

• Smishing: É um ataque cibernético que usa mensagens de texto enganosas para enganar as vítimas. O objetivo é fazer com que você acredite que chegou uma mensagem de uma pessoa ou organização confiável e, em seguida, convencê-lo a tomar uma ação que forneça ao invasor informações exploráveis ​​-como credenciais de login de conta bancária, por exemplo, ou acesso ao seu dispositivo móvel.

Como identificar um e-mail fraudulento?

Organizações legítimas normalmente não solicitam informações confidenciais por e-mail. O LogMeIn nunca enviará um e-mail para você com qualquer uma das seguintes informações confidenciais:

• Verifique as informações da sua conta – exceto para verificar o seu endereço de e-mail após o registro.
• Peça sua senha.
• Confirme as informações pessoais, como idade, número do seguro social ou endereço residencial.
• Fornecer informações de natureza financeira.
• Baixe um novo produto ou certificado SSL de um link fornecido.

Fui vítima de Phishing, e agora?

• Limpe o sistema do seu computador de possíveis malwares (incluindo key loggers) – Limpe imediatamente seu sistema para remover qualquer malware e key loggers que possam ter sido instalados.
• Alterar senhas – Assim  que seu dispositivo estiver limpo, altere todas as senhas que você possa ter revelado. Se você usou a mesma senha para vários recursos, certifique-se de alterá-la para cada conta e não use essa senha no futuro.
• Proteja o seu computador – certifique-se de manter um software antivírus, anti-spyware e de segurança da Internet eficaz para ajudar a combater o phishing.

Segurança de classe mundial agora está incluída no LogMeIn Central. Assuma o controle e reduza o risco de ameaças cibernéticas com nosso módulo de segurança robusto que inclui atualizações de aplicativos, atualizações do Windows e, agora, LogMeIn Antivírus com funcionalidade de firewall. A solução antivírus do LogMeIn Central protege sua empresa e seus clientes de ameaças conhecidas e desconhecidas, incluindo malware, vírus e muito mais.

As últimas adições de recursos ao LogMeIn Antivirus incluem:

• Firewall – Sinta-se mais seguro com relação aos funcionários que trabalham de qualquer lugar com a funcionalidade do firewall, monitorando o tráfego, bloqueando trojans, mantendo hackers fora de sua rede e interrompendo key loggers.
• Capacidades de controle do dispositivo – defina a ação para sempre verificar, pedir para verificar, não verificar ou bloquear a verificação quando dispositivos USB estiverem conectados.
• Antiphishing – Bloqueie sites conhecidos de phishing e fraudulentos ao navegar.
• Modo silencioso – execute o LogMeIn Antivirus em segundo plano para evitar que os usuários acessem as configurações do antivírus.