Phishing: como se proteger de ataques virtuais

0
309
phishing
Planilhas Prontas em Excel

Os ataques de phishing constituem uma grande parte do que consideramos como “hacking” ou “cibercrime”.

De acordo com a equipe de Inteligência de Fraude e Risco da RSA, os ataques de phishing tiveram um tremendo aumento no uso desde 2018.

Eles foram responsáveis ​​por quase metade de todas as fraudes durante o último trimestre de 2018, com Canadá e Estados Unidos sendo os países mais visados.

Além disso, os ataques de phishing também começaram a ser usados ​​por meio de aplicativos fraudulentos e navegadores móveis.

Outra tendência em desenvolvimento é o phishing de voz, ou “Vishing”, em que sistemas de linguagem automatizados são usados ​​por hackers mal-intencionados para tentar obter informações confidenciais pelo telefone.

Embora esses ataques sejam direcionados a todos, essas empresas e entidades nos setores de finanças e saúde precisam prestar atenção redobrada.

Informações pessoais, médicas e financeiras são muito procuradas no mercado negro.

O objetivo deste artigo é ajudar você e sua empresa a prevenir, detectar e se proteger contra ataques de phishing.

O que são ataques de phishing?

Ao contrário da crença de muitas pessoas, o ato criminoso de hackear nem sempre envolve um software sofisticado (vírus) para entrar nos sistemas da empresa ou nos computadores dos indivíduos.

É verdade que o malware desempenha um papel, mesmo no phishing, o principal meio de ataque explora um tipo diferente de vulnerabilidade – os usuários finais.

Os ataques de phishing nada mais são do que tentativas fraudulentas de cibercriminosos de obter informações pessoais ou confidenciais

  • Nomes de usuário;
  • Senhas;
  • Contatos de e-mail;
  • SSNs;
  • Dados médicos;
  • Dados financeiros.

Eles fazem isso se passando por uma figura ou entidade confiável e se comunicam com suas vítimas principalmente por e-mail ou mensagens instantâneas.

Depois que a confiança for estabelecida, as vítimas serão redirecionadas para um site falso, mas de aparência legítima, onde serão solicitadas a inserir suas informações pessoais.

O phishing usa algo chamado “engenharia social”.

No contexto da segurança de TI, a engenharia social é a manipulação psicológica dos usuários da Internet para realizar ações específicas contra seus interesses.

Além disso, é necessário que eles divulguem informações como nomes de usuário e senhas.

Na maioria dos casos, este é apenas o primeiro passo como parte de um esquema de fraude maior para obter acesso a mais pessoas ou para se infiltrar no sistema de uma empresa usando as credenciais do funcionário (vítima).

A parte realmente frustrante sobre os ataques de phishing, entre todos os outros tipos de crimes cibernéticos, é que eles são os mais fáceis de proteger.

Apesar disso, são também os mais absolutos e bem-sucedidos; causando estragos no espaço digital.

Diferentes tipos de ataques de phishing

Outra forma de classificar os ataques de phishing é em termos de seu método de direcionamento.

Enquanto alguns ataques não usam um direcionamento específico e são enviados para milhares de caixas de entrada, outros são feitos sob medida para pessoas específicas.

Abaixo estão alguns exemplos de ataques de phishing:

Phishing em massa

O tipo mais comum é o phishing em massa. Estes são os mais facilmente reconhecíveis, contêm erros, inconsistências e geralmente são feitos de maneira grosseira.

Eles são enviados para centenas de milhares de caixas de entrada, na esperança de que algumas sejam vítimas do golpe.

Spear Phishing

Spear phishing, por outro lado, é mais direcionado.

Ele usará informações pessoais (nome, cargo, empresa, número de telefone e quaisquer dados primários que eles tenham sobre você) para convencê-lo a seguir seus comandos.

Whale Phishing

Também conhecido como “whaling”, esse tipo de ataque é semelhante ao spear phishing, mas direcionado aos peixes grandes – CEOs, membros do conselho ou outros em cargos de gerenciamento importantes.

Mesmo que os hackers precisem de mais tempo e energia para coletar dados e adaptar os e-mails com perfeição, a recompensa valerá o esforço.

Clonar phishing

Este ataque terá como alvo indivíduos ou organizações específicas, copiando/clonando um e-mail legítimo enviado anteriormente e fazendo com que pareça quase idêntico.

Em seguida, ele é enviado ao destino contendo um link ou anexo corrompido.

O e-mail também é falsificado (endereço do remetente forjado), fazendo com que pareça que veio do remetente original.

Geralmente, eles são feitos para parecer um reenvio ou atualização do e-mail inicial.

Pharming

Em vez de atrair as pessoas, o ataque pharming tem como alvo um servidor DNS, alterando o endereço IP associado a um site que você deseja acessar.

Portanto, mesmo se você inserir o nome correto do site em seu navegador, ainda será redirecionado para uma versão maliciosa dessa página.

Tabnabbing

Semelhante ao pharming, tabnabbing não atinge a vítima diretamente. Em vez disso, ele carrega uma página falsa em uma das guias abertas do usuário.

Se, por exemplo, você visitou sua conta bancária em algum momento, mas deixou essa guia aberta, os hackers podem substituí-la por uma de aparência idêntica – apenas esperando que você reintroduza seu nome de usuário e senha em algum momento no futuro.

Pharming e tabnabbing podem ser evitados usando um sistema de segurança de verificação em duas etapas (2SV) ou observando o “https: //” no início do endereço do site.

Sites seguros sempre começam com “https: //”

Como se manter protegido contra ataques de phishing?

Há várias coisas que você pode fazer para manter você, sua empresa e seus dados confidenciais protegidos contra golpes de phishing.

Não clique em links suspeitos

Em vez de clicar diretamente em um link em um e-mail, passe o cursor do mouse sobre ele. Páginas da web maliciosas terão links incorporados de aparência estranha.

Além disso, crie o hábito de verificar o endereço (URL) de um site, mesmo que pareça legítimo. Os sites seguros sempre começam com “https: //”.

Evite pop-ups

Os hackers gostam de usar pop-ups como componentes legítimos de um site.

A maioria dos navegadores permite que você bloqueie esses pop-ups, mas se alguns conseguirem escapar, é melhor não clicar no botão “cancelar”, mas sim no “x” no canto superior da janela.

Em caso de dúvida, contate diretamente

Se o e-mail parecer suspeito e o suposto remetente for alguém que você conhece (amigos, colegas, etc.), entre em contato diretamente para saber se eles enviaram o e-mail.

Use seu telefone ou outro meio de comunicação que não o e-mail.

Caso não o tenham enviado, encaminhe uma cópia do e-mail para a equipe de TI para que avaliem a situação.

Se o e-mail suspeito for de uma entidade (banco, escola, governo, provedor de serviços etc.), pesquise suas informações de contato no site oficial, ligue para eles e pergunte sobre o e-mail.

Não utilize a mesma senha em vários sites diferentes

Os hackers sabem que a maioria das pessoas usa a mesma senha em contas diferentes.

Se eles conseguirem colocar as mãos nele, eles podem ter acesso em qualquer lugar, incluindo os sistemas da sua empresa.

Use uma ferramenta de gerenciamento de senhas para ajudá-lo a controlar as diferentes senhas.

Não publique informações pessoais online

Postar muitas informações pessoais sobre você nas redes sociais (data de nascimento, educação, emprego anterior, status de relacionamento etc.) pode ser usado contra você em ataques de phishing mais direcionados.

Tente limitar essas informações o máximo possível.

Mantenha tudo atualizado

Embora muitos de nós consideremos as atualizações e patches do sistema uma inconveniência, poderíamos dispensá-las, elas são incrementais para manter nossos sistemas alinhados com os desenvolvimentos mais recentes no mundo do crime cibernético.

As atualizações são tudo, desde firewalls, software antivírus, sistema operacional, navegador, etc., sempre que novos patches estão disponíveis.

Não esqueça de comparar diversos programas de antivírus antes de escolher um para sua proteção.

Treinamento de Conscientização do Usuário Final

Provavelmente, a melhor defesa contra ataques de phishing é o conhecimento.

Você pode treinar a si mesmo e sua equipe sobre essas questões, tendências e práticas recomendadas para não deixar você ou sua organização expostos a ransomware ou roubo de dados.

Os ataques de phishing são a ameaça cibernética mais gerenciável contra a qual se proteger.

É mais uma questão de reconhecer o perigo e não agir de acordo com o que o cibercriminoso deseja que você faça.

Os seres humanos são a primeira e a última linha de defesa quando se trata de ataques de phishing, portanto, ser educado é o melhor primeiro passo na prevenção.

Planilhas Prontas em Excel

DEIXE UMA RESPOSTA

Por favor, escreva o seu comentário
Por favor, digite seu nome