Estudo mostra que 90% das invasões cibernéticas a empresas começam com ataques de phishing (mais precisamente com um e-mail de phishing).
Esse dado reitera a necessidade de tomar as devidas medidas de segurança para proteger os dados confidenciais e a própria credibilidade da sua empresa.
Uma vez vítima de ataques de phishing, as companhias podem sofrer vários prejuízos, como a exigência de pagamentos de altas quantias para resgatar o acesso aos dados empresariais.
Para manter seu negócio blindado contra ataques de phishing, vale a pena acompanhar a leitura deste guia, amigo leitor.
Nele iremos explicar, com profundidade, o que são ataques de phishing, apresentar exemplos de como esses golpes acontecem na prática e, por fim, mostrar o que deve ser feito para proteger sua empresa desses ataques.
O que são ataques de phishing?
Para entendermos o conceito de “ataques de phishing“, antes é importante sabermos o que significa “phishing“.
Trata-se de uma derivação da palavra “fishing“, que pode ser traduzida como “pesca“. E por que essa palavra é utilizada para designar esse crime cibernético?
Devido à semelhança do ato de pescar com a atuação dos cibercriminosos que praticam esse golpe, jogando iscas para atrair as vítimas.
E o “ph” do “phishing“, de onde vem?
Bom, os primeiros hackers de que se tem notícia eram chamados de “phreaks“. A grafia com “ph” foi adotada para associar os ataques de phishing a essas comunidades clandestinas.
Na prática, os ataques de phishing são tentativas de golpe para obter, de forma ilícita, informações, como:
- Senhas bancárias;
- Números de identidade;
- Dados de cartão de crédito;
- Logins e senhas.
Quem pratica ataques de phishing normalmente finge ser uma instituição confiável (seja banco, o próprio governo, os Correios, e-commerce, provedora de serviços on-line etc.).
E, a fim de atrair a atenção e conquistar a confiança das vítimas, os cibercriminosos que aplicam o phishing abordam assuntos do interesse dessas pessoas, como novas opções de financiamento bancário.
Para não restar dúvida sobre o conceito de ataques de phishing, de maneira objetiva, guarde isto: eles correspondem ao envio de mensagens maliciosas que têm como objetivo obter dados pessoais e financeiros das vítimas.
Geralmente, os ataques de phishing acontecem seguindo estas três etapas:
- Os ataques acontecem normalmente por e-mail, WhatsApp, Telegram e até por chamadas telefônicas;
- Quem pratica ataques de phishing costuma se disfarçar de pessoas ou organizações em que a vítima tende a confiar;
- A finalidade principal da aplicação dos ataques de phishing é obter informações pessoais confidenciais.
Embora haja uma série de técnicas utilizadas em ataques de phishing, duas delas se destacam:
- E-mail ou spam: refere-se a mensagens falsas referentes a bancos ou outras instituições que induzem o destinatário a compartilhar seus dados pessoais. Detalhe: um mesmo e-mail é disparado para vários usuários;
- Malware: depois de o usuário clicar no link malicioso enviado por e-mail, o programa começa a funcionar na máquina dele, coletando informações pessoais.
Quais são os principais tipos de ataques de phishing?
No tópico anterior, citamos dois tipos bem comuns de ataques de phishing. A partir de agora iremos aprofundá-los e apresentar outras técnicas que os cibercriminosos usam para aplicar esses ataques.
E-mail phishing
Esta é a forma mais comum de aplicar ataques de phishing. Nela o golpista envia hiperlinks falsos ao destinatário para o induzir a compartilhar dados pessoais.
Além desses hiperlinks que levam a sites maliciosos, os quais solicitam aos usuários que compartilhem informações pessoais (inclusive credenciais de login), o e-mail phishing pode ter anexos que contêm malware.
Uma vez abertos esses anexos, o sistema do usuário passa a ser infectado.
Para cativar os usuários, os invasores podem se disfarçar de grandes provedores de contas, como Google e Microsoft, por exemplo.
A malícia de quem aplica o e-mail phishing é a de praticar o ataque em massa, a fim de aumentar a chance de algum usuário ser fisgado pela isca.
Phishing de malware
Imagine abrir um e-mail e clicar em um anexo aparentemente confiável — pode ser um currículo ou um extrato bancário, por exemplo — e expor os dados e a rede da empresa a riscos?
Dependendo do anexo de malware, sistemas inteiros de TI podem ser paralisados caso o usuário abra o anexo em questão.
O cuidado que os usuários devem tomar aqui é manter plena atenção às comunicações veiculadas nos e-mails, pois geralmente o phishing de malware se esconde por trás de mensagens muito bem escritas.
Phishing nas redes sociais
Dentre as modalidades de ataques de phishing, outra comum de ser aplicada é pelas redes sociais.
Neste tipo de ataque, o invasor acessa a conta de um alvo (vítima potencial) e força esse usuário a compartilhar links maliciosos com os amigos.
Outra maneira de aplicar o phishing nas redes sociais é criando um perfil falso e usando uma estratégia de “paquera” para cativar a vítima até ela informar seus dados pessoais.
Spear phishing
Enquanto a maioria dos ataques de phishing atua em uma rede ampla, o spear phishing tem como foco um grupo restrito de pessoas.
Para o alcançar, os cibercriminosos apuram informações a partir de pesquisas sobre a vida social e profissional desse público-alvo, descobrindo nome, função, conexões profissionais, bem como interesses pessoais; daí, começam a ameaçá-lo.
Com essa apuração — e obtendo dados íntimos —, fica mais fácil tornar os ataques de phishing personalizados e, consequentemente, mais convincentes aos usuários, aumentando as chances de o golpe ser bem-sucedido.
O objetivo aqui é fazer a potencial vítima pensar que está lidando com uma mensagem autêntica de um cliente, stakeholder ou até mesmo de um colega.
Dessa forma, essa vítima fica mais propensa a compartilhar dados confidenciais e praticar ações danosas.
Whaling
Dos ataques de phishing, o whaling tem como alvo pessoas ou empresas mais proeminentes (no caso de pessoas: CEOs, executivos do alto escalão ou funcionários-chave de alguma companhia).
Não por acaso, o termo “whaling” significa “caça a baleias“. Afinal, os hackers aqui têm como foco pessoas que sejam social e profissionalmente mais bem-sucedidas; os “peixes-grandes”.
No whaling, os invasores fingem ser alguém de confiança (advogados, fornecedores ou colegas de trabalho) com o intuito de extrair da vítima informações confidenciais ou obter acesso a sistemas internos da empresa.
Para os cibercriminosos praticarem esse tipo de ataque, eles precisam fazer uma pesquisa aprofundada sobre a vítima e tornar a mensagem mais personalizada e persuasiva.
Smishing
“Smishing” é a combinação de SMS com phishing. O nome desse tipo ataque é autoexplicativo, ou seja, trata-se da aplicação do phishing por meio de SMS.
Na prática o smishing acontece assim: são enviadas mensagens de texto disfarçadas de comunicação confiável, inclusive de empresas com alcance internacional.
Nesse tipo de invasão, o cibercriminoso disponibiliza um link ou induz o usuário a baixar um app no celular deste.
Se o usuário ceder ao ímpeto e fizer o download do aplicativo, por exemplo, ele irá baixar um malware em seu smartphone, tendo suas informações roubadas e enviadas ao invasor.
Vishing
Vishing é o “phishing de voz”, isto é, o invasor pratica o golpe de phishing por meio de ligação telefônica (muitas chamadas automatizadas são tentativa de vishing).
Para que o ataque aconteça, o golpista se passa por uma instituição financeira ou uma entidade governamental, por exemplo, e, utilizando uma comunicação persuasiva, tenta enganar a vítima para que ela forneça dados pessoais e bancários.
É muito comum, nesse tipo de ataque de phishing, o cibercriminoso lançar mão de estratégias de engenharia social para instalar, no dispositivo da vítima, malwares em forma de aplicativo.
Outra técnica utilizada no vishing é criar um senso de urgência para forçar a vítima a informar dados confidenciais, como número de cartão de crédito e senhas.
Pharming
Dos ataques de phishing que citamos até aqui, não poderia ficar de fora o pharming.
Nesse tipo de golpe, a vítima recebe um código fraudulento instalado em seu computador e, em seguida, esse código encaminha a vítima para um site falso, onde suas credenciais de login são coletadas.
Com a posse dessas informações, os criminosos agem lesando financeiramente (e psicologicamente, claro) a vítima.
Agora que já sabemos o que são de fato os ataques de phishing e quais são os principais deles, chega o momento de entender como proteger a sua empresa desses golpes.
Continue acompanhando a leitura, amigo leitor!
Como blindar sua empresa contra os ataques de phishing?
Vimos que há muitas maneiras de os cibercriminosos praticarem ataques de phishing e, para se protegerem desses ataques, as empresas não devem se restringir a uma medida isolada.
No ambiente corporativo, as lideranças devem abordar a segurança da rede (e dos dados) em camadas, associando tecnologias e estratégias que garantam um alto padrão de segurança cibernética.
Com crimes cibernéticos cada vez mais sofisticados — e isso vale para os ataques de phishing — , embora não haja um comportamento-padrão que as companhias devem seguir, há regras que precisam ser colocadas em prática.
A partir de agora, você vai ficar por dentro das principais delas. Acompanhe, caro leitor!
Promovendo conscientização e treinamentos frequentes
O primeiro passo para prevenir sua empresa contra ataques de phishing é manter a equipe informada sobre o que é esse golpe e sobre como ele é praticado.
Para que a conscientização seja eficiente, é preciso manter os times atualizados sobre os ataques de phishing mais recentes (como eles vêm sendo aplicados?).
Além disso, vale a pena promover treinamentos regulares para os colaboradores, a fim de que eles saibam identificar os ataques e evitar clicar em links suspeitos.
Implementando filtros anti-spam
A área de TI deve implementar soluções que filtram e-mails e anti-spam, mapeando e bloqueando mensagens maliciosas antes mesmo de elas chegarem às caixas de e-mails de vítimas potenciais do phishing.
Como pudemos perceber no tópico anterior, muitos ataques de phishing acontecem por e-mail. Então, um bom filtro anti-spam pode minimizar drasticamente a quantidade de itens suspeitos.
Outro ponto importante aqui é que os usuários nunca devem responder às mensagens de spam, pois, ao responder, mais e mais spam eles receberão, ficando, portanto, mais sujeitos a ataques de phishing por e-mail.
Atualizando os softwares utilizados na empresa
Outra medida para proteger sua empresa contra ataques de phishing é manter todos os softwares atualizados, garantindo as inovações de segurança.
E por que essa ação é importante? Porque muitos ataques de phishing acontecem a partir de vulnerabilidades em softwares desatualizados.
Daí a importância de estabelecer uma rotina de atualização de softwares e de verificação do que precisa ser atualizado para evitar expor a empresa a ataques de phishing.
Adotando uma política de senhas fortes
Os phishers não conseguem invadir o sistema empresarial (nem os dados empresariais) se as senhas da empresa são trocadas com frequência e deixam, portanto, de ser válidas.
Além da troca frequente das senhas, é fundamental criar senhas fortes, utilizando letras, algarismos, símbolos etc.
Usando a autenticação multifator
Provavelmente você utiliza (ou já ouviu falar na) autenticação de dois fatores para proteger suas mensagens de WhatsApp.
A autenticação multifator segue essa lógica. Ela protege o acesso a sistemas e serviços dentro de uma empresa, o que dificulta a atuação dos phishers.
Não clicando em links suspeitos nem baixando anexos
Se receber um e-mail estranho, não clique em anexos, especialmente se eles estiverem nestes formatos: Word, Excel, PDF e PowerPoint.
Outra atitude importante é não clicar em links incorporados às mensagens de e-mail. Em vez de fazer isso, digite a URL em questão para verificar a autenticidade do site e do conteúdo da comunicação.
Desconfiando de mensagens ameaçadoras
Empresas com credibilidade no mercado não costumam mandar mensagens solicitando dados confidenciais dos clientes.
Bancos, seguradoras e outras empresas com as quais você mantém vínculo provavelmente não irão pedir essas informações via e-mail, WhatsApp ou redes sociais.
Em caso de dúvida, entre em contato direto com o gerente do banco onde você tem conta e as esclareça.
Usando um bloqueador de anúncios
Sabe quando você está navegando em um site e, de repente, aparece um pop-up clicável? Pois os pop-ups são intermediários de phishing muito comuns de serem usados. Então, evite clicar nesses anúncios.
Até para os fechar, evite clicar dentro dos pop-ups. Em vez disso, opte por clicar no “X” que fica do lado de fora desses anúncios.
Uma saída mais prática para evitar expor sua empresa a essa vulnerabilidade é utilizar os bloqueadores de anúncios, que bloqueiam a maioria dos pop-ups antes de você vê-los.
Fazendo monitoramento de contas
Em uma empresa, cada colaborador tem a própria conta para acessar os sistemas e os dados corporativos.
Levando isso em consideração, utilizar um sistema de monitoramento de contas e alertas para identificar ações suspeitas, como diversas tentativas de fazer login e acessos realizados de lugares incomuns ou em horários atípicos é uma boa medida para a equipe de TI adotar.
Bom, depois de apresentar essas maneiras de proteger sua empresa contra ataques de phishing, vamos nos despedindo, pessoal.
Antes, porém, gostaríamos de convidar você a conhecer a AM3 Soluções. Saiba que podemos ajudar a blindar seu negócio contra ataques de phishing. Até breve!