Spear Phishing... tal como o phishing, mas um pouco mais directo
Já todos ouvimos falar do termo phishing e como funciona, onde um e-mail genérico é enviado com um URL ou anexo encriptado e quando é clicado "BOOM"... já foi apanhado. Mas, o que estamos a ver agora é um aumento do phishing de lança.
O Spear phishing é tecnicamente o mesmo, mas com uma abordagem mais directa e direccionada. Os hackers passarão algum tempo a procurar um indivíduo ou um pequeno grupo de pessoas na sua própria vida, interesses e função e criar um e-mail que pareça legítimo e interessante, suficientemente interessante para clicar. E se essa pessoa clicar que activa o malware, isto pode espalhar-se e causar efeitos prejudiciais dentro do negócio
.
O Federal Bureau of Investigation realizou uma investigação detalhada sobre o phishing e informou que a maior parte do phishing é dirigido a empresas que utilizam "transferências electrónicas como método comum de transferência de fundos para fins comerciais". Isto também é conhecido como o esquema BEC que é definido como "...esquema sofisticado que visa empresas que trabalham com fornecedores estrangeiros e/ou empresas que efectuam regularmente pagamentos por transferência electrónica. O esquema é levado a cabo comprometendo contas de e-mail comerciais legítimas através de engenharia social ou
técnicas de intrusão informática para realizar transferências não autorizadas de fundos".
- Perdas em dólares expostos combinados = $3.086.250.090.
- Desde Janeiro de 2015, houve um aumento de 1.300% nas perdas expostas identificadas
- Foram enviadas transferências fraudulentas para 79 países, tendo a maioria ido para bancos asiáticos
localizados na China e Hong Kong.
- As vítimas domésticas e internacionais totalizam 22.143
Aqui está um rápido olhar sobre como os "pescadores furtivos" alvejam e apanham
Facebook- As suas actualizações podem dar muito sobre si como pessoa. Os seus hábitos de consumo, o nome do seu cão, uma fotografia sua recentemente de férias na Grécia ou a compra do seu adorável carro novo. Os phishers podem criar um email credível pedindo-lhe para rever as suas recentes férias ou para comprar comida de cão com desconto que tenha o nome do seu cão, o que incluiria um link cheio de malware. Não estamos a dizer que nunca mais deve actualizar nada, mas esteja atento e pense antes de publicar ou clicar!
Twitter- O seu twitter está cheio de hashtags, #sister #bestfriend #family... e normalmente ligado a estes são tags de nomes de pessoas, localizações e até imagens. Isto torna mais fácil para os pescadores furtivos criar uma persona "escondida atrás". Se recebesse um e-mail com o nome da sua irmã, automaticamente pensaria que está bem e nunca pensaria que é um e-mail de phishing, mas infelizmente, por vezes são.
LinkedIn- Tem a sua imagem, o título da sua empresa, o nome da empresa, todos os funcionários ligados e tudo aquilo em que está interessado é visível. Os phishers podem usar isto contra si e para
manipulá-lo. Não é um pensamento assustador? Tudo o que faz online e com o que interage é basicamente construir blocos para o seu próprio ataque de phishing de lança.
Junte-os e será o alvo principal de um escândalo de phishing de lança, que se clicado pode ser enviado aos seus colegas, o que se torna então um efeito de bola de neve. Tenha cuidado, e não comece o
bola de neve.
Spear phishing - Como evitar e reduzir as hipóteses de ser uma vítima
1- Esteja atento - Com todos os seus detalhes online agora, a sua informação pode ser obtida e utilizada muito facilmente. Não dê demasiado, e nunca publique quaisquer dados pessoais como morada, número de telefone ou dados bancários. Ainda aproveite, publique fotos engraçadas, diga aos seus amigos que teve o melhor dia na praia com a sua família, até mesmo diga a todos que comeu um burrito para o seu almoço ... mas tenha cuidado. Se receber um e-mail sobre um "burrito grátis" do seu takeaway favorito à beira-mar, provavelmente não é coincidência!
Esteja atento e permaneça vigilante.
2- Verificar as ligações - Os e-mails de phishing Spear têm normalmente ligações, pedindo-lhe para clicar para alterar uma palavra-passe, verificar detalhes ou inscrever-se em algo novo e exclusivo. Mas antes de clicar, a melhor coisa a fazer é verificar o URL, pairando sobre o link. Se for um esquema de phishing, pode apostar que o URL será algo completamente irrelevante para o e-mail e por vezes seguido por uma linha de números e dígitos aleatórios.
3- Use Logic - Porque é que o seu colega de trabalho quereria saber os seus dados bancários? Porque é que o seu chefe lhe enviaria um link para clicar num link para ver a sua conta telefónica? Muito provavelmente não o fariam, por isso em caso de dúvida, contacte essa pessoa directamente e verifique se enviou o e-mail. E se receber um e-mail de phishing, apague-o imediatamente! Mais vale prevenir do que remediar.
Alguma vez recebeu um e-mail de phishing com uma lança? Acha que consegue detectar um? Diga-nos nos comentários!
