O Phishing existe há muito tempo e sempre provou ser uma forma eficaz de enganar as pessoas com dinheiro e roubar informação pessoal. No entanto, à medida que a nossa paisagem tecnológica evoluiu, os esquemas de phishing que estamos a ver são cada vez mais avançados e enganosos.
Os atacantes aperfeiçoaram as suas capacidades e adaptaram os seus esquemas para enganar o maior número possível de pessoas através de uma série de plataformas diferentes. Kaspersky Lab observou um aumento de 59% nos ataques de phishing em 2017, e espera-se que este número só venha a aumentar. A razão simples é que o phishing funciona.
O seu baixo custo e elevado retorno do investimento tornaram-no uma forma muito lucrativa de defraudar as pessoas. Apesar de um maior conhecimento geral sobre o phishing, milhões continuam a cair diariamente em fraudes de phishing.
A melhor maneira de evitar cair num esquema de phishing é saber como eles são e que métodos são usados para atingir as vítimas. Abaixo estão alguns dos esquemas de phishing mais utilizados para alvejar utilizadores em todo o mundo:
Principais esquemas de Phishing
1. Phishing enganoso
O phishing enganoso é o tipo de esquema de phishing mais frequentemente utilizado. O objectivo de cada ataque de phishing é enganar uma vítima para que revele informações confidenciais e é tipicamente levado a cabo fazendo-se passar por uma empresa legítima ou por uma fonte respeitável. Estes e-mails de phishing criam frequentemente um sentimento de urgência, pelo que o utilizador se sente obrigado a responder ao e-mail o mais rapidamente possível.
Nos últimos anos, os esquemas de phishing têm-se tornado cada vez mais sofisticados e difíceis de detectar. Erros ortográficos e erros gramaticais alertam frequentemente os utilizadores para a presença de um esquema de phishing, mas os e-mails de phishing actuais são bem trabalhados e muitas vezes difíceis de distinguir do verdadeiro negócio.
Os e-mails enganosos de phishing assumem muitas formas diferentes, mas a maioria tentará enganar um utilizador para resolver um problema de conta, tal como actualizar informações de pagamento ou impedir o encerramento de uma conta, clicando num link. Assim que uma vítima clica num link, são muitas vezes direccionados para um site falso quase idêntico que roubará as suas informações pessoais e financeiras.
Os ataques enganosos de phishing imitam frequentemente grandes empresas de marcas como PayPal, Netflix, Apple e Amazon, uma vez que existe uma maior probabilidade de mais pessoas caírem no esquema. Os utilizadores devem estar sempre atentos aos e-mails com uma linguagem genérica, urgente e ameaçadora, erros ortográficos, um URL desajustado, ou pedidos de informação pessoal.
2. Spear Phishing
Alguns dos maiores ciberataques dos últimos anos começaram todos com um único e-mail de phishing de lança. O Spear Phishing é uma tentativa mais orientada para roubar informação sensível e concentra-se tipicamente num indivíduo ou organização específicos. Muito mais reflexão e tempo serão dedicados à elaboração de um ataque de phishing de lança e os autores das fraudes tentarão descobrir o máximo de informação possível sobre a sua vítima para que os emails apareçam o mais legítimo e convincente possível.
Frequentemente recorrerão a websites de empresas e meios de comunicação social para pesquisar as suas vítimas, e assim que tiverem uma melhor compreensão do seu alvo, começarão a enviar e-mails personalizados concebidos para enganar a sua vítima na divulgação de informação sensível.
Os ataques de Spear Phishing podem assumir muitas formas diferentes. Alguns tentarão que uma vítima clique num link que descarregue malware, outros poderão solicitar detalhes de login, ou poderão ser direccionados para um site que contenha anúncios ou software de keylogging.
As medidas de segurança tradicionais podem revelar-se totalmente ineficazes na detecção de emails de phishing de lança, pelo que é vital que os utilizadores permaneçam vigilantes a este método de ataque e verifiquem novamente a validade de quaisquer emails que acreditem ser suspeitos.
3. Phishing nas Redes Sociais
Tem havido um aumento acentuado do número de golpes de phishing realizados nas redes sociais. Um relatório recente do RiskIQ encontrou um aumento de 100% nos ataques de phishing que ocorrem através de plataformas de meios de comunicação social. O phishing nas redes sociais é quando os atacantes utilizam sites de redes sociais como o Facebook, LinkedIn ou Twitter, para enganar os utilizadores a clicar em ligações maliciosas ou a revelar informações pessoais.
Os sítios de comunicação social estão a revelar-se um campo de caça lucrativo para os atacantes, uma vez que podem encontrar uma grande quantidade de informação sobre potenciais vítimas antes de lançarem um ataque direccionado. Os utilizadores tenderão também a ser mais confiantes e menos desconfiados quanto às ligações dentro das mensagens nas redes sociais, deixando-os mais vulneráveis a ataques.
Com os consumidores a interagirem cada vez mais com as marcas através dos seus canais de comunicação social, os autores de fraudes têm sido rápidos a tirar partido desta relação em linha para lançar contas falsas imitando as grandes marcas. As pesquisas indicam que 19% das contas nos meios de comunicação social que parecem representar marcas de topo eram todas falsas.
Para maior protecção contra esquemas de phishing nas redes sociais, os utilizadores devem utilizar sempre definições de privacidade melhoradas, não clicar em ligações suspeitas, nunca aceitar pedidos de amizade de alguém que não esteja familiarizado, e ter cuidado ao partilhar demasiadas informações pessoais.
Imagem: Ligação falsa ao Facebook
Fonte: TrendMicro
4. Phishing com base em malwares
Os cibercriminosos utilizam uma série de ataques de phishing para roubar informação pessoal e financeira, e o phishing baseado no sexo masculino provou ser uma forma extremamente eficaz de atingir as vítimas e lançar ciberataques em grande escala.
O phishing baseado em malwares é quando um atacante envia um anexo de e-mail ou um ficheiro descarregável que uma vez clicado infectará um computador com um vírus, um programa de resgate ou outros programas maliciosos. Foi exactamente isto que aconteceu no infame ataque WannaCry que afectou mais de 200.000 vítimas em 150 países após os seus computadores terem sido infectados com software malicioso.
5. Esquemas de partilha de ficheiros
Os serviços de partilha de ficheiros como o Google Docs e o Dropbox tornaram-se uma forma muito eficaz de atingir os utilizadores com esquemas de phishing. Os sítios são frequentemente utilizados por empresas, pelo que tendem a não ser bloqueados e são por sua vez utilizados como isco em ataques de phishing.
Em 2017, cerca de um milhão de utilizadores do Google Docs foram atingidos por um esquema de phishing que roubou os seus dados pessoais depois de terem clicado num link de phishing. As vítimas receberam um e-mail a dizer: "xxx partilhou consigo um documento no Google Docs", o que, por sua vez, levou os utilizadores a uma página de login falsa no Google. O esquema parecia inteiramente legítimo, pois estava alojado nos servidores do Google, mas assim que os utilizadores introduziram a sua palavra-passe, foram redireccionados para um site malicioso de terceiros.
Nunca é demais salientar que os utilizadores devem estar sempre mais vigilantes quanto a clicar em ligações e descarregar anexos a partir de fontes desconhecidas. A autenticação de dois factores também pode ser utilizada para fornecer uma camada extra de defesa na protecção da segurança das contas em linha.
Artigos relacionados:
Como denunciar um phishing scam?
Este é um phishing website? 5 maneiras de identificar um site de phishing
O que fazer se clicar num link de Phishing
Apesar da crescente sofisticação dos esquemas de phishing, existem várias formas de se proteger online. A MetaPhish foi especificamente concebida para proteger as empresas contra ataques de phishing e de resgate e fornece a primeira linha de defesa no combate ao ciber-crime. Entre em contacto ou obtenha mais informações sobre como podemos ajudar o seu negócio.
