O quishing é um ataque de phishing que utiliza códigos QR para enganar as pessoas, levando-as a visitar sítios Web prejudiciais ou a descarregar malware. Os cibercriminosos exploram a versatilidade dos códigos QR, que podem conter ligações, documentos ou portais de pagamento, para enganar as pessoas.
Durante a pandemia de Covid-19, um pequeno quadrado a preto e branco estabeleceu-se firmemente entre as selfies de vacinas e os toques de recolher: o código QR. Pouco antes, tinha sido dado como morto e quase não valia a pena pegar no smartphone, mas agora transformou-se rapidamente numa espécie de ferramenta polivalente. Testes rápidos, aplicações de alerta, certificados de vacinação, bilhetes de comboio, pagamentos sem contacto... ou, em suma: a porta de entrada para a vida normal. É um facto bem conhecido que não há luz sem sombra. Por isso, o potencial de perigo que está contido nesta pequena caixa discreta é aterrador.
Quishing: o regresso calamitoso do código QR
Um código de barras bidimensional, que parece ser o resultado natural e orgânico do nosso desejo de aceder a tudo tão rápida e facilmente quanto possível - com tudo à distância de um simples scan. Permite a transferência imediata de grandes quantidades de informação. Tanto a sua facilidade de utilização como a pandemia serviram de catalisadores para um novo tipo de ataque de phishing: o chamado quishing, um termo que combina "QR" e "phishing".
Nos ataques tradicionais de phishing, os cibercriminosos utilizam mensagens de correio eletrónico, mensagens instantâneas ou sítios Web duvidosos para obter palavras-passe e outros dados pessoais.
No caso dos ataques de quishing, os criminosos aproveitam as características acima mencionadas dos códigos QR para esconder informações enganosas por detrás dos cheques a preto e branco. As mensagens de correio eletrónico de quishing são normalmente concebidas com grande cuidado - poder-se-ia mesmo dizer, com amor. São feitos para parecerem autênticos. Aparentemente, já não está em voga entre os cibercriminosos tentar seduzir potenciais vítimas com a notícia de uma herança multimilionária. Mesmo que alguns dos potenciais destinatários gostassem certamente de uma viagem imaginária a uma residência de verão de sonho em Saint-Tropez, especialmente durante os meses sombrios de inverno.
Os cibercriminosos de hoje preferem uma abordagem subtil. Visam as fraquezas do espírito humano. A sensação de tortura insuportável quando se tem de lidar com procedimentos incómodos. Por isso, ameaçam encerrar uma conta bancária ou a conta de utilizador de uma loja online favorita.
A conceção sem contacto seguida da queda
Os mecanismos de segurança convencionais apenas analisam anexos padrão e URLs. No entanto, essas medidas tendem a falhar com os códigos QR. Entre os esquemas mais populares contam-se os pedidos de aceitação de uma política de dados actualizada ou os pedidos de criação de um novo procedimento de segurança. E, claro, tudo isto pode ser feito de forma simples e cómoda através da leitura de um código QR. A caixa de ferramentas dos criminosos contém até documentos importantes, que podem ser descarregados sem esforço através de um código QR.
É compreensível que os destinatários queiram livrar-se desta mistura desagradável de emoções o mais rapidamente possível: a impressão de serem forçados a agir, combinada com o desejo de se voltarem para coisas mais agradáveis agora mesmo. Mas quem é que não gosta de saborear a sensação de produtividade depois de ter resolvido aquele incómodo problema bancário? A leitura do código é apenas uma questão de segundos - muitas vezes com consequências desastrosas. Ao contrário do caso de Santa Maria, esta conceção sem contacto pode transformar-se em pecado.
Moreias à espreita de dados
Aqueles que aceitam os pedidos enganosos dão por si em sítios Web falsos, elaborados com grande atenção aos pormenores. Afinal de contas, o cabeçalho deve ter exatamente o mesmo tom de azul real que o logótipo do Volksbank que foi retirado do sítio Web original. São utilizadas várias técnicas para disfarçar as ligações maliciosas e contornar as mensagens de aviso. Um método comum consiste em utilizar indevidamente sistemas de gestão de conteúdos como o WordPress e os seus plugins. Escondidos atrás de páginas de destino falsas, atraem as potenciais vítimas para a sua armadilha. Também há relatos de cibercriminosos que utilizam o servidor proxy de feeds do Google "FeedBurner" para fins de redireccionamento. Outra prática comum é a utilização de um domínio personalizado para o processo de redireccionamento, bem como para o próprio site de phishing. O perigo é iminente, mesmo que os sistemas de defesa contra o malware não dêem o alarme.
Uma vez criada a ilusão perfeita, os cibercriminosos só querem uma coisa: dados pessoais. Como uma moreia à espreita na sua caverna, à espera de se apoderar dos nomes de utilizador e das palavras-passe. Demasiados destinatários esquecem-se de todas as precauções quando o dia de trabalho está a chegar ao fim, com um copo de sol a chamar por eles a partir do terraço. Esquecem-se da letra adicional no URL e, poucos segundos depois, os seus dados são introduzidos na interface de registo de aspeto enganador e realista. Os URLs de phishing dirigidos aos clientes da Sparkasse começam frequentemente por "spk-", enquanto "vr-" é um prefixo comum para sites falsos do Volksbank.
Em ambientes profissionais, existe um risco particular quando smartphones privados contornam os mecanismos de segurança interna de uma empresa. O quishing é ideal para este fim. Depois de o código perigoso ter sido analisado, o conteúdo malicioso infiltra-se secretamente no dispositivo móvel. A partir daí, chega rapidamente às caixas de correio eletrónico, aos detalhes de contacto ou aos documentos geridos através de soluções na nuvem. A porta de entrada perfeita. Se um ataque deste tipo ocorrer e afetar dados críticos, é provável que o fogo se espalhe e infecte os recursos da empresa. Um tipo de malware que tem atraído recentemente uma atenção especial é o ransomware. O seu potencial de ameaça é enorme. Um imperativo sinistro e, de acordo com o BSI (Gabinete Federal Alemão para a Segurança da Informação), a sua capacidade de dano é multiplicada quando afecta as redes das empresas.
Correio eletrónico de pirataria do Volksbank & Sparkasse
Reginheri digital
O objetivo do ransomware é encriptar os dados do utilizador. Uma vez concluído este processo, a vítima depara-se com um pedido de resgate. O número de empresas afectadas é chocantemente elevado. Os seus processos informáticos e comerciais são interrompidos. Além disso, os criminosos ameaçam frequentemente divulgar ou vender os dados. Visam empresas de todas as formas e dimensões. De acordo com o Cyber Readiness Report publicado pela Hiscox em 2022, 48% das empresas alemãs pagam um resgate após um ataque deste tipo. O montante extorquido é frequentemente da ordem dos seis dígitos de euros. No entanto, de acordo com o BSI, em alguns casos foram exigidas quantias de oito dígitos.
Muitas vítimas ficam chocadas quando descobrem que os criminosos continuam a fazer exigências mesmo depois de terem pago. Poder-se-ia pensar que os criminosos poderiam ter surgido de um documentário de história moderadamente excitante. Estes cenários fazem lembrar o ano de 845, quando o líder viking Reginheri cercou Paris. Carlos, o Calvo, rei da França Ocidental, decidiu que a resistência era inútil e pagou uma soma de 7.000 libras de prata para que as tropas dinamarquesas se retirassem. À semelhança dos seus colegas do ciberespaço, 1200 anos mais tarde, os nórdicos e as damas de escudo não conseguiram resistir à tentação de extorquir mais pagamentos. Por isso, continuaram os seus ataques.
Os criminosos modernos podem não ostentar barbas trançadas ou machados de batalha nos ombros, mas levam a sério as suas exigências, mesmo quando o resgate já foi pago. Quer cedam ou não às tentativas de extorsão, as consequências são geralmente graves para os indivíduos, as empresas e as instituições públicas. O quishing pode causar danos enormes: perda de dados e de reputação, violações do RGPD ou perdas financeiras, para citar apenas alguns exemplos.
Como posso proteger-me do Quishing?
A questão pode não ter o mesmo potencial cinematográfico dos ataques vikings, mas tem o mesmo grau de suspense: como é que nos podemos proteger da pesca?
"Em caso de dúvida, não digitalize nenhum código QR" - esta é uma resposta bastante óbvia, mas ainda assim válida. No entanto, os problemas tendem a surgir nos casos em que não parecem existir quaisquer dúvidas. Os cibercriminosos são hábeis na exploração de disposições e necessidades humanas profundamente enraizadas para manipular indivíduos - a chamada engenharia social. Basta um pouco de ignorância para completar o cocktail da catástrofe. É por isso que é tão difícil protegermo-nos sem falhas. No entanto, existem algumas regras simples que ajudam a minimizar o risco:
- Tratar os códigos QR como se fossem ligações. Quer os encontre em cartazes de campanhas de guerrilha, em documentos ou em mensagens de correio eletrónico, os códigos QR são essencialmente ligações e apresentam os mesmos riscos.
- Não introduza quaisquer dados sensíveis. Os fornecedores de serviços respeitáveis nunca enviarão uma mensagem de correio eletrónico a pedir-lhe que forneça credenciais de início de sessão confidenciais.
- Verifique sempre o endereço de correio eletrónico ou a barra de endereços do navegador se já estiver a aceder a uma página Web duvidosa.
- Verificar cuidadosamente o conteúdo das mensagens de correio eletrónico e dos sítios Web. Os erros de digitação divertidos já não são uma caraterística distintiva do cibercrime. A maioria dos textos está bem redigida. No entanto, o BSI menciona várias características que devem levantar suspeitas, mesmo que apenas uma delas se aplique:
- Necessidade urgente de ação
- Ameaças de consequências graves em caso de incumprimento
- Pedido de introdução de dados sensíveis
- A mensagem de correio eletrónico contém ligações, códigos QR ou formulários
- Pedidos invulgares de uma pessoa ou organização conhecida
- Em caso de dúvida, verificar novamente através de um canal de comunicação oficial do prestador de serviços em questão
- Nunca descarregue ou abra ficheiros de anexos de correio eletrónico ou de sítios Web, a menos que tenha a certeza absoluta de que são genuínos.
Utilize a autenticação de dois ou vários factores. Mesmo que os criminosos consigam deitar a mão aos seus dados, faltar-lhes-á um fator adicional para iniciar sessão.
Tal como as imagens dos pulmões dos fumadores nas embalagens de cigarros, o medo e as regras de conduta simplificadas só têm um sucesso moderado - são normalmente esquecidas ao fim de poucos dias. Isto significa que a segurança da informação deve ser integrada na filosofia da empresa. Por isso, a nossa dica mais importante é a realização de uma formação contínua de sensibilização para a segurança e a promoção da sensibilização na sua empresa. Afinal, o desconhecimento destas questões por parte dos colaboradores continua a ser o maior problema quando se trata dos vários riscos relacionados com o tabnabbing ou outros ciberataques. Explore a forma como o nosso programa de sensibilização de formação cibernética para funcionários pode reforçar as defesas da sua organização contra o tabnabbing e várias outras ameaças em linha.
