Os ataques virtuais atuais são variados: combinam estratégias extremamente robustas com táticas mais simples. Criminosos avaliam qual é a melhor abordagem em cada caso. Em algumas situações, o ideal é empreender uma ação bem elaborada e moderna, já em outras, as clássicas ações funcionam. Os ataques de phishing se encaixam na definição de ataque clássico e ainda efetivo.

Trata-se de uma fraude que busca enganar os usuários com mensagens. Hoje, muitos hackers têm usado também engenharia social e pesquisas para personalizar as ofertas e torná-las ainda mais irresistíveis para as vítimas. Assim, conseguem comprometer a segurança, prejudicando o compliance da empresa e o controle de informações pessoais.

Se quiser aprender mais sobre o phishing, a fim de efetivamente combatê-lo, continue lendo este post.

O que é phishing?

Nos primeiros meses de 2020, o número de ataques de phishing aumentou 308% com relação ao mesmo período de 2019, segundo relatório da Axur. É uma das estratégias que têm sido aplicadas em massa, principalmente com informações relacionadas ao atual contexto no qual vivemos.

O phishing é uma ação que cria uma isca para enganar os usuários e extrair dados pessoais importantes deles, como senhas ou dados bancários. Assim, os criminosos se passam por pessoas e empresas confiáveis, muitas vezes, até mesmo simulando o design, a forma de comunicação e outras características. A partir disso e de um texto convincente, conseguem fazer com que as vítimas cooperem.

É um dos ataques virtuais mais antigos e duradouros. Um dos motivos é porque consiste em uma estratégia simples que apresenta menos esforço para os hackers. Afinal, eles não precisam desenvolver mecanismos robustos para derrubar sites ou interceptar mensagens, apenas solicitam dados diretamente e os usuários cedem.

Esse tipo de ação ocorre em diversos canais, sendo que os principais são: e-mail, SMS, redes sociais e sites. No e-mail, uma mensagem de phishing, geralmente, vem como uma simulação de alguma mensagem real, de uma empresa ou órgão.

Contudo, alguns aspectos permitem a identificação: usualmente, os textos apresentam erros ortográficos e gramaticais graves, assinatura incomum, links estranhos, imagens de baixa qualidade e chamadas alarmantes com promessas irreais ou problemas inexistentes.

Os phishers estão interessados em uma ação rápida e impensada do usuário. Por isso, eles tentam estimular uma situação de emergência, como uma oferta muito boa para se recusar ou algum problema grave para ser resolvido. Assim, muitos se passam por bancos ou por empresas concedendo ofertas atrativas. Por conta da proliferação desses ataques, as instituições bancárias até já avisam que não pedem senhas ou dados bancários por e-mail.

No SMS, por conta do espaço menor, criminosos sempre usam links. Então, eles atraem a atenção dos usuários e redirecionam para um domínio suspeito, no qual podem solicitar os dados. Nesses sites, erros e problemas de design também chamam a atenção para o fato de que são feitos às pressas.

Atualmente, os ataques de phishing podem ser direcionados para determinadas pessoas também. Existem os chamados whalings, que visam atingir colaboradores mais importantes em uma empresa ou profissionais respeitados no seu nicho.

Quanto maior a vítima está na cadeia produtiva, mais vantajoso é para os hackers. Para isso, os estrategistas usam engenharia social para personalizar as mensagens de acordo com o que aquele profissional esperaria de fato. É um ataque um pouco mais elaborado.

Quais são os riscos do phishing em um negócio?

Um dos motivos do phishing continuar a ser praticado é a sua eficiência. Os riscos ainda são alarmantes e preocupantes para empresas que desejam se manter seguras. Uma das consequências é o vazamento de dados.

Quando os phishers conseguem acesso a senhas, eles são capazes de invadir os sistemas internos e extrair dados armazenados neles. Desse modo, esses hackers podem expor informações dos seus clientes ou colaboradores e até mesmo planos de negócio, o que representa grandes problemas de reputação e de compliance com as leis principais.

Nesse sentido, a integridade, a confidencialidade e a disponibilidade das informações são comprometidas. Como impacto negativo, a empresa pode enfrentar paradas nas operações e perda de lucratividade e produtividade. Multas e indenizações também são algumas das consequências associadas.

Ademais, também pode haver comprometimento dos ativos de TI da companhia. Caso uma mensagem de phishing envolva links maliciosos com malwares, eles podem se instalar e gerar instabilidade nos sistemas internos. Dessa forma, causam perda de tempo e inatividade, o que prejudica a capacidade de produção.

Como proteger a empresa?

Nesta seção, vamos conhecer as melhores práticas para se proteger de um ataque de phishing.

Antivírus

Evidentemente, é importante usar software antivírus. Eles monitoram o tráfego do usuário, identificam possíveis ameaças e fazem varreduras constantes para verificar o que está acontecendo. Além de serem capazes de diagnosticar se há algum software malicioso rodando, eles também conseguem impedir o usuário de abrir um link suspeito.

Treinamento de pessoal

Boa parte das vítimas de phishing são pessoas não preparadas para lidar com esse tipo de crime virtual. Por isso, o ideal é preparar bem os seus colaboradores para desconfiar de todas as mensagens recebidas e identificar possíveis traços de um crime. Por exemplo, eduque os membros com relação aos erros de escrita, imagens de baixa qualidade, links suspeitos e promessas boas demais.

Filtro anti-phishing nos servidores de e-mail

O e-mail, canal bastante usado para essa estratégia criminosa, também precisa de mecanismos de defesa. Filtros anti-phishing para esses servidores oferecem uma camada a mais de robustez e segurança para combater essas ocorrências.

Eles empregam autenticação multifator, filtros de domínios e técnicas para classificar um e-mail malicioso como spam. Assim, as chances de seus colaboradores visualizarem e serem enganados diminuem bastante. Essa abordagem é um complemento ao treinamento dos membros.

Controle de senhas

As senhas são um dos alvos principais dos phishers, por isso, requerem um cuidado extra. Defina uma política de controle das senhas para otimizar a proteção e evitar que essas abordagens criminosas sejam bem-sucedidas.

Falamos de trocas periódicas de senhas e definição de códigos fortes com combinações distintas para cada conta. Assim, caso uma senha seja comprometida, o criminoso não terá acesso a todas as contas possíveis. Se as senhas são reavaliadas constantemente, os riscos diminuem também.

Threat Intelligence

Para uma detecção de ameaças mais abrangente e eficiente, as estratégias de threat intelligence utilizam históricos de ataques, integração de dados e machine learning. Assim, conseguem rastrear ameaças e chegar às melhores soluções de contingência possíveis.

Falando em ações práticas, esses feeds permitem o rastreamento e monitoramento de IPs e URLs associadas com ataques de phishing e outros crimes, a fim de evitar riscos.

Correlacionamento de informações

Se a gestão deseja otimizar as decisões para assegurar proteção contra o phishing, uma abordagem interessante é o correlacionamento de informações. Com integração e contextualização mais inteligente dos dados, é possível obter insights dos eventos anteriores para evitar que essas ocorrências se repitam.

Consultoria na área de tecnologia

Para solidificar ainda mais as ações e os esforços da segurança, o apoio de uma empresa da área é essencial. Uma consultoria em tecnologia vai ajudar a sua organização na escolha das melhores soluções para evitar phishing e vazamento de dados. Afinal, a parceira tem conhecimento especializado e experiência de trabalhar com várias companhias, e isso a prepara para situações específicas.

Diante dos riscos, a consultoria ajuda a canalizar os investimentos em uma direção correta. Desse modo, a empresa não perde tempo e não se envolve com ações que não trarão o devido retorno.

Ataques de phishing são tradicionais, mas continuam a crescer. Criminosos se aproveitam de situações correntes e oferecem soluções irreais para atrair vítimas a compartilhar senhas e dados importantes. Nesse sentido, para mitigar esses riscos, é fundamental desenvolver um controle de senhas, usar filtros contra essas ações e obter apoio de uma consultoria especializada.

Se quiser continuar otimizando a segurança em sua empresa, principalmente contra esses ataques, conheça as soluções de consultoria da iT.eam.