Você abre sua caixa de entrada. A linha de assunto é urgente. Alega ser do seu banco. Dizem que sua conta está bloqueada. Se você não clicar no link e fazer login agora, perderá tudo.
Seu coração pula uma batida. Esse pânico? Esse é o gancho.
Isso é phishing, um golpe digital projetado para roubar sua vida. Não se trata apenas de perder algumas centenas de dólares. É sobre roubo de identidade. Trata-se de permitir que estranhos esvaziem suas contas, façam compras em seu nome ou até mesmo usem seu computador para lavagem de dinheiro sem você saber.
A maioria das pessoas pensa no phishing como um e-mail desagradável que finge ser a Amazon ou uma empresa de cartão de crédito. E claro, essa é a face mais comum da fera. Mas o e-mail é apenas a isca. A armadilha é muito mais profunda.
A anatomia de uma fraude digital
Phishing não é mágica. É um processo. Um ciclo frio e calculado que evoluiu desde que a palavra apareceu pela primeira vez em 1996. O termo em si é um trocadilho com “pesca”, o que implica que os criminosos estão lançando redes para ver que informações conseguem capturar.
Veja como o maquinário realmente funciona.
Planejamento. Os atacantes decidem quem atacar. Eles não apenas adivinham. Eles usam as mesmas técnicas de coleta de dados que os spammers. Eles raspam endereços. Eles compram listas. Eles identificam a base de clientes de um banco ou varejista específico.
Configuração. Depois que os alvos são escolhidos, a infraestrutura aumenta. Eles criam um endereço de e-mail falsificado que parece legítimo. Eles constroem um site falso. Este site reflete o real tão perfeitamente que até mesmo um olho treinado pode hesitar.
O ataque. A mensagem chega à sua caixa de entrada. Ele usa pressão psicológica. Isso cria urgência. Ameaça perda imediata. Exige ação imediata.
Coleção. Você clica. Você digita sua senha. Você insere seu número de Seguro Social. Os dados fluem para o banco de dados do invasor.
As Consequências. É aqui que o verdadeiro dano acontece. Os ladrões usam suas credenciais para fazer compras ilegais. Eles cometem fraude. E aqui está a parte assustadora: estudos sugerem que até 25% das vítimas nunca recuperam totalmente das consequências financeiras e emocionais.
Por que seu software de segurança não pode salvá-lo
Contamos com firewalls e software antivírus para nos manter seguros. Mas o phishing não invade apenas o seu computador. Ele hackeia você.
Ele explora pontos fracos tanto no software do lado do cliente quanto na segurança do lado do servidor. Mas, no fundo, é uma agitação antiquada. Depende da confiança. Baseia-se na suposição de que um e-mail de “[email protected]” é na verdade do seu banco.
Os criminosos sabem que a maioria das pessoas está apressada. Eles sabem que você está cansado. Eles sabem que você clicará no link porque a ameaça parece real.
Identificando as bandeiras vermelhas
Então, como você se protege? Você tem que ser cético.
Tenha cuidado com saudações genéricas. “Prezado Cliente” é uma oferta inoperante. Os bancos reais geralmente sabem o seu nome.
Cuidado com as ameaças. Instituições legítimas lhe dirão que há um problema. Eles solicitarão que você faça login em um portal seguro para resolver o problema. Eles não exigirão ação imediata por e-mail.
Se um e-mail solicitar que você verifique sua senha, exclua-a. Nunca forneça informações pessoais por meio de um link em um e-mail.
Denuncie. Se você suspeitar de uma tentativa, denuncie às autoridades competentes. O departamento de fraude do seu banco geralmente é um bom começo.
O ciclo continua
Os phishers não são estáticos. Após um ataque, eles avaliam o que funcionou. Eles ajustam suas mensagens. Eles refinam seus sites falsos. Eles iniciam o ciclo novamente.
O primeiro uso documentado de “phishing” ocorreu há quase três décadas. As táticas mudaram, mas o objetivo continua o mesmo: pescar suas informações.
Você ainda está verificando seu e-mail com o mesmo senso de urgência?
Você não entregaria seus dados bancários a um estranho. A maioria das pessoas sabe melhor. No entanto, os phishers não perguntam. Eles roubam. Para obter essas credenciais, eles precisam trabalhar em torno da psicologia humana. Isso é engenharia social. Não se trata de hackear código. Trata-se de hackear a confiança.
Os golpistas reproduzem marcas familiares. Eles copiam e-mails legítimos com exatidão. Então eles trocam os links. A vítima clica em um botão que parece oficial. Isso leva a uma página fraudulenta. O endereço de e-mail no campo “De:” foi falsificado. Parece real. O endereço “Responder para” é falso. Os links estão ofuscados. Eles escondem o verdadeiro destino. Mas copiar o visual é apenas metade da batalha.
O verdadeiro truque é a urgência. As mensagens de phishing exigem ação imediata. Eles querem que você reaja antes de pensar.
“Aja agora ou perca tudo.”
Essa é a mensagem. Algumas ameaças prometem o cancelamento da conta. Outros afirmam que você fez uma compra que não fez. Você entra em pânico. Você não quer perder dinheiro por uma transação que nunca concluiu. Então você clica. Você segue o link. Você desiste das informações que temia que eles tivessem.
A confiança na automação desempenha um papel importante aqui. As pessoas acreditam que os computadores são objetivos. Eles acham que algoritmos não cometem erros. Os phishers exploram esse ponto cego.
As mensagens muitas vezes afirmam que uma “auditoria informatizada” encontrou anomalias. Eles dizem que um processo automatizado detectou atividades suspeitas. A vítima acredita que alguém está hackeando sua conta. Eles não acreditam que o sistema cometeu um erro. É mais fácil imaginar um ladrão do que uma falha.
Phishing não é mais apenas e-mail. Os golpistas lançaram uma rede mais ampla.
- Mensagens instantâneas
- Mensagens de celular (SMS)
- Salas de bate-papo
- Banners falsos
- Quadros de mensagens e listas de discussão
- Sites falsos de busca de empregos
- Barras de ferramentas falsas do navegador
O meio muda. O objetivo permanece o mesmo.
Por que software complexo facilita o phishing
Existe uma correlação direta entre a complexidade do software e as vulnerabilidades de segurança. Quanto mais recursos um navegador da web ou cliente de e-mail tiver, mais oportunidades os invasores terão de escapar. À medida que os filtros de segurança melhoram, as táticas de phishing evoluem para contorná-los. É uma corrida armamentista, e as ferramentas nas quais os usuários confiam diariamente geralmente fornecem brechas.
O método mais comum continua sendo a falsificação de endereço. A maioria dos clientes de e-mail permite que os usuários digitem o que quiserem nos campos “De” e “Responder para”. Essa conveniência é útil para pessoas que gerenciam múltiplas identidades, mas é uma mina de ouro para fraudadores. Eles podem criar mensagens que parecem originar-se de fontes confiáveis. Alguns servidores de e-mail agravam esse risco ao permitir conexões à porta SMTP (Simple Mail Transfer Protocol) sem autenticação. Isso permite que os invasores ignorem totalmente as senhas pessoais, instruindo o servidor a enviar mensagens maliciosas diretamente.
Além dos remetentes falsos, os invasores usam vários truques técnicos para enganar os usuários e evitar a detecção.
Links enganosos e código oculto
URLs ofuscados são um vetor primário. Esses links parecem legítimos, mas redirecionam os usuários para sites maliciosos. Os invasores usam várias técnicas para conseguir isso:
- Typosquatting e IDNs: Eles podem escrever incorretamente o URL de uma empresa ou usar registros de nomes de domínio internacionais (IDN). Isso permite que eles usem caracteres de outros alfabetos que parecem idênticos aos caracteres latinos, enganando os olhos.
- Formatos hexadecimais: URLs podem ser codificados em hexadecimal para confundir scanners básicos.
- Instruções de redirecionamento: URLs de aparência legítima podem conter instruções ocultas que redirecionam o tráfego para outro lugar.
- HTML enganoso: O texto exibido pode ser totalmente diferente do destino real. Por exemplo, um link pode parecer apontar para um guia sobre “máquinas zumbis” em um site confiável, mas o HTML subjacente direciona o navegador para um artigo malicioso e completamente não relacionado.
Decepção Visual e Estrutural
Os invasores também manipulam o que você vê na tela. Ao detectar qual navegador e cliente de e-mail você está usando, um phisher pode sobrepor gráficos falsos. Eles podem colocar imagens de barras de endereço e cadeados de segurança sobre a barra de status real. Isso cria uma falsa sensação de segurança.
Janelas pop-up e frames são outra tática comum. O código malicioso pode ser executado em quadros invisíveis ao redor de um site, ou os pop-ups podem cobrir totalmente o conteúdo legítimo. Até mesmo e-mails de texto simples podem ser enganosos. Muitos contêm marcação HTML oculta com palavras invisíveis projetadas para contornar filtros anti-spam.
O risco do pharming
O envenenamento do cache DNS, geralmente chamado de pharming, é particularmente perigoso. Neste ataque, um invasor altera as informações do servidor DNS. Isso pode acontecer por meio de engenharia social, como enganar os representantes de atendimento ao cliente para que façam alterações.
Depois que os registros DNS são alterados, qualquer pessoa que tente visitar o site da empresa falsificada será redirecionada para um site diferente. Isso afeta todos na rede, não apenas usuários individuais. É difícil de detectar porque o navegador do usuário mostra um endereço que parece legítimo, mas o conteúdo está totalmente comprometido.
O panorama da engenharia social mudou. Você não precisa mais de um URL falso e chamativo para roubar dados. Os ataques mais perigosos agora acontecem dentro de navegadores legítimos.
Considere o computador proxy. Este dispositivo fica entre você e o site de destino. Ele registra todas as transações que você faz. O site parece real. A barra de endereço mostra o domínio correto. Mas o tráfego está sendo espelhado.
Os phishers que usam esses métodos não precisam disfarçar seus links porque a vítima está em um site legítimo quando ocorre o roubo de suas informações.
Esta é a armadilha. Você confia no URL. Você digita sua senha. O proxy rouba.
Malware: o cúmplice oculto
Phishing não envolve apenas e-mails. É sobre o que é executado na sua máquina. Os invasores implantam programas maliciosos para fazer o trabalho pesado.
- Key loggers capturam cada pressionamento de tecla. Sua senha? Perdido.
- Trojans de captura de tela tiram instantâneos de sua atividade. Eles relatam isso ao invasor.
- Trojans de acesso remoto (RATs) transformam seu PC em um zumbi. Seu computador se torna um nó em uma botnet. Ele envia e-mails de phishing ou hospeda páginas falsas.
- Bots conversam com você. Eles imitam o comportamento humano em fóruns. Eles coordenam as redes zumbis.
- Spyware rastreia seus hábitos de navegação. Ele aprende seus padrões. Ajuda os invasores a planejar o próximo ataque.
Sua máquina está comprometida. O phisher não precisa induzi-lo a clicar em um link. Eles só precisam que você visite uma página.
Você consegue identificar a diferença?
Quão bem você realmente sabe o que está vendo?
MailFrontier oferece um teste de QI de phishing. Ele verifica se você consegue identificar falsificações. Next Generation Security Software publica um guia sobre outras técnicas. O Antiphishing.org analisa um ataque passo a passo.
É muito para rastrear.
Antiphishing
Por que a segurança básica impede a maioria dos golpes
Você já conhece o procedimento. Firewall ativado. Antivírus ativo. Estas não são apenas palavras da moda; eles são sua primeira linha de defesa contra phishing. Mas se você quer segurança real, precisa olhar mais de perto. Verifique o certificado SSL em qualquer site antes de fazer login. Examine seus extratos bancários linha por linha.
Phishers são desleixados. Eles deixam impressões digitais em seus e-mails e sites. Ao abrir sua caixa de entrada, procure as bandeiras vermelhas.
Saudações genéricas são uma revelação inoperante. “Prezado Cliente” grita fraude. Os bancos legítimos geralmente dedicam algum tempo para digitar seu nome real. (Observação: o spear phishing é a exceção. Esses invasores fazem o dever de casa e usam seu nome, portanto, não baixe a guarda só porque parece pessoal.)
Cuidado com as ameaças. Se um e-mail disser “Responda em cinco dias ou cancelaremos sua conta”, exclua-o. Empresas reais querem o seu negócio. Eles não entram em pânico por causa de alguns dias de silêncio.
Nenhuma empresa legítima solicita senhas ou SSNs por e-mail. Isso era verdade antes da existência do phishing. Ainda é verdade agora.
Os links são onde a armadilha é armada. URLs longos? Caracteres estranhos como o símbolo @ no meio? Erros de digitação? Não clique. Digite o endereço manualmente. Demora mais dois segundos. Isso evita que você perca tudo.
Erros ortográficos são o truque mais antigo do livro. Uma gramática ruim não parece profissional e não deve ser confiável em uma mensagem financeira.
Como os governos e os ISPs estão reagindo
A guerra não é só sua. As empresas e os governos estão reagindo. O governo dos EUA determinou que os bancos utilizassem a autenticação de dois factores até ao final de 2006. Isso significa mais do que apenas uma palavra-passe. Você precisa de um token físico ou de uma verificação biométrica. É um pequeno obstáculo que quebra a cadeia de ataque da maioria dos criminosos.
Provedores de serviços de Internet e desenvolvedores de software oferecem proteções para barras de ferramentas. Essas ferramentas verificam os certificados de segurança instantaneamente. Eles informam onde um site está registrado. Eles analisam os links antes de você clicar. Alguns até fornecem dicas visuais – uma barra verde ou um logotipo específico – que confirmam que você está no site real.
Use-os.
O que fazer quando você se queimar
Se você acha que um e-mail é falso, não responda. Não clique. Não dê nada.
Denuncie à empresa que está sendo personificada. Use o site oficial ou ligue diretamente para eles. Não use as informações de contato no e-mail do suspeito. Você também pode denunciar a tentativa ao Centro Nacional de Informações sobre Fraudes e ao Grupo de Trabalho Antiphishing.
Se você já forneceu seus dados a eles, o estrago está feito. Mas você pode limitá-lo.
- Entre em contato imediatamente com a empresa falsificada.
- Ligue para seu banco, credor ou emissor de cartão de crédito.
- Denuncie a fraude a pelo menos uma grande agência de crédito: Equifax, Experian ou TransUnion.
- Faça um relatório à polícia local.
- Notificar a Comissão Federal de Comércio.
- Denuncie o crime cibernético ao FBI por meio do Internet Crime Complaint Center.
Mude suas senhas. Comece com o site comprometido. Em seguida, altere-os em qualquer outro lugar. Se você reutilizar senhas, estará apenas esperando que o outro sapato caia.
A escala da ameaça
Os números não mentem. Só em Agosto de 2005, ocorreram 13.776 ataques de phishing ligados a 5.259 websites diferentes.
Eles visaram 84 empresas. Mas três empresas sofreram 80% dos impactos.
85% destes ataques atingiram bancos e instituições financeiras. O dinheiro está nas transações.
Os phishers têm sucesso em cerca de cinco por cento das vezes. Essa não é uma taxa de conversão alta, mas em volume é enorme.
57 milhões de usuários da Internet nos EUA receberam pelo menos um e-mail de phishing. Até 1,7 milhão realmente divulgaram suas informações pessoais.
Fonte: NGS Software e AntiPhishing.org
Protegendo seus dados contra ataques de phishing
As empresas também têm um papel a desempenhar. Eles precisam de autenticação multifatorial. Eles precisam de protocolos de autenticação de e-mail. E eles precisam educar seus usuários. Você é o elo mais fraco. Torne-se mais forte.
Se você suspeitar de um e-mail de phishing, pare. Não clique. Não forneça informações. Relate isso à organização. Exclua a mensagem.
É simples. É chato. Mas funciona.
