Tudo o que você precisa saber sobre phishing

Os cibercriminosos estão atrás de suas credenciais, veja como se proteger

Os ataques de phishing estão aumentando e são cada vez mais caros para as empresas. O PhishLabs informou que em 2021, os ataques aumentaram 28% em relação ao ano anterior. Hoje, um grande número de ataques cibernéticos começa com e-mails de phishing.

Isso significa que e-mails maliciosos devem ser uma prioridade para as empresas. No entanto, muitas empresas ainda não entendem bem a amplitude e o escopo do problema do phishing, os riscos potenciais ou até mesmo o que realmente é o phishing.

O que conta como phishing?

Qualquer tentativa de obter informações ou dinheiro usando um e-mail fraudulento conta como phishing. Os e-mails de phishing falsificam a aparência de uma mensagem de e-mail real de uma fonte confiável – uma pessoa ou, mais frequentemente, uma empresa como Amazon, Google ou PayPal. Esses e-mails criam uma sensação de urgência para que os usuários sigam um link para uma página onde inserirão suas senhas para evitar um evento adverso – como a conta de e-mail sendo encerrada ou uma cobrança fraudulenta sendo processada – ou para verificar o saldo da conta.

Depois de fazer login, suas informações podem ser roubadas ou seu computador pode ser infectado por malware ou ransomware. Em alguns casos, os cibercriminosos usam os dados para invadir contas, embolsar dinheiro ou fazer compras fraudulentas.

Os golpes de phishing geralmente incluem manipulação de links - usando URLs com erros ortográficos semelhantes aos legítimos. Frequentemente, os phishers usam imagens incorporadas em e-mails em vez de texto para ajudar a burlar os filtros. Abordagens mais sofisticadas podem envolver um redirecionamento secreto que usa um pop-up de login em um site legítimo.

Existem algumas abordagens comuns:

• Spear phishing é um ataque direcionado a um indivíduo ou empresa específica. Esses ataques geralmente envolvem a coleta de informações sobre o alvo ou alvos com antecedência para melhor elaborar e-mails de phishing para manipular possíveis vítimas.
• O clone phishing usa um e-mail legítimo e previamente entregue com um anexo ou link que tem seu conteúdo e endereço clonados. O link/anexo é substituído por um site malicioso ou anexo perigoso.
• Os ataques de baleias são direcionados a executivos seniores ou outros alvos de alto perfil. Esses golpes geralmente assumem a forma de e-mails comerciais ou jurídicos importantes e incluem até mesmo intimações forjadas.
• O phishing por SMS, ou smishing, usa mensagens de texto do celular para obter informações pessoais dos destinatários.

Estratégias de segurança de baixa tecnologia

Embora filtros de e-mail e outras tecnologias de segurança possam ajudar a impedir que e-mails de phishing cheguem às caixas de entrada de seus clientes, os criminosos por trás desses golpes estão constantemente atualizando suas técnicas para evitar a detecção. O phishing depende muito da manipulação psicológica e os usuários finais são o elo mais fraco.

Mesmo estratégias básicas e de baixa tecnologia podem ajudá-lo a se proteger e a proteger sua empresa e seus clientes dos custos e consequências de um ataque de phishing. Esses incluem:

• Treinamento - Forneça treinamento de conscientização ao usuário final para ajudar a equipe a reconhecer os sinais indicadores de phishing - nomes de sites com erros ortográficos, anexos com nomes estranhos etc. Além disso, os funcionários devem passar o mouse sobre os nomes dos remetentes em e-mails e links incorporados para garantir conta de origem ou um site legítimo. Certifique-se de que eles também conheçam as práticas recomendadas, como nunca fazer login em um site acessado por meio de um link de e-mail.
• Endereços de e-mail designados - Se a empresa recebe regularmente e-mails legítimos para transações financeiras, ela pode configurar endereços de e-mail específicos apenas para essas solicitações. Limite a exposição desses endereços em sites públicos, o que pode ajudar a reduzir sua pegada quando se trata de phishing.
• Nomes de código/palavras de código - Os nomes de código não são apenas para espiões. Por exemplo, funcionários ou clientes podem estabelecer formatos de e-mail específicos ou palavras-código para correspondência para permitir que o destinatário saiba que o e-mail é legítimo.
• Aplicar políticas de e-mail - Configure políticas para minimizar o número de transações confidenciais que ocorrem por e-mail. Se os funcionários souberem que as autorizações financeiras devem ser feitas apenas pessoalmente ou por telefone, é improvável que caiam em uma tentativa de phishing por e-mail.

O phishing é uma ameaça crescente e em constante evolução, por isso é vital manter-se atualizado sobre as ameaças mais recentes e quais medidas você e sua organização pode tomar para mitigar esses ataques.