Phishing: conheça as modalidades e veja como proteger os seus dados

Entenda o que é um ataque phishing, os tipos mais recorrentes e o que fazer para preservar a sua empresa dessa ameaça virtual

01/07/2020 às 10:00

O nome “phishing” vem do termo em inglês fishing, que em português significa “pescaria”. Transportada para o universo de segurança de dados, tal definição é uma grande pista do que pode acontecer durante a ação. Trata-se de um roubo de informações no qual o invasor é capaz de “pescar” informações importantes, como senhas e número do cartão de crédito.

O aumento de pessoas trabalhando em regime de home office durante a pandemia gerou um gatilho para cibercriminosos. De acordo com um estudo realizado em abril de 2020 pela consultoria global Capgemini Research Institute, as campanhas de phishing cresceram 667% desde o início da pandemia. A vulnerabilidade das redes utilizadas e a falta de investimentos em cibersegurança foram os motivos que mais levaram a esse aumento, segundo a pesquisa. 

Tais ataques podem impactar diretamente todas as áreas das companhias. A Honda, por exemplo, precisou interromper a sua produção mundial depois da ação de um invasor. Por isso, detalharemos como normalmente ocorre esse tipo de ação e mostraremos como blindar sua empresa no dia a dia. 

Você verá:

  • O que é phishing e como ocorre;
  • Quais são os tipos mais comuns de ações criminosas;
  • Como proteger sua empresa.

Phishing: homem digitando em um teclado, com códigos de computador aparecendo fora da tela
Ataque phishing: o problema pode chegar por diferentes meios, por isso é importante se proteger. Foto: Getty Images.

Como os ataques acontecem

Geralmente, o criminoso envia um link ou um e-mail falso, passando-se por uma marca. Esse tipo de comunicação tem um aspecto visual similar ao empresa em questão – logotipo, cores e dados. Quando o usuário clica, logo é redirecionado para uma página e é ali onde ocorre o roubo das informações.

Por tudo ser muito semelhante, muitas vezes as pessoas não percebem que se trata de um golpe. Porém, sempre há alguma característica que não condiz com a comunicação original da organização, como erros de digitação, endereço do site muito semelhante (apenas com alterações bem sutis) e e-mails diferentes dos que costuma utilizar. 

Para se ter uma ideia, de acordo com um relatório publicado pela Cisco em 2018, 67% dos ataques de phishing costumam ser efetivos. 

Daí a importância de se proteger, orientando os colaboradores e adotando medidas de segurança importantes (falaremos sobre isso mais à frente). Abaixo, abordaremos os ciberataques mais comuns.

Além do phishing: invasões mais recorrentes

Existem diferente maneiras de um phishing acontecer. Essa manobra faz com que os usuários “caiam” com mais facilidade na armadilha. E o motivo é simples: o cadeado que aparece na parte superior do site traz uma sensação de confiança.

O cadeado na URL do site mostra que o site tem o certificado SSL. Imagem: Pexels.

Ao visualizarem o ícone, os usuários tendem a ser enganados com maior facilidade. É a porta de entrada para os invasores.

Whaling

Esse tipo de ataque é comum no universo empresarial. Em vez de ser disparado para muitas pessoas ao mesmo tempo, o golpe tem uma pessoa específica como alvo. Geralmente, altos executivos. O conteúdo sempre traz dados importantes para chamar à atenção, tais como informações do governo e reclamações graves feitas por clientes.

mulher trabalhando em casa com um cão no colo
O ataque whaling é mais direcionado e pode impactar executivos de diferentes áreas. Foto: Getty Images.

Em toda a comunicação ocorre a solicitação insistente de dados pessoais, principalmente reforçando a urgência da ação. Por isso, é fundamental instruir as equipes para evitar esse tipo de problema.

Smishing

Nesse caso, o phishing é feito por SMS. Os remetentes tentam extrair informações privadas da vítima, como senhas online, números de CPF e cartões de crédito. Os criminosos também podem pedir atualizações de dados pessoais, renovação de tokens ou simplesmente que a vítima baixe e instale algum aplicativo contendo software malicioso. 

Tal abordagem pode ocorrer também pelo WhatsApp. Assim, o celular do usuário passa a ser bombardeado com mensagens de promoções e outros assuntos. Todas contam com um link – e é exatamente ao clicar sobre ele que se dá o roubo dos dados. 

O ataque pode ser embalado em um conteúdo como preenchimento de um cadastro para doação de álcool em gel, ou uma promoção com um desconto muito expressivo. 

No final, o usuário é direcionado para um ambiente onde os dados são coletados, sempre com o pretexto de que isto é necessário para receber um benefício. 

Spear phishing

É um golpe direcionado a uma pessoa ou empresa específica. O invasor, então, constrói uma identidade falsa. Ou seja, cria um e-mail com nome, número de telefone e até links de redes sociais. O objetivo é fazer a vítima acreditar que se trata de um contato verdadeiro.

Ataque phishing: mulher mexendo no celular.
Esse tipo de ataque vem por SMS ou então por WhatsApp. Foto: Pexels.

Tal aproximação é bastante pessoal e, aos poucos, faz a vítima enviar dados importantes ou então revelar informações sigilosas da empresa. É uma ação bem pensada e estruturada.

Captura de credenciais

Outra forma de atingir as organizações é enviar pastas falsas de sites de armazenamento em nuvem, como o Dropbox e o Google Drive. Dessa forma, os invasores obrigam as vítimas a clicarem naquele conteúdo. Afinal, é preciso tomar esta ação para conseguir visualizar os arquivos.

Tais páginas, criadas pelos invasores, são idênticas às originais – o nome dessa técnica é spoofing. Aqui, os erros são semelhantes aos demais, como domínio diferente do original, erros de português, logotipo distorcido da realidade. Por isso, mais uma vez, é essencial instruir as equipe. A atenção aos detalhes é muito importante para evitar qualquer tipo de ataque phishing.

Como se proteger?

A dica mais importante é a orientação, sobretudo aos profissionais que trabalham em home office. A Cisco, em um relatório divulgado em 2019, recomenda as seguintes atitudes:

  • Campanha interna: alerte os colaboradores sobre a necessidade de verificar o endereço do e-mail ou do site antes de passar qualquer informação; 
  • Orientação constante: peça para as equipes não abrirem anexos, sobretudo quando há uma desconfiança em relação aos remetentes. Geralmente, instituições bancárias não mandam anexos e nem pedem esse tipo de dado por e-mail ou WhatsApp; 
  • Forma de contato: defina quais são os meios e os profissionais de TI que poderão ajudar quando houver algum problema.

Placa escrita: não entre, em inglês.
Instrua as suas equipes para evitar problemas que afetam a segurança. Foto: Pexels.

Além disso, sempre que possível é importante alertar a empresa ou o site que está sofrendo a abordagem fraudulenta de que um criminoso está se fazendo passar por ela. Eles também podem entrar com medidas legais para resolver o problema e ainda conseguem avisar todos os seus clientes sobre o golpe.

Para a consultoria Capgemini Research Institute, criar um ambiente blindado, sobretudo em contexto de trabalho remoto, é um processo estruturado em três fases:

  • Etapa 1: educar os colaboradores sobre questões ligadas à segurança cibernética e desenvolver diretrizes para todos;
  • Etapa 2: melhorar a vigilância demora e os recursos capazes de detectar as ameaças. Aumentar também os recursos, principalmente com ferramentas baseadas em Inteligência Artificial;
  • Etapa 3: identificar pontos de falha nos sistemas e reformular protocolos de segurança.

Como a tecnologia auxilia

Cabe às empresas blindar seus ambientes e instruir os colaboradores. No entanto, a tecnologia é uma aliada indispensável. A Vivo Empresas pode te ajudar nesse sentido. 

O serviço Vivo Filtro Web, por exemplo,  oferece uma experiência segura aos usuários que navegam na internet, possibilitando o bloqueio e a análise do tráfego que não cumpre com a política de segurança da organização. A solução impõe controles no perímetro da internet para a navegação, por meio das seguintes funcionalidades:

  • Filtro Web
  • Anti-malware
  • Gestão de acesso
  • Proteção contra vazamento de informações.

Aproveite também para conhecer o portfólio de soluções da Vivo Empresas na área de cibersegurança.

Concluindo

As ameaças digitais estão em qualquer parte ou camada da web. Fraudes e golpes podem afetar, enfraquecer e destruir a reputação de uma marca. E, neste contexto de elevação do home office, em que as conexões à internet e o acesso às aplicações ocorrem fora do ambiente organizacional, é importante investir em conscientização e ferramentas. 

Dessa forma, evita-se que um e-mail ou link passe descuidado aos olhos do usuário. Ou seja, a ameaça é detectada e tratada por ferramentas de segurança.

Por isso, as empresas precisam adotar mecanismos e informações que auxiliem na prevenção a ameaças digitais como fraudes financeiras (boletos, cartões), uso não autorizado da marca, aplicativos maliciosos, malwares indetectáveis, campanhas direcionadas, domínios suspeitos, etc.

A Vivo Empresas tem diversas soluções que podem contribuir para o desenvolvimento de um ambiente mais seguro, mesmo com os colaboradores trabalhando remotamente. Ao aliar tecnologia às instruções adequadas, as companhias conseguem blindar suas redes e dispositivos com mais eficiência.

Esperamos que este artigo o tenha ajudado a saber mais sobre o tema. Sugerimos também outros textos relacionados, que você pode ler clicando nos links abaixo:

Até a próxima!

Compartilhe este conteúdo!

campo obrigátório

Cadastro efetuado com sucesso!

Em breve você receberá os melhores conteúdos para ajudar a gerenciar, expandir ou inovar o seu negócio