Phishing: Técnicas e Exemplos de Ataque

Phishing é um dos métodos de roubo de credenciais mais difundidos que os criminosos usam em todo o mundo. É fácil disfarçar. Sua eficiência é extremamente alta e é difícil culpar a organização de phishing por qualquer crime cibernético. A vítima traz as credenciais por conta própria, sem forçar os bandidos, então dificilmente pode ser classificado como extorsão ou disseminação de malware.

As formas de phishing são inúmeras, e provavelmente é impossível mencioná-las todas e não perder uma. No entanto, vários métodos de phishing são os mais difundidos atualmente. Eles sempre foram os mais utilizados por causa de sua simplicidade e da grande chance de a vítima ficar presa. Conheça os “heróis”!

Falsificação de sites

Este método pode ser feito de duas maneiras: gracioso e desajeitado. O método ágil raramente é usado, pois precisa do roteador de rede infectado, que a vítima usa para se conectar à Internet, ou de um malware específico no dispositivo da vítima. Um roteador infectado é necessário para interceptar os pacotes que a vítima envia ao servidor (se a conexão não for segura) ou redirecionar a solicitação no site falsificado.

É necessário malware no dispositivo da vítima para alterar as configurações de rede para forçar a abertura da página de phishing na tentativa de abrir uma fonte legítima. O malware tem como alvo o arquivo HOSTS no Windows que contém informações de DNS para sites que devem ser conectados por meio de endereços DNS não padrão. Os fraudadores adicionam um DNS específico para Twitter ou Facebook para forçar o PC a mostrar o site de phishing. Uma vez alterado, o endereço DNS fará com que cada um dos navegadores envie solicitações do DNS especificado, que é controlado por criminosos.

Métodos desajeitados têm alguns detalhes em comum com métodos graciosos, mas não requerem interrupção no computador da vítima. Esses métodos de phishing parecem um redirecionamento simples de um determinado site em uma página com “fasebook.com” ou “tvvitter.com”. Esse link pode ser colocado no fórum ou também em uma mensagem de e-mail de spam. É fácil detectar a falsificação quando você não está com pressa e tem tempo suficiente para verificar a barra de endereço, mas certamente pode perder esse detalhe quando declarações chocantes acompanham o link de redirecionamento.

Forma moderna de uma fraude bem conhecida

Em 2020-2024, o mundo da segurança cibernética testemunhou uma campanha massiva de spam por e-mail, que fazia parte de um esquema de phishing. A vítima recebeu uma mensagem assustadora que imitava, por exemplo, a notificação do banco. Nesta mensagem, a pessoa foi informada de que as condições para servir o seu cartão de crédito (ou débito, o que for) foram alteradas, pelo que deve aprovar essas alterações. Caso contrário, como o e-mail promete, a(s) conta(s) será(ão) bloqueada(s).

Para aprovar as “alterações”, você é instruído a para seguir o link na parte inferior da mensagem. Este link levou a uma cópia ruim do site do banco, exatamente para a página de login. Após a tentativa de login, você verá apenas uma mensagem de erro. A página falsa é difícil de confundir com a original, mas quando você está com medo ou visita o site de banco online real, bastante raro, é fácil pensar que você está na página original. Após esse erro, seu dinheiro será um grande risco - os fraudadores têm acesso total ao seu banco on-line.

Phishing por telefone

Você já recebeu uma ligação do serviço de segurança do seu banco? Se não, ninguém provavelmente tentou enganá-lo dessa maneira. Esse método desapareceu várias vezes, mas depois voltou à vista, uma e outra vez. Como você já deve entender, você recebe um telefonema de uma pessoa que se concede um funcionário do serviço de segurança do seu banco. Eles alegam que sua conta e seu cartão bancário estão bloqueados devido a tentativas de login não autorizadas. Para desbloquear a conta, você deve apenas dizer o código de segurança que você recebe no número de telefone relacionado à conta bancária mencionada.

Na verdade, este código de segurança é um código que aprova a redefinição de senha. Os fraudadores (e uma pessoa do "serviço de segurança bancária") estão apenas tentando fazer login em sua conta bancária on-line, e os dígitos que você denuncia são a chave para todo o dinheiro que você tem em sua conta bancária.

Phishing forms to get your personal information

Sometimes, you may see the offers to fill out a simple form and get a reward of some sort - a pack of badges, a certificate for courses in origami, or an invitation to the exhibition. In that form, you need to answer some easy, sometimes absurd, questions and write your name, email, and phone number; sometimes, they also ask about your address. Under the guise of a legitimate “quiz”, crooks receive the full pack of your personal information.

After collecting information from a certain number of people, these tricksters are free to manage. They can sell it on different platforms (even in Darknet), also can use it to spam you - with email messages or even actual paper letters. Sometimes, they can come to your door with an offer to purchase some useless items for a tripled price. Of course, at that moment, they will try to assure you that these things are irreplaceable for your home and office, and you must buy them for your good.

Como identificar um ataque de phishing

O primeiro e mais óbvio sinal de um possível ataque de phishing é uma carta que exige alguma ação sua, mas você não se lembra de ter esperado por essa chamada. Pode ser um e-mail ou uma mensagem direta nas redes sociais. Se for qualquer coisa além de texto simples, isso deve alertá-lo. Se houver alguma sugestão de que você deva baixar qualquer coisa ou seguir um link - pense duas vezes antes de concordar.

As mensagens de phishing geralmente apresentam muitos erros. Estes podem ser erros de digitação, erros gramaticais ou erros de ortografia. Preste atenção especial à incompatibilidade de ortografia de nomes de empresas ou geográficas ao longo do texto da carta. Por algum motivo, as campanhas de phishing carecem de revisão em geral.

Considere a Internet como uma imagem digital do mundo real. Se alguém na rua se aproximar de você e disser que você é bisneto de algum duque de sangue azul da Áustria-Hungria e, portanto, uma herança imensa espera por você, você não vai acreditar nisso, não é? A diferença entre essa alegação e uma isca de phishing típica é que a última é muito mais fácil de se disfarçar de oficial e confiável. Não confie em notificações muito boas para serem verdadeiras .

Você pode detectar facilmente sites, links e endereços de e-mail falsificados. Lembre-se de que sites falsos geralmente não possuem certificados SSL. Você pode ver isso facilmente sem um ícone de cadeado fechado e HTTPS na barra de endereços do site. Quanto aos endereços, eles podem diferir dos endereços de sites confiáveis ​​em um caractere para que sejam parecidos, e você não suspeita de nada. O nome de domínio de um site falso parecido com o que ele finge ser pode não corresponder ao nome de domínio do recurso original. Pode haver um subdomínio que você não conhece, como support.website.com, mas dificilmente um domínio diferente, como website-support.com.

Os phishers pegam usuários inexperientes desprevenidos com abordagens que, em algum momento, contradizem o bom senso e as regras de negócios. Por exemplo, nenhuma empresa solicitará uma senha por e-mail. Da mesma forma, nenhum serviço solicitará que você baixe arquivos para fornecer informações sobre seu pedido, pagamentos pendentes ou entrega postal. Eles exibiriam esses dados diretamente no corpo da carta (no entanto, pode haver um arquivo adicional com as mesmas informações.)

Considerando que as campanhas de phishing geralmente são ataques de lança, o que significa que eles têm como alvo você em particular, qualquer carta ou mensagem curta que pareça um pouco estranha pode alertá-lo. Se você está recebendo uma carta de seu amigo onde ele pede ajuda financeira, por exemplo, mas liga para você com o apelido raramente usado, é melhor entrar em contato com ele por outro canal para confirmação.

Como se proteger de phishing?

A maioria dos casos de phishing é conduzida principalmente graças à desatenção da vítima. Portanto, você pode supor uma solução fácil - estar atento a cada momento questionável. Abrindo o link que você encontrou no bate-papo em grupo no WhatsApp? Verifique com precisão a barra de endereços porque facilmente pode ser algo como “tvvitter.com”. Você pode encontrar muitas coisas falsificadas e, com as ferramentas especiais disponíveis hoje em dia, essa forma de fraude é muito fácil de ser executada.

Para evitar os métodos de phishing feitos com malware que modificam seu sistema, verifique com precisão o certificado do site que você está tentando abrir. Cópias fraudulentas postadas no endereço DNS falso não podem obter um certificado HTTPS. Clique no ícone de cadeado na extremidade esquerda da barra de endereços do seu navegador - ele mostrará as informações sobre a presença do certificado. Este é, exatamente, um dos truques de segurança cibernética mais fáceis que ainda tem alta eficiência contra phishing e spoofing.

Use autenticação de dois fatores. Isso não permitirá que ninguém, exceto aquele que tenha seu telefone celular (espero que você mesmo) faça login em sua conta. No entanto, seu telefone pode ter outro procedimento de autenticação para desbloqueá-lo, o que tornaria a autenticação de sua conta multifatorial, o que é ainda melhor para lidar com as consequências de um ataque de phishing bem-sucedido.

Se você for vítima de um ataque de phishing, é melhor fazer backup de todos os seus dados valiosos em um disco rígido ou armazenamento em nuvem. Os ataques de phishing podem ter várias consequências, mas a proteção de dados é a contramedida mais sustentável.

Não divulgue suas informações pessoais. Os questionários acima podem parecer algo pacífico, e você pode estar interessado em seus prêmios. No entanto, pense duas vezes antes de compartilhar as informações que serão usadas para ganhar dinheiro - eles estão apenas explorando você.

Use um filtro de spam. Esse recurso de sua caixa de correio poupará muitas células nervosas. E você precisa habilitá-lo se limpar os escombros da sua caixa de entrada diariamente. Sim, às vezes uma carta esperada acaba na pasta de spam, mas isso acontece muito raramente, em comparação com quando mensagens perigosas e irritantes perdem sua caixa de entrada.

O melhor método de combate a qualquer forma de phishing no computador é um software antimalware. Obviamente, é importante observar que nem todas as ferramentas de segurança se adequam a você - programas com uma função de proteção online garantem a melhor proteção. Esse recurso habilita o filtro do site, que proíbe o carregamento de falsificações malévolas de páginas populares. O GridinSoft Anti-Malware pode oferecer essa função. Além disso, também é capaz de se livrar do vírus que ajuda os fraudadores a enganá-lo.

Read also: Whaling Phishing