O que é phishing?

Saiba o que é phishing e equipe-se com conhecimento, ferramentas e práticas recomendadas para se proteger a si e à sua organização contra estas ameaças em evolução constante.

Apresentação

Definição
Como funciona
Tipos de ataques
Detectar e prevenir ataques

Soluções de segurança

Phishing é um tipo de cibercrime em que os invasores se fazem passar por uma organização ou indivíduo de confiança para obter informações confidenciais da vítima. O phishing geralmente manifesta-se como ataques automatizados por e-mail, sendo um subconjunto de táticas de engenharia social, juntamente com métodos mais diretos e muitas vezes manuais, como chamadas telefónicas, mensagens de texto e mensagens de aplicações. O objetivo é obter detalhes pessoais, como credenciais de início de sessão ou informações financeiras, que podem ser utilizados para atividades fraudulentas, incluindo roubo de identidade ou danos monetários.

Como funciona o phishing

O phishing é uma forma de engenharia social; em outras palavras, ele opera manipulando a psicologia humana e a confiança tecnológica para enganar as vítimas. Em sua essência, ele se baseia em e-mails ou outros métodos de comunicação eletrónica que parecem ser de fontes confiáveis.

Os cibercriminosos criam mensagens enganosas, utilizando técnicas de engenharia social para induzir as vítimas a realizar ações específicas—clicar numa ligação, abrir um anexo ou fornecer informações pessoais.

Veja mais

Num ataque típico de phishing, o invasor primeiro decide qual organização ou indivíduo será o alvo. O invasor recolhe informações preliminares sobre os alvos a partir de informações publicamente disponíveis em redes sociais como Facebook, Twitter e LinkedIn. Estas informações pessoais são utilizadas para enriquecer o contexto da mensagem de phishing. Em ataques direcionados, ele pode incluir o nome da vítima, o cargo e o endereço de e-mail, bem como interesses e atividades para parecer familiar. O invasor pode criar um e-mail ou uma mensagem convincente, aparentemente de uma fonte de confiança, mas que contém anexos maliciosos ou ligações para websites maliciosos para promover o ataque.

Se a vítima morder o isco—seja clicando numa ligação, abrindo um anexo ou inserindo informações num website falso—o invasor atingirá o seu objetivo. Isto pode variar desde a instalação de malware no dispositivo da vítima—incluindo ransomware—até o roubo de informações confidenciais, como nomes de utilizador, palavras-passe ou detalhes de cartão de crédito.

Tipos de ataques de phishing

O phishing de e-mail é um subconjunto de ataques de phishing em que os cibercriminosos utilizam o e-mail como meio para enganar os seus alvos. Normalmente, esses criminosos criam nomes de domínio falsos que se assemelham muito aos de organizações legítimas e confiáveis. Por exemplo, um e-mail de phishing pode parecer vir de um domínio como "paypa1.com" em vez do autêntico "paypal.com". Ou pode utilizar um subdomínio para parecer convincente, como "support.apple.com.fake.com". Estas subtilezas, que os atacantes mascaram com uma ampla variedade de técnicas, muitas vezes passam despercebidas pelo destinatário, fazendo com que o e-mail pareça mais confiável.

O spear phishing faz parte de um ataque focado em indivíduos específicos, em vez de lançar uma rede ampla com e-mails em massa. Munidos de detalhes como o nome da vítima, o local de trabalho, o cargo e, muitas vezes, até mesmo amostras da sua escrita, os invasores personalizam os seus e-mails para que pareçam mais autênticos. O spear phishing é uma tática poderosa em ataques coordenados com o objetivo de violar as defesas de uma empresa. Ele é especialmente perigoso devido à sua abordagem personalizada, o que o torna mais difícil de detetar do que os e-mails de phishing em massa.

O Smishing (SMS Phishing) utiliza mensagens de texto como meio de enganar as pessoas para que revelem detalhes confidenciais. Estas mensagens SMS enganosas muitas vezes se fazem passar por empresas conhecidas, como a Amazon ou a FedEx, apresentando a mensagem como um alerta ou uma notificação urgente.

O phishing de redes sociais tornou-se um terreno fértil para ataques de phishing. Os golpistas exploram os recursos de mensagens de plataformas como WhatsApp, Facebook, Twitter e LinkedIn para enviar ligações de phishing ou solicitar informações confidenciais. Estas tentativas de phishing geralmente aparecem como consultas de atendimento ao cliente ou como notificações do próprio website de redes sociais.

O BEC (Comprometimento de E-mail Empresarial) também é uma forma de spear phishing focada na defraudação de empresas, custando milhares de milhões de dólares às vítimas anualmente e empregando esquemas como faturas falsas, fraude de CEO, Email Account Compromise (EAC), personificação de advogados ou roubo de dados e mercadorias.

Os ataques de Account Takeover (ATO) envolvem criminosos cibernéticos que obtêm acesso a credenciais por meio de phishing, usando contas comprometidas para fraudes adicionais ou roubo de dados.

Vishing (phishing por voz): utiliza chamadas telefónicas para levar as pessoas a fornecer informações confidenciais.

Whaling (visam indivíduos de alto perfil), com base numa extensa pesquisa sobre as suas vítimas, criam e-mails personalizados para as induzir a autorizar grandes transações ou divulgar informações confidenciais.

Pharming. redireciona os utilizadores de um website legítimo para um fraudulento, geralmente explorando vulnerabilidades no Sistema de Nome de Domínio (DNS).

Outros tipos de ataque: o clone phishing duplica e-mails legítimos e substitui quaisquer ligações ou anexos por outros maliciosos. O phishing Evil Twin configura redes Wi-Fi falsas para intercetar dados. O phishing HTTPS mascara sites maliciosos com o protocolo HTTPS seguro. O phishing de pop-up engana com pop-ups de websites falsos. Os ataques Man-in-the-Middle intercetam e alteram potencialmente as comunicações online. Phishing de mensagens em aplicação - utiliza aplicações de mensagens populares, como WhatsApp, Telegram e Vibe, para enganar os utilizadores e fazê-los revelar informações confidenciais.

Os ataques de phishing ocorrem de várias formas, cada uma explorando diferentes meios e técnicas para enganar indivíduos ou organizações. Vigilância, sensibilização e medidas de cibersegurança são cruciais para bloquear estas táticas de phishing em evolução.

Como detetar um ataque de phishing?

O phishing é uma ferramenta importante em ataques de engenharia social que podem ser o primeiro passo de violações informáticas altamente prejudiciais. Ele aproveita-se do engano e é por isso que saber como detetar um ataque de phishing é tão importante para proteger os seus dados.

Felizmente, há indicadores comuns que podem ajudá-lo a identificar uma tentativa de phishing e diferenciá-la de uma comunicação legítima:

· Ligações maliciosas e manipulação de hiperligações: um objetivo comum dos e-mails de phishing é fazer com que o destinatário clique numa ligação maliciosa. Estas ligações geralmente parecem legítimas à primeira vista, mas levam a websites de phishing, onde informações pessoais são recolhidas. Tenha cuidado se o URL real não corresponder ao website do suposto remetente ou contiver erros de ortografia.

· Ficheiros e anexos maliciosos: alguns e-mails de phishing vêm com anexos projetados para infetar o seu dispositivo. Elas podem conter malware que comprometerá os seus dados após a transferência. Tipos de ficheiro diferentes de .txt devem ser abordados com cuidado.

· Resposta com informações pessoais: menos comummente, os e-mails de phishing podem solicitar que os destinatários respondam com informações pessoais ou financeiras. Como o e-mail parece ser de uma fonte de confiança, as pessoas às vezes obedecem.

· Ofertas boas demais para serem verdadeiras: os golpes de phishing geralmente atraem as vítimas com ofertas irreais e lucrativas. Seja alegando que ganhou na loteria ou um iPhone, esses e-mails devem imediatamente levantar suspeitas.

· Sentido de urgência: muitos e-mails de phishing criam um falso sentido de urgência, insistindo que deve agir rapidamente para evitar a suspensão da conta ou para reivindicar um prémio.

· Remetente ou solicitações incomuns: se for alguém que conhece agindo de forma estranha ou um estranho solicitando ações fora do padrão, esses podem ser sinais de uma tentativa de phishing.

· Erros linguísticos: a gramática inadequada e os erros de ortografia costumam ser sinais reveladores de e-mails de phishing.

· Domínios e endereços de e-mail incompatíveis: examine sempre o endereço de e-mail do remetente. Se o nome de domínio não corresponder ou estiver escrito incorretamente, é provável que seja uma tentativa de phishing.

Como evitar golpes de phishing?

A prevenção de golpes de phishing é um esforço coletivo que envolve tanto utilizadores individuais quanto organizações. Soluções técnicas sofisticadas e maior sensibilização são essenciais para interromper os ataques de phishing de forma eficaz.

Para indivíduos:

• Utilize filtros de spam: estes filtros avaliam a origem, o software utilizado e o conteúdo da mensagem para determinar se é um e-mail de phishing ou spam. Eles oferecem uma primeira linha de defesa contra phishing.

• Definições do navegador: Configure as definições do seu navegador para bloquear websites falsos e URLs maliciosos. Os navegadores modernos alertam-no sobre sites de phishing conhecidos.

• Implemente a Autenticação Multifator (MFA): Ative a MFA nas suas contas. Essa camada de segurança vai além da simples verificação da palavra-passe.

• Alterações regulares da palavra-passe: altere as palavras-passe regularmente e evite utilizar a mesma palavra-passe para várias contas. Considere a utilização de um gestor de palavra-passe.

• Atualizações de software: mantenha todos os softwares pessoais, especialmente os de segurança, atualizados para se proteger contra novas vulnerabilidades em ataques de phishing.

Para Organizações/Administradores:

• Proteção de endpoints: reúna sinais de vários endpoints, redes, nuvem e outras fontes de dados para detetar incidentes.

• Mecanismos de denúncia: forneça sistemas fáceis de utilizar para denunciar e-mails suspeitos de phishing. Isto ajuda a melhorar as futuras medidas de segurança.

• Sistemas de cópia de segurança: faça regularmente a cópia de dados confidenciais num local seguro para recuperação após um ataque.

• Aplique os protocolos de segurança do navegador: certifique-se de que os navegadores bloqueiem sites maliciosos e atualize estas definições com base em novas ameaças.

Proteja a sua organização contra ataques de phishing

Para proteger a sua organização contra ataques de phishing, precisa de uma solução abrangente e proativa que possa detetar e bloquear e-mails, websites e anexos mal-intencionados antes que eles cheguem aos seus utilizadores. Também precisa de instruir os seus utilizadores sobre como identificar e evitar tentativas de phishing e como relatar qualquer atividade suspeita.

O phishing não se trata apenas de e-mails enganadores; ele faz parte de uma sequência de ataques mais ampla. Para combater o phishing e os ataques que ele inicia frequentemente, procure várias camadas numa solução abrangente e unificada. Uma estratégia multifacetada para este tipo complexo de ameaça deve contar com:

Prevenção: minimize a superfície de ataque exposta e reduza os pontos de entrada. Para lidar com as vulnerabilidades, garanta a implementação oportuna de patches e soluções de gestão de riscos.

Proteção: utilize ferramentas ativas de segurança de endpoint e de rede que derrotem ativamente os ataques quando eles tentam comprometer os sistemas. A proteção eficaz emprega várias técnicas, desde a filtragem de rede até a inspeção avançada de memória e processos.

Deteção e resposta: até mesmo as melhores medidas preventivas podem ser contornadas. Portanto, tenha em vigor sistemas de deteção em tempo real, como EDR e XDR, que ofereçam visibilidade profunda da sua rede e dos endpoints. Combine isto com recursos como consultores de incidentes para fornecer diretrizes claras de ação quando forem detetadas ameaças.

Deteção e resposta geridas (MDR): aumente a sua segurança com serviços de monitorização 24 horas por dia, 7 dias por semana, que fornecem alertas em tempo real, inteligência contra ameaças e orientação profissional para navegar e neutralizar ameaças.

A abordagem multicamadas da Bitdefender baseia-se na tecnologia antiphishing que utiliza aprendizagem automática avançada e análise comportamental para identificar e interromper ataques de phishing em tempo real, verificando e filtrando o tráfego da Web, mensagens de e-mail e transferências de ficheiros em busca de conteúdo ou ligações maliciosas.

Perguntas frequentes

O que deve fazer se receber um e-mail de phishing?

Se receber uma tentativa de phishing, tenha cuidado e não interaja com a mensagem. Verifique a identidade do remetente por meio de canais oficiais antes de compartilhar qualquer informação pessoal. Marque as mensagens suspeitas como spam e elimine-as. Ao encontrar ligações em mensagens inesperadas, os utilizadores devem sempre passar o rato sobre elas para verificar o destino antes de decidir clicar. Se a ligação parecer suspeita ou não corresponder ao site do remetente, informe o e-mail ao seu departamento de TI ou à equipe de cibersegurança apropriada para uma investigação mais aprofundada, pois pode ser alvo de um ataque de spear.

O que deve fazer se cair num golpe de phishing?

Lembre-se de que, em última análise, a primeira linha de defesa contra phishing e outras ciberameaças é um indivíduo instruído, capaz de reconhecer e impedir tentativas de phishing. Entretanto, se caiu num golpe de phishing e divulgou informações confidenciais, deve agir rapidamente para minimizar os danos:

1. Altere imediatamente as palavras-passe comprometidas, não apenas para a conta afetada, mas para qualquer outra conta em que tenha utilizado a mesma palavra-passe. Considere a utilização de um gestor de palavras-passe para gerir as suas palavras-passe com segurança.

2. Se divulgou os seus dados bancários, entre em contacto com o seu banco imediatamente para o alertar de que foi vítima de um golpe. Discuta com eles as possíveis soluções.

3. Denuncie o incidente às autoridades competentes, especialmente se tiver feito um pagamento ao golpista ou se ele tiver obtido acesso aos seus dispositivos. Em muitos casos, eles não conseguirão recuperar as perdas, mas a sua denúncia ajuda a comunidade a lutar contra novas burlas.

4. Se for afiliado a uma organização e acreditar que foi enganado de forma a comprometer a sua segurança, consulte os seus procedimentos internos e encaminhe o problema ao pessoal apropriado para evitar maiores complicações.

Esta Orientação ao Consumidor da Comissão Federal do Comércio (Federal Trade Commission Consumer Advice) desmembra a questão em conselhos práticos de uma fonte de confiança.

Qual é a diferença entre phishing e spoofing?

O phishing procura enganar as pessoas para que divulguem dados pessoais ou confidenciais, geralmente através de e-mails, mensagens ou páginas web enganadoras. O spoofing consiste em disfarçar a origem de uma comunicação para fazer com que ela pareça vir de uma fonte de confiança. Enquanto o phishing procura obter informações, o spoofing concentra-se em enganar o destinatário ou contornar as medidas de segurança. Eles são diferentes, mas estão relacionados; os ataques de phishing geralmente utilizam spoofing para parecerem mais credíveis.