Como funciona um ataque phishing [NA PRÁTICA]

Tempo estimado de leitura: 10 minutos

O que é um ataque de phishing ?

Um ataque de phishing é uma forma de fraude online em que os criminosos se passam por entidades confiáveis, como empresas, organizações ou indivíduos, para obter informações pessoais e confidenciais das vítimas. Geralmente, isso é feito por meio de emails, mensagens de texto, chamadas telefônicas ou sites falsos.

O objetivo principal do ataque é enganar as pessoas e levá-las a divulgar informações sensíveis, como senhas, números de cartão de crédito, informações bancárias ou detalhes de identificação pessoal. Os criminosos podem usar essas informações para cometer roubo de identidade, fraude financeira e outros tipos de crimes.

Conheça os principais tipos de ataques de phishing

Email de phishing: Os criminosos enviam emails falsos que se passam por uma empresa legítima ou uma entidade confiável. Esses emails geralmente contêm links maliciosos ou solicitam informações pessoais, como senhas, números de cartão de crédito ou detalhes de conta.

Spear phishing: É uma forma direcionada de phishing em que os criminosos personalizam os ataques para parecerem mais autênticos. Eles coletam informações sobre a vítima, como nome, cargo, conexões sociais e usam esses detalhes para criar emails personalizados, aumentando a probabilidade de sucesso do ataque.

Pharming: Nesse tipo de ataque, os criminosos exploram vulnerabilidades em servidores DNS (Domain Name System) ou em roteadores de rede para redirecionar o tráfego de um site legítimo para um site falso. Isso faz com que as vítimas sejam direcionadas para páginas fraudulentas, onde podem ser solicitadas a fornecer informações pessoais.

Vishing: É um ataque de phishing realizado por meio de chamadas telefônicas. Os criminosos se passam por representantes de empresas, instituições financeiras ou órgãos governamentais para obter informações confidenciais das vítimas. Eles usam táticas de engenharia social para convencer as pessoas a fornecerem detalhes sensíveis.

Smishing: Similar ao vishing, o smishing envolve o uso de mensagens de texto (SMS) para enganar as vítimas. Os criminosos enviam mensagens falsas que parecem ser de uma empresa ou instituição confiável, solicitando que a vítima clique em um link ou forneça informações pessoais.

Evil Twin Wi-Fi: Nesse ataque, os criminosos configuram uma rede Wi-Fi falsa que parece ser uma rede legítima, como em cafés, aeroportos ou hotéis. Quando as vítimas se conectam a essa rede, os criminosos podem interceptar suas comunicações e obter informações confidenciais.

Cuidado com os clones

Clone de site: Os criminosos criam réplicas falsas de sites legítimos, geralmente de empresas ou instituições financeiras. Esses sites falsos são projetados para se parecerem exatamente com os originais e são usados para coletar informações pessoais quando as vítimas as inserem nos formulários falsificados.

Esses são alguns dos diversos tipos de ataques

É importante estar sempre atento aos sinais de phishing, como erros gramaticais, solicitações de informações pessoais que não seriam solicitadas normalmente, URLs suspeitos e um senso de urgência não justificado nas mensagens recebidas. Além disso, manter os dispositivos e softwares atualizados, utilizar autenticação de dois fatores e ser cauteloso ao clicar em links ou fornecer informações pessoais são medidas fundamentais para se proteger contra esses ataques.

Na prática

E-mail Phishing

O ataque cibernético via e-mail em que os criminosos se passam por entidades confiáveis, como empresas ou organizações, para obter informações confidenciais das vítimas. Eles geralmente fazem isso por meio de emails fraudulentos, que parecem legítimos à primeira vista.

1. Um usuário recebe um email que aparenta ser de uma grande empresa, como um banco ou uma plataforma de mídia social.
2. O email pode conter logotipos e design semelhantes aos usados ​​pela empresa real, o que pode enganar o destinatário.
3. O conteúdo do email pode pedir ao destinatário que realize uma ação urgente, como verificar uma conta, atualizar informações pessoais ou clicar em um link suspeito.
4. O link fornecido no email redireciona o destinatário para um site falso, que se assemelha ao site legítimo da empresa.
5. Quando o usuário insere suas informações confidenciais no site falso, como nome de usuário, senha, número de cartão de crédito, etc., esses dados são capturados pelos criminosos.
6. Os criminosos podem usar essas informações para cometer fraudes, roubo de identidade ou outros crimes.

O mais comum (mascaramento de e-mail)

No exemplo abaixo, vamos supor que você tenha recebido um email que aparentava ser da “Empresa XYZ”, uma empresa grande e conhecida. No entanto, ao investigar mais a fundo, você percebeu que o email estava mascarado, ou seja, o remetente real não era da Empresa XYZ.

Você recebe um email com o seguinte cabeçalho:

De: [email protected]

Para: [email protected]

O nome do remetente exibido é “Empresa XYZ” e o endereço de email parece ser “[email protected]”. No entanto, ao inspecionar os detalhes do cabeçalho do email, você descobre que o endereço de email real é diferente

De: [email protected] (Mascarado como [email protected])

Para: [email protected]

Nesse caso, o remetente disfarçou o endereço de email real (“[email protected]”) como “[email protected]” para tentar enganar você e fazê-lo acreditar que o email veio da Empresa XYZ. O mascaramento de email é uma técnica utilizada pelos criminosos para ocultar sua verdadeira identidade e enganar as vítimas.

Na prática, é importante ressaltar que os atacantes de phishing podem tornar os ataques mais sofisticados, utilizando técnicas avançadas de engenharia social e manipulação do cabeçalho do e-mail. No entanto, o exemplo acima ilustra de forma básica como o mascaramento de email pode ocorrer em um ataque de phishing.

Os tipos de mascaramentos

Spoofing de cabeçalho: Os criminosos podem manipular os campos do cabeçalho do email, como o campo “De” (From), para exibir um nome ou endereço falso que parece legítimo. Eles podem usar software especializado ou serviços de terceiros para realizar essa manipulação.

Domínios semelhantes: Os criminosos podem registrar um domínio que se assemelha ao domínio de uma empresa legítima. Por exemplo, eles podem registrar “empresaxyz.com” em vez de “empresa-xyz.com”. Isso torna o endereço de email malicioso semelhante ao endereço real, o que pode enganar os destinatários desavisados.

Serviços de email falsos: Os criminosos surpreendentemente podem usar serviços de email gratuitos ou anônimos para enviar e-mails fraudulentos. A princípio eles podem criar contas de email com nomes que se parecem com os de uma empresa conhecida, induzindo as vítimas a acreditar que o email é legítimo.

Redirecionamento de email: Os criminosos podem configurar redirecionamentos de email para encaminhar as mensagens de um endereço falso para outro endereço legítimo. Isso faz com que o email pareça ter sido enviado do endereço legítimo, quando, na verdade, foi originado de um endereço diferente.

Uso de serviços de retransmissão: Os criminosos podem realizar ataque de phishing usando serviços de retransmissão de email para enviar mensagens através de servidores intermediários, ocultando assim o endereço IP ou o local de origem real do email.

Essas são apenas algumas das técnicas usadas no mascaramento de email. Os criminosos estão constantemente procurando maneiras de aprimorar suas táticas e tornar seus e-mails fraudulentos mais convincentes.

Como usuário, portanto é importante estar atento a essas técnicas e tomar precauções ao receber e-mails de fontes desconhecidas ou suspeitas. Principalmente verificar cuidadosamente os detalhes do email, como o cabeçalho e o conteúdo, e estar ciente dos sinais de phishing pode ajudar a evitar cair em golpes.

Como se proteger de ataque de phishing?

Esteja atento aos sinais de phishing: Fique atento a erros gramaticais ou ortográficos, solicitações de informações pessoais que não deveriam ser solicitadas normalmente, URLs suspeitos e um senso de urgência injustificado nas mensagens que você recebe. Além disso, desconfie de qualquer email, mensagem de texto ou chamada telefônica não solicitada que solicite informações confidenciais. Contudo suspeite de qualquer email, mensagem de texto ou chamada telefônica não solicitada que peça informações confidenciais.

Verifique a autenticidade: Verifique cuidadosamente o remetente do email, o número de telefone ou o site em questão. Não confie apenas no nome exibido, pois ele pode ser falsificado. Verifique se o endereço de email ou o URL do site está correto e corresponde à empresa ou organização que alega representar.

Não clique em links suspeitos: Sobretudo, evite clicar em links contidos em e-mails, mensagens de texto ou em sites não verificados. Portanto se precisar acessar um site, digite o endereço diretamente no navegador ou use um marcador/favorito confiável.

Proteja as informações pessoais

Cuidado com dados sigilosos: Contudo evite fornecer informações pessoais confidenciais por email, mensagem de texto ou em sites não seguros. Enquanto empresas legítimas geralmente não solicitam informações confidenciais por meio desses canais não seguros.

Fortaleça suas senhas: Além disso, use senhas fortes e únicas para todas as suas contas online. Evite senhas óbvias e compartilhadas e certamente considere o uso de um gerenciador de senhas para ajudar a lembrar e gerar senhas seguras.

Mantenha seus dispositivos e softwares atualizados: Primeiramente mantenha seu sistema operacional, navegadores, aplicativos e antivírus atualizados com as versões mais recentes. Sobretudo as atualizações geralmente incluem correções de segurança importantes que podem proteger contra ameaças conhecidas.

Utilize autenticação de dois fatores (2FA): Ative a autenticação de dois fatores sempre que possível. Isso adiciona uma camada extra de segurança exigindo um segundo método de verificação, como um código enviado por SMS ou um aplicativo de autenticação, além da senha, ao fazer login em uma conta.

Eduque-se e treine sua equipe: Portanto esteja sempre atualizado sobre as últimas técnicas de phishing e compartilhe essas informações com sua equipe ou amigos. Principalmente eduque-se sobre como identificar e lidar com ataques de phishing e compartilhe boas práticas de segurança cibernética com as pessoas ao seu redor.

Curtiu a dica ?

Considere nos apoiar, assim estará motivando os criadores de conteúdo a disponibilizar ainda mais conteúdo gratuito como este.