O que é Phishing? – Tópicos de Segurança Digital

O que é Phishing?

Phishing se refere a um conjunto de técnicas empregadas por bandidos digitais com o intuito de enganar usuários para que eles forneçam inadvertidamente informações sigilosas e valiosas.  Geralmente, este tipo de ataque começa com o recebimento de um e-mail falso, ou ainda outra forma de comunicação cujo intuito seja enganar a vítima, como uma mensagem instantânea.

A mensagem enviada é forjada para se parecer com uma mensagem legítima, proveniente de uma fonte confiável ao usuário. Caso a vítima caia na armadilha, poderá ter informações confidenciais roubadas, comumente fornecendo esses dados em um website falso. Algumas vezes também é feito o download de software malicioso para o computador da vítima.

O phishing é um exemplo clássico de técnica de Engenharia Social empregada para enganar usuários de sistemas de computador.

A palavra “phishing” é um homófono (palavras que soam da mesma forma) da palavra em inglês fishing, que significa “pescaria” – denotando o caráter de “pesca” de vítimas.

Tipos de Phishing

Existem várias formas de se realizar ataques de phishing, dependendo de como é realizado e de quem são os alvos. Os mais comuns são os seguintes:

Whaling

Quando um ataque de phishing tem por alvo uma figura de grande importância, como o diretor de uma grande empresa, o ataque é também conhecido como “whaling”, que significa basicamente “pesca à baleia”, pelo porte do usuário-alvo e alta possibilidade de retorno da “operação”. Este é um ataque de periculosidade elevada, devido à categoria de informações que podem ser obtidas.

Pharming

Uma outra forma de phishing bastante comum é chamada de “Pharming”, na qual os usuários são redirecionados a um website falso, mas que aparenta ser legítimo. Às vezes nem é necessário que o usuário clique em um link malicioso – é possível alterar registros DNS na máquina da vítima ou no servidor de hospedagem do site de modo a redirecionar as requisições de acesso ao site para uma página falsa, mesmo que o endereço correto do website seja digitado no navegador.
É preciso tomar muito cuidado e sempre inspecionar minuciosamente o endereço que está sendo acessado, pois normalmente um endereço falso difere de um legítimo por diferenças mínimas, como um simples caractere.

Por exemplo, a URL www.bancobrasil.com.br leva ao site oficial do Banco do Brasil; um atacante pode forjar um redirecionamento para um site falso cuja URL seja, por exemplo, www.bancobrazil.com.br, a qual não te leva ao site original.

Spear Phishing

Também existe o conceito de Spear Phishing (“Pesca com Arpão”), no qual o alvo são indivíduos específicos, em vez de um grande grupo de pessoas aleatórias. Para tal, os atacantes podem pesquisar informações sobre o alvo em redes sociais e em outros locais, de modo a coletar informações suficientes para personalizar a comunicação empregada no ataque – o que a torna muito mais autêntica, e passível de êxito.

Clone Phishing

Neste tipo de ataque um e-mail legítimo, recebido anteriormente e contendo um anexo ou link tem seu conteúdo e endereços de destinatários recebidos alterados para criar um e-mail praticamente idêntico ou ainda totalmente clonado. O anexo ou link enviado no email é substituído por uma versão maliciosa e, enviado a partir de um endereço de email falsificado para que pareça ser proveniente do remetente original.

Objetivos de um ataque de Phishing

Na maior parte dos casos, meliantes querem obter vantagens financeiras, e fazem isso roubando números de cartão de crédito, senhas de acesso a bancos ou outros tipos de dados do gênero. Algumas vezes o phishing é empregado para obter dados de acesso a uma corporação, obtendo esses dados de funcionários incautos, como por exemplo dados de login em sistemas.

Além disso, é possível que um ataque de phishing seja escalado para um ataque mais elaborado, como por exemplo a implantação de ransomware nos computadores de uma empresa.

Como se proteger contra ataques de Phishing

Há diversas medidas que podem ser tomadas para a proteção contra o phishing. Entre elas elencamos:

Uso de Tecnologias de Segurança

É imprescindível que sejam implantadas tecnologias de segurança dos equipamentos da empresa (ou de sua casa), sendo as mais comuns o emprego de antivírus e firewall, que permitem diminuir a probabilidade de um ataque ocorrer, ou ainda minimizar seu impacto, caso ocorra.
Controle de acesso de usuários e monitoramento de suas ações também são técnicas amplamente empregadas para proteger a rede de ataques em geral, incluindo phishing.

Uma técnica bastante empregada também é o emprego de uma lista de sites de phishing conhecidos e sempre verificar essa lista ao acessar um site em sua máquina. Um exemplo desse tipo de serviço é o Google Safe Browsing, e praticamente todos os navegadores possuem algum tipo de técnica anti-phishing como esta.

O uso de filtros de spam também pode ajudar a diminuir problemas com ataques de phishing, por meio da análise e remoção automáticas de alguns tipos de ataques, muitas vezes empregando abordagens avançadas de machine learning (aprendizagem de máquina) ou processamento de linguagem natural, para classificar e-mails maliciosos.

Muitos pacotes de softwares para segurança, como pacotes antivírus, possuem software anti-phishing integrado.

Educar os Usuários

De crucial importância é a educação dos usuários, sejam eles funcionários da organização ou você mesmo, em sua casa ou outro local. É muito importante saber como reconhecer um e-mail de phishing, e o que fazer ao receber um – o que, basicamente, significa jamais clicar em links ou abrir anexos não solicitados, e excluir o e-mail suspeito imediatamente. Dependendo da ferramenta de segurança disponível no sistema, também é possível reportado o e-mail para que ele seja detectado e marcado caso venha a ser recebido novamente.

 

Sobre Fábio dos Reis (1324 Artigos)
Fábio dos Reis trabalha com tecnologias variadas há mais de 25 anos, tendo atuado nos campos de Eletrônica, Telecomunicações, Programação de Computadores e Redes de Dados. É um entusiasta de Unix, Linux e Open Source em geral, adora Eletrônica e Música, e estuda idiomas, além de ministrar cursos e palestras sobre diversas tecnologias em São Paulo e outras cidades do Brasil.
Contato: Website

Escreva um comentário

Seu e-mail não será divulgado


*