A eficiência e estratégia por trás do Spear Phishing

Quase um terço das pessoas não sabe reconhecer um e-mail de phishing e quase todos os ataques virtuais começam com essa tática, é evidente que os cibercriminosos estão trabalhando para tornar essa tática mais eficaz. Veja abaixo mais informações sobre o que é o spear phishing e como se precaver desse tipo de ataque.

O aumento vertiginoso nas ocorrências (e na lucratividade) dos crimes virtuais está fazendo com que grupos criminosos atuem cada vez mais e com maior precisão em seus ataques.
Existem diversas formas de realizar ataques contra empresas, sendo um dos mais comuns o phishing. Se você ainda não sabe o que é phishing, vamos à um rápido resumo (você também pode ler sobre este assunto aqui).

O phishing é uma tática de cibercrime que consiste em encaminhar e-mails e mensagens com conteúdos maliciosos no intuito de atrair a atenção do destinatário e fazer com que ele acesse à mensagem. Uma vez que o acesso é feito, há a possibilidade de roubo de dados, invasão do sistema e infecção com vírus.
Um relatório emitido pela Verizon em 2016 apontou que 30% dos usuários pesquisados já abriram e-mails de phishing enquanto 12% abriram até os anexos dessas mensagens (o que aumenta as chances de sucesso dos criminosos, já que os anexos costumam ser arquivos executáveis ou cavalos de tróia). 

Junto com essa estatística há outra bem preocupante. Segundo relatório emitido pela Gartner, 95% dos ataques virtuais tem início com táticas de phishing.
Continue lendo para saber mais informações sobre o que é o spear phishing e como se precaver desse tipo de ataque.

Entendendo a lógica do spear phishing

Em termos de modus operandi, o spear phishing funciona como um ataque de phishing convencional, ou seja, trata-se de uma mensagem/e-mail enviado para um destinatário, na tentativa de atrair sua atenção e fazer com que ele abra a mensagem e os anexos.  
A diferença reside no remetente. Enquanto alguns e-mails de phishing são encaminhados por destinatários desconhecidos e enviados para milhões de pessoas, o spear phishing é segmentando e construído com o objetivo de impactar uma pessoa, um grupo ou uma empresa específica.  
Saem de cenas os e-mails genéricos e entram nomes verdadeiros, remetentes que parecem muito reais e mensagens que chegam a copiar a estética e o estilo adotado pelo remetente.
Não há dúvidas aqui: os criminosos fizeram seu dever de casa, estudaram a fundo a(s) vítima(s) e lançam um ataque refinado, com menos chances de desconfiança. Os ataques se baseiam muito em engenharia social, ou seja, contam com a interação das pessoas para obter sucesso, e, de fato, conseguem cumprir seus objetivos em muitas oportunidades.
Diante de remetentes confiáveis, as pessoas ficam mais inclinadas a ceder informações como logins, senhas, documentos e relatórios, e isso torna a tática ainda mais perigosa. 

Dicas para identificar o spear phishing

Antes de enumerarmos as dicas, vale ressaltar que o spear phishing se baseia fortemente na engenharia social, e não há antivírus ou firewall que consiga impedir um ser humano de clicar voluntariamente em um conteúdo malicioso. Diante dessa situação, a primeira dica é:

Conscientização sobre os perigos

Nem todos os colaboradores de uma equipe possuem o hábito de se informar e atualizar seus conhecimentos sobre ameaças virtuais, ainda mais se esse assunto não faz parte da rotina deles (e aqui entram colaboradores de setores muito visados, como o financeiro).
Cabe à empresa e seus gestores analisarem a necessidade de conscientizar as equipes e produzir materiais ou eventos educativos com o intuito de aprimorar os conhecimentos e ampliar a noção sobre os ataques virtuais.

Senhas demandam alta cautela

Senhas e logins sempre serão pontos críticos para a segurança. Uma vez na posse dessas informações, os infratores podem cometer diversas irregularidades e prejudicar uma empresa em diversas plataformas, como sistemas de gerenciamento, CRMs, perfis de redes sociais, etc.
Em relação às senhas, segue-se a mesma lógica do phishing comum:
1. Não utilizar senhas fáceis;
2. Alterar a senhas de tempos em tempos;
3. Não conceder informações de login;
4. Utilizar softwares de gerenciamento e criação de senhas;
5. Não usar a mesma senha para mais de um aplicativo, site, etc.
O gerenciador de senhas é ainda mais eficaz quando se precisa gerenciar passwords de maneira segura, portanto, não deixe de apostar em soluções como essa para fortificar ainda mais a segurança da informação.

Mantenha processos de comunicação bem desenhados

Empresas que possuem uma hierarquia bem definida e processos de comunicação claros (e que sejam de conhecimento de todos) tem maiores chances de não cair em golpes mais simples.
Se todo o time de atendimento sabe que o presidente da companhia nunca vai mandar um e-mail para eles requerendo acesso à uma plataforma, a probabilidade de eles não caírem em uma armadilha como essa é muito maior.
Quando os colaboradores sabem como funciona a comunicação interna, as chances de serem alvos de spear phishing diminuem, já que eles não serão eficazes quando houver uma tentativa de simular uma comunicação interna.

Fique atento aos detalhes

Não se apegue ao layout do e-mail. Mesmo que exista uma arte inserida nas mensagens ou algo desse tipo, saiba que replicar esse material é muito simples, portanto, a atenção deve ficar nos detalhes.
Analise a linguagem adotada, os termos utilizados (exemplo: algumas empresas não utilizam a palavra funcionários, apenas colaboradores, logo, se ela estiver presente na mensagem, já se torna um ponto de desconfiança) e a forma de se comunicar.
Em alguns casos, pequenos erros de português ou na grafia de nomes podem atestar que a mensagem não veio de um remetente confiável. Analise também outros fatores, como e-mail do remetente, assinatura utilizada e data e hora do envio, tudo isso pode lhe auxiliar a identificar um golpe.

Cuidado com as redes sociais

O spear phishing exige estudos, sendo assim, você pode estar sendo observado, não no trabalho, mas no ambiente virtual. Cuidado com os pedidos de amizade que você aceita, evite aceitar convites e pedidos de estranhos pois eles podem estar apenas com a intenção de observar seus hábitos e conteúdos a fim de encontrar uma oportunidade de enganar.

Vamos à um exemplo: imagine que você trabalha em uma empresa de tecidos e confirmou presença em uma Feira da Indústria Têxtil na cidade de São Paulo. A confirmação é feita pelo Facebook, e seus amigos conseguem enxergar que você confirmou sua participação.
Do nada, uma pessoa lhe adiciona no Facebook (após analisar qual a empresa que você trabalha, algo que pode ser ocultado nas políticas de privacidade) e lhe encaminha via chat uma mensagem dizendo “olá {seu nome}, vi que você vai participar da Feira Têxtil, quer ganhar 25% de desconto na praça de alimentação? É só clicar aqui e preencher os dados”.
A pessoa pode nem desconfiar da atitude e achar aquela abordagem muito simpática e estratégica, porém, ela pode ser um golpe, e todas as informações necessárias para criar o problema foram “concedidas” por você, via redes sociais, sem nenhuma necessidade de atividade ilegal.
Tome muito cuidado com as redes, principalmente com abordagens de pessoas estranhas, links maliciosos e conteúdos muito apelativos (geralmente são os famosos clickbaits).

Lembre-se: não são apenas as empresas que estão se modernizando e aproveitando das facilidades da internet, os criminosos também já descobriram formas de lucrar com ataques cibernéticos, e a incidência desses crimes não para de crescer. Sempre desconfie de mensagens e e-mails suspeitos, faça um projeto de conscientização das equipes e crie bons processos de comunicação e segurança.

Somente se precavendo é que uma empresa terá sucesso no combate ao phishing e spear phishing.

Aproveite para ler

Cibersegurança

Cuidados Que Deve Ter ao Acessar Rede de Internet Pública

Cibersegurança

Criptomoedas: por que são tão utilizadas pelo cibercrime?

Cibersegurança

Cibersegurança: Uma Questão a Ser Tratada

Cibersegurança

Engenharia Social: saiba como evitar golpes

Cibersegurança

O que acontece com os dados nas mãos de cibercriminonos?

Cibersegurança

A eficiência e estratégia por trás do Spear Phishing

Cibersegurança

Cuidados que você deve ter ao usar uma VPN gratuita

Cibersegurança

Criptografia De Rede: Uma Questão de Segurança e De Uma VPN

Separamos estes assuntos para você

Soluções

Entenda Como Uma Conexão VPN é Útil Para os Negócios

Monitoramento

Como Lidar Com o Sequestro de Dados no Segmento da Saúde

Monitoramento

Ataque Ransomware: panorama da questão que assombra empresas

Soluções

5 dicas simples de segurança para seus dispositivos

Cibersegurança

A eficiência e estratégia por trás do Spear Phishing

Análise e Planejamento

Você Já Tem Um Plano de Disaster Recovery?

Acessar os Materiais Ricos

Carreira: Segurança da Informação

Monitoramento

Phishing: como prevenir e conscientizar os colaboradores

Deixe seu comentário