Menu da Revista Fechar Menu da Revista

phishing

Últimas histórias

worlds most phished country

Conheça as estratégias para evitar o crescimento do “phishing” no Brasil

  • min de leitura
    • Cibercriminosos sempre procuram os caminhos menos protegidos na hora de atacar. Mas vulnerabilidades tecnológicas, ainda que sejam problemas sérios, não costumam ser esses tais caminhos. Isso porque, quando você tem que atualizar um software anti-malware instalado em múltiplos computadores e conta com uma rede de firewall em dia é bem difícil superar essa barreira. Some a isso criptografia, análise heurística e autenticação de múltiplos fatores (MFA) e você terá uma fortaleza protegendo seus ativos digitais. Ou, ao menos, é isso que geralmente se pensa. Qual é o problema? A maioria dos criminosos digitais não segue o estereótipo hacker. Pelo contrário, eles gostam de mirar o elo mais frágil das redes: o humano. Afinal, por que tentar furar a criptografia ou hackear uma senha quando você pode facilmente, acima de qualquer suspeita, enganar alguém para te entregar essas informações? Se o endereço de e-mail e o domínio parecem autênticos, similares aos da empresa que você está acostumado a usar, você provavelmente vai clicar nesse link sem nem suspeitar. E, na maioria dos casos, não há nada que seu sistema anti-malware possa fazer sobre isso. Esse é um dos principais motivos pelos quais os esquemas de phishing estão em alta. Só no segundo trimestre de 2019, esse tipo de crime teve um aumento de 21%. O Brasil tem a infelicidade de ser o país com mais casos de phishing no mundo, onde 29% das pessoas já foram vítimas de algum ataque do tipo. A Kaspersky vem acompanhando essa tendência nos últimos anos e decidiu que era hora de tomar medidas radicais e mudar a abordagem para lidar com esse tipo de ameaças. Nossa equipe global de análise e pesquisa bloqueou quase 37 milhões de ataques em 2017 e pouco mais de 40 milhões em 2018. Só no Brasil. Então, quais são as melhores estratégias para bloquear o phishing desde sua origem? De onde vêm os ataques? Ainda que os ataques de phishing via e-mail sejam o centro da atenção, os ataques que acontecem em outras plataformas também são muito comuns. Isso inclui SMS, chamadas telefônicas, anúncios maliciosos e perfis fake em redes sociais. No entanto, o que a maioria das armadilhas de phishing tem em comum é o fato de que elas costumam incluir uma cópia dos sites originais de alguma organização legítima, com o mesmo texto e aparência. Em alguns casos, as cópias são quase indetectáveis. O problema é que assim que a pessoa entrega suas informações confidenciais para fazer login, como nome de usuário e senha, esses dados vão parar diretamente na mão dos criminosos. Bancos e outras instituições financeiras estão entre as empresas mais "imitadas", não só no Brasil, mas no mundo todo. Mas é importante lembrar que todo tipo de organização, empresa e até indivíduo pode ser imitado. É por isso que o phishing é uma epidemia global e que afeta a todos. Cerca de 20 milhões de novos sites de phishing são criados todos os anos. É certo que a maioria deles é detectada, bloqueada e tirada do ar rapidamente, mas esse não é o ponto. Mesmo com isso, os golpistas ainda têm tempo suficiente para executar seus ataques antes de sair do ar. No Brasil, assim como em outros países, a legislação local permite que qualquer pessoa possa registrar seu próprio domínio. A única forma legal de tirar do ar um domínio malicioso é quando uma empresa entra com uma ação de violação de registro de marca contra o dono daquele domínio, em casos onde alguém usa o nome daquela marca sem autorização da empresa. Mas nem isso acontece da noite para o dia, é um processo longo. Fraudes online estão em todo lugar pelo Brasil. Os golpistas exploram quase todos os programas de fidelidade dos clientes, por exemplo. Sites governamentais são recriados para cometer fraudes em serviços públicos, como os de saúde, por exemplo. Os criminosos até já se disfarçam como corretores para manipular os índices de crédito de diversas pessoas. Em um ataque específico, o IBAMA, maior autoridade nacional para assuntos ambientais, foi usado para um esquema de phishing que liberou 23 empresas listadas por crimes ambientais para voltar às atividades. Nos dez dias seguintes, essas companhias conseguiram extrair ilegalmente uma pequena fortuna: R$ 11 milhões em madeira da floresta amazônica, o suficiente para encher 1400 caminhões. Ou seja, tudo que está online no Brasil está suscetível ao phishing a qualquer momento. Tudo começa no registro A maioria dos casos de phishing se dá com uma vítima sendo enganada e direcionada a visitar um domínio malicioso. É por isso que a equipe de pesquisa da Kaspersky quis ir direto à raiz do problema. Isso significa agir na pequena janela entre o momento em que um site suspeito é criado e a hora em ele é usado para um ataque. Demos início a esse projeto em 2014, monitorando todos os novos registros de domínio, o que incluía os nomes de todas as instituições financeiras em operação no Brasil e, por consequência, a checagem de seu registro WHOIS. A revisão desse registro nos permitiu encontrar informações básicas sobre quem registrou aquele domínio, quem foi o provedor desse registro e quando o site foi registrado. Mas esses dados isolados não são suficientes, especialmente quando há serviços de GDPR (Regulamento Geral de Proteção de Dados europeia) e privacidade ocultando outras informações. Precisamos usar alguns métodos especializados para monitorar a reputação de alguns domínios e identificar de maneira proativa registros suspeitos. As principais "histórias de pescador" da internet. Ou melhor, "histórias de phisher". Possíveis vítimas de ataques de phishing não acessam sites estranhos para acessar suas contas correntes ou outras plataformas por livre e espontânea vontade. É por isso que os criminosos têm que encontrar diferentes formas de chegar até eles. Uma das táticas mais comuns é o "typosquatting". É uma forma de "cybersquatting", que é nada menos que a prática de comprar um domínio com um nome comercialmente valioso com o intuito de vendê-lo ao titular da marca ou de enganar os consumidores. A diferença do "typosquatting" é que o domínio registrado não usa o nome de uma marca e sim um nome próximo, se aproveitando de um erro comum de digitação daquele termo. Dessa forma, o invasor espera que alguém tente acessar o site e cometa aquele erro, sendo direcionada assim a um site semelhante, porém malicioso. É por esse motivo que muitas empresas têm registrado também os domínios com os erros de digitação mais comuns em relação ao seu site original. O Google, por exemplo, redireciona para sua página principal todas as pessoas que por algum motivo cheguem até o "gooogle.com", ao invés do "google.com". De qualquer forma, existem milhares de possibilidades de erros de digitação, o que torna essa prática ainda mais difícil e pouco eficiente. Para evitar esse tipo de situação, nós usamos um método chamado "Distanciamento Levenshtein", um algoritmo de combinações de nomes que nos ajuda a detectar casos de typosquatting e bloquear domínios similares e suspeitos. Outra abordagem menos conhecida, mas cada vez mais comum é o uso de domínios internacionais (IDNs), que usam caracteres que não fazem parte do alfabeto latino. Tradicionalmente, todos os endereços da internet eram escritos em formato ASCII, mas desde a última década você já pode registrar também domínios em Unicode, para dar espaço a alfabetos como o cirílico, o grego e o chinês. O problema nesse caso é que alguns idiomas usam as mesmas letras, mas essas letras são interpretadas de diferentes formas pelos computadores. Por exemplo, a letra "b" em inglês é visualmente idêntica à letra "b" em russo, apesar de serem letras diferentes. Por exemplo, um domínio como o "caixa.gov.br", correspondente a um dos maiores bancos do Brasil, seria visualmente idêntico se escrito no alfabeto cirílico se a letra "c" fosse substituída por sua similar em cirílico. Somente um computador poderia detectar essa diferença, porque no computador cada uma dessas letras é representada por um código diferente. Existem também outras manobras que usam o sistema IDN, mas de maneira menos sutil. Algumas adicionam acentos a alguns caracteres ou letras similares,como o "k" russo em comparação com o "k" em inglês, por exemplo. Não são letras idênticas, mas sua forma parecida pode ser algo que passe despercebido por um usuário não tão atencioso. Protegendo o país do phishing. O que o futuro reserva para o Brasil? Percorremos um longo caminho desde 2014. Com o GDPR (Regulamento Geral de Proteção de Dados europeia) aparecendo como mais um obstáculo criado para mascarar informações sobre o registro de domínios, tivemos que encontrar outras formas de determinar sua autenticidade. Ainda assim, existem casos onde especialistas locais cumprem um papel fundamental e outros onde é necessária a aprovação humana. O caso da Caixa é um bom exemplo disso também. Como o termo é usado para falar tanto do objeto como do banco, é necessário um cuidado maior para não terminar colocando na lista de bloqueados, empresas inocentes que usem termos semelhantes, como marcas de logística ou embalagens. Para isso precisamos de uma análise mais especializada, muitas vezes feita manualmente. Um caso similar é o do Santander, já que o termo não é só o nome de um banco, como também o nome de uma cidade da Espanha, uma província das Filipinas e um estado da Colômbia. Em conclusão, essa abordagem preventiva e proativa se tornou algo essencial para evitar o phishing, já que os métodos de segurança tradicionais já não são suficientes para lidar com esse tipo de ameaça; Porém, a Kaspersky espera que esses esforços possam ajudar as organizações e as pessoas, não só no Brasil, mas no mundo todo, a se manter sempre um passo à frente desses criminosos.
picking right tech

Na dúvida sobre que solução você precisa? Foque na tecnologia certa para o seu negócio.

  • min de leitura
    • Opção é o que não falta. Pelo menos quando o assunto é tecnologia. Grande parte do desafio está em escolher a solução em tecnologia certa para suas necessidades, mas muitas vezes o verdadeiro desafio está escondido adiante: nas limitações e consequências dessa escolha. Eu mesmo entendi isso só recentemente, depois de trabalhar com tecnologia por quase 40 anos. E não sei bem o motivo da demora, até porque costumo gostar de ajudar as pessoas nesse processo, escrevendo, pesquisando e discutindo essas escolhas todos os dias. Mas é como diz o ditado: "em casa de ferreiro, o espeto é de pau", e por isso minhas próprias escolhas tecnológicas muitas vezes são motivo de indecisão ou de decisões erradas. O ponto fraco costuma ser o humano Conversei recentemente por telefone com um amigo, que é uma das pessoas mais técnicas que eu conheço e que ajudou a criar alguns dos protocolos de transferências de dados entre redes que praticamente deram origem à internet, e ficamos refletindo sobre o quão estranho é o funcionamento de softwares de web-conferência, como o Webex, quando são usados para organizar conferências com dezenas de pessoas ao mesmo tempo. É funcional para o que promove, geralmente com uma boa qualidade e um serviço sólido de áudio e vídeo. Mas, o ponto fraco do uso desse tipo de tecnologia muitas vezes é outro, o lado humano. E isso inclui praticar o que vai ser falado antes, notificar a todos os participantes da conferência, e mostrar ou enviar arquivos e apresentações. O maior trabalho acaba sendo explicar o funcionamento de tudo isso para os organizadores e participantes e conseguir administrar tudo, criando um padrão que permita  que a conferência aconteça sem problemas ou interrupções. Ou seja, como diz meu amigo: Aprenda com a "Guerra dos Computadores Portáteis" Quero voltar um pouco para o começo dos anos 1980, quando trabalhei nas entranhas do atendimento ao cliente no setor de T.I. da Gigantic Insurance. Na época, a empresa comprou centenas de computadores para colocar em cada uma das mesas dos milhares de funcionários do departamento de T.I., que antes daquilo tinham apenas um telefone e, se sortudos, um terminal de mainframe. A empresa comprou PCs da IBM porque naquela época essa era a única escolha disponível para o setor corporativo nos Estados Unidos. Mas, pouco tempo depois, a Compaq apareceu com algo que a IBM não tinha: PCs portáteis. Bom, quase portáteis. Eram computadores enormes, com cerca de 14kg e que não caberiam nos gabinetes de bagagem de um avião. Quando a Compaq anunciou o lançamento dos seus computadores portáteis, na época vendidos por mais de US$ 5000,00 cada, nossos diretores ficaram numa situação incômoda, com computadores novos, mas já antiquados. E os vendedores da IBM, que haviam investido muitos anos em partidas de golfe para convencê-los, tentaram manter sua fidelidade pedindo a eles para esperar um ano até que o modelo portátil da sua companhia fosse lançado. Mas, quando tivemos a chance de ver o protótipo da IBM, pudemos rapidamente ver que o modelo da Compaq era claramente superior: já estava disponível, era mais leve, menor e conseguia realizar as mesmas tarefas. Recomendamos a compra de PCs Compaq e a empresa teve que gastar de novo para comprá-los aos montes. Esse foi o início da "Guerra dos Computadores Portáteis", ponto de partida para uma nova era da tecnologia no mundo corporativo. Quando a IBM finalmente lançou seu PC portátil, a Compaq já tinha melhorado seu modelo, e assim se manteve um passo à frente da IBM. É por isso que é comum que nos frustremos quando finalmente escolhemos um produto ou solução, porque geralmente temos que conviver com as consequências dessa escolha por um bom tempo.     Saiba que perguntas fazer  Como isso se aplica na hora de comprar produtos de cibersegurança para sua empresa? Muitos de nós ainda direcionamos o holofote para coisas erradas ou não fazemos as perguntas certas na hora de decidir o que comprar.  Defina o problema que quer resolver, assim pensará de outra maneira na hora de priorizar suas necessidades em tecnologia. Essas são algumas das perguntas mais necessárias antes de tomar qualquer decisão: Escolheu algum sistema de criptografia de e-mails ou VPN baseado em outra coisa que não seja a facilidade de uso? Então não fique surpreso quando sua equipe começar a se rebelar contra ele. Tem algum programa regular informativo ou treinamento sobre phishing e segurança digital na sua empresa? O phishing é um dos tipos de ataques cibernéticos mais destrutivos e, fazer que seus funcionários entendam que seu comportamento pode ser um dos principais pontos de entrada para esses ataques é, sem dúvidas, a melhor proteção possível. Você, por acaso, testou recentemente seus procedimentos de resposta a incidentes para saber por que seus backups não protegem dados essenciais? Não espere até ser vítima de um ransomware para descobrir que esqueceu de proteger alguma pasta ou arquivo importante. Gaste esse tempo agora e assegure de que tudo está bem protegido. É possível verificar se seu sistema de armazenamento em nuvem é seguro o suficiente? Você ao menos sabe quais nuvens sua empresa está usando? É melhor fazer o trabalho sujo agora antes que algo ruim aconteça. Já examinou toda a cadeia de suprimentos dos seus softwares? É fácil passar batido por alguns pontos e depois sofrer com a perda de dados, ransomwares ou ataques. Você pode encontrar páginas pessoais de Github ou revendedores que estejam rodando ferramentas que você não consegue monitorar facilmente, então fique de olho nisso de antemão. Ou seja: ir além das especificações é dar um passo atrás e imaginar diferentes hipóteses. Antes de buscar por de soluções externas, o ideal é ver o que está errado na sua operação e o que você pode fazer para solucionar esses problemas dentro de casa para, aí sim, ir atrás de soluções na medida para os problemas mais sérios. Esse artigo é de responsabilidade de seu autor e não reflete necessariamente as opiniões da Kaspersky. 
by Tecnologia inovadora.
Inovando líderes.
Sobre o Secure Futures

A revista Secure Futures é o seu guia de negócios com dicas, opiniões, tendências e insights sobre o mundo da tecnologia e da cibersegurança. A Kaspersky ajuda sua empresa a antecipar o futuro, através dos especialistas globais em cibersegurança.