No post de hoje, discutimos alguns truques de engenharia social comumente empregados por cibercriminosos para atacar empresas. Separamos diversas varia\u00e7\u00f5es de golpes envolvendo liga\u00e7\u00f5es e e-mails de suporte t\u00e9cnico falso; ataques de comprometimento de e-mail comercial; pedidos de dados de falsas ag\u00eancias de aplica\u00e7\u00e3o da lei\u2026 confira a seguir.<\/p>\n
Um esquema cl\u00e1ssico de engenharia social \u00e9 uma chamada para um funcion\u00e1rio da empresa vinda do \u201csuporte t\u00e9cnico\u201d. Por exemplo, os hackers podem ligar em um fim de semana e dizer algo como: \u201cOl\u00e1, este \u00e9 o servi\u00e7o de suporte t\u00e9cnico da empresa. Detectamos atividade estranha em seu computador de trabalho. Voc\u00ea precisa vir ao escrit\u00f3rio imediatamente para que possamos descobrir o que \u00e9\u201d. \u00c9 claro que poucas pessoas querem ir ao escrit\u00f3rio em um fim de semana, ent\u00e3o o sujeito do suporte t\u00e9cnico \u201crelutantemente\u201d concorda, \u201capenas uma \u00fanica vez\u201d, em quebrar o protocolo da empresa e resolver o problema remotamente. Mas, para fazer isso, eles precisar\u00e3o das credenciais de login do funcion\u00e1rio. Voc\u00ea pode imaginar o que vai acontecer na sequ\u00eancia.<\/p>\n
H\u00e1 uma varia\u00e7\u00e3o desse esquema que se espalhou durante a migra\u00e7\u00e3o em massa para o trabalho remoto durante a pandemia. O falso suporte t\u00e9cnico \u201cpercebe\u201d atividades suspeitas no laptop da v\u00edtima usado para trabalhar em casa e sugere resolver o problema usando uma conex\u00e3o remota, por meio de um RAT<\/a>. Mais uma vez, o resultado \u00e9 bastante previs\u00edvel.<\/p>\n Vamos continuar com o t\u00f3pico do falso suporte t\u00e9cnico. Uma t\u00e9cnica interessante foi detectada durante um ataque a Uber<\/a> em 2022, quando um hacker de 18 anos conseguiu comprometer v\u00e1rios sistemas da empresa. O ataque come\u00e7ou com o criminoso obtendo os detalhes de login pessoal de um contratado da Uber na dark web. No entanto, para obter acesso aos sistemas internos da empresa, ainda havia o pequeno problema de passar pela autentica\u00e7\u00e3o multifator\u2026<\/p>\n E \u00e9 a\u00ed que entra a engenharia social. Por meio de in\u00fameras tentativas de login, o hacker enviou spam ao infeliz contratante com solicita\u00e7\u00f5es de autentica\u00e7\u00e3o e, em seguida, enviou uma mensagem ao contratante no WhatsApp sob o disfarce de suporte t\u00e9cnico com uma proposta de solu\u00e7\u00e3o para o problema: interromper o fluxo de spam, basta confirmar um. Assim, a \u00faltima barreira na rede do Uber foi removida.<\/p>\n Vamos voltar a um cl\u00e1ssico novamente. O pr\u00f3ximo golpe da fila \u00e9 um tipo de ofensiva conhecida como ataque de comprometimento de e-mail comercial (BEC)<\/a>. A ideia por tr\u00e1s dele \u00e9, de alguma forma, iniciar uma correspond\u00eancia com os funcion\u00e1rios da empresa, geralmente se passando por um gerente ou um importante parceiro de neg\u00f3cios. Normalmente, o objetivo da mensagem \u00e9 fazer com que a v\u00edtima transfira dinheiro para uma conta especificada pelos golpistas. Enquanto isso, os cen\u00e1rios de ataque podem variar: se os criminosos estiverem mais interessados \u200b\u200bem se infiltrar na rede interna da empresa, eles podem enviar \u00e0 v\u00edtima um anexo malicioso para servir de vetor de ataque.<\/p>\n De uma forma ou de outra, todos os ataques BEC giram em torno do comprometimento de e-mail; mas esse \u00e9 apenas o aspecto t\u00e9cnico. Um papel muito maior \u00e9 desempenhado pelo elemento de engenharia social. Enquanto a maioria dos e-mails fraudulentos direcionados a usu\u00e1rios comuns n\u00e3o provocam nada al\u00e9m de risos, as opera\u00e7\u00f5es BEC envolvem pessoas com experi\u00eancia em grandes empresas que s\u00e3o capazes de escrever e-mails comerciais plaus\u00edveis e persuadir os destinat\u00e1rios a fazer o que os criminosos desejam.<\/p>\n Vale a pena observar separadamente uma t\u00e9cnica espec\u00edfica de ataque BEC que se tornou muito popular entre os cibercriminosos nos \u00faltimos anos. Conhecido como sequestro de conversas<\/a>, o esquema permite que os invasores se insiram na correspond\u00eancia comercial existente, fazendo-se passar por um dos participantes. Geralmente, nem invas\u00e3o de contas nem truques t\u00e9cnicos s\u00e3o usados \u200b\u200bpara disfar\u00e7ar o remetente \u2013 tudo o que os criminosos precisam \u00e9 obter um e-mail real e criar um dom\u00ednio semelhante. Dessa forma, eles ganham automaticamente a confian\u00e7a de todos os outros participantes, permitindo que eles conduzam a conversa gentilmente na dire\u00e7\u00e3o que desejam. Para realizar esse tipo de ataque, os cibercriminosos geralmente compram bancos de dados de correspond\u00eancia de e-mail roubada ou vazada na dark web.<\/p>\n Os cen\u00e1rios de ataque podem variar. O uso de phishing ou malware n\u00e3o est\u00e1 descartado. Mas, seguindo o esquema cl\u00e1ssico, os hackers geralmente tentam sequestrar conversas que dizem respeito diretamente a dinheiro, de prefer\u00eancia grandes quantias, deixando os dados banc\u00e1rios no momento oportuno e, em seguida, decolando com o saque para uma ilha tropical.<\/p>\n Um excelente exemplo de sequestro de conversa \u00e9 o que aconteceu durante a transfer\u00eancia do jogador de futebol Leandro Paredes<\/a>. Os cibercriminosos entraram na troca de e-mails disfar\u00e7ados de um representante do primeiro clube de Paredes, o Boca Juniors, que tinha direito a uma pequena porcentagem da taxa de transfer\u00eancia \u2013 no valor de \u20ac 520.000, que os golpistas conseguiram se apoderar.<\/p>\n Uma tend\u00eancia recente, que parece ter surgido em 2022, \u00e9 que os hackers fa\u00e7am solicita\u00e7\u00f5es \u201coficiais\u201d de dados ao coletar informa\u00e7\u00f5es em prepara\u00e7\u00e3o para ataques a usu\u00e1rios de servi\u00e7os online. Essas solicita\u00e7\u00f5es foram recebidas por provedores de internet, redes sociais e empresas de tecnologia dos EUA de contas de e-mail hackeadas pertencentes a ag\u00eancias de aplica\u00e7\u00e3o da lei.<\/p>\n Um pouco de contexto \u00e9 importante nessa hist\u00f3ria. Em circunst\u00e2ncias normais, para obter dados de provedores de servi\u00e7os nos Estados Unidos, \u00e9 necess\u00e1rio um mandado assinado por um juiz. No entanto, em situa\u00e7\u00f5es em que a vida ou a sa\u00fade humana estejam em perigo, pode ser emitida uma Solicita\u00e7\u00e3o de Dados de Emerg\u00eancia (EDR)<\/a>.<\/p>\n Mas, enquanto no caso de solicita\u00e7\u00f5es normais de dados existem procedimentos de verifica\u00e7\u00e3o simples e compreens\u00edveis, para EDRs atualmente n\u00e3o h\u00e1 nada do tipo. Portanto, \u00e9 prov\u00e1vel que tal pedido seja concedido se parecer plaus\u00edvel e aparentemente vier de uma ag\u00eancia de aplica\u00e7\u00e3o da lei. Dessa forma, os hackers podem obter informa\u00e7\u00f5es sobre as v\u00edtimas de uma fonte confi\u00e1vel e us\u00e1-las para novos ataques.<\/p>\n O alvo em todos os m\u00e9todos de ataque acima n\u00e3o \u00e9 um peda\u00e7o de hardware sem alma, mas um ser humano. Portanto, para fortalecer as defesas corporativas contra os ataques de engenharia social, o foco deve estar nas pessoas. Isso significa ensinar aos funcion\u00e1rios os fundamentos da ciberseguran\u00e7a para aumentar sua conscientiza\u00e7\u00e3o sobre o assunto e explicar como neutralizar v\u00e1rios tipos de ataques. Uma \u00f3tima maneira de fazer isso \u00e9 por meio de nossa solu\u00e7\u00e3o de treinamento interativo Kaspersky Automated Security Awareness Platform<\/a>.<\/p>\n\n","protected":false},"excerpt":{"rendered":" Engenharia social em destaque: dos truques cl\u00e1ssicos \u00e0s novas tend\u00eancias.<\/p>\n","protected":false},"author":2726,"featured_media":21492,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1119,1655],"tags":[2065,1696,3176,314,332,3177,254,776,102,1210],"class_list":{"0":"post-21491","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-business","8":"category-enterprise","9":"tag-bec","10":"tag-conscientizacao","11":"tag-engenharia","12":"tag-engenharia-social","13":"tag-hacking","14":"tag-kaspersky-asap","15":"tag-rat","16":"tag-riscos","17":"tag-senhas","18":"tag-treinamento"},"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/social-engineering-tricks\/21491\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/social-engineering-tricks\/25854\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/social-engineering-tricks\/21295\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/social-engineering-tricks\/28553\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/social-engineering-tricks\/26154\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/social-engineering-tricks\/26490\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/social-engineering-tricks\/28973\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/social-engineering-tricks\/35654\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/social-engineering-tricks\/48539\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/social-engineering-tricks\/20798\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/social-engineering-tricks\/30299\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/social-engineering-tricks\/34287\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/social-engineering-tricks\/26470\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/social-engineering-tricks\/32163\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/social-engineering-tricks\/31847\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/engenharia-social\/","name":"engenharia social"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/21491","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/2726"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=21491"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/21491\/revisions"}],"predecessor-version":[{"id":21494,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/21491\/revisions\/21494"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/21492"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=21491"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=21491"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=21491"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Confirme, confirme, confirme\u2026<\/h2>\n
Aqui \u00e9 o chefe. Eu preciso de uma transfer\u00eancia de dinheiro agora!<\/h2>\n
Onde paramos?<\/h2>\n
Entregue seus dados, aqui \u00e9 a pol\u00edcia<\/h2>\n
Como se proteger contra ataques de engenharia social<\/h2>\n