Spear Phishing: ataques di­re­ci­o­na­dos aos seus dados

Spear phishing é uma forma di­re­ci­o­nada de phishing, onde hackers enviam e-mails ou mensagens per­so­na­li­za­das para in­di­ví­duos ou or­ga­ni­za­ções es­pe­cí­fi­cas, visando roubar in­for­ma­ções con­fi­den­ci­ais ou in­tro­du­zir malware. Ao contrário do phishing geral, o spear phishing se baseia em in­for­ma­ções pessoais sobre a vítima para parecer es­pe­ci­al­mente con­vin­cente.

O que é spear phishing?

O princípio do phishing é simples: ci­ber­cri­mi­no­sos criam e-mails de phishing, sites e, às vezes, até mensagens curtas que parecem au­tên­ti­cas e solicitam in­for­ma­ções de login dos usuários. Dessa forma, cri­mi­no­sos obtêm dados de acesso para compras on-line, redes sociais, ar­ma­ze­na­mento em nuvem e outros.

No spear phishing, trata-se de uma variante especial do phishing. Em vez de tentar atingir um público amplo com, por exemplo, e-mails de spam, os frau­da­do­res se­le­ci­o­nam cui­da­do­sa­mente seu público-alvo. Com in­for­ma­ções es­pe­cí­fi­cas sobre o grupo escolhido, podem criar mensagens e sites muito con­vin­cen­tes. O esforço é maior, mas a taxa de sucesso também.

Como funciona o spear phishing

Spear phishing seleciona suas vítimas mi­nu­ci­o­sa­mente, adaptando a tentativa de fraude exa­ta­mente para as pessoas es­co­lhi­das. No foco desses ataques estão prin­ci­pal­mente empresas e or­ga­ni­za­ções. Os atores que usam esta variante de phishing fre­quen­te­mente se di­fe­ren­ciam dos golpistas comuns. Em vez de sim­ples­mente coletar in­for­ma­ções ale­a­tó­rias e vendê-las no mercado negro para o maior lance, eles agem de maneira di­re­ci­o­nada contra a vítima es­pe­cí­fica, com o objetivo de pre­ju­di­car a empresa ou or­ga­ni­za­ção em questão. Além de capturar dados bancários, es­pi­o­na­gem in­dus­trial e ci­be­ra­ta­ques a alvos militares ou à in­fra­es­tru­tura de uma região são cenários possíveis de ataque.

Antes do ataque, os frau­da­do­res espionam o público-alvo e coletam in­for­ma­ções que pos­te­ri­or­mente sustentam sua cre­di­bi­li­dade. Em seguida, eles criam um e-mail que é o mais es­pe­ci­fi­ca­mente possível ajustado à or­ga­ni­za­ção. O remetente ge­ral­mente é uma suposta au­to­ri­dade ou um parceiro de negócios fictício. Spear phishing pode ser es­pe­ci­al­mente bem-sucedido em grandes cor­po­ra­ções in­ter­na­ci­o­nais, onde nem todos os fun­ci­o­ná­rios conhecem toda a estrutura. Assim, induzem a vítima a revelar dados sensíveis ou a baixar software malicioso.

Exemplo de spear phishing

Vamos supor que um hacker escolheu como alvo uma empresa in­ter­na­ci­o­nal. Primeiro, ele tentará descobrir o máximo de in­for­ma­ções possível: como está es­tru­tu­rada a empresa? Como é a co­mu­ni­ca­ção interna? Em quais áreas a empresa atua? Um e-mail de dis­tri­bui­ção também é im­por­tante para obter os endereços ne­ces­sá­rios. No entanto, o atacante não envia o e-mail para toda a empresa, pois o risco seria alto demais de modo que a tentativa de fraude seja ra­pi­da­mente des­co­berta e toda a or­ga­ni­za­ção possa ser alertada sobre a ação.

Em vez disso, apenas pessoas se­le­ci­o­na­das recebem o e-mail e são abordadas de forma es­pe­cí­fica. In­for­ma­ções de­ta­lha­das sobre os fun­ci­o­ná­rios foram coletadas pre­vi­a­mente em redes sociais. Para a vítima, a mensagem parece par­ti­cu­lar­mente confiável. O autor do e-mail finge ser um suposto fun­ci­o­ná­rio de alto escalão de outra filial. Nome e endereço do remetente são muito fáceis de fal­si­fi­car, e assim, à primeira vista, não é per­cep­tí­vel que na verdade há alguém diferente por trás da mensagem.

No e-mail, o hacker inclui um botão que direciona a vítima para um site falso ao ser clicado. O ver­da­deiro objetivo é ocultado. Assim que o usuário acessa o site, malware pode ser carregado em segundo plano. Caso ele se instale no PC da vítima, o hacker pode, even­tu­al­mente, espionar toda a rede da empresa.

A vítima ainda pensa que visitou um site normal e talvez tenha par­ti­ci­pado de uma pesquisa. Assim, o vírus pode se espalhar de forma discreta na rede da empresa, pro­por­ci­o­nando ao atacante acesso total ou a ca­pa­ci­dade de in­ter­rom­per processos críticos da or­ga­ni­za­ção.

Como se proteger do spear phishing

Dica 1: mantenha ceticismo

Os usuários podem se proteger do spear phishing com uma boa dose de ceticismo. Quem evita clicar em links des­co­nhe­ci­dos ou abrir anexos ines­pe­ra­dos ge­ral­mente não se torna vítima. O problema, no entanto, é que tais ataques (ao contrário dos e-mails de phishing comuns) são muito bem ela­bo­ra­dos. Enquanto nos e-mails de spam comuns o caráter duvidoso é per­cep­tí­vel pela or­to­gra­fia e por algumas afir­ma­ções sem sentido, as mensagens de spear phishing são muito mais bem tra­ba­lha­das. Elas parecem sérias e au­tên­ti­cas.

Dica 2: mantenha a calma

Ataques de spear phishing exploram as fraquezas humanas, prin­ci­pal­mente a cu­ri­o­si­dade e o medo. Quem pensa que poderá perder ou ignorar algo im­por­tante está mais propenso a baixar a guarda e cair na armadilha. Por isso, mensagens de spear phishing fre­quen­te­mente prometem in­for­ma­ções que poderiam im­pul­si­o­nar a carreira do des­ti­na­tá­rio ou se apre­sen­tam de forma au­to­ri­tá­ria, sugerindo que a de­so­be­di­ên­cia pode trazer graves con­sequên­cias.

Dica 3: proteja dados sensíveis

O spear phishing só pode funcionar se o agressor encontrar in­for­ma­ções su­fi­ci­en­tes sobre a vítima. A primeira parada para isso são os perfis nas redes sociais. Portanto, é im­por­tante não revelar muito sobre si, es­pe­ci­al­mente in­for­ma­ções re­la­ci­o­na­das ao trabalho. Por meio de en­ge­nha­ria social, golpistas tentam obter mais in­for­ma­ções. Aqui, também é crucial manter cautela. Portanto, nunca com­par­ti­lhe dados sensíveis com des­co­nhe­ci­dos, in­de­pen­den­te­mente de quão confiável o contato possa parecer.

Dica 4: verifique o remetente no protocolo de envio

Também é possível re­co­nhe­cer o caráter ilegítimo di­re­ta­mente na mensagem. Es­pe­ci­al­mente em e-mails, vale a pena olhar aten­ta­mente para o endereço do remetente. Embora o nome e o endereço su­pos­ta­mente sejam fal­si­fi­ca­dos, no protocolo de envio do e-mail está o endereço real. Muitos clientes de e-mail modernos, como o Outlook, escondem a fonte em favor de um nome de exibição. No entanto, é possível (com mais ou menos fa­ci­li­dade) exibir o cabeçalho de um e-mail. Se perceber que a fonte não coincide com os dados do suposto remetente, há um alto risco de fraude.

Dica 5: evite downloads de HTML e imagens

Outra precaução de segurança na troca de e-mails é evitar o uso de HTML e não permitir o car­re­ga­mento au­to­má­tico de imagens. Dessa forma, evita-se que programas ma­li­ci­o­sos possam acessar o com­pu­ta­dor da vítima assim que a mensagem é aberta.

Dica 6: não abra anexos des­co­nhe­ci­dos

Anexos de re­me­ten­tes des­co­nhe­ci­dos não devem ser abertos de qualquer maneira. Primeiro, você deve verificar a iden­ti­dade do remetente. Mesmo que pareça confiável, nunca abra anexos de re­me­ten­tes com os quais você ainda não tenha se co­mu­ni­cado an­te­ri­or­mente. Mesmo que a pessoa remetente pareça conhecida, não abra anexos que não esteja esperando. O com­pu­ta­dor da pessoa conhecida pode já estar infectado por um programa malicioso. Em caso de dúvida, pergunte pes­so­al­mente.

Dica 7: verifique URLs e links cui­da­do­sa­mente

Devemos ter cuidado também com os endereços da internet que estão por trás dos links. Eles podem ser vi­su­a­li­za­dos antes de clicar no hiperlink. Por meio de URL Spoofing, golpistas tentam fazer com que seu domínio pareça um endereço legítimo. Com um pouco de atenção, esse truque pode ser ra­pi­da­mente des­mas­ca­rado. Endereços que foram en­cur­ta­dos e, portanto, ocultos, devem ser re­ver­ti­dos à sua forma original ou com­ple­ta­mente ignorados.

Dica 8: torne o remetente do e-mail à prova de fal­si­fi­ca­ção

Além das medidas de proteção in­di­vi­du­ais, a con­fi­gu­ra­ção técnica do servidor de e-mails de­sem­pe­nha um papel im­por­tante na luta contra o spear phishing. Com SPF Records, DKIM e es­pe­ci­al­mente DMARC, é possível proteger os endereços de remetente, per­mi­tindo que e-mails su­pos­ta­mente pro­ve­ni­en­tes de um domínio sejam tec­ni­ca­mente ve­ri­fi­ca­dos. Assim, uma empresa pode impedir que ci­ber­cri­mi­no­sos enviem mensagens falsas em nome de seu próprio domínio.