The new face of phishing

O phishing pode ser uma das formas mais antigas de cibercrime, mas está longe de ser obsoleto. Esta nova face do phishing é adaptativa, tecnologicamente experiente e enraizada na psicologia do comportamento humano, seguem algumas das táticas usadas pelos phishers.

Spear phishing: Em vez de lançarem uma rede alargada, os phishers direcionam os ataques para utilizadores ou grupos privilegiados, recolhendo informações detalhadas sobre os alvos para criar emails convincentes que são difíceis de distinguir da comunicação legítima.

Business Email Compromise: Os phishers fazem-se passar por indivíduos da organização (ou parceiros desta), pedindo aos funcionários que efetuem transferências monetárias ou que transmitam informações sensíveis. Estes ataques podem ser devastadores para uma organização e para a sua reputação, e envolvem táticas sofisticadas de engenharia social, investigação extensiva aos alvos e até ataques à infraestrutura de email corporativo.

Smishing: Combina o SMS e phishing. Este método aproveita o instantâneo e confiança associados às SMS, para induzir os utilizadores a efetuar pagamentos ou obter informações pessoais e financeiras.

Brand Impersonation: Os phishers estão cada vez mais a visar marcas e serviços populares, criando réplicas convincentes dos seus websites e aplicações. As vítimas introduzem inadvertidamente as suas credenciais nestes sites falsos, fornecendo informações valiosas.

Social Engineering: Estes ataques utilizam a manipulação psicológica para explorar a confiança e a curiosidade humanas. Os atacantes criam mensagens que induzem medo, urgência ou excitação para levar a ações rápidas, como clicar numa ligação ou revelar dados sensíveis. Esta tática também aparece associada ao phishing por voz (vishing).

Zero-Day Exploits: Algumas campanhas de phishing aproveitam agora vulnerabilidades de Zero- Day em software e hardware, tornando-as ainda mais difíceis de detetar.

A evolução do fenómeno phishing tem um enorme impacto nos indivíduos e nas organizações. Os ataques resultam em várias consequências e impactos, incluindo perdas financeiras, roubo de identidade, violações de dados, infeções por malware, contas comprometidas e perda de confiança. Além disso, há consequências legais, como multas por violações de regulamentos de proteção de dados. Lidar com as consequências do phishing consome tempo e recursos significativos. Além disso, um ataque de phishing bem-sucedido pode levar a ataques mais avançados e graves. Portanto, é essencial que tanto indivíduos quanto organizações tomem medidas para se protegerem contra o phishing e minimizarem seus impactos.

À medida que os ataques de phishing se tornam mais sofisticados, é crucial que os indivíduos e as organizações se tornem proactivos para se defenderem, adicionado algumas camadas de proteção implementando MFA, utilizando soluções de email filtering em conjunção com técnicas de sandbox de forma a detonar ficheiros e ligações maliciosas, que possam detetar e colocar em quarentena email de phishing antes deste chegar aos destinatários, utilizando também soluções robustas nos endpoints para que possam identificar e bloquear software malicioso, mantendo o software e hardware atualizado para minimizar as vulnerabilidades que possam ser exploradas e criando planos de resposta para minimizar incidentes no caso de ataques bem sucedidos.

Reconhecendo a ameaça contínua que o phishing representa, muitas organizações investem na educação e formação dos funcionários para aumentar a consciencialização e reduzir o risco de serem vítimas de tais ataques. Atualmente existem soluções para lançar simulações de phishing e promover formação interna nessa temática, com a possibilidade de obter resultados segmentados e assim focar a sensibilização às equipas mais vulneráveis e mais críticas. Apesar das empresas sensibilizarem os seus colaboradores para o perigo do phishing, mesmo os indivíduos bem informados podem ser vítimas destes ataques, o que realça a necessidade de uma educação e vigilância contínuas em matéria de cibersegurança.

Numa era digital em que as informações pessoais e sensíveis estão constantemente em risco, os indivíduos e as organizações devem manter-se proativos na defesa contra ataques de phishing. A utilização de uma combinação de medidas robustas de cibersegurança, formação atualizada e uma dose saudável de ceticismo quando se depara com mensagens ou e-mails não solicitados pode contribuir muito para atenuar os riscos colocados por esta ameaça em evolução. O phishing pode ter vindo para ficar, mas com a sensibilização e as precauções corretas, o seu impacto pode ser significativamente reduzido.

Conteúdo co-produzido pela MediaNext e pela CSO