TL;DR
O phishing é uma prática maliciosa na qual os golpistas se disfarçam de entidades confiáveis para induzir os indivíduos a revelar informações confidenciais.
Fique atento contra o phishing ao reconhecer sinais comuns, como URLs suspeitos e solicitações urgentes de informações pessoais.
Entenda as diversas técnicas de phishing, desde golpes comuns por e-mail até spear phishing sofisticado, para reforçar as defesas de segurança cibernética.
Introdução
O phishing é uma tática prejudicial em que os agentes mal-intencionados fingem ser fontes confiáveis para enganar as pessoas e fazer com que elas compartilhem dados confidenciais. Neste artigo, vamos esclarecer o que é phishing, como ele funciona e o que você pode fazer para evitar ser vítima desse golpe.
Como o phishing funciona
O phishing depende principalmente da engenharia social, um método em que os golpistas manipulam as pessoas para divulgar informações confidenciais. Esses golpistas reúnem dados pessoais de fontes públicas (como redes sociais) para criar e-mails que parecem autênticos. As vítimas geralmente recebem mensagens maliciosas que parecem ser de contatos familiares ou organizações respeitáveis.
A forma mais comum de phishing ocorre através de e-mails contendo links ou anexos maliciosos. Clicar nesses links pode instalar malware no dispositivo do usuário ou levá-lo a sites falsos projetados para roubar informações pessoais e financeiras.
Embora seja mais fácil identificar e-mails de phishing mal escritos, os cibercriminosos estão utilizando ferramentas avançadas, como chatbots e geradores de voz por IA, para aumentar a autenticidade dos seus ataques. Para os usuários, isso dificulta a distinção entre comunicações genuínas e fraudulentas.
Reconhecimento das tentativas de phishing
Pode ser complicado identificar os e-mails de phishing, mas existem alguns sinais que você pode observar.
Sinais comuns
Tenha cuidado se a mensagem tiver URLs suspeitos, usar endereços de e-mail públicos, induzir medo ou urgência, solicitar informações pessoais ou apresentar erros ortográficos e gramaticais. Na maioria dos casos, você pode passar o mouse sobre os links para verificar os URLs sem clicar neles.
Golpes baseados em pagamentos digitais
Os golpistas de phishing costumam se passar por serviços de pagamento on-line confiáveis, como PayPal, Venmo ou Wise. Os usuários recebem e-mails fraudulentos solicitando que verifiquem os detalhes de login. É fundamental permanecer vigilante e denunciar atividades suspeitas.
Ataque de phishing relacionado a finanças
Os golpistas se apresentam como bancos ou instituições financeiras alegando violações de segurança para obter informações pessoais. As táticas comuns incluem e-mails enganosos sobre transferências de dinheiro ou golpes de depósito direto, direcionados a novos funcionários. Eles também podem alegar que há uma atualização de segurança urgente.
Golpe de phishing relacionado a trabalho
Esses golpes personalizados envolvem golpistas que se apresentam como executivos, CEOs ou CFOs, solicitando transferências eletrônicas ou compras falsas. O phishing de voz usando geradores de voz por IA que acontece pelo telefone é outro método empregado pelos golpistas.
Como Prevenir Ataques de Phishing
Para evitar os ataques de phishing, é importante empregar várias medidas de segurança. Evite clicar em qualquer link diretamente. Em vez disso, acesse o site oficial ou os canais de comunicação da empresa para verificar se as informações que você recebeu são legítimas. Considere a utilização de ferramentas de segurança como software antivírus, firewalls e filtros de spam.
Além disso, as organizações devem usar padrões de autenticação de e-mail para verificar os e-mails recebidos. Exemplos comuns de métodos de autenticação incluem DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance).
Para os indivíduos, é importante informar sua família e amigos sobre os riscos do phishing. Para as empresas, é vital educar os funcionários sobre as técnicas de phishing e fornecer treinamento periódico de conscientização para reduzir os riscos.
Se precisar de assistência adicional e mais informações, procure iniciativas governamentais como a OnGuardOnline.gov e organizações como a Anti-Phishing Working Group Inc. Eles fornecem recursos e orientações mais detalhadas sobre detecção, prevenção e denúncia de ataques de phishing.
Tipos de phishing
As técnicas de phishing estão evoluindo e os cibercriminosos estão usando vários métodos. Geralmente, os tipos diferentes de phishing são classificados de acordo com o alvo e o vetor de ataque. Vamos conferir mais detalhes.
Clone phishing
Um golpista usará um e-mail legítimo enviado anteriormente, copiará o conteúdo e fará um novo e-mail semelhante contendo um link para um site falso. Esse golpista também pode alegar que este é um link atualizado ou novo, afirmando que o anterior estava incorreto ou expirado.
Spear phishing
Este tipo de ataque é focado em uma pessoa ou instituição. Um ataque de spear é mais sofisticado do que os outros tipos de phishing porque é perfilado. Isso significa que o golpista coleta informações sobre a vítima (por exemplo, nomes de amigos ou familiares) e usa esses dados para atraí-la para um arquivo do site falso.
Pharming
O golpista adultera um registro DNS, que na prática, redirecionará os visitantes de um site legítimo para um site falso feito por ele. Esse é o mais perigoso dos ataques porque os registros DNS não estão sob o controle do usuário, tornando-o incapaz de se defender.
Whaling
Uma forma de spear phishing que tem como alvo pessoas ricas e importantes, como CEOs e funcionários do governo.
Spoofing de e-mail
Os e-mails de phishing normalmente falsificam comunicações de empresas ou pessoas legítimas. Eles podem apresentar às vítimas desconhecidas links para sites falsos, onde esses golpistas coletam credenciais de login e PII (informações pessoais identificáveis) usando páginas de login engenhosamente disfarçadas. As páginas podem conter trojans, keyloggers e outros scripts maliciosos que roubam informações pessoais.
Redirecionamento de sites
Os redirecionamentos de sites enviam os usuários para URLs diferentes daquele que o usuário pretendia visitar. Os golpistas que exploram vulnerabilidades podem inserir redirecionamentos e instalar malware nos computadores dos usuários.
Typosquatting
O typosquatting direciona o tráfego para sites falsificados que usam grafias em idiomas estrangeiros, erros ortográficos comuns ou variações sutis no domínio do site. Os golpistas de phishing usam domínios para imitar interfaces legítimas de sites, tirando vantagem dos usuários que digitam errado ou não efetuam a leitura correta do URL.
Anúncios falsos pagos
Anúncios pagos são outra tática usada para phishing. Esses anúncios (falsos) utilizam domínios com typosquatting que são pagos pelos golpistas para aparecer nos resultados de pesquisa. O site pode até aparecer como um dos principais resultados de pesquisa no Google.
Ataque watering hole
Em um ataque de watering hole, os golpistas de phishing analisam os usuários e determinam os sites que eles visitam com frequência. Eles verificam esses sites em busca de vulnerabilidades e tentam injetar scripts maliciosos projetados para atingir os usuários na próxima vez que visitarem esse site.
Falsificação de identidade e brindes falsos
A personificação de figuras influentes nas redes sociais. Os golpistas de phishing podem se passar por líderes de empresas e anunciar brindes ou se envolver em outras práticas enganosas. As vítimas desse truque podem ser escolhidas individualmente por meio de processos de engenharia social que visam encontrar usuários ingênuos. Esses golpistas podem hackear contas verificadas e modificar o nome do usuário para se passar por uma figura real, mantendo o status de verificado.
Recentemente, os phishers (golpistas que praticam o phishing) têm segmentado de forma intensa as plataformas como Discord, X e Telegram para os mesmos fins: falsificar bate-papos, personificar indivíduos e imitar serviços legítimos.
Aplicativos maliciosos
Os phishers também podem usar aplicativos maliciosos que monitoram seu comportamento ou roubam informações confidenciais. Esses aplicativos podem ser apresentados como rastreadores de preços, carteiras e outras ferramentas relacionadas às criptomoedas (que têm uma base de usuários com criptomoedas e estão predispostos a negociar).
Phishing de voz e por SMS
Uma forma de phishing baseada em mensagens de texto, geralmente feita por SMS ou mensagens de voz, que incentiva os usuários a compartilhar informações pessoais.
Phishing vs. Pharming
Embora alguns considerem o pharming um tipo de ataque de phishing, ele depende de um mecanismo diferente. A principal diferença entre phishing e pharming é que o phishing exige que a vítima cometa um erro. Por outro lado, o pharming exige apenas que a vítima tente acessar um site legítimo cujo registro DNS foi comprometido pelo golpista.
Phishing no espaço blockchain e das criptomoedas
Apesar da tecnologia blockchain fornecer segurança robusta dos dados devido a sua natureza descentralizada, os usuários no espaço blockchain devem permanecer atentos às tentativas de golpe com engenharia social e phishing. Os cibercriminosos geralmente tentam explorar vulnerabilidades humanas para obter acesso a chaves privadas ou credenciais de login. Na maioria dos casos, os golpes dependem de erro humano.
Os golpistas também podem tentar enganar os usuários para que revelem suas seed phrases ou transfiram fundos para endereços falsos. É importante ter cautela e seguir as práticas de segurança recomendadas.
Considerações finais
Para concluir, entender o golpe de phishing e se manter informado sobre a evolução das técnicas é fundamental para proteger as informações pessoais e financeiras. Ao combinar medidas sólidas de segurança, educação e conscientização, os indivíduos e as organizações podem se fortalecer contra a ameaça sempre presente do phishing no nosso mundo digital interconectado. Mantenha-se SAFU!
Leituras adicionais
Aviso Legal: este conteúdo é apresentado a você “no estado em que se encontra“ apenas para fins informativos e educacionais, sem qualquer tipo de garantia. O conteúdo não deve ser interpretado como aconselhamento financeiro, jurídico ou profissional, e não tem o objetivo de recomendar a compra de qualquer produto ou serviço específico. Você deve buscar seu próprio conselho de consultores profissionais. No caso de contribuições e artigos enviados por colaboradores terceirizados, note que as opiniões expressas pertencem ao respectivo autor e não refletem necessariamente as opiniões da Binance Academy. Para mais detalhes, por favor leia nosso aviso aqui. Os preços dos ativos digitais podem ser voláteis. O valor do seu investimento pode aumentar ou diminuir e você pode não recuperar o valor investido. Você é o único responsável por suas decisões de investimento e a Binance Academy não se responsabiliza por nenhuma de suas possíveis perdas. Este material não deve ser interpretado como aconselhamento financeiro, jurídico ou profissional. Para mais informações, por favor consulte nossos Termos de Uso e Aviso de Risco.