Teste sua capacidade de identificar e-mails fraudulentos e veja o quão suscetível você realmente é a engenharia social e golpes de phishing.

By Ken Dang

Às vezes você percebe o ataque em apenas uma fração de segundo tarde demais. Uma onda de terror passa por você enquanto você se pergunta: “no que eu acabei de clicar? Acho que realmente estraguei tudo!”

Se isso soa familiar, não se culpe. Ser enganado por um bom golpe de phishing pode acontecer com qualquer pessoa, milhões de vítimas inocentes ao redor do mundo já fizeram a mesma coisa.

O importante é agir imediatamente e saber o que você precisa para não repetir o erro. O elemento humano contribui com 82% das violações, de acordo com o Relatório de Violações de Dados 2022 da Verizon (DBIR). Além de usar tecnologias de segurança para prevenir ataques de phishing, as empresas também devem ter uma abordagem rígida para educar as pessoas sobre como identificar e-mails de phishing.

Para ajudar a evitar que golpistas e-mails tirem o melhor de nós, a SonicWall está ansiosa para anunciar nosso novo quiz de Phishing online. Este teste foi feito para educar os usuários sobre como reconhecer os sinais comuns de um e-mail de phishing. Por ser interativo, é mais interessante e informativo do que um simples e-mail ou folheto.

E-mail é geralmente o primeiro vetor de ataque.

Baseado no que aprendemos de últimas violações de dados, esses ataques de sucesso geralmente misturam múltiplos ataques, técnicas e procedimentos (TTP) para comprometer completamente o usuário. Além do mais, em tais eventos, o e-mail foi o primeiro a entregar pelo menos um dos seguintes itens:

1 - A URL inicial, na forma de um link que leva a um exploit kit ou a um website de phishing

2 - O anexo malicioso, na forma de um dropper ou payload

3 - Uma mensagem de pretexto que se torna o ponto inicial para um ataque de engenharia social, levando os usuários a revelarem suas credenciais, enviarem dinheiro, divulgarem dados sensíveis, etc.

Hoje encontramos phishing direcionado e ataques de pretexto que são muito bem desenvolvidos. A aparência real desses e-mails enviados por identidades roubadas ou fakes conseguem enganar até mesmo os usuários mais treinados e conscientes sobre a segurança. Além disso, os profissionais de segurança com quem conversamos disseram que ainda vêm usuários clicando em e-mails de phishing, pois são incapazes de discernir os e-mails verdadeiros dos falsos.

As táticas, técnicas e procedimentos de phishing (TTP) são muito inteligentes.

Ao mesmo tempo que os fornecedores de segurança desenvolvem novas capacidades para proteger os usuários de e-mails de phishing que contornam os filtros prévios, os atacantes também se dedicam a criar meios de alcançar a caixa de entrada. Um exemplo desses ataques é um e-mail de phishing direcionado, com volume baixo e de alta qualidade, que parece vir do Office 365 ou Gmail, como apresentado abaixo.

Esse e-mail fake se apresenta profissionalmente e é personalizado para usuários específicos, ao contrário das campanhas tradicionais genéricas e de alto volume do passado. Esses ataques são sofisticados tanto em sua técnica de chegar à caixa de entrada quanto em relação à experiência de usuário no backend. Cada link traz a tela de login de uma segunda página, nela o endereço de e-mail do usuário é automaticamente preenchido. Ou seja, eles já sabem quem você é.

A curva de inovação de phishing agora ocorre após a entrega, como no exemplo acima. Em outras palavras, em vez de colocar a URL maliciosa no e-mail, os criminosos se conectam a um servidor de redirecionamento que atua como um gateway, enviando consultas de uma empresa de segurança para um site benigno. Por outro lado, as consultas provenientes das vítimas pretendidas são direcionadas ao servidor de phishing.

Os métodos de ofuscação desenvolvidos ao longo dos anos incluem a falsificação de identidade, redirecionamentos múltiplos, separação de URLs, manipulação de tag HTML, malware polimórfico, scripts dinâmicos ofuscados, esses são somente alguns exemplos. Já observamos hackers habilidosos combinarem várias técnicas de ofuscação em campanhas de phishing direcionadas para esconder a verdadeira intenção da página de destino, que normalmente é uma página de coletar credenciais.

As pessoas não são perfeitas

“Os seres humanos não são seres lógicos, somos seres emocionais. E não nos importamos com o que é verdade. Nós nos importamos com como algo nos faz sentir” disse Will Smith, um ator famoso e rapper, talvez até um filósofo de nossa geração. Essas palavras têm uma conexão profunda com aqueles que vivem e respiram a segurança cibernética. A noção de que enquanto se puder manipular as emoções humanas, alguém provavelmente vai cometer um grande erro é o que enfatiza um dos muitos desafios complexos a serem solucionados pelos profissionais de segurança, mas isso não pode ser resolvido somente pela tecnologia. Ao mesmo tempo que tecnologias de prevenção contra phishing são necessárias, também é essencial criar um programa de conscientização de segurança cibernética.

Aumente a conscientização dos funcionários com o Quiz de Phishing da SonicWall.

Além dos avanços das tecnologias de inteligência artificial e aprendizado de máquina dentro das ferramentas de segurança, os investimentos da SonicWall no treinamento de pessoas para resistir a fraudes humanas fazem parte de um esforço mais significativo para ajudar as pessoas a se tornarem parte da solução em vez de serem parte do problema.

A crença de que a segurança fica somente a cargo dos profissionais de segurança e suas tecnologias é muito perigosa, pois quando um e-mail de phishing chega à caixa de entradanão há mais linha de defesa. Reduzir esse fator do risco humano exige uma cultura e uma adaptação da mentalidade em nível corporativo e individual, com o objetivo de que todos pensem conscientemente e se envolvam proativamente em se tornar parte importante da segurança da organização.

De um modo simples, mas eficaz, o Quiz de Phishing da SonicWall incentiva as pessoas a ficarem atentas e a exercerem uma suspeita saudável ao verificar e responder e-mails. Esse quiz permite que você examine interativamente uma série de modelos de e-mails, que incluem links incorporados, para testar a sua intuição e seu conhecimento em discernir entre e-mails legítimos ou e-mails de phishing.

Fonte: Blog SonicWall

Blog SonicWall

Autor: Ken Dang - SR. Product Marketing Manager | SonicWall