As pessoas estão cada vez mais compartilhando suas informações pessoais on-line, graças à rápida expansão do uso da internet. Como resultado, agentes mal-intencionados têm acesso a uma grande quantidade de dados pessoais e transações financeiras. O phishing é um tipo de crime cibernético que permite que esses agentes enganem pessoas e obtenham informações confidenciais.
O que é Phishing?
O phishing é um ataque de engenharia social no qual um phisher tenta persuadir os usuários a divulgar informações confidenciais, se passando por uma instituição pública ou privada confiável, em um padrão automatizado, na esperança de que o usuário acredite na mensagem e revele dados ao invasor.
Os phishers iniciam um trabalho de coleta de dados sobre suas vítimas antes mesmo da primeira abordagem, para atraí-las a partir de suas vulnerabilidades e do contexto em que estão inseridas. Essas informações podem incluir o nome de uma pessoa, endereço de e-mail ou clientes da empresa.
As vítimas podem ser escolhidas aleatoriamente, seja por correspondências em massa ou pela coleta de informações das mídias sociais, ou de outras fontes. Qualquer pessoa com uma conta bancária e acesso à Internet pode ser um alvo de phishing. Instituições financeiras, setores de varejo como eBay e Amazon e provedores de serviços de internet estão entre os negócios mais visados pelos phishers.
Os ataques de phishing geralmente são ataques preliminares para avaliar a suscetibilidade de um ambiente ou para abrir a porta para um malware mais avançado ser introduzido em uma organização. As empresas ficam vulneráveis ??a violações se não seguirem regras básicas de segurança cibernética, um conceito que está se caracterizando como “higiene cibernética”.
De acordo com pesquisas recentes, senhas fracas ou roubadas foram usadas em mais de 80% das violações. Como o acesso a redes e aplicativos corporativos é realizado cada vez mais por dispositivos móveis – corporativos ou pessoais -, a falta de higiene cibernética individual gera um impacto direto na segurança da empresa.
Como podemos resolver esse dilema?
As soluções baseadas em humanos, que educam usuários finais sobre como identificar e evitar cair na isca, são a melhor linha de defesa contra o phishing. De longe, a contramedida mais eficaz para prevenir tentativas de phishing é a educação humana.
Mesmo que não garantam proteção perfeita, a conscientização e o treinamento humano são as primeiras abordagens de defesa na metodologia proposta para combater o phishing. A educação do usuário final minimiza a vulnerabilidade ao ataque de phishing e complementa outras medidas técnicas.
A segunda linha de defesa são as soluções técnicas, que incluem a prevenção do ataque em um estágio inicial, como no nível de vulnerabilidade, para evitar que a ameaça se materialize no dispositivo do usuário, reduzindo assim a exposição humana e detectando o ataque uma vez que tenha sido lançado pela rede ou no dispositivo do usuário final. Isso inclui o uso de procedimentos especializados para rastrear a origem do invasor.
Esses métodos podem ser acoplados para produzir defesas anti-phishing consideravelmente mais poderosas.
Existem duas maneiras básicas de detectar e interromper as tentativas de phishing: soluções não baseadas em conteúdo e soluções baseadas em conteúdo. Listas são abordagens não baseadas em conteúdo que classificam e-mails ou páginas da Web falsos com base em informações que não estão incluídas no e-mail ou na página da Web. Ao interromper sites de phishing por meio de procedimentos de lista, uma lista de URLs e sites reconhecidos é mantida e o site sob investigação é comparado à lista para determinar se é um site de phishing ou autêntico. Já as abordagens baseadas em conteúdo categorizam uma página ou um e-mail com base nas informações incluídas em seu conteúdo.
O longo caminho pela frente
É melhor saber em quais pontos a sua organização está falhando e ter tempo e recursos para fazer algo a respeito do que olhar para trás após um ataque cibernético, tentando entender os motivos. A parceria com especialistas nesse campo realmente ajudará muito na proteção eficaz de seus sistemas e ambientes.
Autor: Carlos Rodrigues, vice-presidente da Varonis