Os ataques de phishing tornaram-se cada vez mais sofisticados e direcionados. Isso torna mais importante do que nunca que os usuários da internet saibam como identificar links maliciosos. Os invasores continuam a explorar erros humanos usando links de phishing habilmente disfarçados para enganar as pessoas. Os usuários que clicam frequentemente revelam informações confidenciais, como credenciais de login ou informações pessoais, e até mesmo dados financeiros.
Vamos analisar dicas de especialistas sobre como identificar links de phishing e se proteger para não ser vítima desses ataques.
O phishing é um dos métodos de ciberataque mais comuns e eficazes, pois explora a confiança humana. Os cibercriminosos criam e-mails, mensagens de texto ou publicações em redes sociais para parecerem comunicações legítimas de organizações confiáveis. Essas mensagens geralmente contêm links maliciosos que, ao serem clicados, redirecionam os usuários para sites falsos, instalam malware ou exploram vulnerabilidades. Outro ataque comum, que vemos com muito mais frequência, é o roubo de tokens de autenticação do navegador, o que permite que hackers acessem sua conta de e-mail ou, pior ainda, sua conta bancária!
O Relatório de Investigações de Violações de Dados da Verizon de 2023 examinou os últimos 20 anos de ataques cibernéticos e concluiu que a única constante durante todo esse período foi que os ataques de phishing continuam sendo a principal causa de violações de dados. Os ataques de phishing utilizam diversas técnicas para nos enganar, como falsificação de domínio ( typoofing ), encurtadores de URL, links de cancelamento de inscrição e até mesmo a exibição de logotipos de segurança para criar uma falsa sensação de segurança ou legitimidade.
Uma das maneiras mais simples de verificar a legitimidade de um link é passar o mouse sobre ele (em um desktop ou laptop). Ao fazer isso, o URL verdadeiro aparecerá em uma pequena caixa no canto inferior esquerdo da tela. Se o link não corresponder ao domínio que alega ser — como um e-mail que alega ser do PayPal, mas com link para "paypa1.com" — isso é um sinal de alerta. Em dispositivos móveis, muitas vezes você pode pressionar e segurar um link para ver o URL antes de abri-lo. Sempre verifique se o URL está correto antes de clicar. Em caso de dúvida, pesquise o fornecedor no Google para validar o domínio apropriado.
Uma tática comum de phishing é usar erros ortográficos ou alterações sutis em uma URL para fazê-la parecer legítima. Por exemplo, um link de phishing pode usar "micros0ft.com" em vez de "microsoft.com" ou substituir letras por números e símbolos semelhantes. Essas pequenas alterações podem facilmente passar despercebidas, especialmente se você estiver com pressa. Além de letras parecidas em um nome de domínio, observe a adição de um "S" solitário ao final do domínio. Verifique a precisão da URL executando uma busca no Google ou em uma ferramenta de inteligência artificial pelo domínio correto do fornecedor, apenas para ter certeza.
A maioria dos sites legítimos usa HTTPS (Hypertext Transfer Protocol Secure), indicado por um ícone de cadeado na barra de endereços do navegador, para criptografar os dados entre o navegador e o site. No entanto, os cibercriminosos descobriram isso, e alguns sites de phishing agora usam HTTPS para parecerem seguros. Embora HTTPS seja um bom sinal, não é infalível. Sempre considere outros fatores, como a origem do e-mail, a URL e o contexto da mensagem.
Encurtadores de URL, como bit.ly ou tiny.url, são comumente usados em publicações em redes sociais ou e-mails para condensar URLs longos. Embora sejam úteis para fins legítimos, eles também ocultam o verdadeiro destino do link. É por isso que golpistas costumam usá-los para esconder URLs maliciosos. Se você receber uma URL encurtada, especialmente em mensagens não solicitadas, é melhor evitar clicar nela. Você pode usar expansores de URL, como o CheckShortURL.com , para revelar o link completo antes de decidir se vai visitar o site.
Outra técnica usada por phishers é criar URLs com nomes legítimos de empresas incorporados em subdomínios. Por exemplo, um link de phishing pode se parecer com "login.microsoft.com.attacker.com" para induzi-lo a acreditar que se trata de um site da Microsoft. Sempre preste muita atenção ao nome de domínio real (neste caso, "attacker.com") e desconfie de quaisquer subdomínios inesperados. Organizações legítimas raramente usam subdomínios complexos para páginas de login ou comunicações oficiais. Se você vir uma URL anormalmente longa com caracteres extras, provavelmente é uma tentativa de phishing.
Mensagens que criam uma sensação de urgência — como ameaças de encerramento da sua conta ou avisos de que suas informações foram comprometidas — são projetadas para induzi-lo a agir sem pensar. Da mesma forma, apelos emocionais que tocam o seu coração também podem ser uma maneira astuta de fazê-lo reagir e clicar sem pensar. Até mesmo um botão "curtir" em um e-mail pode conter comportamentos maliciosos ocultos no código. O mesmo vale para links de cancelamento de inscrição. Nunca reaja impulsivamente a nenhum e-mail. Sempre reserve um momento para verificar a legitimidade do remetente antes de clicar em qualquer link nesse tipo de mensagem.
Se você receber um e-mail inesperado com um anexo ou link, mesmo de um contato conhecido, verifique com o remetente antes de clicar. O e-mail dele pode ter sido comprometido e você pode estar caindo em um dos vetores de ataque favoritos dos hackers: os ataques de comprometimento de e-mail comercial (BEC) . Ao verificar com o remetente, não envie um e-mail, ligue ou envie uma mensagem de texto. Faça qualquer coisa para contatá-lo, exceto enviar um e-mail, pois o hacker pode estar controlando a caixa de entrada dele.
E-mails de phishing costumam usar saudações vagas como "Prezado cliente" em vez de se dirigir a você pelo nome. Isso é um sinal de alerta de que o remetente provavelmente não tem acesso às suas informações pessoais.
Lembre-se: o vetor de ataque favorito dos hackers são os e-mails de phishing. Custa muito pouco para eles enviarem e-mails incrivelmente complexos e convincentes para milhões de pessoas. Eles esperam e torcem para que você reaja rapidamente, sem pensar, aos seus ataques. Seja esperto, desconfie e sempre verifique os links e os remetentes dos e-mails antes de clicar em qualquer coisa. Mas e se você clicar acidentalmente? Já que isso acontece, veja o que você deve fazer se encontrar nessa situação complicada.
Se você clicar acidentalmente em um link de phishing, aja rapidamente para minimizar possíveis danos:
Se um malware for baixado, desconectar-se da internet pode impedir que ele se comunique com um servidor remoto. Isso impede que o computador infectado execute instruções do hacker, como criptografar arquivos, enviar arquivos para o hacker ou baixar malware. Desligar o computador impedirá a execução de outras rotinas de criptografia. Isso permite que a equipe de TI inicialize no modo de segurança ou a partir de uma unidade inicializável para inspecionar e, potencialmente, evitar maiores danos e remover a infecção.
Eles terão as ferramentas e o monitoramento necessários para examinar o que aconteceu depois que você clicou. Eles também podem ajudar a verificar se há malware no seu computador, desconectar todos os participantes da sua conta de e-mail, redefinir suas credenciais de autenticação e muito mais. Eles estão lá justamente para essa situação!
Use um software antivírus e antimalware para verificar seu dispositivo em busca de qualquer atividade suspeita ou arquivos que possam ter sido baixados.
Se você inseriu credenciais de login, altere imediatamente suas senhas para a conta comprometida e quaisquer outras contas que usem as mesmas credenciais.
Sempre que possível, ative a 2FA para adicionar uma camada extra de segurança às suas contas, dificultando o acesso de invasores.
Chaves de acesso são chaves criptográficas exclusivas que funcionam apenas para desbloquear sua conta em um site. Isso as torna ainda melhores do que senhas complexas tradicionais e autenticação multifator, que podem ser roubadas ou burladas, respectivamente. Isso torna as chaves de acesso uma ferramenta poderosa para se defender contra ataques de hackers.
Agora que você já sabe como identificar e evitar ataques de phishing, precisa praticar essas habilidades com simulações de phishing. A prática deve se estender a todos os profissionais do conhecimento em sua organização. Assim como a aptidão física, você e sua equipe devem praticar continuamente essas dicas para desenvolver a memória muscular. Se você parar de se exercitar, perderá a forma. Se você parar de praticar simulações de phishing, reagirá e cometerá um erro grave, ou um de seus funcionários cometerá. Inscreva-se em uma simulação de phishing positiva e educativa que ensina e recompensa bons comportamentos, como inspecionar e-mails cuidadosamente e não reagir a eles. Evite testes de phishing que punem maus comportamentos, como clicar em links falsos, mas não educam os usuários finais adequadamente sobre o que inspecionar.
A CyberHoot oferece a solução ideal para desenvolver a alfabetização cibernética dos seus funcionários. Nós os educamos, testamos e recompensamos por boas práticas de inspeção, trimestre após trimestre e ano após ano.
Os ataques de phishing continuam a evoluir e os cibercriminosos estão cada vez melhores em disfarçar links maliciosos para que pareçam legítimos. No entanto, seguindo os conselhos e dicas de especialistas apresentados neste artigo, você pode reduzir as chances de ser vítima de um golpe de phishing. Esteja mais atento para se proteger melhor.
Ainda não está pronto para se inscrever, mas quer saber mais? Participe do nosso webinar mensal para ver uma demonstração do CyberHoot, tirar dúvidas e saber das novidades.
Descubra e compartilhe as últimas tendências, dicas e melhores práticas de segurança cibernética, além de novas ameaças às quais você deve ficar atento.
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Já sabíamos disso há algum tempo...
Ler mais
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Sou abençoado por ter...
Ler mais
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Lembro-me dos primeiros tempos de...
Ler maisTenha uma visão mais aguçada dos riscos humanos com uma abordagem positiva que supera os testes de phishing tradicionais.
