Cada vez mais se ouve falar de ataques de phishing nas notícias. Pessoas que foram enganadas a dar os seus dados e a que conseguiram roubar grandes quantias de dinheiro.

Segundo o mais recente relatório da Kaspersky, em 2020 foram identificados cerca de 430 milhões de tentativas de ataques de phishing. O Brasil volta a liderar a tabela dos países com maior número de vítimas afetadas (19,94%). Portugal vem logo a seguir, que se apresenta em segundo lugar com 19,73% do total de ataques.

 Mas afinal o que é o phishing? E como me posso proteger? A melhor forma de proteção é o conhecimento. Temos de saber o que é para o conseguir identificar. Podemos achar que só acontece aos outros mas de qualquer forma temos de nos proteger. 

O que é o phishing?

Phishing é o crime de ludibriar as pessoas, levando-as a partilhar informações confidenciais, como palavras-passe e números de cartões de crédito. Tal como na pesca, há mais de uma forma de apanhar uma vítima, mas há uma tática de phishing que é mais comum. 

As vítimas recebem um email ou uma mensagem de texto que imita (ou “forja”) uma pessoa ou organização em que elas confiam, como um colega, o banco ou uma entidade governamental. Quando a vítima abre o email ou o texto, encontra uma mensagem assustadora que visa sobrepor-se ao seu bom senso e assustá-la. A mensagem exige que a vítima consulte um dado website e tome medidas imediatas ou arrisque uma qualquer consequência. 

Se os utilizadores morderem o isco e clicarem no link, são enviados para a imitação de um website fidedigno. A partir daqui, é-lhes pedido que iniciem sessão com as suas credenciais de nome de utilizador e palavra-passe. Se eles forem suficientemente ingénuos para o fazer, a informação de registo é passada para o atacante, que a usa para roubar identidades, esvaziar contas bancárias e vender informações pessoais no mercado negro.

Tipos de ataques 

Apesar das suas inúmeras variedades, o denominador comum a todos os ataques de phishing é o recurso a uma pretensão fraudulenta para adquirir elementos de valor. Entre as principais categorias, incluem-se:

Spear phishing: Estes ataques visam uma pessoa ou organização em específico, frequentemente com conteúdos criados à medida da vítima ou vítimas. Requerem um reconhecimento anterior ao ataque para revelar nomes, cargos, endereços de email e outras informações semelhantes.

Clone phishing: Neste ataque, os criminosos fazem uma cópia — ou clone — de emails anteriormente enviados, mas fidedignos, que contenham um link ou um anexo. Depois, o phisher troca os links ou ficheiros anexos por substitutos maliciosos, disfarçados de elementos verdadeiros. 

Esquemas nigerianos: Um verboso email de phishing de alguém que afirma ser um príncipe nigeriano é um dos esquemas mais antigos e duradouros da Internet. O esquema de phishing do príncipe nigeriano vem de uma pessoa que afirma ser um membro do governo ou da família real, que precisa de ajuda para transferir milhões de dólares para fora da Nigéria. O email está assinalado como ‘urgente’ ou ‘privado’ e o seu remetente pede ao destinatário que lhe forneça o número de uma conta bancária para guardar os fundos.

Phone phishing: Nas tentativas de phishing por telefone, por vezes chamado de phishing por voz ou “vishing”, o phisher efetua uma chamada telefónica, alegando representar o seu banco local, a polícia ou, mesmo, os serviços de Finanças. Normalmente, solicitam-lhe que efetue o pagamento através de uma transferência eletrónica ou de cartões pré-pagos, pelo que é impossível identificá-los.

SMS phishing, ou “smishing”: É o gémeo perverso do vishing, praticando o mesmo tipo de esquema (por vezes, com um link malicioso onde deve clicar) através de uma mensagem SMS.

Como identificar um ataque 

Procure algo pouco provável ou invulgar. Pergunte-se se a mensagem lhe “cheira bem”. Confie na sua intuição, mas não se deixe dominar pelo medo. Muitas vezes, os ataques de phishing recorrem ao medo para toldar o seu discernimento.

• Reconhece o remetente, mas é alguém com quem não fala. 
• A mensagem é assustadora.
• Contém anexos inesperados ou invulgares.
• Pode conter links que parecem um pouco estranhos.

Como posso proteger-me?

• Não abra emails de remetentes que não lhe são familiares.
• Nunca clique num link num email, a menos que saiba exatamente onde irá ter.
• Para escalar essa proteção, caso receba um email de uma fonte insegura, navegue manualmente para o link fornecido, introduzindo o endereço fidedigno do website no seu browser.
• Procure o certificado digital de um website.
• Antes de fornecer informações confidenciais, verifique se o URL da página começa por “HTTPS” em vez de apenas “HTTP”. O “S” indica “seguro”. Não é uma garantia de que o site é fidedigno, mas quase todos os sites que o são usam HTTPS, por ser mais seguro. Os sites HTTP, mesmo fidedignos, estão vulneráveis aos hackers. 
• Se suspeitar de que um email não é fidedigno, insira um nome ou algum texto da mensagem num motor de busca. Pode ser que exista algum ataque de phishing conhecido que recorra aos mesmos métodos.
• Passe o rato sobre o link para ver se se trata de um link fidedigno.

Fonte: Malware

Não percas:

Cibersegurança: tipos de ameaças virtuais e como se proteger.