Mês de Sensibilização para a Cibersegurança: A Importância de Reconhecer e Denunciar Tentativas de Phishing

O tema do Mês de Sensibilização para a Cibersegurança deste ano - "See Yourself in Cyber" - centra-se em como tanto os indivíduos, como as organizações, podem proteger-se mais eficazmente do cibercrime. Um dos passos mais importantes que todos podemos dar é aprender a reconhecer e denunciar tentativas de phishing. 

Embora os ataques de phishing não sejam novidade, os métodos utilizados para os executar estão em constante evolução. Atualmente, os hackers estão a tirar partido da automatização e de outras técnicas avançadas para aumentar a escala das campanhas de phishing e melhor atingir as vítimas. Independentemente do método, os objetivos dos ataques de phishing permanecem em grande parte os mesmos - enganar indivíduos para que estes visitem sites falsos que recolham as credenciais de login da vítima e outras informações pessoais, transfiram dinheiro e distribuam malware. As informações roubadas através de phishing são frequentemente vendidas na dark web e/ou utilizadas por cibercriminosos para obter acesso a recursos da rede ou para fraude e roubo de identidade. 

Os atacantes tentam muitas vezes fazer-se passar por indivíduos ou organizações de confiança. Recentemente, uma nova campanha de phishing começou por ter como alvo norte-americanos e neozelandeses à procura de emprego, com documentos maliciosos que instalavam Cobalt Strike Beacons para acesso remoto aos dispositivos das vítimas. E nas últimas semanas, o Internal Revenue Service (IRS) alertou os americanos para um aumento exponencial de ataques de phishing com mensagens de texto relacionadas com o IRS, tentando roubar as suas informações financeiras e pessoais.

Os ataques de phishing também se tornaram mais personalizados. Enquanto o phishing padrão implica o envio de e-mails fraudulentos através de ataques em massa, fazendo-se passar por uma organização ou pessoa legítima, os ataques de spear phishing visam um indivíduo ou organização específica e tendem a ser personalizados e detalhados, tornando-os mais desafiantes de detetar. Ferramentas e programas automatizados de phishing que visam redes de comunicação social e outros locais na web onde as pessoas colocam informações pessoais estão a melhorar e a acelerar a recolha de informações, que os atacantes utilizam para personalizar e dirigir o spear phishing. Embora estes tipos de ataques exijam mais esforço, tendem a ter uma maior taxa de sucesso.

Infelizmente, a realidade é que, se estiver online, será alvo do phishing. É por isso que é tão importante que cada utilizador faça a sua parte para parar o phishing, estando ciente dos sinais de uma tentativa deste tipo de ataque. 

• Fique atento a pedidos de gestores ou colegas de trabalho que pareçam fora do normal. 
• Tomar nota de erros ortográficos e gramática pobre; isso é frequentemente um indicador de que um e-mail ou texto é de uma fonte falsa.
• Verificar o endereço de correio eletrónico completo (ou número de telefone) do remetente para garantir que a mensagem é de uma fonte legítima; apagá-la se não parecer correta. Mas tenha também em mente que os atacantes podem falsificar endereços de correio eletrónico se o seu domínio não tiver as proteções adequadas (como a filtragem DNS). 
• Em geral, evite clicar em links na correspondência. Mas verifique sempre o domínio antes de clicar para se certificar de que corresponde ao website que pretende visitar. (É sempre mais seguro digitar manualmente os endereços de sites na Internet).
• Nunca descarregue ficheiros de remetentes desconhecidos. A sério, nunca. 
• Encaminhe e-mails suspeitos para o seu departamento de TI ou segurança para uma inspeção mais atenta.

Os MSP e MSSP podem proteger melhor os seus clientes através de uma parceria com a WatchGuard para implementar soluções de hardware e software que automatizam a proteção contra phishing e proporcionam formação aos utilizadores finais em tempo real. Os dispositivos Firebox da WatchGuard e as soluções de endpoint fornecem proteção ao nível do DNS e filtragem de conteúdos. E se os colaboradores clicarem num link malicioso, podem ser imediatamente redirecionados para recursos que fornecem educação sobre ataques de phishing e melhores práticas para a prevenção. Além disso, a Unified Security Platform™ da WatchGuard fornece análises precisas para cada ataque bloqueado e entrega-as a administradores de TI e MSP para contexto e ação interna.

Mas para os indivíduos, parar o phishing começa por estar vigilante. Acima de tudo, pense antes de agir. Um clique impensado pode pôr em risco a sua informação pessoal ou os dados críticos da sua empresa. A maioria dos e-mails e mensagens de phishing vêm com um sentido de urgência. Tenha cuidado com as comunicações que lhe pedem para agir imediatamente. É melhor estar seguro do que arrependido, por isso abrande e peça ajuda se não tiver a certeza que uma mensagem é legítima.

Para denunciar tentativas de phishing, falsificações ou para denunciar que foi vítima de um ataque, visite http://www.ic3.gov/para apresentar uma queixa. Para mais informações sobre a salvaguarda das suas informações, visite a página StopRansomware.gov.