De acordo com o relatório 2018 Verizon Data Breach Report, phishing e suas variações são as táticas mais utilizadas em ataques de engenharia social, com 98% dos ataques. Em 2017, o IRS (correspondente a Receita Federal nos Estados Unidos) observou um aumento de 400% nos ataques de Spear Phishing contra CEOs.
Spear Phishing
É um ataque direcionado. Nele o invasor cria uma narrativa falsa ou se faz passar por alguém de confiança para roubar credenciais ou informações que possam ser utilizadas para se infiltrar em redes de dados. Normalmente é enviado um e-mail para uma pessoa ou grupo vindo de uma suposta fonte confiável e conhecida.
Spear Phishing X Phishing
O Spear Phishing é um subconjunto de ataques de phishing. Os objetivos são os mesmos: roubar dados ou plantar malwares. No entanto, as táticas empregadas são diferentes.
Os ataques de phishing são como pedaços de pão jogados em um lago. Não importa qual tipo de peixe que será pego, contanto que algum morda a isca. Normalmente são distribuídos a um grande número de pessoas de uma só vez, usando algo supostamente legitimo na esperança de que um número suficiente de pessoas clique em seus links para obter mais informações ou instalar malware.
Por outro lado, o Spear Phishing tem como alvo uma pessoa ou grupo específico. Eles atraem as vítimas com informações que parecem ter vindo de uma fonte confiável ou familiar, com o máximo de informações possíveis para que a abordagem pareça legítima.
Exemplos de Spear Phishing
O Fancy Bear, grupo de hackers russo, supostamente cometeu um dos mais famosos ataques de Spear Phishing. O grupo conseguiu se infiltrar na Convenção Nacional Democrata para roubar e-mails. Primeiro conseguiram uma lista de contatos atualizadas e, em seguida, direcionaram o ataque aos funcionários de alto escalação do partido, o que os levou ao Gmail do diretor de campanha de Hillary Clinton e ao roubo de 59 mil e-mails em um único dia.
O mesmo grupo também é acusado de usar o Spear Phishing para se infiltrar no parlamento alemão e na campanha de Emmanuel Macron, na França.
O Spear Phishing é um dos métodos de engenharia sócia mais confiáveis, o que torna a defesa contra ele desafiadora.
Dicas para evitar ataques de Spear Phishing
– Não acredite em tudo que lê – para não ser enganado, questione algumas coisas: Por que precisa disso? O que vai ser feito com esses dados?
– Conheça sua vida online – quanto mais informações são compartilhadas na rede, mais munição um spear phisher tem para convencê-lo a dar o que eles desejam.
– Inspecione o link – passe o mouse sobre o link e confira o caminho. Os golpistas sabem como disfarçar um link para parecer legítimo.
– Não clique em um link – no lugar de clicar em um link no e-mail, use o navegador e acesse a página manualmente. Isso garante que não está indo para um link malicioso. Crie o hábito de acessar os sites em que confia sem clicar em um link.
– Use senhas fortes – Use senhas com pelo menos 15 caracteres alfanuméricos e anote em um gerenciador de senhas. As altere regularmente.
– Mantenha o software atualizado – Enquanto as empresas de segurança fazem o possível para deixar seus programas atualizados, os distribuidores de malware estão trabalhando para encontrar brechas. Por isso é importante manter programas atualizados, com vulnerabilidades corrigidas e com as configurações de segurança atualizadas.
– Implemente uma estratégia de segurança de dados – Implemente uma técnica de segurança em camadas para proteger os dados da empresa contra o Spear Phishing. Um único usuário comprometido pode causar danos sérios.
Descubra como a Varonis pode ajudar a detectar atividades suspeitas e previna violações de dados em tempo real.