O que é phishing e como evitá-lo? – Revisão Geeky

A ascensão do trabalho remoto, compras on-line e liderança incompetente da FCC cria uma tempestade perfeita para os golpistas. Os ataques de phishing são mais comuns do que nunca, geralmente levando a fraudes, roubo de identidade e violações de dados corporativos. Mas o que é phishing e como evitá-lo?

O que é phishing?

“Phishing” é um termo genérico para uma variedade de crimes cibernéticos. Mas em sua forma mais básica, o phishing (pronuncia-se “fishing”) é um golpe em que a vítima é induzida a compartilhar informações confidenciais ou baixar ransomware.

A maioria dos esquemas de phishing acontece por e-mail ou mensagem de texto SMS. E tendem a seguir uma fórmula simples; os golpistas se passarão por alguém confiável, como a Amazon, um departamento de polícia ou um empregador, e falarão sobre um problema que requer atenção imediata. Normalmente, esse “problema” só pode ser “resolvido” compartilhando os detalhes do seu cartão de crédito, abrindo um arquivo malicioso ou digitando seus dados de login em um site falso.

A maioria dos ataques de phishing são fáceis de detectar. Eles se concentram em tópicos fraudulentos (como garantias de carros) e não se passam por uma pessoa de autoridade. Se você receber um e-mail da “Amazon” contendo erros de digitação ou de um endereço do Yahoo, provavelmente perceberá que algo está errado. (Ainda assim, as pessoas caem nesses ataques de phishing “óbvios” todos os dias, e é por isso que eles são tão comuns.)

Mas os esquemas de phishing podem ser muito sofisticados. Os golpistas podem saber detalhes sobre seu emprego, assinaturas, família ou localização antes de tentar um ataque de phishing. Se você encomendar sapatos de um site que foi invadido, por exemplo, um golpista pode enviar um e-mail solicitando que você confirme a compra com seus dados de login. E se você estiver em idade de aposentadoria, um golpista pode se passar por um jovem membro da família para pedir dinheiro para fiança.

Para ser claro, os esquemas de phishing não visam apenas indivíduos. De acordo com um relatório recente da Proofpoint, mais de 55% das empresas foram vítimas de um ataque de phishing em 2020. Mais da metade dessas empresas acabou com ransomware em seus sistemas. E, infelizmente, vários desses ataques de phishing levaram a uma violação de dados, que pode expor informações de clientes a hackers.

Os governos também são um grande alvo para esquemas de phishing. O CSIS mantém uma longa lista de ataques cibernéticos bem-sucedidos contra organizações governamentais, e muitos desses ataques foram ativados por phishing.

Pessoas comuns são a primeira e única linha de defesa em um ataque de phishing. Mas os dados da Proofpoint mostram que mais da metade de todos os trabalhadores em tempo integral não sabem nada sobre phishing. Claramente, empresas e governos não estão educando as pessoas sobre esse assunto, e é por isso que é tão importante sentar e aprender por si mesmo.

As formas mais comuns de phishing

Uma das coisas mais frustrantes sobre o phishing, pelo menos do nosso ponto de vista, é que ele vem em tantas formas e tamanhos diferentes. Os cibercriminosos não repetem o mesmo golpe todos os dias. Eles estão constantemente desenvolvendo novas maneiras de enganar suas vítimas.

No entanto, os golpistas precisam fazer um ato de equilíbrio ao fazer phishing. Eles podem lançar uma ampla rede com um golpe “óbvio” e esperar que alguém morder a isca, ou eles podem trabalhar para um objetivo específico.

Aqui estão as formas comuns de phishing, que devem ilustrar meu ponto:

• E-mail de phishing: esta é a forma mais comum de phishing. Um golpista se apresenta como um site ou figura popular, como a Amazon ou um político, na tentativa de roubar suas informações ou induzi-lo a baixar ransomware. Eles podem até criar um nome de domínio personalizado para que seu endereço de e-mail pareça “oficial”.
• Roubo de identidade (spear phishing): Os golpistas que desejam atingir um alvo específico recorrerão ao “spear phishing”. Eles coletam informações sobre sua vítima antes de se passar por uma pessoa confiável, empresa ou mensagem automática.
• Clonar falsificação: a maioria dos e-mails de phishing são enviados às vítimas aleatoriamente. Mas, em alguns casos, um golpista enviará uma versão duplicada de um e-mail real. Se você receber uma confirmação de pedido, por exemplo, um hacker pode enviar uma cópia da “confirmação de pedido” que contém links ou anexos maliciosos.
• phishing pop-up: os pop-ups continuam sendo um vetor comum para golpes e malware. Os ataques de phishing pop-up modernos normalmente aproveitam as configurações de notificação de um navegador para enviar “avisos de antivírus”.
• Representação de Pescador: O mundo das redes sociais permite que os golpistas façam “phishing fisherman” para as vítimas. Essencialmente, os golpistas se passarão por uma figura pública ou empresa nas mídias sociais. Alguém pode se passar por criador do YouTube para compartilhar links fraudulentos de “sorteio” nos comentários de um vídeo, por exemplo.
• Baleação: quando um ataque de phishing tem como alvo uma pessoa importante, como um CEO, é chamado de “whaling”. Esses alvos geralmente são ricos, facilmente chantageados ou têm acesso ao back-end de uma corporação.
• Smishing e Vishing: estes termos descrevem phishing via mensagem de texto SMS ou chamada telefônica. A maioria das mensagens de spam ou robocalls que você recebe são formas de “smishing” ou “vishing”.

Novamente, esses ataques de phishing variam de “ultradirecionados” a “muito amplos”. Ataques mais sofisticados tendem a atingir uma única pessoa, enquanto ataques mais básicos são um pouco aleatórios.

Como evitar golpes de phishing

Devido ao aumento do trabalho remoto, o phishing está mais popular do que nunca. E esperamos que continue sendo um grande problema para indivíduos, corporações e governos: os golpes de phishing podem ser bastante sofisticados, portanto, mesmo que você seja “experiente em computadores” ou use software antivírus, precisa estar atento.

Examine todos os e-mails ou mensagens SMS que chegam à sua caixa de entrada. Se alguém lhe enviar um URL ou um arquivo, não o abra, a menos que você possa verificar a fonte. E não estou apenas dizendo para você olhar para o endereço de e-mail ou número de telefone do remetente. Tente entrar em contato com a organização ou pessoa que supostamente escreveu esse e-mail para verificar sua autenticidade.

Para ser claro, existem algumas coisas que você nunca deve enviar por e-mail ou texto. Se alguém pedir para você inserir seu número de seguro social ou informações de cartão de crédito em um e-mail ou mensagem de texto, ignore-o! Seu banco não pedirá essas coisas em uma plataforma tão insegura, e nem o IRS.

Lembre-se de que alguns golpistas são ousados ​​o suficiente para fazer phishing por meio de chamadas telefônicas. Eles podem até se passar pela polícia, pelo banco ou pelo seu empregador. Se um número desconhecido ligar para você e pedir dinheiro ou informações confidenciais, desligue. Você sempre pode ligar de volta usando um oficial telefone do site da organização.

Para reduzir suas chances de phishing, configure filtros de spam em seu cliente de e-mail. Você também pode instalar um software antivírus e desativar as notificações do site em seu navegador.

E como os ataques de phishing são tão comuns, sugiro tomar algumas medidas preventivas para reduzir seu impacto. Use um gerenciador de senhas para criar senhas exclusivas para cada conta e ative o 2FA em todos os sites, pois ele bloqueará os golpistas, mesmo que tenham sua senha. Você também pode ativar um alerta de fraude por meio de uma agência de crédito para evitar que novas linhas de crédito sejam abertas em seu nome.

O que você deve fazer se for vítima de phishing?

De acordo com a Comissão Federal de Comércio dos EUA, você deve relatar todos os ataques de phishing ao Denunciar site de fraude. Você também pode encaminhar e-mails de phishing para [email protected] e encaminhar mensagens de texto de phishing para Spam (7726). Se um ataque de phishing estiver se passando por uma pessoa ou organização, você também deve alertá-los sobre o ataque (especialmente se eles forem um membro da família ou alguém de sua empresa).

Se você for vítima de um ataque de phishing, é hora de entrar no modo de redução de danos. Altere as senhas de todas as contas confidenciais ou afetadas e ative o 2FA para bloquear os golpistas que têm sua senha; um gerenciador de senhas irá ajudá-lo a fazer o trabalho.

E se um golpista obtiver as informações do seu cartão de crédito ou dados bancários, informe o seu banco! Eles o ajudarão a substituir o cartão afetado e a contestar cobranças fraudulentas. Você também pode precisar congelar seus cartões de crédito ou configurar um alerta de fraude se um golpista obtiver seu número de CPF, endereço ou data de nascimento. Isso evitará transações indesejadas e evitará que fraudadores abram novas linhas de crédito em seu nome.

Infelizmente, os ataques de phishing envolvendo malware são um pouco mais complicados. Se você abrir um anexo malicioso ou baixar um software suspeito, desconecte o dispositivo afetado. Execute uma verificação antivírus ou redefina seu dispositivo de fábrica para remover qualquer malware.

Limpar seu dispositivo de malware pode ser impossível se o ransomware o bloquear. Nessa situação, faça uma captura de tela do seu dispositivo (para que você possa identificar o ransomware mais tarde) e entre em contato com a polícia ou o FBI. Não se preocupe em pagar o resgate; é melhor visitar um especialista em reparos ou esperar que uma empresa de segurança publique uma correção. Os golpistas raramente se importam se você paga um resgate e, na verdade, apenas os encoraja a espalhar mais ransomware.