Ainda lidando com Phishing em tempos turbulentos

Eyal Aharoni

Você pode até achar que nos tornamos bons em identificar ataques de phishing, mas essa é uma hipótese perigosa. A verdade é mais assustadora que isso, porque 90% de todos os ataques cibernéticos começam com phishing ou e-mail spear phishing.

Sim, a maioria de nós consegue identificar uma mensagem duvidosa daquele “Príncipe da Nigéria”, nos pedindo informações bancárias, mas os phishers melhoraram suas técnicas para nos enganar. Durante a época de pagamento de impostos nos EUA, os “cybercrooks ou cyber criminosos” estão mandando e-mails de phishing para conseguir nossas informações pessoais e financeiras.

Os e-mails falsos agora mostram o logo do IRS (Internal Revenue Service – EUA), e mostram os hyperlinks para checar sua restituição de renda. Quando clicamos ali, o link nos redireciona para uma página falsa e pode também baixar um malware. Mas eles não se contentam só com informações de indivíduos, as empresas também são alvo. O FBI publicou um aviso sobre ataques de spear phishing que tem por objetivo atingir as equipes de RH. Nesses casos o objetivo é conseguir informações do W-2 (formulário de impostos do IRS – EUA) de todos os funcionários. As empresas de seguro de saúde ainda são os alvos favoritos, como vemos no caso do ataque de phishing feito à UnityPoint Health. A UnityPoint Health é uma cadeia de hospitais com um sistema de entrega, que atua em partes de Iwoa, Illinois e Winsconsin. Os hackers estavam em busca de nomes de pacientes, datas de nascimento, números de relatórios médicos, informações de tratamentos, diagnósticos, resultados de laboratório, medicações, provedores de seguros de saúde, datas de serviço, informações de seguro, números do Seguro Social e informações financeiras. É de suma importância ter atenção e ficar alerta em feriados e ocasiões especiais, já que esses cyber criminosos estão aumentando seus ataques, utilizando todos os tipos de mensagens de felicitações e ofertas especiais.

Existe uma tendência preocupante que está crescendo nos ataques de phishing a celulares. Com os funcionários tendo permissão de utilizar seus aparelhos pessoais para fins de trabalho – BYOD -, os phishers perceberam uma nova oportunidade. Esses aparelhos não estão conectados com firewalls tradicionais, muitas vezes não tem segurança de endpoint, e acessam uma ampla gama de aplicativos e plataforma de mensagens que não podem ser utilizadas (ou são bloqueadas) nos desktops de trabalho. Como resultado, um alto número de funcionários acaba sendo vítima de ataques.

Ainda que as empresas estejam melhorando sua segurança e treinando seus funcionários para serem mais vigilantes, ainda há muito para ser feito. Para dar um exemplo: A Aliança Cyber Global adverte que mais de 95% dos 26 domínios gerenciados pelo Escritório Executivo do Presidente (EOP), incluindo Budget.gov, OMB.gov, WhiteHouse.gov, USTR.gov, OSTP.gov e EOP.gov, estão vulneráveis a ataques phishing de larga escala. A situação não é melhor do outro lado do oceano. De acordo com um relatório de tendências de resposta a phishing na Europa, mais da metade (57%) de empresas europeias (no Reino Unido, Alemanha, França, Holanda e Bélgica) acreditam que não estão preparados para ataques phishings, ainda que 78% já tenham sido vítimas de ataques cibernéticos que começaram com e-mail phishing. As equipes de segurança têm muitas dificuldades de responder a diversos e-mails suspeitos que foram recebidos. É compreensível uma vez que 23% das empresas do Reino Unido receberam mais de 500 e-mails suspeitos por semana, seguido por 22% na Holanda, 20% na França, 18% na Alemanha e 16% na Bélgica.

No contexto atual, empresas de todos os tamanhos continuarão sendo esmagadas por ataques de phishing, ainda mais porque são ataques eficazes e fáceis de serem usados pelos cibercrooks. Basta escrever um e-mail falsificado ou usar um kit de software de phishing, que é facilmente encontrado na Dark Web. Portanto, qualquer criminoso sem qualquer experiência de hacking pode iniciar um ataque de phishing.

Está nas mãos das equipes de TI e Cyber Segurança manter suas empresas seguras. Confira abaixo algumas dicas úteis:

1. Seja proativo e estabeleça testes de exposição de segurança na sua empresa, contra ataques phishing.
2. Seus funcionários são a primeira linha de defesa. Treinamento regular é indispensável para ensiná-los a identificar ataques phishing, spear phishing e outros ataques que chegam por e-mail. Dessa maneira é possível melhorar a postura de segurança da empresa.
3. Tenha suas soluções de segurança sempre atualizadas e teste regularmente sua performance.

Para testar a resistência de uma organização contra ataques de phishing, a plataforma Breach & Attack Simulation (BAS) da Cymulate oferece vários módulos, que são uma grande ajuda para o pessoal de segurança cibernética e equipes de TI. O módulo de phishing testa se os funcionários são vulneráveis a tentativas de phishing (spear) e se clicam em links maliciosos ou abrem anexos suspeitos.

O módulo de e-mail seguro avalia a estrutura de segurança de e-mail, enquanto o módulo de navegação segura na web verifica se as soluções de segurança estão funcionando corretamente, impedindo que os funcionários caiam em ataques phishing ou entre outros sites infectados.

Para saber mais, por que não pedir um teste gratuito? Registre-se agora para simular ataques de phishing (e outros) contra sua empresa. Descubra se seus produtos de segurança estão funcionando corretamente para defendê-lo de ameaças cibernéticas conhecidas e desconhecidas.

Fique CyberSeguro!