O que é phishing e como ele funciona?
P√°gina Inicial
Artigos
O que é phishing e como ele funciona?

O que é phishing e como ele funciona?

Iniciante
Publicado em Nov 28, 2018Atualizado em May 29, 2024
7m

TL;DR

  • O phishing √© uma pr√°tica maliciosa na qual os golpistas se disfar√ßam de entidades confi√°veis para induzir os indiv√≠duos a revelar informa√ß√Ķes confidenciais.

  • Fique atento contra o phishing ao reconhecer sinais comuns, como URLs suspeitos e solicita√ß√Ķes urgentes de informa√ß√Ķes pessoais.

  • Entenda as diversas t√©cnicas de phishing, desde golpes comuns por e-mail at√© spear phishing sofisticado, para refor√ßar as defesas de seguran√ßa cibern√©tica.

Introdução

O phishing é uma tática prejudicial em que os agentes mal-intencionados fingem ser fontes confiáveis para enganar as pessoas e fazer com que elas compartilhem dados confidenciais. Neste artigo, vamos esclarecer o que é phishing, como ele funciona e o que você pode fazer para evitar ser vítima desse golpe.

Como o phishing funciona

O phishing depende principalmente da engenharia social, um m√©todo em que os golpistas manipulam as pessoas para divulgar informa√ß√Ķes confidenciais. Esses golpistas re√ļnem dados pessoais de fontes p√ļblicas (como redes sociais) para criar e-mails que parecem aut√™nticos. As v√≠timas geralmente recebem mensagens maliciosas que parecem ser de contatos familiares ou organiza√ß√Ķes respeit√°veis.

A forma mais comum de phishing ocorre atrav√©s de e-mails contendo links ou anexos maliciosos. Clicar nesses links pode instalar malware no dispositivo do usu√°rio ou lev√°-lo a sites falsos projetados para roubar informa√ß√Ķes pessoais e financeiras.

Embora seja mais f√°cil identificar e-mails de phishing mal escritos, os cibercriminosos est√£o utilizando ferramentas avan√ßadas, como chatbots e geradores de voz por IA, para aumentar a autenticidade dos seus ataques. Para os usu√°rios, isso dificulta a distin√ß√£o entre comunica√ß√Ķes genu√≠nas e fraudulentas.

Reconhecimento das tentativas de phishing

Pode ser complicado identificar os e-mails de phishing, mas existem alguns sinais que você pode observar.

Sinais comuns

Tenha cuidado se a mensagem tiver URLs suspeitos, usar endere√ßos de e-mail p√ļblicos, induzir medo ou urg√™ncia, solicitar informa√ß√Ķes pessoais ou apresentar erros ortogr√°ficos e gramaticais. Na maioria dos casos, voc√™ pode passar o mouse sobre os links para verificar os URLs sem clicar neles.

Golpes baseados em pagamentos digitais

Os golpistas de phishing costumam se passar por servi√ßos de pagamento on-line confi√°veis, como PayPal, Venmo ou Wise. Os usu√°rios recebem e-mails fraudulentos solicitando que verifiquem os detalhes de login. √Č fundamental permanecer vigilante e denunciar atividades suspeitas.

Ataque de phishing relacionado a finanças

Os golpistas se apresentam como bancos ou institui√ß√Ķes financeiras alegando viola√ß√Ķes de seguran√ßa para obter informa√ß√Ķes pessoais. As t√°ticas comuns incluem e-mails enganosos sobre transfer√™ncias de dinheiro ou golpes de dep√≥sito direto, direcionados a novos funcion√°rios. Eles tamb√©m podem alegar que h√° uma atualiza√ß√£o de seguran√ßa urgente.

Golpe de phishing relacionado a trabalho

Esses golpes personalizados envolvem golpistas que se apresentam como executivos, CEOs ou CFOs, solicitando transfer√™ncias eletr√īnicas ou compras falsas. O phishing de voz usando geradores de voz por IA que acontece pelo telefone √© outro m√©todo empregado pelos golpistas.

Como Prevenir Ataques de Phishing

Para evitar os ataques de phishing, √© importante empregar v√°rias medidas de seguran√ßa. Evite clicar em qualquer link diretamente. Em vez disso, acesse o site oficial ou os canais de comunica√ß√£o da empresa para verificar se as informa√ß√Ķes que voc√™ recebeu s√£o leg√≠timas. Considere a utiliza√ß√£o de ferramentas de seguran√ßa como software antiv√≠rus, firewalls e filtros de spam.¬†

Al√©m disso, as organiza√ß√Ķes devem usar padr√Ķes de autentica√ß√£o de e-mail para verificar os e-mails recebidos. Exemplos comuns de m√©todos de autentica√ß√£o incluem DKIM (DomainKeys Identified Mail) e DMARC (Domain-based Message Authentication, Reporting, and Conformance).

Para os indivíduos, é importante informar sua família e amigos sobre os riscos do phishing. Para as empresas, é vital educar os funcionários sobre as técnicas de phishing e fornecer treinamento periódico de conscientização para reduzir os riscos.

Se precisar de assist√™ncia adicional e mais informa√ß√Ķes, procure iniciativas governamentais como a OnGuardOnline.gov e organiza√ß√Ķes como a Anti-Phishing Working Group Inc. Eles fornecem recursos e orienta√ß√Ķes mais detalhadas sobre detec√ß√£o, preven√ß√£o e den√ļncia de ataques de phishing.

Tipos de phishing

As técnicas de phishing estão evoluindo e os cibercriminosos estão usando vários métodos. Geralmente, os tipos diferentes de phishing são classificados de acordo com o alvo e o vetor de ataque. Vamos conferir mais detalhes.

Clone phishing

Um golpista usar√° um e-mail leg√≠timo enviado anteriormente, copiar√° o conte√ļdo e far√° um novo e-mail semelhante contendo um link para um site falso. Esse golpista tamb√©m pode alegar que este √© um link atualizado ou novo, afirmando que o anterior estava incorreto ou expirado.

Spear phishing

Este tipo de ataque √© focado em uma pessoa ou institui√ß√£o. Um ataque de spear √© mais sofisticado do que os outros tipos de phishing porque √© perfilado. Isso significa que o golpista coleta informa√ß√Ķes sobre a v√≠tima (por exemplo, nomes de amigos ou familiares) e usa esses dados para atra√≠-la para um arquivo do site falso.

Pharming

O golpista adultera um registro DNS, que na prática, redirecionará os visitantes de um site legítimo para um site falso feito por ele. Esse é o mais perigoso dos ataques porque os registros DNS não estão sob o controle do usuário, tornando-o incapaz de se defender.

Whaling

Uma forma de spear phishing que tem como alvo pessoas ricas e importantes, como CEOs e funcion√°rios do governo.

Spoofing de e-mail

Os e-mails de phishing normalmente falsificam comunica√ß√Ķes de empresas ou pessoas leg√≠timas. Eles podem apresentar √†s v√≠timas desconhecidas links para sites falsos, onde esses golpistas coletam credenciais de login e PII (informa√ß√Ķes pessoais identific√°veis) usando p√°ginas de login engenhosamente disfar√ßadas. As p√°ginas podem conter trojans, keyloggers e outros scripts maliciosos que roubam informa√ß√Ķes pessoais.

Redirecionamento de sites

Os redirecionamentos de sites enviam os usu√°rios para URLs diferentes daquele que o usu√°rio pretendia visitar. Os golpistas que exploram vulnerabilidades podem inserir redirecionamentos e instalar malware nos computadores dos usu√°rios.

Typosquatting

O typosquatting direciona o tr√°fego para sites falsificados que usam grafias em idiomas estrangeiros, erros ortogr√°ficos comuns ou varia√ß√Ķes sutis no dom√≠nio do site. Os golpistas de phishing usam dom√≠nios para imitar interfaces leg√≠timas de sites, tirando vantagem dos usu√°rios que digitam errado ou n√£o efetuam a leitura correta do URL.

An√ļncios falsos pagos

An√ļncios pagos s√£o outra t√°tica usada para phishing. Esses an√ļncios (falsos) utilizam dom√≠nios com typosquatting que s√£o pagos pelos golpistas para aparecer nos resultados de pesquisa. O site pode at√© aparecer como um dos principais resultados de pesquisa no Google.

Ataque watering hole

Em um ataque de watering hole, os golpistas de phishing analisam os usuários e determinam os sites que eles visitam com frequência. Eles verificam esses sites em busca de vulnerabilidades e tentam injetar scripts maliciosos projetados para atingir os usuários na próxima vez que visitarem esse site.

Falsificação de identidade e brindes falsos

A personificação de figuras influentes nas redes sociais. Os golpistas de phishing podem se passar por líderes de empresas e anunciar brindes ou se envolver em outras práticas enganosas. As vítimas desse truque podem ser escolhidas individualmente por meio de processos de engenharia social que visam encontrar usuários ingênuos. Esses golpistas podem hackear contas verificadas e modificar o nome do usuário para se passar por uma figura real, mantendo o status de verificado.

Recentemente, os phishers (golpistas que praticam o phishing) têm segmentado de forma intensa as plataformas como Discord, X e Telegram para os mesmos fins: falsificar bate-papos, personificar indivíduos e imitar serviços legítimos.

Aplicativos maliciosos

Os phishers tamb√©m podem usar aplicativos maliciosos que monitoram seu comportamento ou roubam informa√ß√Ķes confidenciais. Esses aplicativos podem ser apresentados como rastreadores de pre√ßos, carteiras e outras ferramentas relacionadas √†s criptomoedas (que t√™m uma base de usu√°rios com criptomoedas e est√£o predispostos a negociar).

Phishing de voz e por SMS

Uma forma de phishing baseada em mensagens de texto, geralmente feita por SMS ou mensagens de voz, que incentiva os usu√°rios a compartilhar informa√ß√Ķes pessoais.

Phishing vs. Pharming

Embora alguns considerem o pharming um tipo de ataque de phishing, ele depende de um mecanismo diferente. A principal diferença entre phishing e pharming é que o phishing exige que a vítima cometa um erro. Por outro lado, o pharming exige apenas que a vítima tente acessar um site legítimo cujo registro DNS foi comprometido pelo golpista.

Phishing no espaço blockchain e das criptomoedas

Apesar da tecnologia blockchain fornecer segurança robusta dos dados devido a sua natureza descentralizada, os usuários no espaço blockchain devem permanecer atentos às tentativas de golpe com engenharia social e phishing. Os cibercriminosos geralmente tentam explorar vulnerabilidades humanas para obter acesso a chaves privadas ou credenciais de login. Na maioria dos casos, os golpes dependem de erro humano.

Os golpistas tamb√©m podem tentar enganar os usu√°rios para que revelem suas seed phrases ou transfiram fundos para endere√ßos falsos. √Č importante ter cautela e seguir as pr√°ticas de seguran√ßa recomendadas.

Considera√ß√Ķes finais

Para concluir, entender o golpe de phishing e se manter informado sobre a evolu√ß√£o das t√©cnicas √© fundamental para proteger as informa√ß√Ķes pessoais e financeiras. Ao combinar medidas s√≥lidas de seguran√ßa, educa√ß√£o e conscientiza√ß√£o, os indiv√≠duos e as organiza√ß√Ķes podem se fortalecer contra a amea√ßa sempre presente do phishing no nosso mundo digital interconectado. Mantenha-se SAFU!

Leituras adicionais

Aviso Legal: este conte√ļdo √© apresentado a voc√™ ‚Äúno estado em que se encontra‚Äú apenas para fins informativos e educacionais, sem qualquer tipo de garantia. O conte√ļdo n√£o deve ser interpretado como aconselhamento financeiro, jur√≠dico ou profissional, e n√£o tem o objetivo de recomendar a compra de qualquer produto ou servi√ßo espec√≠fico. Voc√™ deve buscar seu pr√≥prio conselho de consultores profissionais. No caso de contribui√ß√Ķes e artigos enviados por colaboradores terceirizados, note que as opini√Ķes expressas pertencem ao respectivo autor e n√£o refletem necessariamente as opini√Ķes da Binance Academy. Para mais detalhes, por favor leia nosso aviso aqui. Os pre√ßos dos ativos digitais podem ser vol√°teis. O valor do seu investimento pode aumentar ou diminuir e voc√™ pode n√£o recuperar o valor investido. Voc√™ √© o √ļnico respons√°vel por suas decis√Ķes de investimento e a Binance Academy n√£o se responsabiliza por nenhuma de suas poss√≠veis perdas. Este material n√£o deve ser interpretado como aconselhamento financeiro, jur√≠dico ou profissional. Para mais informa√ß√Ķes, por favor consulte nossos Termos de Uso e Aviso de Risco.