PhishList #1 - O que é Phishing?

Os ataques de phishing são peças fundamentais nas atividades maliciosas devido a sua versatilidade e praticidade na execução. Eles podem tanto atuar sozinho em um ataque quanto como uma etapa de um ataque ainda mais complexo, e ainda, pode ir de uma ação mais simples, como a tentativa de roubo de credenciais para até mesmo a instalação de ransomware. Parece confuso? Calma que vamos iniciar uma série de artigos sobre phishing que vai ajudar a entender melhor o assunto! Vamos partir do começo: O que é Phishing?

Segundo o Gabinete de Segurança Institucional (GSI), o phishing é uma “Técnica de engenharia social via mensagens falsas que induzem a clicar em links ou sites maliciosos”, em outras palavras, o envio principalmente de e-mails em que o remetente finge ser outra pessoa a fim de induzir o alvo a executar uma ação perigosa sem que o mesmo saiba. 

O exemplo clássico é receber um e-mail dizendo que você ganhou um super prêmio e que para resgatá-lo é só preencher o formulário em anexo. Ao clicar no arquivo uma pequena janela de comando “pisca” na tela e já some, pronto! O computador está infectado com um trojan e o hacker pode acessá-lo remotamente. Hoje em dia ainda é muito comum recebermos diversos tipos de phishing, afinal, quem nunca recebeu um e-mail de uma comprinha da china que está parada ou uma inconsistência no Imposto de Renda? Todos direcionando para um link especial para resolver. 

Podemos citar uma infinidade de exemplos, desde que seja qualquer outro assunto que seja de interesse da vítima, bastando apenas morder a isca para executá-lo, por isso o nome phishing, é literalmente fishing de pescar em inglês só que com ph, em homenagem aos hackers de linhas telefônicas conhecidos como Phreaks.

Vale destacar que todo ataque de phishing busca acionar algum gatilho em suas vítimas e vamos listar as formas mais comuns a seguir:

• Oportunidades Imperdíveis: como o super prêmio citado anteriormente, atraem facilmente a atenção da vítima e o desejo pela oferta acaba cegando o alvo diante do risco e da facilidade excessiva, o famoso “bom demais pra ser verdade”;

• Senso de Urgência: Uma promoção de tempo limitado, um problema iminente, risco de perder a conta, transação suspeita no cartão de crédito, qualquer coisa que faça a vítima se afobar e perder a concentração;

• Acesso exclusivo: Se algo de determinada plataforma é acessível apenas pelo link do e-mail, sem existir outras formas de verificar o assunto também é uma atividade suspeita.

Agora que sabemos o que é temos que ficar atento aos meios, pois embora seja a forma mais comum, o phishing não se limita somente aos e-mails, mas sim todo tipo de mensagem que comporte um link ou arquivo, como mensagens de SMS, aplicativos de conversa como Telegram, WhatsApp e redes sociais como Instagram, Facebook e Linkedin. Fique ligado, pois nos próximos posts vamos aprofundar um pouco mais no assunto. Até lá!