Blog Brasoftware

Fique por dentro das principais notícias de tecnologia.

Phishing e o novo perímetro: Velhas técnicas, novas ameaças


Em uma realidade cada vez mais digital, acelerada globalmente pela pandemia e pela necessidade imediata do trabalho remoto, o phishing novamente se provou uma das maneiras mais eficientes e viáveis para os cibercriminosos iniciarem um ataque. Segundo o índice X-Force Threat Intelligence Index 2020 [1], produzido pelo IBM X-Force Incident Response and Intelligence Services (IRIS), o phishing ainda é um dos principais vetores de infecções cibernéticas atualmente, sendo essa técnica empregada em 33% dos ataques.

IMAGEM: IBM X-Force Threat Intelligence Index 2020



De acordo com um relatório recente da Kaspersky, um dos principais fabricantes de soluções de cybersecurity do mundo, o Brasil lidera o ranking mundial de usuários atacados por phishing, com 19,94% dos ataques deste tipo. Segundo o relatório, um em cada cinco brasileiros sofreu pelo menos uma tentativa de ataque de phishing em 2020.

IMAGEM: Relatório Kaspersky Spam and phishing in 2020



O termo phishing é uma adaptação da palavra inglesa fishing, que significa pescaria, numa referência ao ato de "fisgar" os usuários com o intuito de roubar dados confidenciais, mediante o uso de técnicas de engenharia social para enganar as vítimas com mensagens fraudulentas que simulam alguma comunicação legítima. Técnicas similares, com base no mesmo conceito, mas com sutis diferenças em relação à estratégia de ataque ou ao canal de comunicação são:

  • Spear-phishing: Ataque de phishing direcionado à um indivíduo, grupo ou organização específica, que geralmente se vale de informações obtidas anteriormente para ampliar a taxa de sucesso do ataque;
  • Vishing: Voice + Phishing, técnica de engenharia social através de telefone;
  • Smishing: SMS + Phishing, utiliza o SMS (mensagens de texto) para enganar as vítimas.

Independente do meio ou da estratégia do ataque, as técnicas de engenharia social buscam sempre explorar as vulnerabilidades da psicologia humana para atingir seu objetivo. Emoções humanas como ganância, curiosidade, tristeza e medo tendem a nos fazer reagir quase que instintivamente. Desta forma, é natural que os cibercriminosos vislumbrem uma grande oportunidade, a nível global, num momento de incerteza como o que estamos vivenciando em função da pandemia do COVID-19.

Adicionalmente, com a disruptura do modelo tradicional das relações pessoais, das comunicações, dos negócios e da infraestrutura de segurança tradicional das organizações, cria-se o cenário perfeito para os atacantes ampliarem sua superfície de ataque e efetividade, atingindo um maior número de vítimas.

Para os responsáveis pela segurança das informações das empresas, essa mudança brusca da infraestrutura de TI apresenta diversos novos desafios. Tendo como prioridade manter a produtividade da forma menos ruidosa possível, houve uma corrida por parte das empresas para ambientes de trabalho remoto, com um crescimento abrupto da utilização de ambientes em nuvem e dispositivos não gerenciados fora do controle e da visibilidade da TI.

A segurança tradicional, baseada em perímetro, já não é mais eficaz.

Agora, não apenas controles adicionais, mas controles diferentes, são fundamentais para proteger esses usuários e ambientes modernos. Conceitos e ferramentas mais recentes emergem e se solidificam neste cenário, como SASE (Secure Access Service Edge), ZTNA (Zero Trust Network Access), CASB (Cloud Access Security Broker), CSPM (Cloud Security Posture Management), CWPP (Cloud Workload Protection Platform), e tecnologias como Inteligência Artificial e Machine Learning já desempenham um papel importante nas operações de Segurança, mas exigem novos conhecimentos, orçamentos, e principalmente tempo.

Elaborar e executar um plano de Conscientização de Segurança da Informação para os usuários de todos os níveis, de forma personalizada e com indicadores de performance claros e metas definidas, é uma forma mais rápida e menos custosa de mitigar grande parte do risco e das vulnerabilidades destes usuários. Nesse sentido, existem diversas ferramentas no mercado, de simples implementação, riquíssimas em conteúdo, que podem apoiar nessa jornada de conscientização, tornando o tema de Segurança da Informação muito mais interessante para o usuário comum, convertendo o fator humano no elo mais forte da estratégia de Segurança.



Créditos para: Daniel Demoro


Entre em contato