Phishing: como funciona a burla e porque continua a fazer tantas vítimas

Alguma vez recebeu um e-mail idêntico ao do seu banco ou de um serviço como o Google, a instá-lo a «proteger a sua conta»? Há boas probabilidades de ser uma tentativa de phishing.

O phishing é hoje uma das técnicas de ciberataque mais difundidas, e também uma das mais eficazes. Porquê? Porque não visa uma falha técnica, mas uma humana: a confiança.

Neste artigo explicamos em termos concretos como funcionam estes ataques, que métodos os cibercriminosos usam e como se proteger de forma eficaz. E de bónus, explicamos como a GottaPhish enfrenta este problema de frente.

O que é exatamente o phishing?

O phishing é uma forma de burla em linha que consiste em fazer-se passar por um terceiro de confiança (um banco, um organismo público, uma empresa, uma plataforma web, e assim por diante) para extrair informação pessoal ou profissional sensível.

Esses dados podem depois ser usados para:

• piratear as suas contas,

• roubar dinheiro,

• aceder a informação confidencial,

• ou propagar novos ataques pela sua organização.

Os métodos mais usados pelos cibercriminosos

1. A página de acesso falsa

O método mais clássico: uma ligação leva-o a uma cópia de um site oficial (como o Dropbox, o Google ou o Outlook). Introduz as credenciais sem desconfiar de nada… mas são enviadas diretamente para o atacante.

Este método funciona ainda melhor quando é personalizado ou dirigido: é o que chamamos phishing dirigido, ou spear phishing.

2. Interceção em tempo real (ataque man-in-the-middle)

É uma versão muito mais avançada. Aqui, o atacante coloca um proxy malicioso entre si e o site legítimo, o que lhe permite intercetar tudo o que escreve, incluindo os códigos temporários enviados para a autenticação de dois fatores (2FA).

Isto dá acesso às suas contas, mesmo quando estão bem protegidas.

3. Phishing por SMS (smishing)

O mesmo princípio de um e-mail armadilhado… mas por SMS. A mensagem imita muitas vezes um aviso de entrega, um alerta bancário ou uma mensagem de apoio ao cliente. As pessoas tendem a confiar mais no telemóvel, o que torna este método muito eficaz.

As ferramentas usadas para conduzir estes ataques

Existem hoje ferramentas de código aberto (e, portanto, acessíveis a qualquer pessoa) que permitem automatizar estes ataques e torná-los mais convincentes do que nunca.

Entre as mais conhecidas:

• Gophish: para criar e gerir campanhas de phishing de teste.

• Evilginx: para intercetar sessões e contornar a 2FA.

• EvilGophish: uma combinação que permite ataques realistas com estatísticas integradas.

Um exemplo concreto: comprometer uma conta Dropbox

Numa demonstração técnica, a empresa Vaadata mostrou como uma conta Dropbox podia ser comprometida de três formas diferentes:

1. Com uma página de acesso falsa criada com o Gophish

2. Com uma interceção MitM via Evilginx, capturando até o código 2FA

3. Com um SMS armadilhado, combinado com uma página clonada e um ataque MitM

De cada vez, o acesso à conta foi total… sem que a vítima se apercebesse.

Como se pode proteger?

Felizmente, há várias formas de se defender:

Para particulares:

• Verifique sempre o endereço web antes de introduzir as credenciais

• Nunca clique numa ligação suspeita recebida por e-mail ou SMS

• Ative a autenticação de dois fatores (2FA), mesmo que não seja infalível

• Desconfie das mensagens demasiado urgentes ou alarmantes

Para empresas:

• Forme as suas equipas regularmente

• Lance campanhas internas de simulação de phishing

• Implemente proteções técnicas (SPF, DKIM, DMARC)

• Vigie os comportamentos invulgares

Então, onde entra a GottaPhish?

Na GottaPhish enfrentamos o problema na origem: a sensibilização.

Desenvolvemos ferramentas pedagógicas e interativas para ajudar as empresas a detetar os sinais de alerta de uma tentativa de phishing, testar a vigilância dos colaboradores e afinar os seus ciber-reflexos contra estes ataques cada vez mais convincentes.

A nossa abordagem é simples: o utilizador é a primeira linha de defesa. E quanto mais treina, menor a probabilidade de cair.

Quer seja para testar a sua própria segurança quer para treinar as suas equipas a responder a ataques realistas, a GottaPhish acompanha-o com soluções à medida adaptadas aos seus desafios específicos.

Conclusão

O phishing não é uma ameaça distante: é um risco diário, tanto para particulares como para empresas. Perceber como funciona já é um primeiro passo para se proteger.

E se quiser ir mais longe, formar as suas equipas e testar a sua postura contra estes ataques, a GottaPhish está aqui para o ajudar a passar à ação.