Os limites da reescrita de URL contra o phishing
A reescrita de URL no momento do clique é uma das funções de segurança de e-mail em que mais se confia: cada ligação é substituída por um URL da gateway, para que o destino possa ser reavaliado no instante em que um utilizador clica. Apanha grande quantidade de phishing e vale a pena tê-la. Mas não é a rede de segurança que muitas equipas julgam, e perceber os seus pontos cegos mantém honestas as expectativas — e as defesas.
Como funcionam a reescrita de URL e a análise de ligações
Quando o correio chega, a gateway reescreve as ligações para as encaminhar pelo seu próprio serviço de análise:
Original : https://example.com/doc
Reescrito : https://urldefense.example/v3/__https://example.com/doc__;!!TOKEN
No momento do clique, o utilizador chega primeiro à gateway, que avalia o destino — reputação, detonação em sandbox, análise de conteúdo — e permite o clique, avisa ou bloqueia. A premissa é sólida: verificar a ligação quando importa, e não só na entrega. O problema é que um atacante determinado controla precisamente o que está a ser verificado.
Porque é imperfeita
O scanner é um visitante conhecido e distinguível
A reescrita só funciona se a gateway seguir a ligação, e essa obtenção parece diferente do navegador de uma vítima real. Os atacantes detetam o scanner e servem-lhe algo limpo.
- Camuflagem (cloaking). O servidor inspeciona o user-agent, o ASN e os padrões de pedido e mostra aos visitantes automáticos uma página inofensiva enquanto mostra às vítimas a página de phishing.
- Geofencing. A página só se ativa para gamas de IP que correspondem ao país ou à organização do alvo; os IP do scanner na nuvem recebem uma resposta inofensiva.
- Barreiras de CAPTCHA e de interação. Um CAPTCHA, um «clique para continuar» ou um cookie obrigatório para um crawler automático antes de chegar à carga — mas um humano passa sem esforço.
Scanner da gateway → CAPTCHA / página inofensiva → veredicto: limpo
Vítima humana → resolve a barreira → página de credenciais viva
A ligação muda depois de julgada
Até uma análise perfeita é um instantâneo.
- Armamento tardio. O URL aponta para uma página inofensiva quando é analisado e depois muda para a carga de phishing. O veredicto já está em cache.
- Ligações de uso único. Um token no URL queima-se após uma visita. Se o scanner o gastar, a página mostra um 404 inofensivo — e a vítima, que chega com um token fresco, obtém a página viva. Se a vítima o gastar primeiro, um investigador posterior vê apenas o 404.
As cadeias de redirecionamento branqueiam o destino
A ligação reescrita pode apontar para um domínio reputado que simplesmente reencaminha: um redirecionamento aberto, um encurtador de URL, um rastreador de marketing legítimo ou uma cadeia de saltos que termina em infraestrutura recém-registada. Os scanners seguem um número limitado de saltos, e o destino final pode ser trocado ou protegido com barreiras de forma independente do primeiro.
O alojamento de confiança resiste ao bloqueio
Quando o destino é SharePoint, Google Drive ou um domínio com fachada da Cloudflare, um veredicto limpo é muitas vezes correto no momento — o ficheiro ou a página estão mesmo lá alojados — mas o conteúdo é o isco. O scanner não pode bloquear a plataforma em bloco.
A reescrita verifica uma ligação nos termos do atacante. Quem controla o destino controla o que o scanner vê, e pode mudá-lo depois de o veredicto cair.
Defesa em profundidade
A reescrita de URL deve ser uma camada entre várias, valiosa mas nunca de suporte por si só:
- MFA resistente ao phishing (FIDO2/passkeys) para que nem uma ligação que chegue a uma página de credenciais viva possa produzir um acesso utilizável.
- Proteções de endpoint e navegador que avaliam a página tal como é renderizada, depois de todos os redirecionamentos e barreiras.
- Monitorização de domínios recém-registados e de certificate transparency para encurtar o tempo de reação a infraestrutura parecida.
- Uma camada humana formada e que comunica — o controlo que julga a página tal como foi realmente entregue, precisamente onde a análise automática foi enganada.
O objetivo não é desconfiar da reescrita, mas deixar de tratar um veredicto no momento do clique como prova de segurança. É uma entrada probabilística, e os ataques concebidos para a passar são precisamente os que as suas outras camadas existem para apanhar.
Como ajuda a GottaPhish
A reescrita de URL no momento do clique apanha muito, mas não é a rede de segurança que muitas equipas julgam: a camuflagem, as páginas com barreiras, as ligações de uso único e as cadeias de redirecionamento enganam rotineiramente a análise automática, por isso a camada de análise de ligações por si só deixa sempre falhas. A GottaPhish e a sua equipa de especialistas mostram-lhe o que a reescrita de URL trava mesmo — e o que lhe escapa — através de simulações autorizadas e totalmente auditadas que reproduzem em segurança precisamente essas técnicas, dando-lhe dados por utilizador e por departamento sobre quem chega à página e quem a comunica. Os nossos especialistas ajudam-no a desenhar os cenários, implementar as campanhas e interpretar os painéis, para que a evidência afine as suas prioridades de defesa em profundidade. O resultado transforma a sua equipa numa última linha de deteção fiável onde a análise automática pode ser enganada.