Porque um proxy web como o Zscaler não trava todo o phishing
As gateways web seguras como o Zscaler são um pilar genuíno da defesa moderna: inspecionam o tráfego à escala, bloqueiam destinos conhecidos como maliciosos e aplicam a política independentemente de onde o utilizador esteja. Mas confiar numa às cegas pode tornar-se um problema: nenhum proxy web trava todo o phishing, e tratá-lo como uma resposta completa cria uma perigosa falsa sensação de segurança. Eis porque o Zscaler — como qualquer proxy — o pode deixar exposto, e porque a camada humana continua a importar.
O que uma gateway web segura faz bem
Um proxy na nuvem coloca-se em linha entre os utilizadores e a internet e traz valor real:
- Filtragem de URL e categorias face a grandes feeds de threat intelligence.
- Inspeção de TLS para ver dentro do tráfego cifrado que de outro modo seria opaco.
- Análise em linha de malware e conteúdo em transferências e páginas.
- Política coerente tanto para utilizadores remotos como no escritório.
Estes controlos bloqueiam diariamente um grande volume de phishing comum. Os pontos cegos abaixo não são uma crítica a um fornecedor específico — são limites estruturais que se aplicam a toda a categoria.
Por onde passa o phishing moderno
Domínios recém-registados e de curta duração
Os sistemas de reputação precisam de historial. Um domínio registado há uma hora, usado para uma campanha de duas horas e abandonado não tem percurso para sinalizar. A threat intelligence apanha muitas vezes estes domínios depois de a janela da campanha ter fechado.
Momento do clique face ao momento da análise
Um proxy avalia uma página quando é solicitada. Os atacantes exploram-no com páginas benignas ao início que servem conteúdo inofensivo aos scanners e mudam para a carga de phishing apenas para as vítimas reais — usando geofencing, verificações de referer, impressão digital do dispositivo e barreiras CAPTCHA para as distinguir.
IP de scanner / sandbox → página inofensiva "em construção"
Vítima-alvo + token → página ativa de recolha de credenciais
Falhas da inspeção TLS
A inspeção de TLS é poderosa mas raramente universal. Certificate pinning, exclusões de emergência, dispositivos não geridos e BYOD e isenções por privacidade fazem com que parte do tráfego passe sem inspeção. O phishing que aterra numa falha de inspeção é, na prática, invisível para o proxy.
Abuso de alojamento legítimo e de confiança
Cada vez mais o conteúdo de phishing vive em infraestrutura que um proxy não deveria bloquear em bloco:
- SharePoint, OneDrive, Google Docs/Drive a alojar o isco ou o redirecionamento.
- Domínios Cloudflare, Azure e CDN a servir de fachada às páginas do atacante.
- Redirecionamentos abertos em domínios reputados que branqueiam o destino final.
Bloquear estas plataformas por completo não é viável para a maioria das organizações, por isso os atacantes tomam a sua reputação de empréstimo.
Proxies AiTM e roubo do token de sessão
O caso mais difícil: os kits adversário no meio retransmitem a página de acesso real em tempo real e roubam o cookie de sessão autenticado, contornando a MFA. O conteúdo da página é genuíno, o certificado é válido e o domínio pode ser acabado de criar — há pouco para um controlo baseado em assinaturas apanhar.
O phishing que mais precisa de travar é precisamente o desenhado para parecer idêntico ao tráfego legítimo. É um problema difícil para qualquer filtro em linha, por conceção.
Defesa em profundidade, e não uma única muralha
Uma gateway é uma camada. A resiliência vem de empilhar controlos independentes para que uma falha numa camada seja apanhada noutra:
- MFA resistente ao phishing (FIDO2/passkeys) para que uma palavra-passe roubada ou um código retransmitido não completem um acesso.
- Identidade e acesso condicional que ligam as sessões a dispositivos conformes e geridos.
- Autenticação de e-mail (SPF, DKIM, DMARC) para cortar a falsificação a montante.
- Deteção no endpoint para o que escapa à rede.
- Monitorização de certificate transparency e de domínios recém-registados para encurtar a janela de reação.
- Uma camada humana formada e que comunica — o controlo que apanha o isco inédito que nenhum filtro viu ainda.
O utilizador que para, desconfia de uma mensagem demasiado urgente e a comunica não é um remendo para uma tecnologia que falhou. Num programa bem desenhado é um sensor que dá ao seu SOC um sinal que nenhum proxy consegue gerar sozinho.
Como ajuda a GottaPhish
Nenhum proxy web trava todo o phishing — uma gateway como o Zscaler deixa sempre falhas, e tratá-la como uma resposta completa cria uma perigosa falsa sensação de segurança. A GottaPhish e a sua equipa de especialistas medem o que a sua gateway não pode garantir: se pessoas reais, em dispositivos reais, resistem ao phishing que escapa ao proxy. As nossas simulações autorizadas reproduzem as técnicas exatas que evadem a filtragem web — camuflagem benigna ao início, iscos em alojamento de confiança e roubo de sessão adversário no meio — em segurança e com auditoria completa, enquanto os nossos especialistas o ajudam a desenhar os cenários, implementar as campanhas e interpretar os dados de exposição por utilizador e por departamento. O resultado é formação dirigida e painéis claros que transformam a sua equipa numa camada de comunicação fiável que complementa o Zscaler em vez de depender dele.