No cenário atual, onde a informação é um dos ativos mais valiosos de uma empresa, a segurança da informação torna-se um elemento crucial para a sobrevivência e o sucesso dos negócios. Uma das ameaças mais insidiosas e difíceis de combater é a engenharia social. Na Dominit, especialista em segurança da informação, entendemos profundamente essa ameaça e oferecemos soluções eficazes para proteger sua empresa.
O que significa engenharia social e phishing?
A engenharia social é uma técnica de manipulação psicológica usada para enganar usuários e obter acesso não autorizado a informações confidenciais.
Phishing: técnica antiga e altamente eficaz. A estratégia mais frequente em ataques cibernéticos envolve o envio de um e-mail com o propósito de induzir o receptor a instalar e executar algum software malicioso, visando o roubo de informações pessoais ou de uma rede completa, como o Ransomware. Este, por sua vez, codifica arquivos de toda a infraestrutura e demanda um resgate das vítimas.
Outro objetivo pode ser a captura de informações pessoais, detalhes de cartão de crédito ou credenciais de sistemas, possibilitando aos criminosos acessar mais dados sobre a organização, sua saúde financeira e clientes, e assim provocar maiores prejuízos.
De acordo com a pesquisa da Fortinet, em parceria com a Softwall, 1,6 bilhões de ataques foram registrados apenas no Brasil, observando-se um incremento de 131% na quantidade de malwares em março, em comparação ao mesmo período de 2019. O Phishing foi o tipo de ataque que mais cresceu, impulsionado pelas novas modalidades de trabalho remoto.
Exemplo de Atuação em Engenharia Social e Phishing.
Exemplo 1: Tentativa de captura de dados
“Olá!
O Governo Federal deu início ao registro para o Auxílio Cidadão, que oferece um suporte mensal de R$ 200 para autônomos e pessoas de baixa renda no combate ao CORONAVÍRUS. Verifique sua elegibilidade ao benefício
Confira sua elegibilidade: https://auxilio-cidadao.corona.org.br/”
Observe que, embora o endereço URL possa parecer seguro, ao acessá-lo, o usuário é redirecionado para um site diferente do indicado, além de a notícia ser falsa, aproveitando-se de um tema atual para disseminar-se rapidamente. Antes de clicar, é essencial checar a veracidade da notícia em sites confiáveis.
Em nosso blog da Softwall, discutimos sobre fraudes em períodos de crise e notícias falsas. Para mais informações sobre mensagens mal-intencionadas e como verificar suas fontes, acesse aqui.
Exemplo 2: Fatura e boleto anexados
“Olá!
Segue em anexo a fatura e o boleto referente ao pedido 554221 realizado em nosso site em 05 de novembro. Caso tenha dificuldades para visualizar, clique no botão abaixo para gerar um novo arquivo.
[Botão com URL maliciosa]”
Este pode ser um e-mail destinado ao setor financeiro, ao CFO ou a qualquer endereço eletrônico corporativo com a finalidade de instalar software malicioso, ransomware ou outro tipo de software para sequestro ou furto de informações. Mantenha atenção a anexos não solicitados, mesmo que pareçam vir de fontes legítimas.
Phishing e engenharia social: Aprenda a se proteger
Spear Phishing: uma abordagem mais precisa
O Spear Phishing é uma variação do Phishing, mas se caracteriza por ser direcionado especificamente a uma pessoa ou entidade, diferentemente do Phishing genérico, que é mais amplo e não segmentado.
Esta técnica é aplicada após a coleta de dados que permitam identificar melhor as vítimas, como nomes, e-mails válidos e cargos, para personalizar as mensagens tornando-as mais críveis do que as mensagens padronizadas usadas no Phishing convencional.
Exemplo 1: Contato sob pretexto conhecido
“Olá, [nome da pessoa]
Estamos atualizando todos os cadastros da empresa e solicitamos que acesse o link abaixo e insira suas credenciais de login para atualizar seus dados.
https://sistema.sitedaempresa.com.br/?redirect=www.urlmaliciosa.com.br”
Neste ataque, os criminosos exploram o ambiente familiar da empresa, mas sempre há detalhes fora do comum, como um URL que difere do habitual ou contém informações excessivas, exigindo vigilância e discussão em equipe sobre procedimentos atípicos, quando necessário.
Pretexting / Aproximação estratégica
Nessa modalidade de engenharia social, o agressor aproxima-se da vítima com o intuito de coletar informações sobre seus interesses, posição na empresa ou atividades, oferecendo algo em troca das informações, sempre adotando uma postura amigável para acessar dados que de outra forma seriam difíceis de obter.
Esse contato pode ser feito por telefone, e-mail ou outros meios, como o WhatsApp, buscando sempre adquirir informações pessoais, da empresa ou de outros funcionários em posições superiores para, então, usar esses dados em ações mais destrutivas.
Bots e Ativação de Macros
Da mesma forma que o Phishing facilita a instalação de malwares, também é possível a instalação de programas, bots ou extensões em navegadores que disparam informações e mensagens a partir de um contato confiável na organização para outros contatos na lista.
Esse tipo de ataque é nocivo pois permite acesso à lista completa de e-mails da empresa e envia mensagens contendo URLs maliciosas, visando o roubo de informações de outros contatos, possibilitando a escalada do ataque dentro da organização ou até mesmo através de redes sociais.
O que é segurança da informação?
Segurança da informação refere-se às práticas e políticas projetadas para proteger dados digitais contra acesso não autorizado, alteração, destruição ou divulgação. Isso inclui a proteção de sistemas de computador, infraestruturas de rede e dados pessoais e corporativos.
Qual é o conceito de segurança da informação?
O conceito de segurança da informação baseia-se em três princípios fundamentais: confidencialidade, integridade e disponibilidade. Confidencialidade significa manter a privacidade dos dados, integridade refere-se à precisão e consistência dos dados, e disponibilidade garante que as informações estejam acessíveis quando necessário.
Confira Também: Como a Dominit trabalha com segurança da informação?
Como se proteger da Engenharia Social?
Para se proteger contra a engenharia social, é crucial adotar uma abordagem multifacetada:
- Educação e Conscientização: Treine seus funcionários para reconhecer tentativas de engenharia social. A Dominit oferece programas de treinamento abrangentes para aumentar a conscientização sobre segurança.
- Políticas de Segurança Robustas: Implemente políticas de segurança da informação claras e rigorosas. A Dominit ajuda a desenvolver e aplicar políticas eficazes que se alinham com as necessidades específicas da sua empresa.
- Tecnologia de Segurança Avançada: Utilize soluções tecnológicas, como firewalls, antivírus e filtros de e-mail, para proteger sua infraestrutura de TI. A Dominit fornece tecnologia de ponta em segurança da informação.
- Verificação e Autenticação Rigorosas: Estabeleça processos de autenticação e verificação para evitar acessos não autorizados.
- Atualizações e Manutenção Constantes: Mantenha seus sistemas e softwares atualizados para proteger contra vulnerabilidades conhecidas.
A engenharia social representa uma ameaça significativa à segurança da informação. Com a Dominit como sua parceira, você pode fortalecer as defesas da sua empresa contra esses ataques sofisticados. Nossa expertise em segurança da informação, combinada com uma abordagem proativa e educacional, garante que sua empresa não apenas entenda os riscos, mas também esteja equipada para enfrentá-los efetivamente.
Leia também: Deixando o meu computador mais seguro com a Segurança da Informação
