Como evitar dispendiosos ataques de phishing
O phishing converteu-se num grave risco de cibersegurança para todos os responsáveis de TI, com ataques que são cada vez mais frequentes e sofisticados.
Neste post examinamos o impacto do phishing, as últimas fraudes que estão a surgir e alguns conselhos para manter a salvo os colaboradores.
As burlas de phishing custam às empresas milhares de milhões de euros a cada ano, ainda mais à medida que os hackers se tornam mais perspicazes, o que se traduz num investimento semanal de cerca de um terço do tempo por parte das equipas de TI e segurança, para combater a ameaça do phishing. No entanto, à medida que os profissionais informáticos se tornam mais inteligentes, também os piratas informáticos vão encontrando novas formas de atacar as organizações.
Nas palavras de Russell Johnson, IT Business Partner da Brother International Europe, “centrar-se no utilizador é de vital importância. Dispomos de sistemas técnicos de proteção que são muito bons, mas se um ataque sofisticado consegue entrar, é responsabilidade do utilizador proteger-se a si mesmo e à empresa”.
Conhecer as tendências do phishing e as medidas preventivas poupará tempo, recursos e dinheiro.
Últimas tendências do phishing
Recentemente houve um aumento dos ataques Business Email Compromise (BEC) em toda a Europa, concretamente com hackers que se fazem passar por diretor geral de uma empresa. Este ataque de falsificação de identidade engana muitos colaboradores levando-os a atuar de determinada forma e converteu-se num dos sistemas de ataque de phishing mais dispendiosos. Depois de investigar o seu alvo, que normalmente é um diretor financeiro, os ciberdelinquentes criam um endereço de email falso e convincente para solicitar uma transação.
Há muitos casos reais de burlas mediante este sistema. Por exemplo, o fabricante austríaco de peças aeroespaciais FACC perdeu 42 milhões de euros num ataque BEC depois de um email falso pedir a um colaborador que transfira dinheiro para uma conta para um projeto de aquisição inexistente.
O clube de futebol italiano Lazio também perdeu milhões de euros numa burla de phishing similar. A equipa da Série A libertou fundos para transferência de um jogador depois de receber um email que parecia proceder do clube holandês Feyenoord.
Além disso, a criação de páginas falsas dirigidas à recompilação de credenciais da empresa também tem aumentado. Trata-se de correios eletrónicos de phishing que levam os utilizadores a uma página de início de sessão falsa para um serviço corporativo como Microsoft Office 365 ou Amazon Web Services (AWS), o que pode ser desastroso para as organizações, uma vez que os hackers acedem a dados sensíveis armazenados na conta.
Por exemplo, recentemente uns atacantes fizeram-se passar pela Amazon Web Services mediante uma notificação automática por correio eletrónico. Os vínculos pareciam totalmente credíveis, mas uma anomalia na URL redirigia os utilizadores para uma página de início de sessão falsa.
O consultor em cibersegurança Rob Mukherjee aconselha as empresas a utilizarem a visão computorizada. Trata-se de um campo do software que permite aos computadores reproduzir o sistema visual humano mediante algoritmos (também é um subconjunto da inteligência artificial). Rob explica que “o software examina cada pixel e impede que os emails acedam à bandeja de entrada se detetar alguma anomalia”.
Por outro lado, houve um enorme aumento de emails com identidades falsificadas no LinkedIn; assim, os investigadores detetaram em 2022 um aumento de 232% nos correios eletrónicos que afirmam proceder desta rede social. Os ciberdelinquentes utilizam a falsificação do nome de utilizador e modelos HTML estilizados para enganar os utilizadores do Microsoft Outlook e conseguir que cliquem nos links de phishing e introduzam os seus dados.
Além disso, o LinkedIn está a ser utilizado para procurar potenciais alvos de phishing direcionado. Por exemplo, piratas informáticos utilizaram esta rede social para identificar engenheiros de sistemas e administradores de rede da Sony Pictures Entertainment e os emails de phishing seletivo provocaram o roubo de mais de 100 terabytes de dados da empresa. O ataque custou à Sony mais de 100 milhões de dólares.
O verdadeiro custo do phishing
Os ataques de phishing são caros e difíceis de enfrentar. Segundo a IBM, em 2022 foram o método de ataque mais prejudicial, com um custo médio de 4,91 milhões de dólares por violação de dados. No entanto, continua a ser o ponto de entrada mais comum para os hackers. De facto, 82% das violações de dados em toda a Europa tiveram intervenção humana em 2022.
Esta ameaça constante de phishing não só é dispendiosa para as empresas, como também repercute diretamente nos responsáveis de TI, que se vêm obrigados a dedicar-lhe mais tempo e recursos para a combater. De facto, as equipas de TI e de segurança informam que um correio eletrónico apenas, necessita agora, em média, de cerca de 27,5 minutos para ser resolvido.
Como proteger uma empresa contra o phishing?
Atualmente, a melhor forma de proteger uma empresa contra um possível ataque de phishing seria mediante uma combinação de ferramentas TI e mudanças no comportamento dos colaboradores.
Segundo Dan Giannasi, Diretor de Cibersegurança e Inovação de Cyber Resilience Centre, “as empresas devem tomar medidas para proteger a sua organização, dificultando o acesso dos atacantes aos utilizadores. Isto inclui a aplicação de protocolos de correio eletrónico sólidos que impeçam que os emails de phishing conhecidos cheguem aos utilizadores e evitem que os hackers imitem o seu domínio de correio eletrónico em outros ataques”.
A implementação de um filtro de correio eletrónico baseado em regras e de nível empresarial permitirá detetar nomes de domínio e identidades suprimidas, que os colaboradores podem facilmente esquecer. Os filtros avançados também podem detetar programas maliciosos, como scanners de portas e keyloggers.
No que diz respeito à mudança de comportamento, Joshua Ashton, Diretor de Symposium IT, aconselha a sua equipa a tratar com cautela qualquer pedido de informação sensível e tente verificar a autenticidade da fonte antes de atuar.
Também é vital educar as equipas sobre os sinais de alarme comuns do phishing e pôr à prova as suas habilidades porque, como assinala Russell Jonson, “a resistência humana pode-se sempre melhorar”. Jonson dirige um programa interno de cibersegurança para a Brother International Europe que é distribuído por 1.500 utilizadores.
Centrado na criação de uma firewall humana, a formação obrigatória complementa-se com orientações opcionais e corretivas e artigos sobre as últimas tendências. Cada utilizador é objeto de phishing pelo menos uma vez por mês de acordo com a KnowBe4, um sistema que utiliza inteligência artificial para classificar os utilizadores segundo quatro critérios de risco diferentes. O programa foi bem recebido pelos colaboradores e a empresa está em vias de cumprir as normas da indústria no que diz respeito à percentagem de utilizadores propensos a phishing.
