Phishing

Phishing é uma técnica de engenharia social usada para enganar usuários de internet usando fraude eletrônica para obter informações confidenciais, como nome de usuário, senha e detalhes do cartão de crédito. São comunicações falsificadas praticada por criminosos chamados phishers que parecem vir de uma fonte confiável.

Para cometer as fraudes os criminosos utilizam mensagens aparentemente reais. Os usuários geralmente são atraídos por comunicações que parecem vir de redes sociais, sites de leilões, bancos, processadores de pagamento on-line ou administradores de TI.

E-mails de bancos talvez sejam o exemplo mais comum. Uma mensagem tão real quanto possível faz solicitações de "recadastramento" de dados bancários, alteração da senha eletrônica ou outro pedido. No entanto, o usuário é direcionado a um site falso, com a mesma aparência do site legítimo que pretende imitar para inserir essas informações pessoais.

Embora esse tipo de ataque seja o mais comum - ou seja, disfarçar-se de site confiável para obter informações pessoais -, aproveitando-se da desatenção de certos usuários, indivíduos maliciosos desenvolvem e põem em prática métodos cada vez mais sofisticados para cometer ações ilícitas, incluindo promoções e sorteios falsos, prometendo montantes exorbitantes e negócios potencialmente irrecusáveis.

Para evitar incidentes de phishing, é preciso envolver legislação, treinamento de usuários, conscientização do público e medidas técnicas de segurança, uma vez que ataques de phishing frequentemente exploram os pontos fracos da atual segurança na web.

Em 2014, estimava-se que o seu impacto econômico mundial fosse de 5 bilhões de dólares.

Termo A palavra phishing é um neologismo homófono de fishing, palavra em inglês que significa "pesca", fazendo alusão ao ato de se lançar uma vara e esperar que "mordam a isca".

A substituição da letra "f" pelo dígrafo "ph" pode ser pela junção das palavras phony ("falso") e phishing. Pode também ser por referência ao termo phreaking.

História O termo phishing é relativamente novo - sua criação data de meados de 1996, quando hackers praticavam roubo de contas da AOL, fraudando senhas de usuários. Sua primeira menção pública ocorreu no grupo blackhat alt.2600, em 28 de janeiro do mesmo ano, feita pelo usuário mk590, que dizia:

"O que acontece é que, antigamente, podia-se fazer uma conta falsa na AOL, uma vez que se tivesse um gerador de cartões de crédito. Porém, a AOL foi esperta. Agora, após digitar os dados do cartão, é feita uma verificação com o respectivo banco. Alguém mais conhece outra maneira de adquirir uma conta que não seja através de Phishing?"

Apenas um ano depois, em 1997, o termo foi citado na mídia. Neste mesmo ano, os phishs (contas hackeadas) já eram utilizados como moeda no mundo hacker; e podia-se facilmente trocar 10 phishs da AOL por uma parte de um software malicioso.

Antigamente utilizado para roubar contas de usuários da AOL, o phishing hoje tem aplicações muito maiores e mais obscuras, como o roubo de dinheiro de contas bancárias.

Infelizmente, as buscas por essas informações sensíveis crescem com o aumento da possibilidade de realizar diversas tarefas no conforto do lar, como transações financeiras, compras e muito mais. Isso pode trazer a uma grande massa de internautas uma ilusória sensação de segurança. Uma vez que a internet é uma tendência globalizada, a presença de criminosos é esperada.

Técnicas

Tipos de phishing

Spear phishing Técnicas de phishing direcionadas a instituições ou indivíduos específicos são denominadas de spear phishing. Consiste na coleção de detalhes e informação pessoais de modo a aumentar a probabilidade de sucesso dos atacantes. É a técnica de phishing mais eficaz atualmente, sendo responsável por 91% de ataques deste gênero.

Clone phishing Clone phishing designa a tentativa de redirecionar o usuário a um site clonado do original que a vítima pretende entrar. Consiste normalmente de uma página de início de sessão que requer a inserção de usuário e senha. Enquanto o usuário é redirecionado para o site original, seus dados são armazenadas pelos atacantes. Essa técnica também pode ser feita por e-mail. O usuário pode receber um e-mail legítimo ou falso de um site e, ao entrar entrar com suas informações, elas são roubadas. A aparência é sempre falsificada para que se pareça com uma instituição legítima.

Whaling Whaling — em referência à pesca de baleia, pelo ato de apanhar um "peixe grande" (mesmo que baleias sejam, na verdade, mamíferos) — envolve a procura de dados e informação relativas a altos cargos ou personalidades de relevância. Neste caso, os ataques são normalmente disfarçados de notificações judiciais, queixas de clientes ou outras questões empresariais.

Alguns destes métodos, contudo, se destacam por sua eficácia e rendimento, e dentre estes, podemos citar, certamente, o ataque de Phishing Scam.

Detalhes

Ataque ao Servidor DNS Ataque baseado na técnica "DNS cache poisoning", ou envenenamento de cache DNS, consiste em corromper o DNS (sistema de nomes de domínio) em uma rede de computadores, fazendo com que a URL (localizador de recursos ou endereço www) de um site passe a apontar para um servidor diferente do original. Ao digitar a URL do site que você deseja acessar, como um banco, o servidor DNS converte o endereço em um número IP correspondente ao do servidor do banco. Se o servidor DNS estiver vulnerável a um ataque, o endereço poderá apontar para uma página falsa hospedada em outro servidor com outro endereço IP sob controle de um golpista.

URLs falsas Uma outra maneira é a criação de URLs extensas que dificultam a identificação por parte do usuário. Um exemplo simples pode ser: secure.nomedoseubanco.com.br/internetbanking/eud=651656JFYDHJJUHGRedirectto:maisalgumacoisa.dominiofalso.com. O usuário pode olhar o início da URL e acreditar que está na região segura do site do seu banco, enquanto na verdade está em um subdomínio do website "dominiofalso.com".

Formulários HTML falsos em E-mails Outra técnica menos frequente é a utilização de formulários em e-mails com formatação HTML. Com isso, um usuário desatento pode incluir as informações requeridas pelo atacante diretamente no seu e-mail, sem a necessidade da clonagem da interface do banco ou de outro site.

Tipos de mensagens utilizadas

E-mail Um estelionatário envia e-mails falsos fingindo ser de um site confiável, como sites de entretenimento, bancos, empresas de cartão de crédito, lojas, órgãos governamentais etc. Geralmente, as mensagens são enviadas para milhões de endereços de e-mail que foram previamente coletados na internet. A entrega dos e-mails, normalmente, é feita por computadores que estão sob o controle de pessoas mal intencionadas e incluem principalmente servidores mal configurados e computadores com conexão banda larga infectados com cavalos de Tróia, propositadamente desenvolvidos para permitir o envio de e-mail em massa.

Spear Phishing Spear Phishing é um ataque altamente localizado que exige toda uma etapa de minuciosa pesquisa por parte dos atacantes, além de muita paciência. Correlacionando ao nome “phishing”, sua denominação pode ser entendida como algo semelhante à “pesca com arpão”. Neste tipo de ataque, o criminoso estabelece seu alvo (geralmente uma empresa ou departamento de empresa, podendo incluir ainda universidades, instituições governamentais, dentre outras). Em seguida, inicia a etapa na qual sonda informações básicas de diferentes funcionários. Aqui, explora-se uma grande falha humana: a incapacidade de avaliar corretamente a sensibilidade de uma informação. Enquanto sozinha, esta informação pode não significar muito, mas, em conjunto, se utilizada de forma inteligente pelo atacante, pode garantir-lhe conhecimento suficiente para assimilar a identidade de alguém com mais poder na empresa.

Fraude 419 Essa técnica foi criada por estudantes universitários em meados de 1980, quando a economia petrolífera da Nigéria estava em crise, a fim de manipular indivíduos interessados no petróleo nigeriano. Eram inicialmente distribuídos por cartas ou fax, mas, com a popularização do e-mail, este passou a ser o meio utilizado. Na verdade, há registros de que a fraude já existia previamente, datando de antes de 1588, quando redigiam-se cartas supostamente provenientes de prisioneiros de castelos espanhóis que prometiam compartilhar um tesouro com aquele que os enviasse dinheiro para subornar os guardas. Seu nome vem da seção 419 do código penal nigeriano, que tipifica atividades fraudulentas.

O e-mail é proveniente de indivíduos que dizem ser do Banco Central da Nigéria ou do governo deste mesmo país, mas não se resume a isso. Muito além, é um verdadeiro jogo, no qual o risco e as regras dependem das capacidades de persuasão do atacante. Vale frisar que, neste caso, o “atacante” é geralmente uma verdadeira equipe de criminosos profissionais, articulando minuciosamente seus planos.

iPhishing iPhishing é a vertente que visa explorar vulnerabilidades consequentes do avanço excessivamente rápido da tecnologia, que acaba por deixar aspectos de segurança em segundo plano, dando lugar à funcionalidade e ao design. O ataque pode ocorrer de diferentes maneiras, sendo o envenenamento de DNS um exemplo.

Neste caso, um servidor DNS, ou Domain Name System (Sistema de Nomes e Domínios), que tem como função traduzir nomes para IPs e vice-versa, é hackeado e faz com que usuários sejam redirecionados para sites diferentes daqueles que desejavam abrir. Devido a limitação de espaço na tela de celulares como o iPhone, os usuários podem não conseguir ver toda a URL das páginas que visitam, tornando-se assim muito mais vulneráveis.

Vishing Scam A VoIP (Voice over IP), tecnologia desenvolvida para possibilitar comunicação telefônica através da internet baseando-se no Protocolo de Internet (IP), também é utilizada em técnicas da phishing. Com a possibilidade de mascarar o número de telefone que será identificado pelo receptor, a VoIP se tornou uma oportunidade para fraudes.

Ataques de "Vishing" são geralmente propagados através de mensagens de texto (SMS), e-mails ou até mesmo mensagens de voz, e seu procedimento assemelha-se em muito ao do Phishing Scam tradicional: um estelionatário envia mensagens falsas fingindo ser uma instituição de confiança. Estas mensagens pedem normalmente respostas com dados como cartão de crédito e senhas, ou até mesmo que a pessoa retorne a ligação para um certo número e fale com um atendente golpista. As justificativas dadas para se efetuar a ligação variam. Dentre as mais comuns podemos citar, por exemplo, “a ocorrência de possíveis atividades fraudulentas na conta bancária que levaram à suspensão da mesma”.

Mensagens Instantâneas Como uma das principais formas de comunicação no mundo atual, os mensageiros instantâneos (como WhatsApp e Facebook Messenger) estão longe de estarem isentos dos perigos do phishing. Na verdade, são uns dos terrenos mais férteis para a proliferação deste ataque, por conta do tipo de comunicação que geralmente se estabelece neles. É uma comunicação mais informal, entre indivíduos que geralmente se conhecem ou que são grandes amigos. Todo este ambiente “familiar” traz uma maior sensação de segurança, fazendo com que os cuidados sejam reduzidos. Quando o remetente da mensagem é um "amigo de confiança", tendemos a não duvidar da mensagem. Contudo, ele foi na verdade infectado por um malware que está distribuindo mensagens através de sua rede de contatos.

A velocidade (em tempo real) e a grande quantidade de conversas estabelecidas simultaneamente são outros fatores que facilitam o ataque. Estando o usuário perdido em tantas conversas, nas quais a troca de URLs é comum e constante, uma URL maliciosa tem maiores chances de passar despercebida.