O phishing é um tipo de ataque de engenharia social usado frequentemente para roubar dados de usuários, incluindo credenciais de login e números de cartão de crédito. Ocorre quando um invasor, que se passa como uma entidade confiável, engana uma vítima para abrir um email, mensagem instantânea ou mensagem de texto. O destinatário é enganado ao clicar em um link malicioso, que pode levar à instalação de um malware, o congelamento do sistema como parte de um ataque de armazenamento ou a revelação de informações confidenciais.

Um ataque pode ter resultados devastadores. Para os indivíduos, isso inclui compras não autorizadas, o roubo de fundos ou o roubo de identidade.

Além disso, o phishing é freqüentemente usado para ganhar uma posição em redes corporativas ou governamentais como parte de um ataque maior, como um evento avançado de ameaça persistente (APT). Neste último cenário, os usuários mal-intencionados estão comprometidos para contornar os perímetros de segurança, distribuir malwares dentro de um ambiente fechado ou obter acesso privilegiado a dados protegidos.

Uma organização que sucumbe a um ataque desse tipo normalmente sofre perdas financeiras severas, além da queda da participação no mercado, da reputação e da confiança dos consumidores. Dependendo do escopo, uma tentativa de phishing pode se transformar em um incidente de segurança do qual uma empresa terá dificuldade em recuperar.

Exemplos de ataque Phishing

Um e-mail falsificado ostensivamente do site myuniversity.edu é distribuído em massa para tantos membros do corpo docente quanto possível.  O e-mail afirma que a senha do usuário está prestes a expirar. As instruções são fornecidas para ir para myuniversity.edu/renewal para renovar sua senha dentro de 24 horas. Várias coisas podem ocorrer clicando no link, por exemplo:

• O usuário é redirecionado para myuniversity.edurenewal.com, uma página falsa (veja que a verdadeira seria myuniversity.edu/renewal)  aparecendo exatamente como a página de renovação real, onde as senhas novas e existentes são solicitadas.
• O atacante, monitorando a página, seqüestra a senha original para obter acesso a áreas protegidas na rede da universidade.
• O usuário é enviado para a página de renovação de senha atual. No entanto, ao ser redirecionado, um script malicioso se ativa em segundo plano para seqüestrar o cookie de sessão do usuário. Isso resulta em um ataque XSS refletido, dando ao perpetrador acesso privilegiado à rede universitária.

Técnicas de emprego do ataque

Phishing realizado por envio de emails é um jogo de números. Um atacante que envia milhares de mensagens fraudulentas pode incluir informações significativas, oferta de dinheiro,  promoções tentadoras, mas mesmo assim, apenas uma pequena porcentagem de destinatários caíra na fraude. Mas é uma das técnicas que os atacantes usam para aumentar suas taxas de sucesso.

Eles terão um grande trabalho na concepção de mensagens de phishing para imitar os e-mails reais de uma organização falsificada, tais como, usar o mesmo vocabulário, tipos de letra, logotipos e assinaturas, etc para as mensagens parecerem legítimas.

Além disso, os atacantes geralmente tentam empurrar os usuários para a ação, para a fraude, criando um senso de urgência. Por exemplo, como mostrado anteriormente, um email poderia ameaçar a expiração da conta e colocar o destinatário em um temporizador. A aplicação de tal pressão faz com que o usuário seja menos diligente e mais propenso ao erro.

Por fim, os links dentro das mensagens se assemelham a suas contrapartes legítimas, mas tipicamente têm um nome de domínio incorreto ou subdomínios extras. No exemplo acima, o URL myuniversity.edu/renewal foi alterado para myuniversity.edurenewal.com. As semelhanças entre os dois endereços oferecem a impressão de um link seguro, tornando o destinatário menos consciente de que um ataque está ocorrendo.

Técnicas de phishing 

Spear phishing visa uma pessoa específica ou empresa, em oposição aos usuários de aplicativos aleatórios. É uma versão mais detalhada do phishing que requer conhecimento especial sobre uma organização, incluindo sua estrutura de poder. Um ataque desse tipo pode aparecer da seguinte forma:

• Um perpetrador pesquisa nomes de funcionários dentro do departamento de marketing de uma organização e obtém acesso às últimas faturas do projeto.
• Posando como o diretor de marketing, o atacante envia por e-mail um gerente de projeto departamental usando uma linha de assunto que lê, fatura atualizada para campanhas Q3.
• O texto, o estilo e o logotipo incluído duplicam o modelo padrão de e-mail da organização.
• Um link no e-mail redireciona para um documento interno protegido por senha, que na realidade é uma versão falsa de uma fatura roubada.
• O gerente é solicitado a fazer login para ver o documento.
• O atacante rouba suas credenciais, obtendo acesso total a áreas sensíveis dentro da rede da organização.
• Ao "fornecer" a um invasor  credenciais de login válidas, o spear phishing se torna um método eficaz para executar a primeira etapa de um APT.

Protegendo-se contra Phishing

A proteção contra ataques de phishing exige que as medidas sugeridas sejam tomadas tanto pelos usuários como pelas empresas.

Para usuários, a vigilância é fundamental. Uma mensagem falsa geralmente contém erros sutis que expõem sua verdadeira identidade. Estes podem incluir erros ortográficos ou alterações nos nomes de domínio, conforme visto no  exemplo de URL anterior. Os usuários também devem parar e pensar sobre por que eles ainda recebem esse email.

Para as empresas, podem ser tomadas várias medidas para mitigar os ataques de phishing e de spear phishing: a autenticação de dois fatores (2FA) é o método mais eficaz para contrariar ataques de phishing, pois adiciona uma camada de verificação extra ao fazer login em aplicativos sensíveis. O 2FA depende de usuários que tenham duas coisas: algo que eles conhecem, como uma senha e nome de usuário, e algo que eles têm, como seus smartphones. Mesmo quando os funcionários estão comprometidos, o 2FA impede o uso de suas credenciais comprometidas, uma vez que estas só são insuficientes para obter entrada. Além de usar o 2FA, as organizações devem aplicar políticas rígidas de gerenciamento de senhas. Por exemplo, os funcionários devem ser obrigados a mudar suas senhas com freqüência e a não permitir a reutilização de senha para múltiplas aplicações.

As campanhas educacionais também podem ajudar a diminuir a ameaça de ataques de phishing ao aplicar práticas seguras, como não clicar em links de e-mail externos.