Vishing, smishing e pretexting

Embora o phishing domine as manchetes, os invasores usam vários canais de comunicação para manipular as vítimas. O phishing por voz usa chamadas de voz, o phishing por SMS usa mensagens de texto SMS e a pretextualização consiste em construir um cenário falso convincente (pretexto) para justificar por que a vítima deve atender a uma solicitação. Esses ataques são bem-sucedidos não porque as vítimas sejam ignorantes, mas porque exploram instintos humanos fundamentais: a confiança na autoridade, o desejo de ajudar e a tendência de seguir instruções sob pressão.

O phishing por voz usa chamadas telefônicas para manipular as vítimas. Pretextos comuns incluem se passar por um agente do IRS que ameaça efetuar uma prisão por impostos não pagos, por um departamento de fraudes bancárias que alerta sobre transações suspeitas, por um técnico de suporte que afirma ter detectado um vírus ou por um órgão governamental de benefícios que exige verificação. Os invasores usam falsificação do identificador de chamadas para exibir o número de telefone de uma Organização legítima. Campanhas automatizadas de phishing por voz operam em grande escala e depois conectam as vítimas interessadas a operadores reais. A natureza em tempo real das chamadas de voz cria uma pressão que dificulta o pensamento crítico.

O phishing por SMS envia iscas de phishing por mensagens de texto. Mensagens comuns de phishing por SMS se passam por serviços de entrega de encomendas (FedEx, UPS, USPS), com falsas notificações de rastreamento contendo links maliciosos; por bancos que alertam sobre cobranças suspeitas; ou por notificações da operadora móvel sobre problemas na conta. As URLs de phishing por SMS frequentemente usam encurtadores de URL ou domínios visualmente semelhantes. Usuários de dispositivos móveis são, possivelmente, mais vulneráveis que usuários de computadores de mesa, porque telas menores dificultam a inspeção da URL e os navegadores móveis frequentemente ocultam o endereço completo. O SMS também transmite uma confiança inerente — os usuários tendem a agir mais rapidamente diante de mensagens de texto do que de Emails.

A pretextualização consiste na fabricação de um cenário falso, porém verossímil, que cria o contexto para uma solicitação de engenharia social. Sem um pretexto convincente, solicitações de informações confidenciais ou ações incomuns despertariam suspeita imediatamente. Um invasor pode se passar por um novo contratado de IT que precisa de ajuda para acessar os sistemas, por um auditor que necessita de acesso a registros financeiros ou por um entregador de um Vendor que precisa que alguém o deixe entrar. O pretexto não precisa ser elaborado — basta ser plausível o suficiente para que o alvo não pare para verificar antes de atender à solicitação.

Os princípios de influência de Robert Cialdini explicam por que a engenharia social funciona. Autoridade — as pessoas atendem às solicitações de quem percebem como figuras de autoridade (CEO, IRS, polícia). Urgência/escassez — a pressão do tempo impede uma avaliação cuidadosa (“Aja nos próximos 10 minutos”). Prova social — as pessoas fazem o que os outros estão fazendo. Simpatia — as pessoas atendem às solicitações de quem consideram confiável ou agradável. Reciprocidade — as pessoas se sentem obrigadas a retribuir favores. Compromisso — depois de assumir um pequeno compromisso, as pessoas tendem a cumprir compromissos maiores. Compreender esses princípios ajuda os instrutores de conscientização em Security a criar mensagens de contraposição mais eficazes.

A tecnologia VoIP moderna torna trivial a falsificação do identificador de chamadas. Serviços como SpoofCard, Twilio e várias APIs de VoIP permitem que qualquer pessoa defina o identificador de chamadas exibido como qualquer número antes de fazer uma ligação. Os invasores falsificam rotineiramente linhas de atendimento ao cliente de bancos, números de órgãos governamentais ou o próprio número da vítima (falsificação de vizinho). A estrutura STIR/SHAKEN (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) foi exigida no US para autenticar criptograficamente o identificador de chamadas, mas sua adoção é incompleta. NUNCA confie apenas no identificador de chamadas para verificar uma identidade.

Os funcionários da central de Help são alvos prioritários de phishing por voz porque seu trabalho é ajudar os usuários — o que cria uma tensão natural com os procedimentos de Security. Um ataque típico ocorre quando o invasor liga fingindo ser um funcionário sênior que precisa redefinir urgentemente sua conta porque está bloqueado antes de uma reunião importante. A combinação de autoridade e urgência pode levar um agente bem-intencionado da central de Help a ignorar etapas de verificação. O famoso ataque ao Twitter em 2020 começou com ataques de phishing por voz contra funcionários do Twitter, que obtiveram acesso a ferramentas internas. As centrais de Help precisam de procedimentos rigorosos de verificação de identidade que não possam ser dispensados, independentemente da urgência.

Um ataque de troca de SIM combina phishing por voz e engenharia social contra o suporte ao cliente de uma operadora móvel. O invasor liga para a operadora fingindo ser a vítima, fornece respostas às perguntas de verificação de identidade (obtidas em vazamentos de dados ou redes sociais) e convence o agente a transferir o número de telefone da vítima para um cartão SIM controlado pelo invasor. Depois que o número é sequestrado, todos os códigos de MFA baseados em SMS são enviados ao invasor, permitindo a tomada de contas de Email, serviços bancários e criptomoedas. A troca de SIM já foi usada para roubar milhões em criptomoedas.

Detectar ataques de engenharia social exige combinar a comunicação de incidentes pelos funcionários com o registro técnico de eventos. Todo funcionário deve saber como comunicar uma chamada ou mensagem suspeita — idealmente por meio de um botão de um clique no Email ou de um alias de Email dedicado (phishing@company.com). Os indicadores técnicos incluem registros de chamadas que mostram chamadas recebidas de números falsificados, alertas do SIEM sobre redefinições de senhas na central de Help precedidas por chamadas recebidas e alterações de acesso a contas fora do horário de expediente. Depois de um incidente, registros telefônicos e registros de SMS são artefatos forenses importantes, assim como registros de Email e eventos de autenticação.

Defender-se contra a pretextualização exige estabelecer procedimentos de verificação que os funcionários sigam de forma consistente, independentemente da pressão que sintam. As principais Policies incluem: sempre verificar a identidade por meio de um canal separado e estabelecido antes de atender a solicitações incomuns; estabelecer um sistema de palavras-código para comunicações de executivos; treinar os funcionários para entender que figuras de autoridade dentro da Organização não se ofenderão com solicitações de verificação; e criar uma cultura positiva de Security, na qual seguir os procedimentos seja recompensado mesmo quando isso causar um pequeno inconveniente. Testes de engenharia social não anunciados medem se o treinamento é eficaz na prática.

Para o exame Security+, diferencie claramente os canais de phishing. Phishing ocorre por Email. Phishing por voz ocorre por voz ou telefone. Phishing por SMS ocorre por mensagens de texto SMS. Pharming redireciona o DNS sem exigir um clique. Todos compartilham o mesmo objetivo — manipular a vítima para que revele credenciais, transfira dinheiro ou instale malware —, mas o mecanismo de entrega e as contramedidas são diferentes. O Email conta com defesas técnicas (SPF/DKIM/DMARC/sandbox); a voz e o SMS têm muito menos controles técnicos, o que torna o treinamento de conscientização dos usuários ainda mais importante nesses canais.

Teste sua compreensão dos conceitos de CompTIA Security+ (SY0-701) desta lição.

Nesta lição, você aprendeu que: o phishing por voz usa chamadas telefônicas com falsificação do identificador de chamadas para se passar por figuras de autoridade e obter credenciais ou induzir ações; o phishing por SMS envia iscas de phishing por SMS, em que os usuários móveis têm menor visibilidade das URLs; e a pretextualização cria cenários falsos convincentes que justificam solicitações incomuns — combatidos com procedimentos rigorosos de verificação de identidade, confirmação por um canal independente e treinamento dos funcionários. A seguir, exploraremos a engenharia social física por meio de acesso por acompanhamento e iscas.