Phishing, spear phishing e whaling

O Email continua sendo o vetor de acesso inicial mais comum em ataques cibernéticos. O phishing explora a psicologia humana — criando urgência, autoridade ou medo — para induzir os destinatários a clicar em links maliciosos, abrir anexos infectados ou fornecer credenciais. Diferentemente das vulnerabilidades técnicas, que podem ser corrigidas, a suscetibilidade humana à pressão social não pode ser eliminada com uma atualização de software. Os candidatos ao Security+ precisam compreender o espectro dos ataques de phishing, desde campanhas em massa que têm como alvo milhões de destinatários aleatórios até mensagens altamente direcionadas, elaboradas para uma pessoa específica.

O phishing em massa (ou phishing em grande escala) envia o mesmo Email malicioso para milhares ou milhões de endereços simultaneamente, contando com o grande volume de alvos para obter uma pequena porcentagem de sucesso. Iscas comuns incluem alertas bancários falsos, notificações de entrega de encomendas, avisos de expiração de senha e ofertas de restituição de impostos. Os Emails são genéricos — o atacante não conhece pessoalmente os destinatários. Apesar da baixa sofisticação, as campanhas de phishing em massa geram um número enorme de vítimas em todo o mundo e são responsáveis pela maioria dos incidentes de roubo de credenciais.

Spear phishing é uma forma direcionada de phishing na qual o atacante personaliza a mensagem para uma pessoa específica ou para um pequeno grupo. Os Attackers pesquisam seus alvos no LinkedIn, nas redes sociais, nos sites das empresas e em bases de dados de violações para elaborar mensagens convincentes que façam referência a nomes reais, cargos, projetos ou colegas. Um Email de spear phishing pode parecer ter sido enviado pelo gerente do alvo, solicitando aprovação urgente de uma transferência bancária, ou pelo RH, com um anexo de “atualização de benefícios”. A personalização aumenta significativamente a taxa de sucesso em comparação com o phishing genérico.

Whaling é spear phishing direcionado especificamente a pessoas de alto valor — CEOs, CFOs, membros do conselho e outros executivos da alta administração. Esses alvos têm autoridade para aprovar grandes transações financeiras, acessar dados confidenciais e substituir políticas de segurança. Um ataque de whaling bem-sucedido pode induzir um CFO a autorizar uma transferência bancária de vários milhões de dólares para uma conta controlada por um atacante, em um esquema conhecido como Business Email Compromise (BEC). O FBI estimou que as perdas com BEC ultrapassaram US$ 3 bilhões por ano. Os executivos também são alvos por causa de seu acesso a propriedade intelectual, informações de fusões e aquisições e planos estratégicos.

Angler phishing tem como alvo usuários de plataformas de redes sociais — os Attackers criam contas falsas de atendimento ao cliente para grandes marcas e respondem a usuários que publicam reclamações, atraindo-os para páginas de login falsas. O clone phishing duplica um Email legítimo (uma fatura recente ou um boletim informativo), substitui os links ou anexos por versões maliciosas e o reenvia de um endereço falsificado, alegando que se trata de uma versão corrigida. O clone phishing é particularmente eficaz porque o destinatário reconhece o formato e o Sender do Email, o que reduz consideravelmente sua desconfiança.

Pharming redireciona as vítimas para sites maliciosos sem exigir que cliquem em um link de phishing. Isso normalmente é obtido por meio de envenenamento do cache DNS (inserção de registros DNS falsos em um resolvedor para que o domínio legítimo seja direcionado ao Server do atacante) ou pela modificação do file hosts local da vítima. Diferentemente do phishing, que exige uma ação da vítima, o pharming funciona mesmo quando o usuário digita o URL correto diretamente no Browser. DNSSEC e a validação de certificados HTTPS são as principais defesas técnicas.

Uma das habilidades mais importantes contra phishing é analisar URLs para identificar técnicas de falsificação. Os Attackers usam vários métodos: typosquatting (paypa1.com, g00gle.com), truques com subdomínios (paypal.com.attacker.com — o domínio real é attacker.com), encurtadores de URL que ocultam o destino verdadeiro e ataques homógrafos que usam caracteres Unicode semelhantes aos do ASCII (xn--pple-43d.com usa um “а” cirílico para falsificar apple.com). Os profissionais de segurança devem sempre passar o cursor sobre os links antes de clicar e usar ferramentas de análise de URL para expandir URLs encurtados com segurança.

Para ensinar os usuários a reconhecer phishing, é necessário apresentar sinais de alerta específicos. Examine: o endereço do Sender (o nome exibido corresponde ao domínio real do Email?), os cabeçalhos do Email (o Return-Path ou Reply-To é diferente do endereço From?), a linguagem de urgência ou ameaça que pressiona o usuário a agir rapidamente, anexos não solicitados ou solicitações inesperadas de redefinição de senha e links que não correspondem ao destino declarado. A presença de um sinal deve despertar suspeita; vários sinais juntos indicam fortemente phishing. As organizações devem definir um processo claro para denunciar Emails suspeitos.

Muitas campanhas de phishing direcionam as vítimas para páginas de login falsas que parecem idênticas aos sites legítimos. Os Attackers clonam o HTML/CSS de sites reais e os hospedam em domínios semelhantes ou sites comprometidos. As ferramentas modernas evilginx2 e Modlishka atuam como proxies reversos, encaminhando a vítima para o site real enquanto interceptam tokens de sessão em tempo real — contornando até mesmo o MFA. Os usuários devem procurar o ícone de cadeado (HTTPS), mas lembrar que o HTTPS apenas confirma que a conexão é criptografada, não que o site é legítimo. Os registros de Certificate Transparency revelam sites de phishing que usam domínios semelhantes.

Anexos maliciosos entregam malware diretamente ao endpoint da vítima. Os formatos comuns incluem documentos do Office habilitados para macros (.docm, .xlsm), que executam scripts VBA quando o usuário habilita as macros, arquivos PDF com JavaScript incorporado ou links, imagens de disco ISO/IMG (usadas para contornar as proteções do Windows Mark of the Web) e arquivos compactados (.zip, .rar) contendo executáveis renomeados com extensões enganosas. As organizações devem desabilitar as macros do Office por padrão por meio da Group Policy e configurar os gateways de Email para bloquear tipos de arquivo de alto risco.

Proteger executivos contra ataques de phishing direcionado requer uma combinação de controles técnicos e processuais. Tecnicamente: aplique DMARC para rejeitar Emails falsificados que aleguem vir do domínio da Organização, configure o gateway de Email para adicionar banners a Emails externos e inscreva os executivos em MFA resistente a phishing (FIDO2). Nos processos: estabeleça procedimentos de verificação por um canal independente (ligue diretamente para o solicitante usando um número de telefone conhecido) antes de aprovar transferências bancárias ou compartilhar dados confidenciais, independentemente da urgência transmitida pelo Email. Treine os executivos especificamente sobre cenários de phishing direcionado, pois os treinamentos genéricos de conscientização em Security frequentemente não alcançam a alta direção.

Teste sua compreensão dos conceitos de CompTIA Security+ (SY0-701) desta lição.

Nesta lição, você aprendeu que: o phishing em massa depende do volume para alcançar uma pequena porcentagem de destinatários aleatórios; o phishing direcionado é personalizado e voltado a alvos específicos, usando pesquisas de OSINT para criar mensagens convincentes; e o phishing contra executivos tem como alvo executivos com autoridade sobre finanças e dados confidenciais — e é combatido com DMARC, MFA resistente a phishing e procedimentos de verificação por um canal independente. A seguir, exploraremos ataques por voz e SMS usando phishing por voz, phishing por SMS e pretextualização.