Cuidado com o golpe de phishing inteligente "Novo dispositivo conectado à sua faixa"

Como um todo, os cibercriminosos não tendem a discriminar sua escolha de alvos. Entre aqueles que se especializam em extorsão corporativa ou preferem brutalizar pequenas empresas, instituições governamentais ou realizar ataques DDOS, e aqueles que tentam enganar indivíduos privados de seu dinheiro com engenharia social, os hackers geralmente têm praticamente todas as bases cobertas quando se trata de metas. No entanto, não há como negar que algumas metas parecem ser mais preferidas que outras - e os processadores de pagamento parecem ser um deles. As tentativas de phishing direcionadas a usuários em potencial do Stripe se tornaram tão comuns que o próprio Stripe foi forçado a incluir um guia sobre como NÃO obter phishing em seu próprio site.

E, para ser justo, há realmente uma boa razão para a empresa fazer isso - houve pelo menos três campanhas de phishing maciças de sofisticação bastante alta, visando usuários em potencial de distribuição nos últimos anos. Todos eles envolveram algumas mensagens de e-mail bastante legítimas, exortando o usuário a confirmar seus detalhes de login, para que algo indesejável aconteça em sua conta. Esses e-mails forneciam links ofuscados para páginas de destino de aparência legítima, projetadas para capturar as credenciais do usuário e depositá-las nas mãos sujas dos criminosos cibernéticos.

Os hackers exibiram um nível impressionante de sofisticação neste momento, especialmente nesta campanha mais recente que chegou aos emails no início de março de 2020. Sim, você pode identificar facilmente a diferença entre a página de destino e a página de login legítima do Stripe ao compará-las lado a lado , mas o falso é mais do que suficiente para enganar até usuários suspeitos. É bem formatado, usa as fontes corretas e apresenta hiperlinks e isenções de responsabilidade. Apenas as cores e proporções de alguns dos botões estão um pouco erradas, mas isso pode ser facilmente explicado com mudanças sutis no design, e é o tipo de coisa que as empresas fazem o tempo todo.

Camadas adicionais de engenharia social podem ser adicionadas para enganar o usuário alvo - por exemplo, uma página de phishing o redirecionou para o site Stripe real, depois que o usuário inseriu suas credenciais, para não levantar suspeitas de que algo está errado.

Para resumir uma longa história - a sofisticação do hacker já atingiu um nível alto o suficiente para afastar usuários suspeitos. Então, o que um usuário pode fazer para evitar que suas informações financeiras importantes sejam roubadas? Quais são as práticas recomendadas que eles podem seguir para evitar serem vítimas de um golpe de phishing, como o direcionado aos usuários do Stripe?

Verifique o endereço da Web

Existem muitas coisas que os fraudadores podem fazer para dar a seus e-mails falsos um ar de legitimidade - usar boa gramática e logotipos adequados, formatar os e-mails de maneira legítima, até empregar informações pessoais sobre o alvo adquirido em outro lugar, ofuscar links etc. No entanto, há uma coisa absolutamente óbvia: o email é fraudulento, do qual eles não podem fazer nada - e essa é a fonte do email. Todos os clientes de email decentes fornecem ao usuário uma fonte para a comunicação - e, se essa fonte for suspeita, o email é quase certamente uma tentativa de phishing ou outro tipo de ataque. Como o próprio Stripe colocou em sua página oficial, “Está apontando para uma página no stripe.com?” Se não - então ignore. Melhor ainda - exclua-o para não clicar acidentalmente mais tarde.

Não clique em links

Quando alertado de que você precisa fazer algo por email, não clique no link fornecido. Em vez disso, reserve um tempo para realmente ir para a plataforma que pretende enviar a mensagem para você e verificar as coisas por si mesmo. Vá para o seu favorito ou digite o endereço adequado e faça login na sua conta dessa maneira. A menos que você tenha solicitado o e-mail agora mesmo (com o objetivo de alterar uma senha esquecida, por exemplo), trate os links fornecidos em um e-mail com a maior suspeita. Sempre verifique para onde eles pretendem liderar e se você perceber algo indesejável - envie o e-mail.