Phishing: O que Consegue Enganar os Usuários e os Erros que os Trapaceiros Cometem
O problema é que treinar pessoas para evitar a abertura de links e arquivos que chegam por e-mail é mais difícil do que parece. Na verdade, existem empresas como a KnowBe4 que se especializam em fazer exatamente isso. Para melhorar os seus programas de treinamento, o KnowBe4 tem tentado descobrir quais assuntos de e-mail de phishing enganam o maior número de vítimas, e eles estão acompanhando os dados há algum tempo. Na semana passada, eles publicaram as estatísticas para o terceiro trimestre de 2018.
Índice
As táticas dos phishers e os pontos fracos dos usuários
O KnowBe4 fez duas listas: uma para os assuntos de e-mail mais comumente clicados durante as simulações de phishing, e a outra para os assuntos de e-mail de phishing mais comumente denunciados.
Veja o que mais enganou os usuários durante os programas de treinamento sobre o phishing:
- Verificação de senha exigida imediatamente
- Você tem um novo correio de voz
- Seu pedido está a caminho
- Mudança de Senha Requerida Imediatamente
- Desativação do [[email]] no processo
- Entrega de etiquetas UPS 1ZBE312TNY00015011
- Política de Férias e de Tempo de Ausência por Doença Revisadas
- Você recebeu um documento para assinatura
- Notificação de spam: 1 novas mensagem
Aqui estão os assuntos dos e-mails que foram relatados como phishing pelos clientes do KnowBe4:
- Você tem uma nova mensagem criptografada
- TI: Erro de sincronização - mensagens recebidas retornadas
- RH: informações de contato
- FedEx: Desculpe, não o encontramos.
- Microsoft: várias tentativas de login
- IT: IMPORTANTE - BACKUP DE NOVO SERVIDOR
- Wells Fargo: atividades irregulares detectadas no seu cartão de crédito
- LinkedIn: sua conta está em risco!
- Microsoft/Office 365: [Lembrete]: sua mensagem segura
- Coinbase: Sua carteira de moedas digitais: configurações de dois fatores alteradas
Ter essas duas listas separadas nos dá uma visão muito melhor da gravidade da situação. A primeira coleção de assuntos nos diz precisamente que tipo de engenharia social tende a ser eficaz durante um ataque em potencial. A segunda lista nos dá o outro lado da moeda proverbial. Ela mostra ataques reais que foram capturados pelos usuários.
Urgência e ameaças à segurança ainda funcionam
Durante o terceiro trimestre, os usuários pareceram mais dispostos a clicar nas mensagens "Confirmação de senha solicitada imediatamente". Olhando para os relatórios mais antigos, podemos ver que esse assunto em particular esteve nos 10 Mais Importantes por algum tempo, e a sua classificação tem melhorado constantemente, o que provavelmente tem algo a ver com o fato de que estamos vendo cada vez mais incidentes envolvendo problemas de comprometimento de senhas.
Mais abaixo, você tem um assunto similar, "Mudança de Senha Requerida Imediatamente", que mostra que, se você enganar os usuários para que eles pensem que estão protegendo os seus dados, é mais provável que eles os exponham. Deixando de lado a ironia, ao combinar um senso de urgência e uma promessa de sérios problemas de segurança, se você não agir, os bandidos podem criar uma poderosa arma de engenharia social. Os efeitos são amplificados pelo fato de que, quando uma organização fica comprometida, terá poucas outras alternativas a não ser pedir aos seus usuários que alterem as suas senhas.
O problema é que as organizações responsáveis que seguem as melhores práticas de segurança não enviam e-mails com links para formulários de login. Alguns fazem isso, mas só porque você tem o link na sua caixa de entrada não significa que você precisa clicar nele. Se você acha que o email é original, é melhor abrir uma nova guia, acessar o site afetado, fazer o login e navegar até a seção de redefinição de senha manualmente. E se você não tiver certeza sobre nada, tente usar os canais de comunicação listados no site oficial para entrar em contato com o fornecedor. Se o email for realmente uma fraude, a sua vigilância pode acabar salvando outras pessoas.
O resto dos assuntos da primeira lista não tem o mesmo elemento de destruição iminente, mas eles ainda estão incentivando os usuários a fazer algo com pressa ou provocando a sua curiosidade. Obviamente, isso nem sempre funciona.
Os Fraudadores também cometem erros
Em teoria, as entradas da segunda lista têm mais ou menos as mesmas características quando comparadas com as da primeira, mas os usuários conseguiram identificar que algo estava errado e denunciaram isso nos departamentos de TI dos seus empregadores. Em alguns casos, não é difícil perceber o porquê.
Se o seu cartão de crédito foi emitido pelo Chase, por exemplo, é improvável que você receba uma mensagem dizendo "Wells Fargo: atividades irregulares detectadas no seu cartão de crédito". Em outros casos, só podemos supor que os ataques de phishing não foram muito bem executados.
Independentemente disso, o fato de que mais e mais usuários parecem conseguir separar pelo menos parte do joio do trigo é uma boa notícia. No entanto, ainda estamos muito longe de estar preparados para afastar todos os ataques de phishing. Na verdade, as chances são de que nunca estaremos, por isso é importante levar tudo o que você vê na Internet, incluindo o conteúdo da sua caixa de entrada, com uma grande pitada de sal.
