Phishing

Origem: Wikipédia, a enciclopédia livre.
Ir para: navegação, pesquisa
Ambox important.svg
Foram assinalados vários aspectos a serem melhorados nesta página ou se(c)ção:

Phishing é o empréstimo que designa as tentativas de obtenção de informação pessoalmente identificável através de uma suplantação de identidade por parte de criminosos em contextos informáticos (engenharia social).[1][2]  A palavra é um neologismo criado a partir do inglês fishing (pesca) devido à semelhança entre as duas técnicas, servindo-se de um isco para apanhar uma vítima. Em 2014, estimava-se que o seu impacto económico mundial fosse de 5 mil milhões de dólares.[3]

É normalmente levado a cabo através da falsificação de comunicação eletrónica — spoofing — de correio[4] ou mensagens,[5] dirigindo o utilizador para um sítio semelhante ao original e incitando-o a preencher campos onde detalhe dados como nomes de utilizador, chaves de acesso ou detalhes bancários. Estas tentativas fingem ter como origem portais sociais, instituições bancárias ou administradores de sistemas e podem conter ligações a sítios infetados por ameaças. Para além disto, pode servir para a instalação de software malicioso no sistema da vítima, podendo servir de plataforma para outro tipo de ataques, como por exemplo as ameaças persistentes avançadas.

Está inserido nas técnicas de engenharia social utilizadas com o objetivo de enganar um utilizador, e explora vulnerabilidades na segurança atual da internet.[6] Tentativas para colmatar o problema incluem a criação de legislação, educação e sensibilização do público e da implementação de melhorias nas técnicas de segurança.

Técnicas[editar | editar código-fonte]

Tipos de phishing[editar | editar código-fonte]

Spear phishing[editar | editar código-fonte]

Técnicas de phishing direccionadas a instituições ou indivíduos específicos são denomindas de spear phishing.[7] Consiste na coleção de detalhes e informação pessoais de modo a aumentar a probabilidade de sucesso dos atacantes. É a técnica de phishing mais eficaz atualmente, sendo responsável por 91% de ataques deste género.[8]

Clone phishing[editar | editar código-fonte]

Clone phishing designa a tentativa de dirigir o utilizador a um sítio clonado do original ao que a vítima pretende aceder. Consiste normalmente uma página de início de sessão que requer a inserção de credenciais que são depois armazenadas pelos atacantes e o utilizador redirigido para o sítio original. Pode também incluir o redireccionamento de uma cópia de email legítimo (previamente recebido pelos atacantes) ou falsificado para a vítima, no qual a ligação para um portal é falsificada para que pareça originar-se num utilizador ou instituição legítimos.[9]

Whaling[editar | editar código-fonte]

Whaling — em referência à pesca da baleia, pelo acto de apanhar um peixe grande — envolve a procura de dados e informação relativas a altos cargos ou personalidades de relevância.[10] Neste caso, os ataques estão normalmente disfarçados de notificações judiciais, queixas de clientes ou outras questões empresariais.

Detalhes[editar | editar código-fonte]

Ataque ao Servidor DNS[editar | editar código-fonte]

Ataque baseado na técnica "DNS cache poisoning", ou envenenamento de cache DNS, que consiste em corromper o DNS (Sistema de nomes de domínio) em uma rede de computadores, fazendo com que a URL (localizador uniforme de recursos ou endereço www) de um site passe a apontar para um servidor diferente do original. Ao digitar a URL(endereço) do site que deseja acessar, um banco por exemplo, o servidor DNS converte o endereço em um número IP, correspondente ao do servidor do banco. Se o servidor DNS estiver vulnerável a um ataque de Pharming, o endereço poderá apontar para uma página falsa hospedada em outro servidor com outro endereço IP, que esteja sob controle de um golpista.

URLs Falsas[editar | editar código-fonte]

Uma outra maneira é a criação de URLs extensas que dificultam a identificação por parte do usuário. Um exemplo simples pode ser: secure.nomedoseubanco.com.br/internetbanking/eud=651656JFYDHJJUHGRedirectto:maisalgumacoisa.dominiofalso.com Onde o usuário pode diretamente olhar o início da URL e acreditar que está na região segura do site do seu banco, enquanto que na verdade está em um subdomínio do website dominiofalso.com.

Formulários HTML Falsos em E-mails[editar | editar código-fonte]

Outra técnica menos frequente é a utilização de formulários em emails com formatação HTML. Com isso, um usuário incauto pode diretamente no seu email incluir as informações requeridas pelo atacante, e com isso, esse não precisa se preocupar com a clonagem da interface do banco.

As buscas por essas informações sensíveis crescem com o aumento da possibilidade de realizar as mais diversas tarefas no conforto do lar. Isso pode trazer a uma grande massa de internautas uma ilusória sensação de segurança. Diz-se ilusória pois, uma vez que a internet é uma tendência globalizada, não menos do que esperada é a presença de criminosos.

Aproveitando-se da desatenção de certos usuários, indivíduos maliciosos desenvolvem e põem em prática métodos cada vez mais sofisticados para cometer ações ilícitas, entre eles, a oferenda de bens, montantes exorbitantes e negócios potencialmente irrecusáveis. Alguns destes métodos, contudo, se destacam por sua eficácia e rendimento, e dentre estes, podemos citar, certamente, o ataque de Phishing Scam.

Um breve histórico[editar | editar código-fonte]

O termo Phishing é relativamente novo, e sua criação data de meados de 1996, por crackers que praticavam roubo de contas da America Online (AOL), fraudando senhas de usuários. Sua primeira menção pública ocorreu no grupo blackhat alt.2600, em 28 de Janeiro do mesmo ano de sua criação, feita pelo usuário mk590, que dizia:

"O que acontece é que antigamente, podia-se fazer uma conta falsa na AOL, uma vez que se tivesse um gerador de cartões de crédito. Porém, a AOL foi esperta. Agora, após digitar-se os dados do cartão, é feita uma verificação com o respectivo banco. Alguém mais conhece outra maneira de adquirir uma conta que não seja através de Phishing?"

Apenas um ano depois, em 1997, o termo foi citado na mídia. Neste mesmo ano, os phishs (contas hackeadas) já eram utilizados como moeda no mundo hacker, e podia-se facilmente trocar 10 phishs da AOL por uma parte de um software malicioso. O Phishing, antigamente utilizado para roubar contas de usuários da America Online, hoje tem aplicações muito maiores e obscuras, como por exemplo, o roubo de dinheiro de contas bancárias.

Tipos de mensagens eletrônicas utilizadas[editar | editar código-fonte]

Email[editar | editar código-fonte]

Um estelionatário envia e-mails falsos forjando a identidade de entidades populares consideradas confiáveis, tais como sites de entretenimento, bancos, empresas de cartão de crédito, lojas, órgãos governamentais etc.[11] Geralmente, as mensagens são enviadas para milhões de endereços de e-mail que foram previamente coletados na Internet. A entrega dos e-mails, normalmente, é feita por computadores que estão sob o controle de pessoas mal intencionadas e incluem principalmente servidores de e-mail mal configurados e computadores com conexão banda larga infectados com cavalos de tróia propositadamente desenvolvidos para permitir o envio de e-mail em massa.

Spear Phishing[editar | editar código-fonte]

Spear Phishing traduz-se como um ataque de Phishing altamente localizado. É um tipo de ataque que exige toda uma etapa de minuciosa pesquisa por parte dos atacantes, além de muita paciência. Correlacionando ao nome “Phishing”, sua denominação pode ser entendida como algo semelhante à “pesca com arpão”. Neste tipo de ataque, o atacante estabelece seu alvo (geralmente uma empresa/departamento desta, podendo incluir ainda universidades, instituições governamentais, dentre outras). Logo em seguida, inicia a etapa na qual o phisher sonda informações básicas de diferentes funcionários. Aqui, explora-se uma grande falha humana: A incapacidade de avaliar corretamente a sensibilidade de uma informação. Enquanto sozinha, esta informação pode não significar muito, mas em conjunto, se inteligentemente utilizada pelo atacante, pode garantir-lhe conhecimento suficiente para assimilar a identidade de alguém com mais poder na empresa.[12]

Fraude 419[editar | editar código-fonte]

Criada por estudantes universitários em meados de 1980, quando a economia petrolífera da Nigéria estava em crise, para manipular indivíduos interessados no petróleo nigeriano. Eram inicialmente distribuídos por cartas ou fax, mas com a popularização do e-mail, este passou a ser o meio utilizado. Na verdade, há registros de que a fraude já existia previamente, datando de antes de 1588, quando redigiam-se cartas supostamente provenientes de prisioneiros de castelos espanhóis, que prometiam compartilhar um tesouro com aquele que os enviasse dinheiro para subornar os guardas. Seu nome vem da seção 419 do código penal nigeriano, que tipifica atividades fraudulentas.

O e-mail é proveniente de indivíduos que dizem ser do Banco Central da Nigéria ou do Governo deste mesmo país. Porém a fraude 419 não se resume a meramente um único e-mail. Muito além disso, é um verdadeiro jogo, no qual o risco e as regras dependem das capacidades de persuasão do atacante. Vale frisar que neste caso, “atacante” pode ser lido como uma verdadeira equipe de criminosos profissionais, que articula minuciosamente seus planos.

iPhishing[editar | editar código-fonte]

iPhishing é a vertente que visa explorar vulnerabilidades consequentes do avanço excessivamente rápido da tecnologia, que acaba por deixar aspectos de segurança em segundo plano, dando lugar à funcionalidade e ao design. O ataque pode ocorrer de algumas maneiras, mas podemos citar o envenenamento de DNS para exemplificar.

Um servidor DNS, ou Domain Name System (Sistema de Nomes e Domínios) tem como função traduzir nomes para IP's e IP's para nomes. Um envenenamento de DNS faz com que usuários sejam redirecionados para sites diferentes daqueles que desejavam alcançar. Devido a limitação de espaço na tela de portáteis como o iPhone, os usuários podem não conseguir ver toda a URL das páginas que visitam, tornando-se assim muito mais vulneráveis.

Vishing Scam[editar | editar código-fonte]

A VoIP (Voice over IP), tecnologia desenvolvida para possibilitar comunicação telefônica através da rede baseando-se no Protocolo de Internet (IP), não se tornou uma exceção a regra. Uma vez que apresenta diversas vantagens sobre a telefonia convencional, como o fato de ser uma tecnologia de baixo custo, e, acrescentando-se ainda a possibilidade de mascarar o número de telefone que será identificado pelo receptor, a VoIP configura-se como uma oportunidade para indivíduos, que, percebendo-a, criaram uma nova vertente baseada no Phishing Scam tradicional: O Vishing Scam.

Ataques de Vishing Scam são geralmente propagados através de mensagens de texto (SMS), e-mails ou até mesmo mensagens de voz, e seu procedimento assemelha-se em muito ao do Phishing Scam tradicional. Um estelionatário envia mensagens SMS falsas fingindo ser uma instituição de confiança. Estas mensagens pedem normalmente respostas com dados como cartão de crédito e senhas, ou até mesmo que a pessoa retorne a ligação para um certo número e fale com um atendente golpista. As justificativas dadas para se efetuar a ligação variam, mas dentre as mais comuns delas podemos citar, por exemplo, “a ocorrência de possíveis atividades fraudulentas na conta bancária que levaram à suspensão da mesma”.

Por Mensageiros Instantâneos[editar | editar código-fonte]

Como uma das principais formas de comunicação no mundo atual, os mensageiros instantâneos estão longe de estarem isentos dos perigos do Phishing. Na verdade, pode-se dizer que é um dos terrenos mais férteis para a proliferação deste ataque, devido a alguns fatores, a serem aqui citados.

O primeiro destes fatores é o tipo de comunicação que geralmente se estabelece em mensageiros instantâneos. É uma comunicação mais informal, entre indivíduos que geralmente se conhecem ou são até mesmo grandes amigos. Todo este ambiente “familiar” traz uma maior sensação de segurança, fazendo com que os cuidados sejam reduzidos, até porque em muitas vezes o remetente da mensagem é um "amigo de confiança" que foi, contudo, infectado por um malware que está distribuindo a mensagem através de sua rede de contatos.

Em segundo lugar, podemos citar a velocidade (em tempo real) e grande quantidade de conversas estabelecidas simultaneamente. Estando o usuário perdido em tantas conversas, nas quais a troca de URL's é comum e constante, uma URL maliciosa tem maiores chances de passar despercebida.

Além disso, a maior percentagem de usuários deste tipo de software engloba leigos em geral, crianças e adolescentes, que muitas vezes não possuem a capacidade de discernir entre mensagens autênticas e maliciosas, acabando por acessar portais maliciosos e/ou efetuar o download de malwares sem ter notícia de tal. Este fato agrava-se caso o computador seja compartilhado com outros que possam vir a efetuar possíveis transações bancárias (ou ações de importância equivalente) nesta mesma máquina, uma vez que pode estar infectada por keyloggers.

Fatores humanos somam-se a periculosidade do ataque de Phishing Scam, tornando este vetor possivelmente mais ameaçador que e-mails.

Sites de Relacionamento[editar | editar código-fonte]

Assim como no caso dos mensageiros instantâneos, os sites de relacionamento são, por assim dizer, ambientes virtuais mais descontraídos que, por exemplo, uma caixa de e-mails, e novamente tem-se uma redução na cautela. Não assemelha-se apenas neste ponto: Além disto, na maior parte das vezes o remetente da mensagem é algum amigo de confiança, possivelmente infectado por um malware.

Por se tratar de uma rede onde circulam fotografias, informações da vida alheia, e onde estabelecem-se paralelos com o mundo real, são estes os pontos que os phishers exploram. As possibilidades são inesgotáveis: os atacantes indicam a existência de uma foto da vítima circulando pela rede, de uma comunidade difamando-a, ou de um vídeo que deveria ser assistido, dentre outros.

Os sites de relacionamento são um terreno fértil para phishings, pois nas páginas de recados, além da disseminação de links ser normal, são de acesso público (se não forem definidos como privados), e há a possibilidade de fisgar outros usuários que naveguem pela rede. Devido à desenfreada inclusão digital, temos nestes, ainda, muitos usuários leigos, completamente vulneráveis, passíveis de serem facilmente fraudados.

Atuação dos Phishers[editar | editar código-fonte]

Os Phishers adotam diversos vetores para distribuir seus ataques, indo do massivo envio de mensagens conhecido como Spam, até ataques altamente focalizados, conhecidos como Spear Phishing. De qualquer modo, os ataques têm nível razoavelmente alto de sucesso, ultrapassando os 5%, de acordo com o Anti-Phishing Working Group.

Etapas do processo tradicional[editar | editar código-fonte]

1) Fase de planejamento (Fase inicial): Nesta fase, o atacante escolhe seu alvo, define o objetivo do ataque, de que artimanhas vai se valer e o método a utilizar.

2) Fase de preparação: Nesta fase, elabora-se todo o material a ser utilizado, como e-mails, websites falsos, dentre outros. Obtém-se informações sobre o alvo, prepara toda a parte eletrônica a ser utilizada no ataque e, no caso de atacantes mais experientes, eleva seu nível de ocultação.

3) Fase de ataque: Na fase de ataque, o atacante utiliza a via pela qual optou na fase de planejamento. O ataque pode ocorrer:

  • Via e-mail;
  • Via website;
  • Via mensageiros instantâneos;
  • Via VoIP;
  • Via malware;

4) Fase de coleta: Nesta fase, ocorre a coleta dos dados obtidos com o ataque. Dados inseridos em páginas web previamente preparadas para o ataque, em respostas das mensagens disparadas ou capturadas por malwares.

5) Fase da fraude: Fase onde ocorre a fraude propriamente dita. Nesta fase, há o roubo de dinheiro, de informações sensíveis, apropriação da identidade alheia para cometer outros delitos,vendê-las a quem interesse ou utilizar em um segundo ataque em busca do objetivo definido na fase inicial.

6) Fase pós-ataque: Nesta fase ocorre o desligamento das máquinas utilizadas, e a destruição das evidências. Há ainda a avaliação da efetividade e possivelmente lavagem do dinheiro adquirido (no caso de tê-lo sido).

Tipos de Furtos[editar | editar código-fonte]

Furto de identidade[editar | editar código-fonte]

Uma técnica popular é o furto de identidade via e-mail. Estelionatários enviam e-mails tentando persuadir os receptores a fornecer dados pessoais sensíveis, tais como nome completo, endereço, nome da mãe, número da segurança social, cartões de crédito, números de conta bancária, entre outros. Se captados, esses dados podem ser usados para obter vantagens financeiras ilícitas.

A identidade usada nessas mensagens, geralmente, é de órgãos governamentais, bancos e empresas de cartão de crédito. No corpo da mensagem, normalmente, existem ligações que apontam para sites falsos, geralmente muito parecidos com os sites verdadeiros, onde existem formulários que a vítima deve preencher com as informações solicitadas. O conteúdo preenchido no formulário é enviado ao estelionatário.

Furto de informações bancárias[editar | editar código-fonte]

A forma de persuasão é semelhante à do furto de identidade, porém a mensagem recebida contém ligações que apontam pra sítios que contém programas de computador que, se instalados, podem permitir a captura de informações, principalmente números de conta e senhas bancárias. A instalação desses programas é, na maioria absoluta dos casos, feita manualmente pelo usuário. Tecnicamente, pode existir a possibilidade da instalação automática desses programas apenas pela leitura da mensagem, mas isso depende de uma combinação de muitos fatores, que raramente acontece.

No Brasil, o phishing via e-mail não vem apenas com o nome de entidades famosas. São usados diversos tipos de assuntos com o intuito de atrair a curiosidade e fazer com que o receptor da mensagem clique na ligação contida junto ao corpo do e-mail. Na figura ao lado uma suposta admiradora secreta envia supostas fotos suas. Na verdade, a ligação não contém fotos, mas sim um arquivo executável, que ao ser baixado e executado instala um cavalo de tróia (trojan) bancário no computador do usuário.

Outro tema muito comum são os cartões virtuais. Eles são um bom chamariz, visto que é comum as pessoas trocarem cartões virtuais via e-mail.Os supostos cartões virtuais, normalmente, têm a sua identidade associada a de algum sítio popular de cartões virtuais. Isso ajuda a tentativa de legitimar o golpe e tenta dar mais credibilidade à farsa. A mensagem tem o mesmo formato e, geralmente, utiliza as imagens originais dos sítios de cartões virtuais. Um detalhe em que o usuário deve prestar a atenção são os erros de gramática que essas mensagens geralmente apresentam.

Outro detalhe é que ao clicar em ligações contidas nessas mensagens quase sempre é aberta uma janela para download de arquivo. Nenhum site de cartões requer que o usuário baixe qualquer arquivo.

Ver também[editar | editar código-fonte]

Referências

  1. Ramzan, Zulfikar (2010). «Phishing attacks and countermeasures». In: Stamp, Mark & Stavroulakis, Peter. Handbook of Information and Communication Security. [S.l.]: Springer. ISBN 9783642041174 
  2. Van der Merwe, A J, Loock, M, Dabrowski, M. (2005), Characteristics and Responsibilities involved in a Phishing Attack, Winter International Symposium on Information and Communication Technologies, Cape Town, January 2005.
  3. info@biharprabha.com, Bihar Reporter :. «20% Indians are victims of Online phishing attacks: Microsoft». The Biharprabha News. Consultado em 28 de fevereiro de 2017 
  4. Center, SANS Internet Storm. «InfoSec Handlers Diary Blog - Phishing and Spamming via IM (SPIM)». SANS Internet Storm Center (em inglês). Consultado em 28 de fevereiro de 2017 
  5. Center, SANS Internet Storm. «InfoSec Handlers Diary Blog - Phishing and Spamming via IM (SPIM)». SANS Internet Storm Center (em inglês). Consultado em 28 de fevereiro de 2017 
  6. Jøsang, Audun; et al. (2007). «Security Usability Principles for Vulnerability Analysis and Risk Assessment.» (PDF). Proceedings of the Annual Computer Security Applications Conference 2007 (ACSAC'07) 
  7. «Spear Phishing». FBI (em inglês) 
  8. Stephenson, Debbie (30 de maio de 2013). «Spear Phishing: Who's Getting Caught? - The DealRoom». The DealRoom (em inglês) 
  9. «Phishing and Social Engineering Techniques». InfoSec Resources (em inglês). 18 de abril de 2013 
  10. «Fake subpoenas harpoon 2,100 corporate fat cats». The Register. 17 de abril de 2008. Cópia arquivada em 31 de janeiro de 2011 
  11. Cleber K., Olivo, Altair O., Santin, Luiz S., Oliveira (2011). «Obtaining the Threat Model for E-mail Phishing» (PDF). Applied Soft Computing. Cópia arquivada (PDF) em 8 de julho de 2011 
  12. «O que é spear phishing?». brazil.kaspersky.com. Consultado em 6 de janeiro de 2017 

Ligações internas[editar | editar código-fonte]