Ataques de engenharia social – Cibersegurança

Em muitas ocasiões, de nada serve contar com as mais recentes medidas de cibersegurança se descurarmos o fator humano. Os ataques de engenharia social são muito comuns por um motivo simples: porque funcionam.

Os ataques de engenharia social consistem em usar técnicas de manipulação psicológica para conseguir que as pessoas forneçam aos cibercriminosos a informação que estes pretendem. Ou até que sejam elas próprias a instalar software malicioso nos seus equipamentos (sem saberem o que estão a instalar, claro).

Em função da estratégia que os cibercriminosos usam, os ataques de engenharia social podem dividir-se em dois tipos:

• Hunting: é utilizada uma única comunicação com a vítima. São campanhas enviadas de forma massiva e sem alvos concretos. Costumam centrar-se em ataques de phishing ou campanhas de distribuição de malware.

• Farming: neste caso, são utilizadas várias comunicações com a vítima. Normalmente têm alvos concretos. É comum em campanhas de sextorsão, fraude do CEO ou de RH.

Fases dos ataques de engenharia social

Habitualmente, este tipo de ataques tem duas fases comuns.

• Recolha de informação. Nesta fase, o cibercriminoso reúne toda a informação que consegue sobre as futuras vítimas. Os seus números de telefone, e-mail, cargos na empresa, etc. Esta fase é realmente fácil e não exige conhecimentos avançados a nenhum cibercriminoso.
• Manipulação. Aqui começa o ataque propriamente dito, e é aqui que reside a chave dos ataques de engenharia social. Consiste em manipular psicologicamente a vítima para alcançar os seus objetivos. É muito frequente que, para isso, se façam passar por outra pessoa ou empresa.

Técnicas usadas nos ataques de engenharia social

São muitas as técnicas que os cibercriminosos podem utilizar para enganar as suas vítimas. A seguir, apresentamos algumas delas.

• Ficheiros anexos

É a técnica que estamos mais habituados a ver: e-mails que nos chegam com ficheiros anexos que, na realidade, são ficheiros maliciosos.

Por vezes são diretamente ficheiros executáveis .exe e, noutras ocasiões, para os camuflar, podem ter nomes terminados em .zip, .jppg, .pdf, .doc, etc.

• Falsificar endereços de e-mail e dados

Aqui, falsifica-se o endereço de e-mail do remetente (email spoofing) para se fazer passar por ele. Também pode acontecer que o endereço de e-mail seja ligeiramente semelhante (cybersquatting); por exemplo, que o remetente seja info@damon4.com em vez de info@daemon4.com.

Estas mesmas técnicas também podem ser usadas para falsificar links no corpo do e-mail.

Graças a isso, a mensagem que as vítimas recebem parece vir de um remetente de confiança.

O e-mail como principal via de entrada

O e-mail costuma ser a via preferida dos cibercriminosos para iniciarem os seus ataques de engenharia social. Embora, em algumas ocasiões, não seja a única via, já que podem recorrer a outras vias, como chamadas telefónicas ou mensagens SMS.

Num artigo anterior, mencionámos um conjunto de chaves para prevenir os ciberataques por e-mail. Segundo alguns dados, até 98% dos ciberataques por e-mail poderiam ser evitados tendo em conta medidas básicas de segurança.

Se tem dúvidas sobre a segurança dos dados da sua empresa e quer implementar ferramentas para os proteger, entre em contacto connosco.