O phishing é um engano que se faz passar por uma pessoa, um serviço ou um fornecedor de confiança, por correio eletrónico, mensagem, chamada, código QR ou site falso, para que a vítima entregue credenciais, aprove um acesso, faça um pagamento ou abra conteúdo malicioso. É engenharia social: aproveita a confiança e a pressa das pessoas, não uma falha do software.
Como funciona
O atacante escolhe um isco credível: uma fatura, uma encomenda pendente ou um pedido urgente da administração. Pode ser um envio em massa ou um ataque dirigido (spear phishing) com dados reais da empresa ou da pessoa.
O objetivo final costuma ser roubar credenciais com uma página de início de sessão falsa, instalar código malicioso (incluindo ransomware) ou provocar uma transferência ou uma alteração de dados bancários. O NCSC, o organismo de cibersegurança do Reino Unido, propõe quatro camadas: dificultar que o atacante chegue aos utilizadores (por exemplo, com DMARC, SPF e DKIM, para tornar mais difícil a falsificação do seu domínio), ajudar a identificar e a comunicar mensagens suspeitas, proteger a organização das que passem e responder com rapidez.
Exemplo
Exemplo ilustrativo, não um caso real. Uma pessoa da área administrativa recebe uma mensagem de correio eletrónico que parece de um fornecedor habitual, com uma fatura corrigida e uma ligação para um portal. O portal copia a página de início de sessão do Microsoft 365 e a pessoa escreve o nome de utilizador e a palavra-passe.
Se a conta não tiver um segundo fator, o atacante entra, cria uma regra de reencaminhamento na caixa de correio e prepara uma alteração de conta bancária. A reação útil é rápida: a pessoa avisa pelo canal combinado, a equipa de TI repõe a palavra-passe, termina as sessões abertas e verifica as regras da caixa de correio, e qualquer alteração de dados bancários é confirmada por chamada para um número já conhecido, nunca o que consta da mensagem.
Limites
Nem os filtros nem a formação detetam todas as tentativas. Segundo o NCSC, nenhum pacote de formação, simulações incluídas, ensina a reconhecer qualquer phishing, e exigir que cada pessoa analise a fundo cada mensagem é irrealista, porque responder a mensagens e abrir ligações faz parte do trabalho.
As simulações podem corroer a confiança e criar risco jurídico: convém combiná-las com os recursos humanos, não punir os cliques e medir também quantas pessoas comunicam. O segundo fator também não é uma garantia: os códigos por SMS podem ser roubados com phishing e as aprovações push, por insistência. As chaves FIDO2 resistem melhor, e a correspondência de números nas aprovações é uma melhoria sensata enquanto não for possível usá-las.
Quando chamar um especialista
Peça ajuda se alguém introduziu credenciais numa página duvidosa, se suspeita de que uma conta está controlada por outra pessoa, se lhe pediram uma alteração de dados bancários que não consegue confirmar, se os seus clientes recebem mensagens falsas em seu nome ou se não existe um canal simples para comunicar mensagens suspeitas.
Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: revemos a proteção da identidade e do correio eletrónico, os controlos em falta e o que a equipa deve saber. Consulte o nosso serviço de cibersegurança, o guia do plano de segurança informática ou conte-nos o seu caso.
Saber mais
Termos relacionados do glossário: MFA, ransomware, EDR e Zero Trust.
Fontes oficiais (em inglês): as orientações do NCSC Phishing attacks: defending your organisation, pensadas para organizações médias ou grandes (para as pequenas remete para o Cyber Action Toolkit), e a ficha da CISA Implementing Phishing-Resistant MFA.