O cenário virtual, palco para conexões e facilidades, também se torna o terreno propício para ameaças cibernéticas, e o phishing emerge como uma das principais preocupações no universo da segurança digital.
Phishing, categorizado como crime cibernético, lança mão de artimanhas virtuais para explorar usuários incautos na internet. No Brasil, a Lei dos Crimes Cibernéticos, promulgada em 2012, aborda infrações relacionadas aos meios eletrônicos, englobando casos de phishing.
Assim como no mundo físico, o ambiente online é permeado por práticas criminosas.
Quem nunca se deparou com um e-mail de phishing? Se a resposta é incerta, ao longo deste texto, os indícios dessa ameaça tornar-se-ão mais claros.
O phishing consiste em um crime virtual em que um fraudador, fazendo-se passar por uma entidade legítima, busca persuadir vítimas a compartilhar suas informações pessoais. Comumente, os hackers recorrem a e-mails, chamadas telefônicas ou mensagens de texto, valendo-se de táticas de comunicação e identidades visuais que se assemelham a empresas reconhecíveis.
A origem do termo está na palavra em inglês “fishing” (pescaria), ilustrando a prática de “pescar” informações e dados secretos dos usuários por meio de informações falsas ou dados atrativos, mas não reais.
No phishing, pessoas comuns são contatadas de maneira aparentemente genuína, seja por e-mail, telefone ou mensagem de texto, com o objetivo de induzi-las a fornecer informações confidenciais, como dados bancários, senhas e outros detalhes pessoais. Ao compartilhar essas informações, as vítimas ficam sujeitas a violações de conta, crimes de falsa identidade ou transações financeiras não autorizadas.
Essas ameaças podem se manifestar por meio de e-mails, SMS, ligações telefônicas, sites falsos e pop-ups inseridos em páginas desprotegidas, todos com abordagens atrativas. Os conteúdos podem se fazer passar por bancos, governos, instituições financeiras como o PayPal, ou até mesmo serviços postais como os Correios, solicitando ações específicas, como abrir links, fazer ligações ou instalar/atualizar determinado software.
Os criminosos utilizam diversas estratégias para atacar os usuários e obter acesso a informações sigilosas:
Scam: Golpes de phishing scam visam induzir vítimas a fornecer informações pessoais, como números de contas bancárias, senhas e números de cartão de crédito, por meio de links ou arquivos contaminados.
Blind Phishing: Enviado em massa via e-mail, sem muitas estratégias, contando apenas com a “sorte” de que algum usuário caia na armadilha.
Spear Phishing: Ataque direcionado a um grupo específico, seja funcionários do governo, clientes de uma empresa específica ou uma pessoa específica, visando obter informações sigilosas.
Clone Phishing: Clona um site legítimo para atrair usuários, levando-os a inserir informações em um formulário malicioso, muitas vezes redirecionando-os para o site original sem perceberem.
Whaling: Ataque direcionado a executivos de alto nível ou personalidades relevantes, disfarçado como comunicações oficiais da empresa para a qual trabalham.
Vishing: Utiliza mecanismos de voz para aplicar golpes, muitas vezes acompanhado de SMS, alertando sobre bloqueio de cartão, por exemplo, e solicitando uma ligação para liberação.
Pharming: Envenenamento do DNS, atingindo usuários em larga escala ao redirecioná-los para páginas falsas ao digitar URLs.
Smishing: Phishing realizado por meio de SMS, usando mensagens constrangedoras ou emocionais para induzir ações imediatas.
Redes Sociais: As redes sociais não escapam das investidas do phishing, representando uma fatia significativa desses ataques. Campanhas irresistíveis, suporte fictício e mensagens intrigantes são artifícios frequentemente utilizados por criminosos virtuais.
Como reconhecer o phishing:
Ofertas lucrativas: Desconfie de ofertas extremamente lucrativas e inusitadas. Ofertas que parecem boas demais para ser verdade geralmente são iscas para atrair cliques em links maliciosos.
Loteria premiada: Mensagens que falam sobre ganhos improváveis, como prêmios de loteria, viagens ou gadgets, merecem suspeição. Verificar campanhas e sorteios diretamente nos sites dos anunciantes é uma prática mais segura.
Urgência excessiva: A pressa imposta por criminosos, solicitando ação imediata para não perder uma oportunidade única, é um sinal de alerta. Empresas sérias não impõem prazos curtíssimos e abordagens ameaçadoras.
Ameaças: Frases ameaçadoras, como a suspensão de serviços, bloqueio de conta ou intimidações, são táticas comuns de phishing. Verificar diretamente com a instituição antes de tomar qualquer medida é a abordagem segura.
Links externos: Não clique em links de e-mails não solicitados. Antes de clicar, passe o mouse sobre o link para verificar a URL. Os criminosos muitas vezes utilizam domínios semelhantes aos originais.
Arquivos maliciosos: Anexos de e-mails de remetentes desconhecidos, especialmente com documentos como extratos, comprovantes ou propostas, podem conter vírus ou links maliciosos.
Medidas Práticas para proteção contra-ataques de phishing:
Proteger senhas: Nunca revele suas senhas a terceiros. Instituições sérias não solicitam senhas por telefone ou e-mail.
Confirmação de domunicações: Ao receber mensagens suspeitas, entre em contato com a instituição por meio de canais oficiais para confirmar a legitimidade.
Verificação de endereços de sites: Confira a URL dos sites antes de clicar em links. Erros de grafia ou domínios diferentes podem denunciar tentativas de phishing.
Manter sistemas atualizados: Mantenha seu sistema operacional, navegador e software antivírus sempre atualizados para garantir a máxima segurança.
O phishing, embora persistente, não é invencível. A prevenção é a chave, e a conscientização sobre essas práticas é essencial para evitar cair em armadilhas virtuais. Ao educar usuários e reforçar medidas básicas, podemos construir uma comunidade online mais segura. Afinal, com mais de 4 bilhões de pessoas no mundo ainda sem acesso à internet, é fundamental proteger aqueles que estão apenas começando a explorar o vasto universo digital.
