1) Phishing é uma técnica de fraude online onde criminosos enviam mensagens falsas para roubar dados pessoais e financeiros. 2) Ataques de phishing se disfarçam de empresas e indivíduos legítimos para "pescar" vítimas. 3) Phishing abre porta para outros ataques cibernéticos que podem causar danos financeiros e de reputação para empresas.

1. phishingebook

2. intro
impactos
O termo “Phishing” vem da combinação dos termos em inglês “fishing” que sig-
nifica pescar, com “phreak” frequentemente usado para nomear os primeiros
hackers de telefonia.
Phishing em si é uma técnica de fraude online que cibercriminosos usam com
o objetivo de ter acesso às redes e roubar dados e informações sigilosas, como
senhas ou números de cartões de crédito, por exemplo, através do envio de men-
sagens falsas ou direcionando você para websites infectados.
Os ataques de Phishing se caracterizam por aparentarem terem sido enviados
por indivíduos ou empresas legítimas. Nesse tipo de ataque, as pessoas são
“fisgadas” em golpes que são executados das mais variadas maneiras, com diver-
sos níveis de sofisticação tecnológica e motivados por diferentes razões, como
roubo de identidade, informações confidenciais ou dinheiro.
O Phishing e suas variações (que iremos falar mais a frente) não são uma ame-
aça em si, e sim vetores para a exploração de vulnerabilidades. É como se o
Phishing fosse um taxi que leva a ameaça de um ponto A para o ponto B, onde
está a vítima. Ou seja, o e-mail malicioso só carrega um arquivo ou link, a ameaça
em si que pode ser um Malware ou Ransomware, por exemplo.
O Phishing em si abre porta para diversos tipos de ataque, que independente de
suas finalidades, podendo possuir impactos concretos, como perda financeira e
comprometimento de infraestrutura, como também danos intangíveis, como cre-
dibilidade e reputação de marca.
Por exemplo, um e-commerce que fica fora do ar durante a Black Friday, além do
impacto financeiro pela paralisação das vendas, ainda há danos a sua reputação
em relação a confiabilidade do serviço e, em casos de vazamento de dados, de
confidencialidade, como as informações dos usuários são armazenadas.
O que esse exemplo tem a ver com Phising? Segundo IBM’s X-Force 2016 Cyber
Security Intelligence Index, 60% dos ataques começaram por um insider, ou seja,
um usuário da própria empresa. Desses insiders, 11% eram ladrões de creden-
ciais, ou seja, alguém de fora conseguiu uma credencial legítima e está atuando
como insider. 21% eram maliciosos, fizeram com intenção de causar algum tipo
de dano. 68% eram usuários negligentes, não sabiam que estavam clicando em
um e-mail Phishing e passando as suas credenciais para um cibercriminoso em
um site falso ou então baixando um arquivo contaminado com um malware.
Segundo o Gartner Group, 70% dos incidentes de segurança que realmente cau-
sam prejuízos financeiros para as empresas, envolvem insiders. As empresas
estão sendo invadidas por ataques simples e nada sofisticados. Os cibercri-
minosos tem utilizado técnicas de Phishing e Engenharia Social, por exemplo,
para persuadir as pessoas e conseguirem acesso às redes ou às informações.
Ataques que poderiam ser totalmente evitados caso os usuários tivessem sido
conscientizados.
Os impactos decorrentes do Phishing para uma organização podem ser categori-
zado em três principais fins:

3. Alguns atacantes utilizam o Phishing com
o objetivo de controlar de forma coordena-
da um grande número de máquinas. Sen-
do assim, a medida que o usuário instala
o malware em seu computador, a máquina
passa a realizar milhões de requisições por
hora ao site alvo, que por não ser capaz de
suportar a demanda, deixa de responder.
No caso de uma empresa, especificamen-
te, caso o site pare de responder, essa em-
presa poderá perder negócios, se for uma
empresa de vendas online por exemplo,
produtividade, por ter seu sistema fora de
funcionamento, e ainda terá problemas
com a sua reputação.
Existe um tipo de malware específico que criptografa os dados da má-
quina assim que é instalado no computador ou no smartphone, impe-
dindo que você tenha acesso às suas informações. Sendo assim, o
atacante pede um resgate em dinheiro para descriptografar a máqui-
na. Esse tipo de malware é conhecido como Ransomware.
As técnicas de Phishing também podem ser usadas como uma ferramenta bas-
tante poderosa para espionar inimigos, ou estabelecer vigilância em potenciais
inimigos.
Tendo acesso à rede de uma empresa, por exemplo, um concorrente poderá ter
vantagens competitivas significativas, à medida que o mesmo tiver acesso aos
seus dados e informações sigilosas. O que comprometerá o seu negócio, já que o
seu concorrente poderá utilizar suas estratégias em sua própria empresa.
SABOTAGEM
EXTORSÃO
ESPIONAGEM
01
02
03
diferença
entre
phishing &
spam
Você pode estar se perguntando “Phishing e SPAM não são a mesma coisa?”. Por
mais que ambos sejam e-mais indesejados e possam vir de uma base de e-mails
compradas, Phishing e SPAM são conceitos um pouco diferentes, pricipalmente
no que tange a respeito de funcionalidade e impacto.
A prática de SPAM por e-mail está associada ao disparo em massa, através de
plataformas especializadas, e para listas de endereços sem permissão de envio
— quase sempre não segmentadas.
O termo Spam também pode ser relacionado à computadores infectados por có-
digos maliciosos — que se apropriam de seus endereços e disparam mensagens
também infectadas para estas bases.
O que normalmente acontece são empresas querendo divulgar mensagens, em
grande parte comerciais (propagandas), ao maior número possível de destinatá-
rios. E é referenciado como UCE (Unsolicited Commercial E-mail).

4. Para isso, adquirem (compram) listas de e-mails — ato considerado ilegal — ba-
ses sem nenhuma parametrização e, claro, sem autorização prévia para este en-
vio — e disparam a mesma mensagem para toda a lista.
E mesmo quando as listas
são segmentadas, o fato de
disparar em massa para en-
dereços que não autorizaram
este envio configura a prática
de SPAM.
Já Phishing é um tipo de golpe
que usa mecanismos tecnoló-
gicos, geralmente baseados
em mensagens, para persua-
dir e enganar as pessoas, para
tentar obter dados pessoais e
financeiros de um usuário.
A grande diferença entre am-
bos é que a prática de SPAM
não solicita informações
como senhas ou dados sigilosos, enquanto a de phishing não só solicita dados
pessoais confidenciais como senhas e números de cartões de segurança, como
também pede que o usuário instale atualizações ou faça downloads de arquivos.
variações de
phishing
O Phishing tradicional, que estamos abordando até agora, acontece quando o
atacante cria um e-mail e envia para dez mil pessoas, por exemplo. Neste caso,
qualquer número de usuários infectados já representa uma vantagem, pois o
custo de envio dessas mensagens é muito baixo.
Entretanto, existem outras como o Spear Phising, o Smshing e o Phishing em
redes sociais:
Segundo o Global Threat Intelligence Report de 2016 da Dimension Data, Spear
Phishing teve um salto de 2% em 2014 para 17% em 2015 nas categorias de inci-
dentes de segurança identificados do ano.
Segundo o relatório ISTR (Internet Security Threat Report) 2016 da Symantec, em
2015 foram criados incríveis 430,5 milhões, um aumento de 36% em relação ao
ano anterior . O que significa mais de 1 milhão e 179 mil novos malwares por dia!
Segundo a Symantec, 91% dos ciber ataques começam com um email de Spear
Phishing.
Spear Phishing são mensagens de e-mail, assim como o Phishing, mas dessa vez
parecem vir de uma fonte confiável, ou seja, parece ter sido enviado por um indi-
víduo ou empresa que você conhece, e mantém contato.
Esses ataques são muito utilizados para obtenção de informações importantes,
como logins, senhas dados bancários, informações corporativas (e indiretamen-
te, dinheiro). Se um funcionário for fisgado, o hacker pode ter acesso ao core de
informações da organização.
É, portanto, uma variante mais eficaz, caracterizada por ataques direcionados à
alvos específicos dentro de organizações específicas, onde os atacantes enviam
mensagens personalizadas aumentando o êxito da fraude, e por isso conta com
engenharia social para que a comunicação pareça convincente.
SPEAR PHISHING

5. É semelhante ao phishing, uma vez que tem elevado tom de urgência na mensa-
gem. A diferença está justamente na forma como essa mensagem chega até o
usuário. No smishing, diferente do phishing a mensagem chega através de uma
mensagem de texto no telefone celular do usuário, enquanto no phishing a men-
sagem chega via e-mail.
O objetivo é o mesmo, ter acesso às informações pessoais e por isso é solicitado,
por meio da mensagem, que o proprietário do telefone ligue para um determinado
número de telefone ou que se dirija de imediato para um determinado website.
Um caso muito curioso e que atraiu muita atenção, aconteceu em abril desse ano
(2017), e usou como isca a chocolateria Kopenhagen. Ninguém poderia maldar
que existiria segundas intenções por trás de uma mensagem enviada pelo what-
sapp que oferecia um ovo de páscoa grátis para quem respondesse um questio-
nário e enviasse o link para 10 amigos. Até ai, tudo estava bem, entretanto, assim
que o usuário clicava em “resgate” para retirar o prêmio, ele era dirigido a um site
falso onde poderiam acabar instalando aplicativos que roubam dados do celular
ou até mesmo vírus no aparelho.
A fraude teve uma rápida curva de crescimento e em menos de 34 horas já tinha
afetado cerca de 300 mil brasileiros. A Kopenhagen se manifestou esclarecendo
que não estava fazendo nenhuma promoção e orientando os usuários a não clicar
no link.
Existem algumas maneiras para que a identificação de e-mail Phishing seja feita.
As vezes com um pouquinho mais de atenção ao conteúdo da mensagem, você
já é capaz de identificar o ataque. Entretanto, existem outras formas de observar
que algo não está certo.
Sendo assim, usaremos, aqui, um exemplo para ilustrar o cenário.
SMSHING
como
identificar
phishing
Troque a sua senha de acesso
Service Desk <service.desk@prooff.com>
bit.ly/servicedesk-proof
Caro, colaborador.
Sua senha de acesso ao Service Desk acaba de
espirar. Para renovar a sua credencial clique aqui.
Caso a renovação não seja feita, a conta será
suspensa.
Atenciosamente,
Suporte Interno
bit.ly/servicedesk-provof

6. Nesse caso, existem algumas evidências que nos ajudam na identificação do gol-
pe. Logo de início, ao verificar o remetente do e-mail, percebe-se que, o nome
“PROOF” está escrito com duas letras f, o que já é um indício de que este e-mail
não é verídico. Mas sabemos que nem todo mundo confere o remetente, e por
isso aqui vai a segunda evidência.
As empresas costumam usar uma saudação pessoal com seu nome e sobre-
nome. Sendo assim, se o e-mail se direciona a você de forma vaga, como “caro
colaborador”, assim como nesse e-mail, fique atento, pois há grandes chances de
ser um e-mail Phishing!
Além disso, as empresas que utilizam e-mails para se comunicarem com seus
clientes, prestam muita atenção ao conteúdo escrito. Mensagens legítimas ge-
ralmente não contém erros de ortografia. Nesse caso, especificamente, não há
erros gramaticais, mas ler seus e-mails cuidadosamente é uma boa prática que
recomendamos.
Você também deve se atentar para os links existentes no corpo do e-mail, se o
endereço do link parecer estranho, não clique nele. Se você quiser testar o link,
abra uma nova janela e digite o endereço do site diretamente ou utiliza sites espe-
cializados em validar URL’s, como por exemplo o Virus Total. Links suspeitos são
um forte indício de um ataque de Phishing. No exemplo acima, o link é bastante
suspeito e acreditamos que essa seja a maior evidência desse e-mail.
Existem algumas outras evidências que não constam nesse exemplo, mas que
listaremos abaixo, porque acreditamos que fazem parte das boas práticas de uso,
confira:
1. VEJA O ENDEREÇO DE E-MAIL DO REMETENTE
Uma das táticas de phishing favoritas entre cibercriminosos é falsificar o
nome do remetente. Isso é um problema porque muitas caixas de entrada
mostram apenas o nome do remetente, no campo “De:”, e em um primeiro
olhar não suspeitamos de nada. Verifique o endereço real do remetente e se
parecer suspeito, não abra!
8. O E-MAIL POSSUI ANEXOS NÃO SOLICITADOS?
Essa é uma das táticas mais comuns de phishing, e pode indicar o ataque.
Os anexos maliciosos podem conter malware que vai dar acesso ao ha-
cker e é um dos principais vetores de outros ciberataques. Por isso, não
clique em nenhum anexo que você não estava esperando.
3. ERROS ORTOGRÁFICOS
As empresas normalmente usam o e-mail como forma de comunicação e, por
isso, prestam muita atenção nas mensagens enviadas aos clientes. Mensagens
legítimas geralmente não contém grandes erros de ortografia ou gramática. Leia
seus e-mails cuidadosamente.
6. DESCONFIE DE EMAILS COM URGÊNCIA OU
TOM DE AMEAÇA NO ASSUNTO
Provocar uma sensação de urgência ou medo é uma tática de phishing comum.
Tenha cuidado com os e-mails que alegam que sua “conta foi suspensa” ou sua
conta teve uma “tentativa de login não autorizada”.
7. A ASSINATURA PODE DIZER MUITO SOBRE A INTENÇÃO DO EMAIL
A falta de detalhes sobre o remetente ou como você pode entrar em contato com
a empresa diz muito sobre a intenção do e-mail. Empresas legítimas sempre for-
necem detalhes de contato.
5. E-MAIL PEDE INFORMAÇÃO PESSOAL?
Outro indício que o e-mail é, de fato, malicioso. Empresas le-
gítimas e bancos não pedem, sob hipótese alguma, informa-
ções pessoais através de e-mails. Portanto, não as forneça!
4. ANALISE COMO A MENSAGEM SE DIRIGE A VOCÊ
Se o e-mail se direciona a você de forma vaga, como “preza-
do cliente”, fique atento! As empresas costumam usar uma
saudação pessoal com seu nome e sobrenome.
2. PRESTE ATENÇÃO NOS LINKS
Passe o mouse sobre todos os links no corpo do e-mail. Se o endereço do link pa-
recer estranho, não clique nele. Se você quiser testar o link, abra uma nova janela
e digite o endereço do site diretamente. Links suspeitos são um forte indício de
um ataque de phishing.

7. bit.ly/servicedesk-proof
Caro, colaborador.
Sua senha de acesso ao Service Desk acaba de
espirar. Para renovar a sua credencial clique aqui.
Caso a renovação não seja feita, a conta será
suspensa por tempo indeterminado.
Atenciosamente,
Suporte Interno
Troque a sua senha de acesso
Service Desk <service.desk@brazilcenter.com>
bit.ly/servicedesk-proof
Caro, colaborador.
Sua senha de acesso ao Service Desk acaba de
espirar. Para renovar a sua credencial clique aqui.
Caso a renovação não seja feita, a conta será
suspensa por tempo indeterminado.
Atenciosamente,
Suporte Interno
4. ANALISE COMO A MENSAGEM
SE DIRIGE A VOCÊ
7. A ASSINATURA PODE DIZER
MUITO SOBRE A INTENÇÃO
DO EMAIL
1. VEJA O ENDEREÇO DE E-MAIL DO REMETENTE
2. PRESTE ATENÇÃO NOS LINKS
8. O E-MAIL POSSUI ANEXOS NÃO SOLICITADOS?
6. DESCONFIE DE EMAILS COM
URGÊNCIA OU
TOM DE AMEAÇA NO ASSUNTO
4. ANALISE COMO A MENSAGEM
SE DIRIGE A VOCÊ

8. reportando
phishing
Empresas de segurança cibernética e grandes provedores de serviços, investem
cifras cada vez maiores para tentar controlar e criar formas de combate a este
tipo de ameaça. Mas as características virais deste tipo de prática, dentre outros
fatores, tornam cada dia menos possíveis sua eliminação ou mesmo diminuição.
Um dos principais motivos está no comportamento dos usuários de e-mail. Gran-
de parte das invasões acontece com a ajuda do próprio dono do computador (ou
de uma pessoa que o utiliza). Isso porque a invasão ocorre após uma ou várias
ações do usuário, executando arquivos que contém códigos maliciosos, baixados
através de links enviados por e-mails.
Sendo assim, as boas práticas citadas acima ajudam a reduzir o sucesso deste
tipo de e-mails e proteger contra as ameaças que elas podem carregar. Entretan-
to, a melhor maneira de lidar com esse tipo de ameaça, no caso de empresas, é
reportar como Phishing para o departamento da sua empresa responsável pela
segurança da informação.
Para isso, basta marcar como Phishing no seu serviço de e-mail ou anexar o
e-mail com o Phishing e enviar para o administrador de segurança responsável
por esse tipo de serviço, isso garante maior segurança não só para a sua máqui-
na, mas para todas as outras que estejam logadas na mesma rede. Além disso,
ao reportar um Phishing, impede que outras pessoas cliquem no e-mail já que
toda a empresa será avisada caso um Phishing seja detectado.
Entretanto, caso não consiga identificar um Phishing e caia no golpe clicando no
link que contém o malware, é necessário avisar o mais rápido possível para o de-
partamento responsável por questões de segurança da informação.

9. contato@proof.com.br
+55 21 2277.7520
www.proof.com.br
Rua Sete de Setembro, 99 / 14º andar
Rio de Janeiro – RJ – 20050-005