Pressione enter para ver os resultados ou esc para cancelar.

Arquivo de categorias para " Phishing"

VPN corporativa: quais as vantagens e melhores opções

Empresas do mundo todo estão se adaptando para melhorar a qualidade de trabalho de seus colaboradores. Algumas investem em seus escritórios, adquirindo melhores computadores, mesas e cadeiras para deixar o ambiente mais produtivo e receptivo. Outras contratam serviços que ajudam na segurança e produtividade de sua equipe interna. E tem aquelas que estão se aventurando no trabalho remoto.

O trabalho remoto ou home office é uma realidade que as empresas estão encarando por diversos motivos. Seja para diminuir custos com deslocamento dos colaboradores ou evitar gastos com equipamentos no espaço físico interno. Para conseguir contratar um profissional tão desejado, que muitas vezes mora em outro estado ou país. E tem ainda motivos de força maior, como, por exemplo, a pandemia do COVID-19, onde os colaboradores são forçados a trabalhar de casa para evitar o contágio.

Seja qual for o motivo do trabalho a distância, para que as empresas não parem é importante que todas estejam preparadas com ferramentas que possam auxiliar na comunicação, gestão das tarefas, segurança e mobilidade das informações. No artigo Coronavírus: dicas de ferramentas para sua empresa não parar, listamos 15 ferramentas para ajudar no trabalho remoto.

Problemas no trabalho a distância

Conversando com alguns gestores e analistas de TI, percebemos que as principais preocupações em uma estratégia de trabalho a distância são a segurança das informações e acesso aos recursos internos da empresa.

Se o colaborador estiver acessando a internet de casa ou de algum lugar público (aeroporto, restaurante, eventos), sabemos que não há a mesma segurança contra ataques cibernéticos como temos na rede da empresa. Por conta dessa falta de segurança, todos os dados trafegados pelo profissional podem estar sendo espionados ou até mesmo sequestrados em um temido ataque ransomware.

Com a atual pandemia do coronavírus, os ataques de phishing aumentaram. Nenhum evento global escapa de ser usado como tema de campanhas maliciosas de phishing. No caso do coronavírus, o medo e a necessidade contínua de informações sobre o COVID-19 levam os usuários a clicar em links maliciosos ou abrir arquivos infectados.

Apenas no Reino Unido, estima-se que golpes se aproveitando do coronavírus já custaram 800 mil libras às vítimas só no mês de fevereiro.

Outro problema preocupante é o acesso aos recursos interno da empresa. No artigo sobre dicas de ferramentas para o trabalho remoto há uma dica sobre utilizar o Google Drive ou Dropbox para compartilhar nossos documentos na nuvem e todos os funcionários terem acesso. Porém, muitas organizações possuem sistemas ERP, servidores de arquivos e outros sistemas que funcionam somente na infraestrutura interna da empresa. Estas, precisam encontrar uma forma de proporcionar o acesso remoto a esses recursos, de forma segura e controlada, para que os colaboradores em home office consigam trabalhar.

Uma alternativa que muitas empresas estão utilizando para acesso remoto é o RDP (Remote Desktop Protocol), que vincula diretamente os usuários remotos às redes e servidores. Porém, apesar dessa solução ser eficaz nesse objetivo, é alvo constante de tentativas de invasão para implantação de ransomware com bloqueio e sequestro de dados. Já foi emitido um alerta pelo FBI a respeito da grande onda de ataques ao protocolo de área de trabalho remota (RDP). O alerta cita inclusive a existência no mercado negro de comercialização de listas de servidores vulneráveis a invasão, que possuem acesso irrestrito à porta padrão da área de trabalho remota (3389).

Para solucionar esses problemas relacionados à segurança no acesso à internet e o acesso a recursos da rede interna da empresa pelos usuários remotos, muitos gestores e analistas de TI estão adotando as VPNs Corporativas.

Powered by Rock Convert

Vantagens da VPN Corporativa

Não vou explicar o que é e como funciona uma VPN, pois já escrevemos sobre isso em outro artigo. Mas é provável que você já tenha ouvido falar ou até utilizado uma rede virtual privada (VPN) para acessar algum conteúdo disponível apenas em um local do mundo, como um filme ou jogo, ou ainda para ter mais privacidade na navegação web.

E na sua empresa, já foi cogitada a utilização dessa tecnologia como uma ferramenta para melhorar a segurança e a mobilidade dos funcionários?

Vamos agora, ver algumas vantagens da VPN Corporativa no ponto de vista do colaborador que está trabalhando remotamente e também na perspectiva do gestor ou analista de TI. 

Para o colaborador em trabalho remoto

  • Redução de custos com deslocamento
  • Acesso aos arquivos e documentos localizados na infraestrutura local da empresa
  • Acesso ao seu computador da empresa via área de trabalho remota
  • Acesso ao sistema ERP instalado na infraestrutura local da empresa

Para os gestores e analistas de TI

  • Determina quais colaboradores têm permissão de acesso remoto via VPN
  • Sem necessidade de gastos com soluções de custo alto para disponibilizar os recursos na nuvem
  • Aumento da segurança das informações da empresa
  • Aumento da produtividade dos colaboradores em home office
  • Redução de gastos com danos e perdas de um possível vazamento de dados sigilosos

4 opções de VPN Corporativas

1. NordVPN

O NordVPN, que tem sua empresa sediada no Panamá, é um dos nomes mais populares do mercado.

Seu alto número de servidores espalhados pelo mundo e vasta cartilha de funcionalidades se consolida como uma das principais opções para grandes empresas.

Os valores iniciam em US$ 11,95/mês, para um usuário e até 6 dispositivos simultaneamente.

2. ExpressVPN

O ExpressVPN também desponta com uma boa alternativa por causa de seus vários recursos inclusos. É considerada a VPN mais rápida do mercado.

O custo para contratar o ExpressVPN é US$ 12,95/mês, para um usuário e até 5 dispositivos simultaneamente.

3. Perimeter 81

Desenvolvido pela SaferVPN, o Perimeter 81 é fácil de configurar e impressiona pela facilidade de utilização da sua interface.

O plano inicial do Perimeter é US$ 50/mês para até 5 usuários.

4. VPN Empresarial do Lumiun

Outra alternativa é a VPN Empresarial que está integrado ao serviço Lumiun.

Dentre as alternativas anteriores, é a única solução brasileira, com suporte 100% em português e que recebe pagamentos na moeda local (R$).

A VPN Empresarial é uma ótima solução especificamente para pequenas e médias empresas, para que possam oferecer a seus funcionários acesso remoto seguro e monitorar as ameaças à segurança.

Uma grande vantagem da VPN Empresarial do Lumiun em relação a outras soluções de VPN Corporativa é que ela aplica aos colaboradores que estão trabalhando remotamente, em home office, as mesmas regras de proteção e monitoramento do acesso à internet que existem na rede interna da empresa. Com isso se mantém vigente a política de uso da internet existente na organização, com objetivo de melhorar a segurança da informação e a produtividade dos colaboradores.

A VPN Empresarial já está incluso na contratação do plano Enterprise do Lumiun que custa a partir de R$ 140/mês, sem limite de usuários e até 10 equipamentos simultâneos. Na contratação do plano Enterprise, além da VPN Empresarial o cliente também recebe o Lumiun Box com controle completo do acesso à internet na empresa, controle de tráfego, firewall e muitas outras funcionalidades.

Powered by Rock Convert

ATENÇÃO: Devido ao aumento de casos suspeitos do COVID-19, muitas empresas estão mudando sua rotina para diminuir as chances de contágio. Algumas empresas cancelaram o atendimento presencial externo, outras adotaram o home office, outras fazem o rodízio de colaboradores entre os turnos e muitas ainda mantém os padrões normais.

Para ajudar nesse cenário de adaptações, a Lumiun está disponibilizando a VPN Empresarial em todos os planos, para os clientes atuais e novos, sem custo adicional, por 90 dias.

Com isso, nesse momento você pode ter uma VPN corporativa para sua empresa e todos os demais recursos que o Lumiun oferece por R$ 97/mês para até 10 equipamentos simultâneos.

Saiba mais na página especial sobre o COVID-19.

 

Como proteger as pessoas contra phishing e outros golpes

Se você acha que educá-los sobre maneiras de detectar e-mails suspeitos é a única resposta, pense novamente

Há cerca de 15 anos, o phishing passou de um fenômeno praticamente desconhecido para um tópico cotidiano da mídia. Com novos usuários entrando na Internet e a comercialização da Internet começando a sério, surgiram muitas oportunidades para os phishers, que se fazem passar por outra pessoa ou entidade para enganar usuários de email. Com isso, na ausência de proteções tecnológicas, os emails de phishing subitamente apareceram nas caixas postais de todos. Na prática, a única defesa foi o conselho oferecido por especialistas em segurança: cuidado com os emails mal redigidos; e não clique nos links dos emails.

Ao longo dos anos, a sofisticação dos ataques aumentou constantemente, e o número de variedades de emails fraudulentos aumentou rapidamente, com estratégias de ataque como se fazer passar por colegas (o chamado comprometimento de email corporativo) aumentam drasticamente. O aumento da sofisticação resultou em mais lucros, levando mais criminosos a tentarem a sorte nesse tipo de fraude.

Corporações e outras organizações continuam acreditando que podem treinar seus usuários para evitar ataques cibernéticos. O Gartner estima que o mercado de treinamento em conscientização sobre segurança crescerá a uma taxa de crescimento anual composta de 42% até pelo menos 2023, com uma base em 2018 de 451 milhões de dólares.

Mas atualmente a ênfase tradicional na educação do usuário é uma despesa e um incômodo para o usuário final que podem não ser justificáveis pelos resultados. À medida que as técnicas de fraude online proliferam e se tornam mais sofisticadas, torna-se cada vez mais difícil que o usuário detecte as fraudes. O retorno do investimento em qualquer esforço de conscientização de segurança caiu drasticamente.

A conscientização do usuário não deve mais ser a principal defesa contra a engenharia social. De fato, a tecnologia do crime cibernético evoluiu a tal ponto que só pode ser derrotada de forma confiável com a tecnologia oposta. Humanos sem ajuda não são mais capazes de se defender adequadamente contra o cibercrime, assim como lutadores com arcos e flechas não podem derrotar inimigos armados com helicópteros de ataque.

A maioria das defesas é mais adequada para algoritmos do que para usuários finais. Em vez disso, os profissionais de segurança e gerenciamento de riscos devem educar os usuários finais apenas sobre as ameaças que possam razoavelmente detectar, enquanto usam defesas técnicas para a grande maioria dos ataques.

No início, os ataques de phishing “tradicionais” foram relatados com eficiência da ordem de 3%, o que significa que a grande maioria das vítimas pretendidas não caiu nos ataques. Por outro lado, sabe-se que ataques sofisticados, como spear phishing, apresentam eficiência superior a 70%.

Os emails de phishing bem elaborados (assim como outros tipos de emails enganosos) são muito difíceis de serem identificados pelos usuários comuns.

Alguns tipos de ataques são quase impossíveis de identificar, mesmo para usuários altamente técnicos. Considere, por exemplo, um ataque no qual o invasor já teve acesso a uma conta de email legítima (enganando seu proprietário) e use essa conta comprometida para atacar os contatos do usuário.

Outros ataques, como aqueles que usam nomes e endereços forjados para se passar por um colega da vítima, são mais fáceis de identificar, pelo menos em teoria. Inspecionando sempre o endereço de email do remetente e certificando-se de que este é um usuário conhecido, é possível evitar cair em tais ataques. No entanto, o aumento do cuidado tem um preço: para cada etapa extra adicionada às tarefas rotineiras, nossa produtividade naturalmente cai.

Além disso, esses ataques são difíceis de detectar na prática, devido a erros humanos: muitas pessoas, pelo menos ocasionalmente, enviam emails acidentalmente de contas pessoais em vez de contas profissionais e vice-versa, criando uma ambiguidade sobre o que é confiável e o que não é confiável. Como resultado, 1 em cada 10 usuários clica em emails com nomes de exibição fraudados, conforme relatório da empresa de segurança Barracuda.

Dados os orçamentos finitos, tanto em termos financeiros quanto de atenção, as empresas e os indivíduos devem decidir quais batalhas de conscientização escolher, com base no que as pessoas enfrentam e em que tipos de contramedidas automatizadas funcionam bem. Pegue, por exemplo, o conselho “se parece bom demais para ser verdade, provavelmente é” – assim como a variante “se parece ruim demais para ser verdade, provavelmente é”. As pessoas têm emoções e julgamento para avisá-las quando algo cai nessa categoria; mas, até agora, os computadores não têm. Consequentemente, isso é algo digno de uma campanha de conscientização.

Por outro lado, o uso de nomes e endereços forjados é relativamente difícil para pessoas detectarem, mas é fácil para computadores detectarem. Esse é um problema em que as defesas automatizadas são mais adequadas do que os esforços de conscientização.

Tanto para a saúde digital quanto para a saúde humana, a influência relativa de comportamento versus tecnologia é a mesma. Desde a época em que são crianças pequenas, os humanos são ensinados a evitar riscos à sua segurança: não coma sujeira, não atravesse a rua sem olhar para os dois lados, não fume. Mas os grandes ganhos na expectativa de vida alcançados ao longo do último século vieram principalmente dos avanços na tecnologia médica para combater doenças.

A receita também é a mesma: para a saúde humana, cuide-se e evite riscos comuns, mas, se necessário, procure um bom médico e tome corretamente os remédios. Para saúde eletrônica, ensine a seus usuários os cuidados digitais básicos, mas comprometa-se também a estar sempre um passo à frente do inimigo nessa inevitável disputa tecnológica.

para a saúde humana, cuide-se e evite riscos comuns, mas, se necessário, procure um bom médico e tome corretamente os remédios. Para saúde eletrônica, ensine a seus usuários os cuidados digitais básicos, mas comprometa-se também a estar sempre um passo à frente do inimigo nessa inevitável disputa tecnológica

Fonte: https://blogs.scientificamerican.com/observations/how-to-protect-people-against-phishing-and-other-scams/


Tecnologia para segurança e proteção contra phishing

É importante utilizar antivírus no computador. No caso das empresas, é cada vez mais relevante usar também sistemas como firewall e controle do acesso à internet aplicados em toda a rede da empresa, independentemente dos dispositivos conectados na rede interna. Essa medida adiciona uma camada de segurança complementar, que reduz o risco de vazamento e perda de informações da empresa e dados de clientes e colaboradores, evitando grandes transtornos e perdas financeiras. Através de uma solução de controle de acesso à internet, também é possível definir que categoria de site poderá ser acessada por cada usuário, evitando desperdícios com navegação fora do escopo do trabalho e também o acesso a endereços com conteúdo nocivo. Por meio dessa ferramenta, o gestor protege a rede contra os sites utilizados em ataques de phishing, propagação de malware e ransomware.

No vídeo abaixo demonstramos o funcionamento de um phishing recebido por e-mail, que se faz passar pelo serviço de pagamentos PagSeguro com objetivo de roubar dados de acesso da vítima. Primeiro é demonstrado o acesso ao site de phishing sem proteção. Depois é demonstrada uma tentativa de acesso ao site de phishing porém com a proteção do Lumiun ativa na rede da empresa.

Dessa maneira, o vídeo apresenta um comparativo da eficácia de um ataque Phishing em uma rede desprotegida e outra com tecnologia de segurança e proteção.

 

Phishing: como se proteger e não cair no golpe

O volume de ataques do tipo phishing tendo como alvo pessoas e empresas no Brasil continua muito alto: de cada 5 usuários brasileiros, 1 está suscetível a phishing. O Brasil está na 3ª posição do ranking dos países mais atacados por golpes de phishing.

Mapa dos países mais atacados por golpes de phishing no segundo trimestre de 2019

Um relatório publicado pela Cisco em 2019 apontou que 38% dos entrevistados enfrentaram problemas com Phishing no último ano.

Uma história de Phishing

Um usuário habitual do Facebook vê em seu feed um anúncio de uma TV Samsung 4K 58″ por R$ 999,00. Preço imperdível. Saldão da Americanas. Nem cogita avaliar se o anúncio é da Americanas, pois as cores, o logotipo, as escritas, são da Americanas, ele já conhece. E o anúncio está veiculado pelo Facebook. Por isso não há tempo a perder, com esse preço em breve não terá mais estoque. Além de uma TV de 58 polegadas, ele terá também a satisfação de ter feito um excelente negócio. Oportunidade imperdível. Essa análise toda demora menos de 5 segundos.

Exemplo de anúncio phishing da Americanas no Facebook - TV Samsung 4K 58"

O usuário clica no anúncio e agora está no site da Americanas. Novamente, não pensa em avaliar se o site é da Americanas, porque as cores, logotipo, tudo é exatamente como ele já conhece. O endereço desse site é  https://www37.sucessodevendason*.com/tkn3025574/smart-tv-led-58-samsung-58mu6120-ultra-hd-4k[…] mas isso passa batido. Talvez ele viu o cadeado do HTTPS e sentiu segurança. Cego imaginando essa TV em sua casa, conclui a compra, informa o endereço de entrega – a ansiedade já começa a bater – e gera o boleto. No boleto consta o beneficiário “Americanas.com – B2W Companhia Digital”. Show. Então ele abre o aplicativo do banco, paga o boleto e agora surge a preocupação: como controlar a ansiedade até a hora da campainha tocar com a maravilhosa encomenda à sua porta.

Pois bem, essa hora não chegará.

Esse usuário caiu em um golpe de phishing

Infelizmente ele não teve atenção com alguns aspectos:

  • Promoção com preço muito fora do normal. Poderia ter pesquisado no Google e em sites como Zoom.com.br quais são faixas de preço razoáveis para aquele produto.
  • O endereço do site que abriu quando clicou no anúncio. O domínio que apareceu na barra de endereços do navegador não tinha nada a ver com Americanas.com. Esse é um grande indício de fraude.
  • O nome do beneficiário do boleto exibido pelo sistema do banco antes de concluir o pagamento. Antes da efetivação do pagamento, o banco informa o real beneficiário do boleto registrado, e certamente não era Americanas ou B2W (grupo de e-commerce integrado pela Americanas).
  • Tecnologia de proteção contra phishing. Um filtro de segurança contra sites de phishing funciona como uma proteção em tempo real para esse tipo de ameaça da internet. Se houvesse no computador, no celular, ou então naquela rede inteira, um mecanismo de proteção contra phishing, o acesso ao site fraudulento provavelmente teria sido bloqueado – apesar da desatenção do usuário no momento em que caiu no golpe.

O que é Phishing

Phishing é um tipo de crime cibernético que consiste em enganar os usuários de internet, por meio de mensagens e sites falsificados, para roubar informações sigilosas como senhas de acesso e dados de cartões de crédito, além de induzir, em alguns casos, ao pagamento de boletos fraudulentos.

A modalidade mais comum de phishing começa com um e-mail com conteúdo falsificado, se fazendo passar por uma empresa conhecida e induzindo o usuário a clicar em links que direcionam para o site falsificado onde é concluído o golpe. Em muitos casos também são utilizadas mensagens SMS. Atualmente há campanhas ainda mais elaboradas que, ao invés de e-mail Spam ou SMS, transmitem a “isca” aos usuários através de anúncios pagos em redes sociais. O objetivo é sempre enganar o usuário, utilizando engenharia social e se fazendo passar por outra pessoa ou outra empresa, para que o usuário indevidamente forneça dados sigilosos ou envie pagamentos.

Jesse Burns, Diretor Técnico de Segurança no Google Cloud, afirmou, em um artigo de outubro de 2019 para o site Forbes, a que ninguém consegue reconhecer com total consistência se um endereço web (URL) é seguro para ser clicado. Até mesmo especialistas em segurança não conseguem distinguir com total confiança páginas falsas. Basta um pouco de cansaço ou estresse e qualquer um pode se tornar uma vítima. Segundo ele, a proteção contra phishing necessita do uso de tecnologia, pois não é suficiente somente treinar as pessoas.

O termo phishing é uma adaptação da palavra em inglês fishing, que significa pescaria.

Exemplos de anúncios fraudulentos no Facebook

Você pode clicar nas imagens para visualizar em uma nova aba.

Exemplo de anúncio phishing da Americanas no Facebook - Samsung Galaxy S9 Exemplo de anúncio phishing da Americanas no Facebook - Ar condicionado Samsung Exemplo de anúncio phishing da Americanas no Facebook - Ar condicionado Electrolux Exemplo de anúncio phishing da Americanas no Facebook - Geladeira Electrolux

Passo a passo caindo no golpe e comprando um smartphone

  1. Anúncio fraudulento veiculado no Facebook, ofertando um smartphone por preço muito inferior ao normal.
    Exemplo de anúncio phishing da Americanas no Facebook - Samsung Galaxy J8
  2. Após clicar no anúncio, usuário é direcionado para um site de comércio eletrônico “fake”, que imita perfeitamente o site da Americanas. Veja que o endereço do site é outro.
    Site phishing - página do produto
  3. Clicando em Comprar, é exibido o produto já no carrinho de compras do e-commerce.
    Carrinho de compras no site falsificado
  4. Avançando na compra, o site fraudulento solicita dados cadastrais do usuário.
    Dados cadastrais no site falso
  5. O site solicita que o usuário escolha forma de pagamento. Nesse exemplo, foi selecionado boleto.
    Seleção da forma de pagamento no site falso
  6. Após gerar o boleto, o site falso exibe a confirmação da compra, simulando o funcionamento do site real.
    Site phishing - confirmação da compra
  7. Boleto fraudulento que foi gerado no site de phishing. Observe que no campo beneficiário consta “Americanas.com – B2W Companhia Digital” para ludibriar o usuário.
    Boleto fraudulento

Como evitar golpes Phishing?

A proteção contra phishing baseia-se em dois elementos principais: atenção do usuário para detectar indícios de fraude; e tecnologia de proteção contra phishing.

O usuário de internet deve ter a responsabilidade de manter protegidos os seus dados pessoais e também os dados e informações da empresa. Ao gestor da empresa cabe buscar educar os colaboradores para boas práticas de segurança da informação, bem como determinar a implementação de recursos tecnológicos para a proteção da rede.

Atenção ao que a mensagem ou anúncio está oferecendo ou solicitando

Desconfie de e-mails, SMS ou anúncios com ofertas de produtos a preços muito abaixo do normal. Em caso de dúvida, pesquise o preço normal dos produtos no Google ou em sites como Zoom.com.br. Não acredite em ofertas enviadas com preço incrivelmente baixo. Da mesma forma, também não acredite em e-mails que solicitam que você responda com seu usuário e senha do webmail ou do banco – para uma suposta atualização necessária para manter a conta ativa – isso é fraude. Mensagens supostamente enviadas pela Receita Federal informando sobre irregularidade no CPF também são fraudulentas. Desconfie de e-mails supostamente enviados pelo banco com link para atualizar o módulo de internet banking. Não acredite em e-mails com orçamentos, faturas ou ordens de serviço que você nunca solicitou. E preste atenção ainda ao texto da mensagem, é muito comum que mensagens de phishing contenham erros de ortografia.

Atenção ao remetente e aos links contidos nas mensagens

Observe com atenção o endereço de e-mail do remetente e também o endereço de destino dos links contidos na mensagem. Se forem estranhos, como “https://serwer1982897.home*.pl/pNPjj/[…]” em um e-mail supostamente enviado pela Americanas, desconfie imediatamente.
Exemplo de e-mail phishing Americanas Exemplo de e-mail phishing Itaú

 

Atenção ao endereço do site

Caso você tenha clicado em um link ou anúncio e foi direcionado para um site contendo um produto para comprar, um arquivo para download ou um formulário solicitando dados, tenha muita atenção ao endereço que aparece na barra de endereços do navegador. Aquela dica de verificar se o site possui o cadeado do HTTPS (criptografia) já não é suficiente, pois os sites de phishing novos também usam HTTPS. No entanto é importante analisar se o endereço do site está correto. Na dúvida, acesse o Google e pesquise o nome da empresa que você deseja acessar. Por exemplo, o site da Americanas tem o endereço https://www.americanas.com.br e não seria aceitável usar um suposto site da Americanas em endereços como https://www242.ofertaexclusivadodia-liquida*.com, https://www217.vai-rolar-festa-confira-as-novidades*.com, https://geladeirapromocao*.com ou https://www212.apostoqueaquitemoquevocequer*.com (* colocado para invalidar os links nocivos aqui no artigo).

Tecnologia para segurança e proteção contra phishing

É importante utilizar antivírus no computador. No caso das empresas, é cada vez mais relevante usar também sistemas como firewall e controle do acesso à internet aplicados em toda a rede da empresa, independentemente dos dispositivos conectados na rede interna. Essa medida adiciona uma camada de segurança complementar, que reduz o risco de vazamento e perda de informações da empresa e dados de clientes e colaboradores, evitando grandes transtornos e perdas financeiras. Através de uma solução de controle de acesso à internet, também é possível definir que categoria de site poderá ser acessada por cada usuário, evitando desperdícios com navegação fora do escopo do trabalho e também o acesso a endereços com conteúdo nocivo. Por meio dessa ferramenta, o gestor protege a rede contra os sites utilizados em ataques de phishing, propagação de malware e ransomware.

No vídeo abaixo demonstramos o funcionamento de um phishing recebido por e-mail, que se faz passar pelo serviço de pagamentos PagSeguro com objetivo de roubar dados de acesso da vítima. Primeiro é demonstrado o acesso ao site de phishing sem proteção. Depois é demonstrada uma tentativa de acesso ao site de phishing porém com a proteção do Lumiun ativa na rede da empresa.

Dessa maneira, o vídeo apresenta um comparativo da eficácia de um ataque Phishing em uma rede desprotegida e outra com tecnologia de segurança e proteção.

Se você tiver uma dica adicional sobre phishing ou quiser esclarecer alguma dúvida, deixe seu comentário aqui no artigo ou me escreva diretamente em .

Segurança da informação em 2018: fatos relevantes e o aumento dos ataques virtuais

O ano de 2018 foi marcado por diversos acontecimentos em relação à segurança da informação e tecnologia, como a determinação do GDPR (Regulamento Geral sobre a Proteção de Dados) que representa a ascensão para a regulamentação de privacidade da União Europeia e também com o aumento significativo nos registros de ataques cibernéticos como golpes, sequestro de dados, malwares,  vazamento de dados e mineração de criptomoedas.

Aqui no blog já apresentamos dados relevantes sobre o aumento de ataques virtuais em 2018 e a importância de educar os usuários, mas você sabia que além disso, durante o ano de 2018 foram detectados mais de 350 mil vírus por dia pela Kaspersky Lab? Então, os números são assustadores e representam a realidade da internet global.

A Kaspersky Lab afirma que houve um aumento de 43% para o ransomware (de 2,1 em 2017 para 3,1 milhões em 2018) e de 44% para os backdoors usados por cibercriminosos para acesso remoto ao PC (de 2,2 para 3,2 milhões), estes resultados comprovam que malwares, principalmente backdoors e ransomware, continuam sendo um perigo significativo.

O dfndr lab, laboratório de cibersegurança da PSafe, elaborou o 5º Relatório de Segurança Digital no Brasil com um acúmulo de dados comparativos entre o 2º e o 3º trimestre de 2018, gerados através das detecções de ciberataques aos smartphones Android dos mais de 21 milhões de usuários do aplicativo de segurança dfndr security.

  • O Relatório da dfndr lab mostra que houve queda de 31,4% em ciberataques (de 63,8 a 43,8 milhões) por conta da redução do foco em grandes eventos, porém apresenta o aumento de 7% em fake news (de 4,4 a 4,8 milhões) que abordam principalmente assuntos sobre política, saúde ou formas de ganhar dinheiro fácil.
  • Confira o gráfico de detecções de links maliciosos:

    grafico-links-maliciosos-dfndr-lab-2018
    Phishing via mensagens, publicidade suspeita e notícias falsas lideram ranking de links maliciosos. (Fonte: PSafe / dfndr lab)
  • Apesar da sensível queda percebida entre os trimestres (31,4%), não podemos olhar para essa informação de forma simples e genérica. Os ciberataques não estão diminuindo. O que vimos, neste trimestre, foi uma combinação de fatores que englobam a redução do foco em grandes eventos que envolvam questões público-financeiras, como FGTS e PIS/Pasep, e de datas comemorativas de alta relevância para o varejo.Emilio Simoni, diretor do dfndr lab.

Os números seguem sendo preocupantes, e a cada ano que passa os ataques tornam-se cada vez mais diversificados. Cibercriminosos “renovam estratégias” para aprimorar a criptografia, buscando evitar a detecção de ataques. Dessa maneira, sem dúvidas, podemos afirmar que o ano de 2018 foi marcado por uma série de ataques, contabilizando vítimas no mundo inteiro.

Entre e-mails e sites falsos, mensagens no WhatsApp, fake news, ataques para sequestro de dados e até para mineração de criptomoedas, com o objetivo de explorar a capacidade de dispositivos e utilizar o processamento sem a autorização do usuário, preparamos uma lista com alguns dos ataques cibernéticos que ocorreram em 2018, acompanhe o artigo.

Hotéis Marriott

Setembro, 2018.

A partir de um grande ataque ao banco de dados, em média 500 milhões de clientes da rede hoteleira Starwood Hotels and Resorts, subsidiária da Marriott International, tiveram seus dados pessoais como nome, telefone, número de passaporte, endereço, entre outros, acessados por criminosos. O ataque foi detectado em setembro de 2018, mas o acesso não autorizado ao banco de dados já acontecia desde 2014.
O Ministério Público do Distrito Federal e Territórios (MPDFT) instaurou um Inquérito Civil Público para investigar o caso.

Facebook

  1. Março, 2018.
    Cambridge Analytica:
    Com a utilização de um aplicativo de teste de personalidade, usuários permitiram acesso a suas informações, mas acabaram permitindo acesso também às informações de amigos. A empresa usou os dados ilegalmente para propaganda política.
  2. Setembro, 2018.
    Ataque hacker:
    Os criminosos aproveitaram-se de uma vulnerabilidade da opção “Ver como” e tiveram acesso a dados do perfil de 30 milhões de pessoas, após o ataque, em média 90 milhões de pessoas foram redirecionadas para realizar login novamente e informadas do ocorrido.
  3. Dezembro, 2018.
    Fotos publicadas sem autorização:
    A partir de um “bug”, cerca de 6 milhões de usuários que permitiram o acesso à mídia para aplicativos de terceiros tiveram “fotos não publicadas” (como stories e fotos que foram carregadas, mas não publicadas), expostas na rede social. O Facebook notificou os usuários e sugeriu que verifiquem os acessos dos aplicativos.
    Fonte: TechTudo

Banco Inter

  1. Maio, 2018.
    Em maio de 2018, a equipe do site TecMundo recebeu um manifesto composto de 18 páginas, assinado por um hacker chamado “John”. Este documento detalhava de forma técnica como o hacker teve acesso à dados, além disso, os detalhes da extorsão aplicada ao Banco Inter. A condição era: se o banco não pagasse o valor dentro do prazo, os dados seriam enviados para a imprensa e vendidos na internet.
    O banco agiu corretamente, conforme as indicações sobre como agir em casos de invasão ou roubo de dados e não cedeu à extorsão.
    Como não houve pagamento ao hacker, os dados pessoais de milhares de clientes, funcionários e executivos do Banco Inter, um dos maiores bancos totalmente digitais do Brasil, foram colocados em um arquivo criptografado de 40 GB. Os dados consistem em fotos de cheques, documentos, transações, e-mails, informações pessoais, chaves de segurança e senhas de aproximadamente 100 mil pessoas.
    .
    • O hacker informa que trabalhou por cerca de 7 meses na invasão ao Banco Inter e explicou que através de um erro de um funcionário foi possível entrar nos sistemas do banco e copiar os dados.
    • O Banco Inter negou ter ocorrido uma invasão.
  2. Julho, 2018.
    Comissão de Proteção dos Dados Pessoais, com colaboração do TecMundo, instaurou inquérito civil público para investigar caso. No curso da investigação, o MPDFT constatou, com comprovação do Centro de Produção, Análise, Difusão e Segurança da Informação (CI), o comprometimento de:
    .
    • Dados cadastrais de 19.961 correntistas do Banco Inter.
    • Desses, 13.207 contêm dados bancários, como número da conta, senha, endereço, CPF e telefone.
    • Outros 4.840 dados de clientes de outros bancos que fizeram transações com usuários do Inter também foram comprometidos.
    • Também ficou confirmada a exposição dos certificados digitais, já revogados, e da chave privada do banco.
    .
    O Ministério Público do Distrito Federal e Territórios (MPDFT) pediu a condenação do banco ao pagamento de R$ 10 milhões, a título de indenização, em razão de não ter tomado os cuidados necessários para garantir a segurança dos dados pessoais de seus clientes e não clientes. O valor, no caso de condenação, será revertido ao Fundo de Defesa de Direitos Difusos (FDD).
  3. Dezembro,2018.
    Foi homologado um acordo entre o Banco Inter e o Ministério Público do Distrito Federal e Territórios (MPDFT), onde o Banco Inter deve pagar R$ 1,5 milhão para reparar os danos morais coletivos de caráter nacional decorrentes do vazamento de dados.
    Fonte: TecMundo

Phishing

Os casos de fraudes realizadas com a utilização de phishing não são novidade e seguem acontecendo via e-mail, WhatsApp e outras redes sociais. É frequente a circulação de promoções falsas, principalmente nas datas comemorativas e foram estes exemplos que trouxemos.

Em relação ao phishing no ano de 2018, a Kaspersky Lab identificou o aumento de 110% de incidentes, levando o Brasil ao lugar no ranking mundial, conforme dados apresentados no início deste artigo.

  1. Durante o ano de 2018, principalmente em períodos próximos à atualizações do catálogo da Netflix.
    E-mail falso da Netflix: O e-mail solicita que o usuário atualize seus dados de pagamento pois a suposta conta estaria suspensa. Com uma construção de e-mail convincente, divulgando filmes e séries que estão em alta ou são novos no catálogo da Netflix, os criminosos convencem muitas pessoas, principalmente por ser um e-mail de conteúdo atual. Dessa maneira, muitas pessoas acabam caindo neste golpe e fornecendo dados sensíveis para criminosos. Cabe alertar que é o mesmo link suspeito em todos os botões do e-mail.
    A Netflix tem um canal oficial disponível para denúncias de phishing, então se você receber qualquer e-mail deste tipo, encaminhe-o para

    phishing-netflix
    Phishing – E-mail falso solicita atualização da forma de pagamento, alegando que o usuário está com a conta suspensa.
  2. Novembro, 2018.
    Brinde de natal da O Boticário: As promoções reais com brindes da O Boticário foram vistas como oportunidade por cibercriminosos. Uma das últimas ocorrências de 2018 foi a falsa promoção via WhatsApp que oferecia diferentes brindes da marca e para “ganhar”, o usuário deveria fornecer o número de CPF e convidar amigos, gerando um grande fluxo de pessoas fornecendo seus dados a criminosos. A O Boticário se pronunciou oficialmente em sua página no Facebook, alertando o público sobre a falsa promoção.

    Phishing-brinde-natal-oboticario-2018
    Phishing –  Novembro,2018 – Falsa promoção da O Boticário oferecia brindes após o cadastro com CPF e indicação de amigos.
  3. Dezembro, 2018.
    Brinde de natal da Coca Cola: Aconteceu via WhatsApp a circulação de uma falsa promoção que oferecia brindes de natal. Para “ganhar o brinde”, o usuário deveria clicar em um link e realizar o cadastro, acontece que o link redirecionava o usuário a um site de Phishing para captação de dados, principalmente números de CPF. A Coca Cola se pronunciou oficialmente informando que a promoção era falsa e reiterando que o site oficial da empresa é: natal.cocacola.com.br

    Phishing-brinde-natal-coca-cola-2018
    Phishing – Dezembro,2018 – Falsa promoção da Coca Cola prometeu brindes de natal e captou o CPF de usuários que se cadastraram.

Fake news

A ocorrência de fake news (notícias falsas) foi tão alta durante o ano de 2018 que a dfndr lab identificou que 11% dos links maliciosos, eram notícias falsas. Representando o aumento de 7% em fake news (de 4,4 a 4,8 milhões) que abordam principalmente assuntos sobre política, saúde ou formas de ganhar dinheiro fácil, entre o 2º e 3º trimestre de 2018.

  1. Julho, 2018.
    Fato ou Fake: A equipe G1 procurou ajudar os internautas a ter um canal que analisa casos de fake news. A seção identifica as mensagens que causam desconfiança e esclarece o que é real e o que é falso. A apuração é feita em conjunto por jornalistas de G1, O Globo, Extra, Época, Valor, CBN, GloboNews e TV Globo. Discursos de políticos também são conferidos. Veja aqui a categoria
  2. Top 5 notícias falsas sobre política (dfndr lab)
    No 5º Relatório de Segurança Digital no Brasil da dfdr lab foi apresentado um ranking de detecção de notícias falsas sobre política. Em primeiro lugar está uma notícia falsa sobre Jean Wyllys, esta foi detectada 625 mil vezes pela empresa de segurança.

    Noticia-falsa detectada-625mil-vezes-entre-o-2-e-3-trimestre-de-2018.Fonte-PSafe-Dfndr-Lab
    Notícia falsa detectada 625mil vezes entre o 2º e 3º trimestre de 2018. (Fonte: PSafe / dfndr lab)

 

Levando em consideração as notícias marcantes para a segurança no uso da internet em 2018, é importante ressaltar que métodos preventivos contra ataques cibernéticos devem estar sempre em primeiro lugar, para todo e qualquer usuário conectado.




Gestores e profissionais de TI devem priorizar a segurança da informação, mas a principal dúvida é: como fazer? Por onde começar?

As ações mais importantes para melhorar a segurança da informação na empresa são baseadas em prevenção. Listamos 5 ações das mais relevantes que devem ser implementadas e periodicamente revisadas para que a empresa tenha um excelente nível básico de atenção à segurança da informação.

  • Backup dos dados: há determinados tipos de incidentes de segurança em que a única opção para recuperar as informações da empresa passa pela restauração de cópias de segurança. É essencial manter uma estratégia de backup, com rotinas atualizadas e verificadas. Deve-se analisar, entre outros aspectos, quais dados serão protegidos, a periodicidade de atualização, o tempo de retenção das cópias e o local de armazenamento das cópias (lembrando que é importante manter cópias em local externo ao ambiente onde ficam os dados na empresa).
  • Antivírus: é importante utilizar um bom software antivírus. Outros mecanismos de proteção da rede são complementares e não substituem o antivírus. Há pacotes gratuitos que oferecem um nível básico de proteção, no entanto, para proteção efetiva é recomendado que as empresas invistam na aquisição de uma boa solução antivírus e anti-malware.
  • Firewall e controle do acesso à internet: proteger a rede com firewall e bloquear links prejudiciais e sites nocivos é uma medida muito relevante para a segurança da informação. É importante que a solução tenha uma interface de gerenciamento funcional e fácil de usar, pois a facilidade na visualização de relatórios e a correta configuração da ferramenta impactam diretamente na eficiência da proteção. Uma solução para gerenciamento do acesso à internet como o Lumiun é um excelente recurso para aumentar a segurança da informação na empresa, além de promover a conscientização no uso da internet e auxiliar na produtividade dos colaboradores.
  • Atualizações de software: todos os programas utilizados nos computadores e equipamentos devem estar atualizados com versões recentes. A prática de aplicar atualizações rotineiramente, e sempre que são disponibilizadas, é importante para proteção contra ataques que se aproveitam de novas vulnerabilidades que são descobertas, publicadas e exploradas. O sistema operacional e os navegadores de internet devem ter atenção extra e mantê-los atualizados auxilia bastante na segurança.
  • Orientar colaboradores sobre boas práticas de segurança da informação: atualmente a maioria dos ataques passa por alguma ação indevida realizada por um colaborador da empresa. Falhas como clicar em um link de um email que contém uma promoção totalmente incrível, sem o devido cuidado e atenção em verificar o link que será aberto, são exemplos de como o descuido pode ser uma vulnerabilidade e uma porta de entrada de problemas de segurança. Procure orientar os colaboradores sobre a importância do cuidado com a segurança da informação na empresa.

Quer mais dicas sobre segurança na internet para pequenas e médias empresas? Veja 11 dicas de segurança na internet para pequenas e médias empresas

 

Você sabe o que é Phishing? Entenda agora mesmo

Entender o que é Phishing é muito importante para evitar que você seja mais uma vítima de cibercriminosos, pois o Phishing é um tipo de fraude realizada de forma eletrônica. Essa fraude tem como objetivo adquirir dados pessoais do usuário, como CPF, números de contas bancárias, senhas, RG, entre outros dados sigilosos.

Antes o phishing tinha também como foco roubar arquivos como músicas, documentos e imagens pessoais, porém foi se modernizando e aumentando a sua forma de atuação, sendo ataques cada vez mais perigosos e podendo causar muitos problemas para as empresas.

Se você tiver uma conta de e-mail ou perfil de mídia social, é provável que você tenha encontrado um phishing de algum tipo antes. Em uma frase, o phishing é a tentativa fraudulenta de roubar informações pessoais pela engenharia social: o ato de decepção criminal.

Os primeiros casos de phishing

Esses casos ocorreram há mais de vinte anos. No início dos anos 90, os atacantes visavam a plataforma America Online (AOL), uma vez popular, usando mensagens instantâneas para enganar os usuários para divulgar suas senhas.

Não demorou muito para que esses atores de ameaça identifiquem metas de maior valor, pressionando vítimas inocentes para “verificar suas informações de cobrança” contra a ameaça de exclusão de contas urgente. Por meio desta evolução, não só os grupos criminais podem obter as credenciais AOL das vítimas, como também a conta bancária e os detalhes do cartão de pagamento.

AOL intensificou suas operações antifraude, implementando novas medidas para expulsar proativamente as contas envolvidas no phishing. Este foi um movimento decisivo que levou os atacantes a pular navios em busca de novas oportunidades.

Mais de 400 mil sites de phishing detectados por mês em 2016

De acordo com o relatório Webroot Phishing Threat Trends, de dezembro de 2016, mais de 400 mil sites de phishing foram detectados por mês no último ano.

Os ataques de phishing usam técnicas de engenharia social para convencer as vítimas de que podem confiar no que estão vendo e podem fornecer dados importantes. Por exemplo, um e-mail falso solicitando informações pessoais para um processo judicial, ou uma página falsa imitando perfeitamente o site de um banco e solicitando senhas.

Os ataques de phishing têm se tornado cada vez mais sofisticados e desenvolvidos para obter informações sensíveis. A maior parte dos ataques atualmente usa ferramentas que automatizam a criação dos sites de phishing, fazendo com que existam por menos de 24 horas – o tempo médio de vida é de 15 horas. Isso torna mais difícil que as ferramentas de segurança tradicionais possam bloquear este tipo de ameaça hoje em dia.

Hal Lonas, CTO da Webroot, afirmou que “anos atrás, esses sites poderiam durar semanas ou meses, dando às organizações tempo suficiente para bloquear o método de ataque e prevenir que mais vítimas caíssem no golpe. Agora, os sites de phishing aparecem e desaparecem no tempo de uma pausa para café, deixando todas as organizações, não importa o tamanho, em um risco sério e imediato de ataques de phishing”.

Fonte: Webroot Quarterly Threat Update

 

Exemplo de site de phishing com endereço incorreto
Site de phishing com endereço incorreto

 

Exemplo de email falso, no qual o destino do link não é o banco
Email falso, no qual o destino do link não é o banco

Como remover e prevenir o phishing?

Não existe uma forma de remover ameaças de phishing, elas podem definitivamente ser detectadas. Ter uma forma de monitorar do seu site e manter a cautela com relação ao que deveria e não deveria estar presente lá. Se possível, mude os arquivos principais do seu site de forma regular.

Para se prevenir contra o phishing são necessários alguns cuidados especiais, como por exemplo:

  • Não abra anexos contidos em e-mail que não foram solicitados anteriormente.
  • Tenha bons hábitos e não responda links adicionados a e-mails não solicitados.
  • Proteja suas senhas e sempre utilize senhas seguras.
  • Verifique a URL do site. Em muitos casos de phishing, o endereço de e-mail pode parecer legítimo, mas a URL pode estar com erro de grafia ou o domínio pode ser diferente (.com quando deveria ser .gov). Isso geralmente denuncia na hora a utilização de phishing.
  • Mantenha seu navegador atualizado e utilize atualizações de segurança do seu computador e sistema.