{"id":4730,"date":"2020-02-11T15:30:52","date_gmt":"2020-02-11T18:30:52","guid":{"rendered":"https:\/\/www.lumiun.com\/blog\/?p=4730"},"modified":"2022-05-02T15:01:12","modified_gmt":"2022-05-02T18:01:12","slug":"como-proteger-as-pessoas-contra-phishing-e-outros-golpes","status":"publish","type":"post","link":"https:\/\/www.lumiun.com\/blog\/como-proteger-as-pessoas-contra-phishing-e-outros-golpes\/","title":{"rendered":"Como proteger as pessoas contra phishing e outros golpes"},"content":{"rendered":"

Se voc\u00ea acha que educ\u00e1-los sobre maneiras de detectar e-mails suspeitos \u00e9 a \u00fanica resposta, pense novamente<\/em><\/p>\n

H\u00e1 cerca de 15 anos, o phishing passou de um fen\u00f4meno praticamente desconhecido para um t\u00f3pico cotidiano da m\u00eddia. Com novos usu\u00e1rios entrando na Internet e a comercializa\u00e7\u00e3o da Internet come\u00e7ando a s\u00e9rio, surgiram muitas oportunidades para os phishers, que se fazem passar por outra pessoa ou entidade para enganar usu\u00e1rios de email. Com isso, na aus\u00eancia de prote\u00e7\u00f5es tecnol\u00f3gicas, os emails de phishing subitamente apareceram nas caixas postais de todos. Na pr\u00e1tica, a \u00fanica defesa foi o conselho oferecido por especialistas em seguran\u00e7a: cuidado com os emails mal redigidos; e n\u00e3o clique nos links dos emails.<\/em><\/p>\n

Ao longo dos anos, a sofistica\u00e7\u00e3o dos ataques aumentou constantemente, e o n\u00famero de variedades de emails fraudulentos aumentou rapidamente, com estrat\u00e9gias de ataque como se fazer passar por colegas (o chamado comprometimento de email corporativo) aumentam drasticamente. O aumento da sofistica\u00e7\u00e3o resultou em mais lucros, levando mais criminosos a tentarem a sorte nesse tipo de fraude.<\/p>\n

Corpora\u00e7\u00f5es e outras organiza\u00e7\u00f5es continuam acreditando que podem treinar seus usu\u00e1rios para evitar ataques cibern\u00e9ticos. O Gartner estima que o mercado de treinamento em conscientiza\u00e7\u00e3o sobre seguran\u00e7a crescer\u00e1 a uma taxa de crescimento anual composta de 42%<\/a> at\u00e9 pelo menos 2023, com uma base em 2018 de 451 milh\u00f5es de d\u00f3lares.<\/p>\n

Mas atualmente a \u00eanfase tradicional na educa\u00e7\u00e3o do usu\u00e1rio \u00e9 uma despesa e um inc\u00f4modo para o usu\u00e1rio final que podem n\u00e3o ser justific\u00e1veis pelos resultados. \u00c0 medida que as t\u00e9cnicas de fraude online proliferam e se tornam mais sofisticadas, torna-se cada vez mais dif\u00edcil que o usu\u00e1rio detecte as fraudes. O retorno do investimento em qualquer esfor\u00e7o de conscientiza\u00e7\u00e3o de seguran\u00e7a caiu drasticamente.<\/p>\n

A conscientiza\u00e7\u00e3o do usu\u00e1rio n\u00e3o deve mais ser a principal defesa contra a engenharia social. De fato, a tecnologia do crime cibern\u00e9tico evoluiu a tal ponto que s\u00f3 pode ser derrotada de forma confi\u00e1vel com a tecnologia oposta. Humanos sem ajuda n\u00e3o s\u00e3o mais capazes de se defender adequadamente contra o cibercrime, assim como lutadores com arcos e flechas n\u00e3o podem derrotar inimigos armados com helic\u00f3pteros de ataque.<\/p>\n

A maioria das defesas \u00e9 mais adequada para algoritmos do que para usu\u00e1rios finais. Em vez disso, os profissionais de seguran\u00e7a e gerenciamento de riscos devem educar os usu\u00e1rios finais apenas sobre as amea\u00e7as que possam razoavelmente detectar, enquanto usam defesas t\u00e9cnicas para a grande maioria dos ataques.<\/p>\n

No in\u00edcio, os ataques de phishing “tradicionais” foram relatados com efici\u00eancia da ordem de 3%, o que significa que a grande maioria das v\u00edtimas pretendidas n\u00e3o caiu nos ataques. Por outro lado, sabe-se que ataques sofisticados, como spear phishing, apresentam efici\u00eancia superior a 70%.<\/p>\n

Os emails de phishing bem elaborados (assim como outros tipos de emails enganosos) s\u00e3o muito dif\u00edceis de serem identificados pelos usu\u00e1rios comuns.<\/p>\n

Alguns tipos de ataques s\u00e3o quase imposs\u00edveis de identificar, mesmo para usu\u00e1rios altamente t\u00e9cnicos. Considere, por exemplo, um ataque no qual o invasor j\u00e1 teve acesso a uma conta de email leg\u00edtima (enganando seu propriet\u00e1rio) e use essa conta comprometida para atacar os contatos do usu\u00e1rio.<\/p>\n

Outros ataques, como aqueles que usam nomes e endere\u00e7os forjados para se passar por um colega da v\u00edtima, s\u00e3o mais f\u00e1ceis de identificar, pelo menos em teoria. Inspecionando sempre o endere\u00e7o de email do remetente e certificando-se de que este \u00e9 um usu\u00e1rio conhecido, \u00e9 poss\u00edvel evitar cair em tais ataques. No entanto, o aumento do cuidado tem um pre\u00e7o: para cada etapa extra adicionada \u00e0s tarefas rotineiras, nossa produtividade naturalmente cai.<\/p>\n

Al\u00e9m disso, esses ataques s\u00e3o dif\u00edceis de detectar na pr\u00e1tica, devido a erros humanos: muitas pessoas, pelo menos ocasionalmente, enviam emails acidentalmente de contas pessoais em vez de contas profissionais e vice-versa, criando uma ambiguidade sobre o que \u00e9 confi\u00e1vel e o que n\u00e3o \u00e9 confi\u00e1vel. Como resultado, 1 em cada 10 usu\u00e1rios clica em emails com nomes de exibi\u00e7\u00e3o fraudados, conforme relat\u00f3rio da empresa de seguran\u00e7a Barracuda.<\/p>\n

Dados os or\u00e7amentos finitos, tanto em termos financeiros quanto de aten\u00e7\u00e3o, as empresas e os indiv\u00edduos devem decidir quais batalhas de conscientiza\u00e7\u00e3o escolher, com base no que as pessoas enfrentam e em que tipos de contramedidas automatizadas funcionam bem. Pegue, por exemplo, o conselho “se parece bom demais para ser verdade, provavelmente \u00e9” – assim como a variante “se parece ruim demais para ser verdade, provavelmente \u00e9”. As pessoas t\u00eam emo\u00e7\u00f5es e julgamento para avis\u00e1-las quando algo cai nessa categoria; mas, at\u00e9 agora, os computadores n\u00e3o t\u00eam. Consequentemente, isso \u00e9 algo digno de uma campanha de conscientiza\u00e7\u00e3o.<\/p>\n

Por outro lado, o uso de nomes e endere\u00e7os forjados \u00e9 relativamente dif\u00edcil para pessoas detectarem, mas \u00e9 f\u00e1cil para computadores detectarem. Esse \u00e9 um problema em que as defesas automatizadas s\u00e3o mais adequadas do que os esfor\u00e7os de conscientiza\u00e7\u00e3o.<\/p>\n

Tanto para a sa\u00fade digital quanto para a sa\u00fade humana, a influ\u00eancia relativa de comportamento versus tecnologia \u00e9 a mesma. Desde a \u00e9poca em que s\u00e3o crian\u00e7as pequenas, os humanos s\u00e3o ensinados a evitar riscos \u00e0 sua seguran\u00e7a: n\u00e3o coma sujeira, n\u00e3o atravesse a rua sem olhar para os dois lados, n\u00e3o fume. Mas os grandes ganhos na expectativa de vida alcan\u00e7ados ao longo do \u00faltimo s\u00e9culo vieram principalmente dos avan\u00e7os na tecnologia m\u00e9dica para combater doen\u00e7as.<\/p>\n

A receita tamb\u00e9m \u00e9 a mesma: para a sa\u00fade humana, cuide-se e evite riscos comuns, mas, se necess\u00e1rio, procure um bom m\u00e9dico e tome corretamente os rem\u00e9dios. Para sa\u00fade eletr\u00f4nica, ensine a seus usu\u00e1rios os cuidados digitais b\u00e1sicos, mas comprometa-se tamb\u00e9m a estar sempre um passo \u00e0 frente do inimigo nessa inevit\u00e1vel disputa tecnol\u00f3gica.<\/p>\n

para a sa\u00fade humana, cuide-se e evite riscos comuns, mas, se necess\u00e1rio, procure um bom m\u00e9dico e tome corretamente os rem\u00e9dios. Para sa\u00fade eletr\u00f4nica, ensine a seus usu\u00e1rios os cuidados digitais b\u00e1sicos, mas comprometa-se tamb\u00e9m a estar sempre um passo \u00e0 frente do inimigo nessa inevit\u00e1vel disputa tecnol\u00f3gica<\/p><\/blockquote>\n

Fonte: https:\/\/blogs.scientificamerican.com\/observations\/how-to-protect-people-against-phishing-and-other-scams\/<\/p>\n

\n

Tecnologia para seguran\u00e7a e prote\u00e7\u00e3o contra phishing<\/h3>\n

\u00c9 importante utilizar antiv\u00edrus no computador. No caso das empresas, \u00e9 cada vez mais relevante usar tamb\u00e9m sistemas como firewall e controle do acesso \u00e0 internet<\/a> aplicados em toda a rede da empresa, independentemente dos dispositivos conectados na rede interna. Essa medida adiciona uma camada de seguran\u00e7a complementar, que reduz o risco de vazamento e perda de informa\u00e7\u00f5es da empresa e dados de clientes e colaboradores, evitando grandes transtornos e perdas financeiras. Atrav\u00e9s de uma solu\u00e7\u00e3o de controle de acesso \u00e0 internet<\/a>, tamb\u00e9m \u00e9 poss\u00edvel definir que categoria de site poder\u00e1 ser acessada por cada usu\u00e1rio, evitando desperd\u00edcios com navega\u00e7\u00e3o fora do escopo do trabalho e tamb\u00e9m o acesso a endere\u00e7os com conte\u00fado nocivo. Por meio dessa ferramenta, o gestor protege a rede contra os sites utilizados em ataques de phishing, propaga\u00e7\u00e3o de malware e ransomware<\/a>.<\/p>\n

No v\u00eddeo abaixo demonstramos o funcionamento de um phishing<\/strong> recebido por e-mail, que se faz passar pelo servi\u00e7o de pagamentos PagSeguro com objetivo de roubar dados de acesso da v\u00edtima. Primeiro \u00e9 demonstrado o acesso ao site de phishing sem prote\u00e7\u00e3o. Depois \u00e9 demonstrada uma tentativa de acesso ao site de phishing por\u00e9m com a prote\u00e7\u00e3o do Lumiun<\/a> ativa na rede da empresa.<\/p>\n

Dessa maneira, o v\u00eddeo apresenta um comparativo da efic\u00e1cia de um ataque Phishing em uma rede desprotegida e outra com tecnologia de seguran\u00e7a e prote\u00e7\u00e3o.<\/p>\n