O número de pessoas que caiu em um golpe de phishing no último ano no Brasil é de mais de 48 milhões, quase 25% da população. O país é líder mundial nesse tipo de ameaça, que consiste em usar sites falsos para roubar dados dos usuários, principalmente, informações bancárias. Os ataques vêm por e-mail, WhatsApp, SMS e até ligações convencionais, e visam enganar usuários comuns, que usam o PC ou o celular em suas casas, e também funcionários de empresas. Os dados foram divulgados durante a 8ª Conferência de Analistas de Segurança para a América Latina, nesta segunda-feira (13).
A história não é nova: o usuário recebe um e-mail, mensagem ou vê um anúncio no Facebook com o produto que queria comprar. A propaganda mostra o nome de uma empresa já conhecida e traz um desconto interessante, mas totalmente plausível (10% a 15% mais barato, por exemplo). O consumidor clica, preenche os dados e efetua a compra sem saber que se trata de um site falso. Dias depois, descobre que teve o cartão clonado, senha trocada, entre outros problemas que terá que resolver a partir de agora.
O grande problema, de acordo com o analista sênior de segurança da Kaspersky Lab Fabio Assioline, é que nesse tipo de golpe, os criminosos se aproveitam
... da confiança das pessoas: “o phishing explora a vulnerabilidade humana, engana as pessoas apelando para sua curiosidade, para o sentimento de urgência”.
Email, Web e USB estão entre os maiores vetores de malware (Foto: Divulgação/Kaspersky)
A América Latina é a região com maior número de ataques de phishing no mundo. O Brasil, o primeiro do ranking mundial: no país, 23,3% da população já foi vítima de phishing em 2018. Só na Black Friday, data preferida dos cybercriminosos, 383 mil ataques foram bloqueados em um dia na América Latina pela Kaspersky Lab.
Como funcionam os ataques de phishing
Cerca de 90% dos ataques começam com um e-mail de phishing, por isso, o correio eletrônico é o mais conhecido. Mas esse não é o único meio usado pelos criminosos. Cada vez mais, os ataques por SMS, WhatsApp e redes sociais – onde os bandidos compram anúncios – se tornam mais comuns. Até mesmo ligações convencionais estão sendo usados por quadrilhas para enganar clientes de bancos ou funcionários de empresas. Alguém liga e diz para a vítima acessar o endereço de um site falso e efetuar um cadastro ou fornecer algum tipo de dado.
Brasil é líder mundial no número de ataques de phishing (Foto: Divulgação/Kaspersky)
O segundo passo é justamente levar o usuário para um site, com o endereço (o chamado domínio) adulterado. O criminoso registra um nome muito parecido com o verdadeiro. Ao copiar o layout da página real e colocar no endereço a palavra “mercardo” em vez de “mercado”, que seria o correto, já consegue enganar até os usuários mais atentos. A Kaspersky Lab estima que os bandidos gastem menos de US$ 1 (cerca de R$ 3,70) para colocar esse golpe para funcionar, com o site publicado na Internet e até certificado de segurança. Já o impacto de cair nesse truque, para a empresa, pode chegar a US$ 120 mil (quase R$ 470 mil).
Como desmascarar
As principais dicas para evitar o phishing são conhecidas de muitos usuários: não clicar em links suspeitos, ficar de olho nas características do site (endereço correto, certificado de segurança https etc). No entanto, por mais atentas que estejam, há sempre o risco de que os usuários caiam no golpe. Isso porque as ferramentas usadas pelos criminosos estão cada vez mais sofisticadas.
Assiolini indica também uma base de dados chamada “whois” (https://www.whois.com/), que mostra quem registrou um domínio na Internet. Como exemplo, o analista de segurança cita a Apple: “o domínio apple.com foi criado em 1987 pela própria companhia, a Apple Inc. Já outro site, chamado “applecustormerhelp.com” foi registrado em 2017 por uma empresa de nome i Tech Solutions que tem, inclusive, mais de 215 outros sites em seu nome”. Com essa informação em mãos, o usuário pode, no mínimo, desconfiar.
Plataforma whois mostra site, que usa nome da Apple, mas foi criado para golpe (Foto: Nicolly Vimercate/TechTudo)
“Dispara primeiro pergunta depois”
Durante o evento, a Kaspersky anunciou um novo projeto chamado “Dispara primeiro, pergunta depois”, que promete ser proativo, bloqueando os ataques de phishing antes que eles aconteçam. A ferramenta usa a mesma lógica explicada acima: “se o domínio está usando o nome de uma empresa famosa, mas não foi registrado por ela, o antivírus bloqueia antes que o usuário possa acessar a página e se colocar em risco”, explica Assiolini. “Só no brasil, em quatro anos dessa estratégia, bloqueamos mais de 100 mil domínios”, completa.
Além do Phishing
Ao olhar para o panorama geral dos ataques no Brasil, os números impressionam ainda mais: 64,4% da população sofreu uma ameaça virtual em 2018. Em números absolutos, foram 160 milhões de brasileiros em risco, um aumento de 60% mais golpes este ano do que 2017, segundo a Kaspersky Lab.
Embora o phishing seja uma das maiores preocupações dos analistas de segurança, outras ameaças fazem vítimas no Brasil, entre elas, os mineradores de criptomoedas e ransomware.
No grupo dos principais vetores, ou seja, de onde vêm essas ameaças, estão plataformas online, como o e-mail, a web (sites, apps, redes sociais), e até offline, representadas pelos dispositivos “ejetáveis”, como USB e cartão microSD.
Para o chefe da equipe global de pesquisa e análise da Kaspersky Lab, Dimitri Bestuzhev, isso mostra que ninguém está imune, já que os ataques estão em todas as plataformas: “os criminosos pensam como os comerciantes. Quanto mais usuários, puderem atingir em um determinado sistema, mais eles vão se dedicar”, explicou.
*A jornalista viajou para o Panamá a convite da Kaspersky
