Enquanto você lia o título deste blog, aproximadamente oito novas ameaças digitais para a prática de crimes cibernéticos foram criadas.

Essa estatística é preocupante, especialmente considerando que mais de 81% da população brasileira com idade acima de 10 anos possui acesso à internet. Isso significa que mais de 152 milhões de pessoas no Brasil desfrutam da conectividade global, estando sujeitas a crimes cibernéticos.

Para ilustrar a gravidade desta vulnerabilidade, um relatório da consultoria alemã Roland Berger classificou o Brasil como o 5º país do mundo que mais sofreu com cibercrimes em 2021, registrando cerca de 9,1 milhões de ataques. Adicionalmente, o impacto financeiro desses crimes digitais foi significativo, causando perdas de 6 trilhões de dólares mundialmente no ano passado. Diante disso, é evidente que a priorização da cibersegurança se torna essencial.

Em um contexto corporativo, a cibersegurança deve abranger não apenas a proteção de dados, mas também a infraestrutura da rede. Isso ocorre porque os dados empresariais se tornaram ativos críticos, tornando o armazenamento e a proteção adequados uma prioridade. Além disso, a Lei Geral de Proteção de Dados (LGPD) agora estabelece diretrizes para a coleta, armazenamento, tratamento e compartilhamento de dados pessoais, tornando a proteção de dados ainda mais crucial.

Crimes cibernéticos, também conhecidos como crimes digitais, envolvem condutas criminosas relacionadas ao uso de dispositivos eletrônicos, como celulares, computadores e tablets, para fins fraudulentos, furtos e estelionato. No contexto empresarial, os crimes cibernéticos podem incluir roubo de dados para espionagem industrial, sabotagem e ataques a bancos de dados, chantagem para devolução de informações (ransomware) ou a prática de ataques e fraudes usando dados pessoais ou corporativos roubados ou voluntariados de forma errônea (phishing).

A legislação brasileira referente aos crimes cibernéticos é regida pela Lei 14.155, sancionada em 2021, que introduziu penas mais rigorosas para invasão de dispositivos, furto qualificado e estelionato no meio digital. Essas penalidades se aplicam a fatos ocorridos em ambiente digital, conectado ou não à internet.

- Ataques DDoS (Distributed Denial of Service): esses ataques sobrecarregam a rede de uma empresa ou pessoa ao enviar um grande volume de solicitações de diversos computadores, tornando a rede instável ou inacessível.

- Ameaças Compostas (Blended Threats): esses vírus são combinações de vários códigos maliciosos que podem atuar como uma variedade de vírus simultaneamente, sendo frequentemente distribuídos por e-mails falsos e pen drives infectados.

- Keyloggers: são softwares maliciosos projetados para interceptar informações digitadas pelo usuário, incluindo senhas e informações confidenciais.

- Phishing: é um dos crimes mais comuns e perigosos, em que os criminosos se passam por empresas ou organizações legítimas para enganar as vítimas e obter informações sensíveis.

- Ransomware: esse tipo de ataque envolve a criptografia de dados e exige um resgate para restaurar o acesso aos arquivos da vítima.

- Script-kid: são indivíduos sem habilidades técnicas avançadas que usam códigos desenvolvidos por outros hackers.

- Spear Phishing: semelhante ao phishing, esse ataque é mais direcionado e personalizado, com o hacker se passando por alguém próximo da vítima.

- Zero-day: envolve a exploração de vulnerabilidades de segurança desconhecidas pelo desenvolvedor de um programa.

É fundamental que empresas adotem medidas de segurança, como o uso de senhas fortes amparadas por métodos de autenticação multifatorial (MFA), a atualização de software (principalmente de patches críticos), a proteção da rede, políticas de proteção e treinamento da equipe para prevenir e lidar com ataques cibernéticos. Além disso, a denúncia de crimes cibernéticos deve envolver a coleta de provas, o registro em cartório e a apresentação de um boletim de ocorrência às autoridades competentes. A cibersegurança é essencial para evitar prejuízos financeiros, proteger informações confidenciais, preservar a reputação da empresa e garantir a segurança da infraestrutura de TI. Portanto, a prevenção e a pronta resposta a ataques cibernéticos são cruciais para empresas de todos os tamanhos.

https://www.kaspersky.com.br/resource-center/threats/cybercrime

https://www.ibm.com/br-pt/topics/cyber-attack

A engenharia social é uma técnica que se baseia na manipulação psicológica das pessoas para obter acesso a informações confidenciais, como senhas, números de cartão de crédito ou dados pessoais. Golpistas que utilizam métodos de engenharia social usam táticas como persuasão, intimidação, carisma e persuasão para convencer as vítimas a compartilhar informações sensíveis.

Os criminosos cibernéticos frequentemente usam táticas de engenharia social para obter dados pessoais ou informações financeiras - credenciais de login, números de cartão de crédito, números de contas bancárias, números de previdência social - que podem ser usados para roubo de identidade, permitindo que eles façam compras usando o dinheiro ou o crédito de outras pessoas, solicitem empréstimos em nome de outra pessoa, solicitem o benefício do seguro-desemprego de outras pessoas e muito mais. Mas um ataque de engenharia social também pode ser o primeiro estágio de um ataque cibernético em grande escala. Por exemplo, um criminoso cibernético pode induzir uma vítima a compartilhar um nome de usuário e uma senha e, em seguida, usar essas credenciais para plantar ransomware na rede do empregador da vítima.

Esta persuasão pode ocorrer em diversas formas, como telefonemas falsos, e-mails de phishing, mensagens de texto fraudulentas ou até mesmo pessoalmente. Por exemplo, um atacante pode se fazer passar por um funcionário de suporte técnico e solicitar que a vítima forneça sua senha ou outras informações confidenciais. Um e-mail que parece ser de um colega de trabalho confiável solicitando informações confidenciais, uma mensagem de voz ameaçadora alegando ser da Receita Federal, uma oferta de riquezas de um potentado estrangeiro são apenas alguns exemplos de engenharia social em uso para a aplicação de golpes cibernéticos.

A engenharia social e os vazamentos de dados são dois aspectos interligados que representam graves desafios para a segurança digital e a privacidade das pessoas e organizações. Enquanto a engenharia social explora a fraqueza humana para obter informações confidenciais, os vazamentos de dados ocorrem quando essas informações sensíveis são indevidamente expostas ao público ou a terceiros não autorizados.

Por que a Engenharia Social é tão eficaz?

As táticas e técnicas de engenharia social são baseadas na ciência da motivação humana. Elas manipulam as emoções e os instintos das vítimas de maneiras que comprovadamente levam as pessoas a tomar atitudes que não são de seu interesse.

A maioria dos ataques de engenharia social emprega uma ou mais das táticas a seguir:

Fazer-se passar por uma marca confiável: Os golpistas geralmente se fazem passar por empresas que as vítimas conhecem, confiam e com as quais talvez façam negócios com frequência ou regularmente - tão regularmente que elas seguem as instruções dessas marcas por reflexo, sem tomar as devidas precauções. Alguns golpistas de engenharia social usam kits amplamente disponíveis para criar sites falsos que se assemelham aos de grandes marcas ou empresas. 

Posar como uma agência governamental ou figura de autoridade: As pessoas confiam, respeitam ou temem a autoridade (em graus variados). Os ataques de engenharia social brincam com esses instintos com mensagens que parecem ou afirmam ser de órgãos governamentais (por exemplo, FBI ou IRS), figuras políticas ou até mesmo celebridades.

Induzir ao medo ou a um senso de urgência: As pessoas tendem a agir de forma precipitada quando estão com medo ou apressadas. Os golpes de engenharia social podem usar várias técnicas para induzir medo ou urgência nas vítimas - dizendo à vítima que uma transação de crédito recente não foi aprovada, que um vírus infectou seu computador, que uma imagem usada no site viola um direito autoral etc. A engenharia social também pode apelar para o medo de ficar de fora (FOMO) das vítimas, o que cria um tipo diferente de urgência.

Apelo à ganância: O golpe do príncipe nigeriano - um e-mail em que alguém que afirma ser um rei nigeriano tentando fugir de seu país oferece uma grande recompensa financeira em troca das informações da conta bancária do destinatário ou de uma pequena taxa de adiantamento - é um dos exemplos mais conhecidos de engenharia social que apela à ganância. (Ele também vem de uma suposta figura de autoridade e cria um senso de urgência - uma combinação poderosa). Esse golpe é tão antigo quanto o próprio e-mail, mas, em 2018, ainda estava arrecadando USD 700.000 por ano.

Apelo à utilidade ou à curiosidade: Estratégias de engenharia social também podem apelar para a boa índole dos usuários. Por exemplo, uma mensagem que parece ser de um amigo ou de um site de rede social pode oferecer ajuda técnica, solicitar a participação em uma pesquisa, alegar que a publicação do destinatário se tornou viral e fornecer um link falsificado para um site falso ou download de malware.

Quais os principais métodos de aplicação de golpes envolvendo a Engenharia Social?

Por ser uma abordagem ampla e centrada em vulnerabilidades individuais de cada usuário, a Engenharia Social proporciona aos golpistas diversas maneiras de aplicação de golpes, entre eles:

Os ataques de phishing são mensagens digitais ou de voz que tentam manipular os destinatários para que compartilhem informações confidenciais, façam download de software mal-intencionado, transfiram dinheiro ou ativos para as pessoas erradas ou tomem alguma outra medida prejudicial. Os golpistas criam mensagens de phishing para que pareçam ou soem como se viessem de uma organização ou pessoa confiável, às vezes até de uma pessoa que o destinatário conhece pessoalmente.

- E-mails de phishing em massa são enviados a milhões de destinatários de uma só vez. Eles parecem ser enviados por uma empresa ou organização grande e conhecida - um banco nacional ou global, um grande varejista on-line, um provedor de pagamentos on-line popular etc. - e fazem uma solicitação genérica, como "estamos com problemas para processar sua compra, atualize suas informações de crédito". Frequentemente, essas mensagens incluem um link malicioso que leva o destinatário a um site falso que captura o nome de usuário, a senha, os dados do cartão de crédito do destinatário e muito mais.

- O spear phishing tem como alvo um indivíduo específico, geralmente com acesso privilegiado a informações do usuário, à rede de computadores ou a fundos corporativos. Um golpista pesquisará o alvo - geralmente usando informações encontradas no LinkedIn, no Facebook ou em outras mídias sociais - para criar uma mensagem que pareça vir de alguém que o alvo conhece e confia, ou que se refira a situações com as quais o alvo está familiarizado. Whale phishing é um ataque de spear phishing que tem como alvo um indivíduo de alto perfil, como um CEO ou uma figura política. No comprometimento de e-mail comercial (BEC), o hacker usa credenciais comprometidas para enviar mensagens de e-mail da conta de e-mail real de uma figura de autoridade, tornando o golpe muito mais difícil de ser detectado.

- O phishing de voz, ou vishing, é o phishing realizado por meio de chamadas telefônicas. Normalmente, as pessoas sofrem vishing na forma de chamadas gravadas ameaçadoras que alegam ser do FBI. Mas a X-Force da IBM determinou recentemente que adicionar vishing a uma campanha de phishing direcionada pode aumentar o sucesso da campanha em até três vezes.

 - O phishing por SMS, ou smishing, é o phishing por mensagem de texto.

- O phishing de mecanismos de pesquisa envolve hackers que criam sites maliciosos com alta classificação nos resultados de pesquisa para termos de pesquisa populares.

- Angler phishing é o phishing por meio de contas falsas de mídia social que se disfarçam como a conta oficial das equipes de atendimento ao cliente ou de suporte ao cliente de empresas confiáveis.

De acordo com o IBM Security X-Force Threat Intelligence Index 2023, o phishing é o principal vetor de infecção por malware, identificado em 41% de todos os incidentes. E, de acordo com o relatório Cost of a Data Breach 2022, o phishing é o vetor de ataque inicial que leva às violações de dados mais caras. 

O baiting (isca) atrai vítimas para que, consciente ou inconscientemente, forneçam informações confidenciais ou façam download de código malicioso, tentando-as com uma oferta valiosa ou até mesmo com um objeto de valor.

O golpe do Príncipe Nigeriano é provavelmente o exemplo mais conhecido dessa técnica de engenharia social. Exemplos mais atuais incluem downloads de jogos, músicas ou softwares gratuitos, mas infectados por malware. Mas algumas formas de isca são pouco engenhosas. Por exemplo, alguns agentes de ameaças simplesmente deixam unidades USB infectadas com malware onde as pessoas as encontrarão, pegam-nas e as usam porque "ei, unidade USB grátis".

No "tailgating", também chamado de "piggybacking", uma pessoa não autorizada segue de perto uma pessoa autorizada em uma área que contém informações confidenciais ou ativos valiosos. O tailgating pode ser realizado pessoalmente - por exemplo, um agente de ameaças pode seguir um funcionário por uma porta destrancada. Mas o tailgating também pode ser uma tática digital, como quando uma pessoa deixa um computador sem supervisão enquanto ainda está conectada a uma conta ou rede privada.

Neste golpe, o agente da ameaça cria uma situação falsa para a vítima e se apresenta como a pessoa certa para resolvê-la. Com muita frequência (e ironicamente), o golpista alega que a vítima foi afetada por uma violação de segurança e se oferece para consertar a situação se a vítima fornecer informações importantes sobre a conta ou controle sobre o computador ou dispositivo da vítima. (Tecnicamente falando, quase todo ataque de engenharia social envolve algum grau de pretexto).

Em um golpe quid pro quo, os hackers oferecem um bem ou serviço desejável em troca das informações confidenciais da vítima. Ganhos falsos em concursos ou recompensas de fidelidade aparentemente inocentes ("obrigado pelo seu pagamento - temos um presente para você") são exemplos de estratagemas quid pro quo.

Também considerado uma forma de malware, o scareware é um software que usa o medo para manipular as pessoas para que compartilhem informações confidenciais ou façam download de malware. O scareware geralmente assume a forma de um aviso falso de aplicação da lei acusando o usuário de um crime ou uma mensagem falsa de suporte técnico alertando o usuário sobre malware em seu dispositivo.

Da frase "alguém envenenou o bebedouro", os hackers injetam código malicioso em uma página da Web legítima frequentada por seus alvos. Os ataques watering hole são responsáveis por tudo, desde credenciais roubadas até downloads involuntários de ransomware drive-by.

Como se proteger contra golpes que envolvem a Engenharia Social?

Os ataques de engenharia social são notoriamente difíceis de impedir porque dependem da psicologia humana em vez de caminhos tecnológicos. A superfície de ataque também é significativa: Em uma organização maior, basta o erro de um funcionário para comprometer a integridade de toda a rede da empresa. Algumas das etapas que os especialistas recomendam para reduzir o risco e o sucesso dos golpes de engenharia social incluem:

Treinamento de conscientização sobre segurança: Muitos usuários não sabem como identificar ataques de engenharia social. E em uma época em que os usuários frequentemente trocam informações pessoais por bens e serviços, eles não percebem que a entrega de informações aparentemente banais, como número de telefone ou data de nascimento, pode permitir que os hackers invadam uma conta. O treinamento de conscientização sobre segurança, combinado com políticas de segurança de dados, pode ajudar os funcionários a entender como proteger seus dados confidenciais e como detectar e responder a ataques de engenharia social em andamento.

 Políticas de controle de acesso: Políticas e tecnologias de controle de acesso seguro, incluindo autenticação multifatorial, autenticação adaptativa e uma abordagem de segurança de confiança zero, podem limitar o acesso dos criminosos cibernéticos a informações e ativos confidenciais na rede corporativa, mesmo que eles obtenham as credenciais de login dos usuários.

Tecnologias de segurança cibernética: Filtros de spam e gateways de e-mail seguros podem evitar que alguns ataques de phishing cheguem aos funcionários. Firewalls e software antivírus podem reduzir a extensão de qualquer dano causado por invasores que obtêm acesso à rede. Manter os sistemas operacionais atualizados com os patches mais recentes também pode fechar algumas vulnerabilidades que os invasores exploram por meio da engenharia social. E as soluções avançadas de detecção e resposta, incluindo a detecção e resposta de endpoints (EDR) e a detecção e resposta estendidas (XDR), podem ajudar as equipes de segurança a detectar e neutralizar rapidamente as ameaças à segurança que infectam a rede por meio de táticas de engenharia social.

Em resumo, a combinação de medidas técnicas e conscientização é fundamental para mitigar os riscos associados à engenharia social e aos vazamentos de dados. Proteger informações sensíveis é uma responsabilidade coletiva que envolve tanto ações individuais quanto a cooperação de organizações e autoridades reguladoras.

https://www.ibm.com/topics/social-engineering

https://www.cmu.edu/iso/aware/dont-take-the-bait/social-engineering.html

Engenharia Social - O que é? GUIA COMPLETO

O Que é Phishing? Desvendando os Segredos dos Ataques Cibernéticos

Você já ouviu falar sobre o termo "phishing," mas sabe o que realmente significa e como se proteger contra essa ameaça virtual? Neste extenso guia, exploraremos em detalhes o universo do phishing, sua história, tipos, como identificá-lo, e o mais importante, como se defender de ataques phishing. Além disso, forneceremos recomendações valiosas para empresas, destacando a importância do treinamento e cursos de segurança cibernética. Preparado para aprofundar seus conhecimentos sobre esse tópico crucial? Vamos lá!

Phishing é um crime cibernético no qual um ou mais alvos são contatados por e-mail, telefone ou mensagem de texto por alguém que se faz passar por uma instituição legítima. O objetivo é atrair indivíduos para fornecer dados sensíveis, como informações de identificação pessoal, detalhes bancários e de cartão de crédito, bem como senhas.

Essas informações são posteriormente usadas para acessar contas importantes, podendo resultar em roubo de identidade e perdas financeiras significativas.

O primeiro processo de phishing foi registrado em 2004, quando um adolescente californiano criou uma imitação do site "America Online". Por meio desse site falso, ele conseguiu obter informações sensíveis dos usuários e acessar os detalhes de seus cartões de crédito para retirar dinheiro de suas contas. Além do phishing por e-mail e sites, existem também o 'vishing' (phishing por voz), 'smishing' (phishing por SMS) e várias outras técnicas de phishing constantemente desenvolvidas por cibercriminosos.

A Evolução do Phishing: Da AOL aos Dias Atuais

O phishing, tão conhecido e disseminado atualmente, não existe desde sempre. Embora a prática tenha surgido por volta de 1995, não se tornou amplamente reconhecida pelas pessoas comuns até quase uma década depois. No entanto, o phishing sempre foi uma ameaça significativa desde o início.

Os golpes de phishing usam e-mails e sites falsos como iscas para induzir as pessoas a fornecer voluntariamente informações sensíveis. O termo "phishing" é usado para descrever essas artimanhas, com o uso do "ph" no lugar do "f" na grafia por uma razão específica. Os primeiros hackers eram conhecidos como "phreaks," ligados à exploração de sistemas de telecomunicações. A grafia com "ph" estabeleceu a conexão entre esses golpes e essas comunidades clandestinas.

De acordo com registros da Internet, a primeira vez que o termo "phishing" foi usado e registrado foi em 2 de janeiro de 1996, em um grupo de notícias Usenet chamado AOHell. Foi na América Online (AOL) que surgiram os primeiros indícios do que se tornaria um problema criminal importante.

Origens do Phishing na América Online (AOL)

Na época em que a AOL era o principal provedor de acesso à Internet, milhões de pessoas se conectavam ao serviço todos os dias. Sua popularidade a tornou um alvo natural para aqueles com intenções duvidosas. Desde o início, hackers e aqueles que trocavam software pirateado usavam o serviço para se comunicar. Essa comunidade era chamada de "warez community" e, eventualmente, começou a realizar ataques de phishing.

Os phishers começaram roubando senhas de usuários e criando números de cartão de crédito aleatórios usando algoritmos. Embora raramente tivessem sucesso, causavam danos suficientes. Os números de cartão de crédito aleatórios eram usados para abrir contas da AOL, que eram usadas para enviar spam e outras atividades prejudiciais. Programas especiais, como o AOHell, simplificavam o processo. A AOL interrompeu essa prática em 1995, quando implementou medidas de segurança para evitar o uso bem-sucedido de números de cartão de crédito gerados aleatoriamente.

Com o fim do esquema de geração de números de cartão de crédito aleatórios, os phishers criaram técnicas que se tornariam comuns e duradouras. Eles enviavam mensagens para os usuários através do AOL Instant Messenger e e-mails, fazendo-se passar por funcionários da AOL. Essas mensagens solicitavam que os usuários verificassem suas contas ou confirmassem suas informações de pagamento. Muitas pessoas caíram na armadilha, pois nunca haviam visto nada parecido antes. O problema piorou quando os phishers criaram contas AIM pela Internet, que não podiam ser sancionadas pelo departamento de Termos de Serviço da AOL. Eventualmente, a AOL foi forçada a incluir avisos em seus clientes de e-mail e mensagens instantâneas para evitar que as pessoas fornecessem informações sensíveis por meio desses métodos.

Em muitos aspectos, o phishing não mudou muito desde os dias da AOL. Em 2001, porém, os phishers voltaram sua atenção para sistemas de pagamento online. O primeiro ataque, em junho de 2001, direcionou a E-Gold e não foi considerado bem-sucedido, mas plantou uma semente importante. No final de 2003, os phishers registraram dezenas de domínios que pareciam sites legítimos, como eBay e PayPal. Eles usaram programas de e-mail para enviar e-mails falsificados aos clientes do PayPal, levando-os a sites falsos para atualizar seus detalhes de cartão de crédito.

No início de 2004, os phishers estavam obtendo sucesso em ataques a sites bancários e seus clientes. Janelas pop-up eram usadas para coletar informações sensíveis das vítimas. Entre maio de 2004 e maio de 2005, cerca de 1,2 milhão de usuários nos EUA sofreram perdas causadas por phishing, totalizando aproximadamente US$ 929 milhões. As organizações perdem cerca de US$ 2 bilhões por ano com o phishing.

O phishing é oficialmente reconhecido como parte integral do mercado negro. Software especializado surge em escala global para lidar com pagamentos de phishing, terceirizando enormes riscos. O software é implementado em campanhas de phishing por gangues do crime organizado.

No final de 2008, o Bitcoin e outras criptomoedas foram lançados, permitindo transações seguras e anônimas usando software malicioso, mudando o cenário para os cibercriminosos.

A partir de 2017, os phishers começaram a adotar o HTTPS com mais frequência em seus sites. Quando você clica em um link de phishing, os sites que tentam enganá-lo a inserir credenciais e informações pessoais implementam a criptografia da web pelo menos 24% das vezes. A presença do cadeado verde pode dar uma falsa sensação de segurança. Na realidade, isso apenas indica que o tráfego entre o servidor e o navegador do usuário está criptografado e protegido contra interceptações.

Um ataque de phishing direcionado a organizações associadas aos Jogos Olímpicos de Inverno de 2018 foi o primeiro a usar uma ferramenta do PowerShell chamada Invoke-PSImage, permitindo que invasores ocultassem scripts maliciosos em arquivos de imagem que, a princípio, parecem inofensivos. Em 2018, as campanhas de phishing de cartões-presente que começaram em 2018 continuaram a evoluir em 2019, com cybercriminosos aprimorando suas táticas para coletar informações pessoais e financeiras de alvos inconscientes.

Os ataques de "hijacking" de conversações, nos quais hackers se inserem em conversas de e-mail entre partes conhecidas e confiáveis, começaram a ser usados. Em 2019, o "Vendor Email Compromise" surgiu como um novo tipo de ataque, visando organizações com cadeias de suprimentos globais.

Em 2020, as táticas de phishing continuaram a evoluir, incluindo o redirecionamento de links de e-mail para resultados falsos de pesquisa do Google, páginas de login falsas e campanhas relacionadas à pandemia. Essas mudanças na maneira de pensar dos atacantes tornam essencial que as organizações não considerem apenas suas soluções de segurança como última linha de defesa. Os usuários devem desempenhar um papel fundamental na segurança organizacional.

O phishing envolve um atacante tentando enganar alguém para fornecer informações sensíveis de sua conta ou outros dados de login online. Todos os diferentes tipos de phishing são projetados para tirar vantagem do fato de que muitas pessoas fazem negócios pela internet. Isso torna o phishing uma das ameaças de cibersegurança mais prevalentes, rivalizando com ataques de negação de serviço distribuído (DDoS), violações de dados e muitos tipos de malware.

Phishing Direcionado (Spear Phishing)
Envolvendo o direcionamento de um indivíduo específico na organização para roubar suas credenciais de login.O atacante geralmente coleta informações sobre a pessoa, como nome, cargo e detalhes de contato.

Phishing por Telefone (Vishing)
Usando o telefone para tentar roubar informações, com o atacante se passando por uma pessoa de confiança ou parente.

Phishing por E-mail (Email Phishing)
Enviando e-mails que parecem legítimos, projetados para enganar o destinatário a fornecer informações em resposta ou em um site usado pelo hacker para roubar ou vender dados.

Phishing por HTTPS (HTTPS Phishing)
Envolvendo o envio de um e-mail com um link para um site falso, enganando a vítima a fornecer informações privadas.

Pharming
Código malicioso instalado no computador da vítima, redirecionando-a para um site falso projetado para coletar suas credenciais de login.

Phishing de Pop-up (Pop-up Phishing)
Usando pop-ups que alegam problemas de segurança no computador para induzir a vítima a clicar e baixar malware ou ligar para um suposto centro de suporte.

Phishing do Gêmeo Malévolo (Evil Twin Phishing)
Configurando uma falsa rede Wi-Fi que parece real, capturando informações quando alguém faz login.

Phishing do Local de Bebida (Watering Hole Phishing)
Envolvendo o ataque a um site que um grupo de usuários costuma visitar, a fim de infectar seus computadores e acessar a rede.

Whaling
Ataque de phishing direcionado a um executivo sênior, que frequentemente tem acesso a áreas sensíveis da rede.

Phishing de Clonagem (Clone Phishing)
O atacante faz uma cópia idêntica de uma mensagem que o destinatário já recebeu, incluindo um link malicioso.

Phishing Enganoso (Deceptive Phishing)
Usando tecnologia enganosa para se passar por uma empresa real e informar as vítimas de que já estão sofrendo um ciberataque, levando-as a clicar em um link malicioso.

Engenharia Social (Social Engineering)
Pressionando alguém a revelar informações sensíveis por meio de manipulação psicológica.

Phishing de Pescador (Angler Phishing)
Usando postagens falsas nas redes sociais para fazer as pessoas fornecerem informações de login ou baixarem malware.

Phishing por Mensagem de Texto (Smishing)
Phishing por meio de mensagens de texto ou SMS.

Ataques Man-in-the-Middle (MITM)
O hacker se insere "no meio" de duas partes para roubar informações trocadas entre elas, como credenciais de conta.

Phishing de Falsificação de Sites (Website Spoofing)
O hacker cria um site falso que parece legítimo, onde as vítimas inserem suas informações.

Phishing de Falsificação de Domínio (Domain Spoofing)
O atacante imita o domínio de uma empresa para enganar as pessoas a fornecer informações.

Phishing de Imagens (Image Phishing)
Usando imagens com arquivos maliciosos para roubar informações da conta ou infectar o computador.

Phishing de Mecanismo de Busca (Search Engine Phishing)
Criando produtos falsos em mecanismos de busca para roubar informações antes da compra.

Identificar um ataque de phishing pode ser desafiador, já que os criminosos usam táticas de engano avançadas. No entanto, alguns sinais de alerta incluem:

Erros de ortografia e gramática em mensagens e sites.

URLs suspeitas
Verifique se o URL corresponde à instituição real.

Solicitações de informações pessoais
Empresas legítimas raramente solicitam informações confidenciais por e-mail ou telefone.

Pressão para agir rapidamente
Criminosos costumam criar um senso de urgência.

Mantenha-se Informado Sobre Técnicas de Phishing – Novos golpes de phishing são desenvolvidos o tempo todo. Sem ficar por dentro dessas novas técnicas, você pode inadvertidamente cair em uma delas. Esteja atento às notícias sobre novos golpes de phishing. Descobrindo-os o mais cedo possível, você estará em um risco muito menor de ser pego por um. Para administradores de TI, treinamentos contínuos de conscientização de segurança e simulações de phishing para todos os usuários são altamente recomendados para manter a segurança em mente em toda a organização.

Pense Antes de Clicar! – Está tudo bem clicar em links quando você está em sites confiáveis. No entanto, clicar em links que aparecem em e-mails aleatórios e mensagens instantâneas não é uma jogada inteligente. Passe o mouse sobre os links sobre os quais você não tem certeza antes de clicar neles. Eles levam para onde deveriam? Um e-mail de phishing pode alegar ser de uma empresa legítima e, quando você clica no link para o site, ele pode parecer exatamente com o site real. O e-mail pode pedir que você preencha as informações, mas pode não conter o seu nome. A maioria dos e-mails de phishing começa com "Prezado Cliente", então você deve ficar alerta ao encontrar esses e-mails. Em caso de dúvida, vá diretamente à fonte em vez de clicar em um link potencialmente perigoso.

Verifique a Segurança de um Site – É natural ficar um pouco desconfiado ao fornecer informações financeiras sensíveis online. Contanto que você esteja em um site seguro, no entanto, você não deverá ter problemas. Antes de enviar qualquer informação, certifique-se de que o URL do site comece com "https" e haja um ícone de cadeado fechado perto da barra de endereço. Verifique também o certificado de segurança do site. Se você receber uma mensagem dizendo que um determinado site pode conter arquivos maliciosos, não abra o site. Nunca faça download de arquivos de e-mails ou sites suspeitos. Até os motores de busca podem mostrar links que levam os usuários a uma página de phishing que oferece produtos a baixo custo. Se o usuário fizer compras em um site assim, os detalhes do cartão de crédito serão acessados por cibercriminosos.

Verifique Suas Contas Online Regularmente – Se você não visita uma conta online por um tempo, alguém pode estar se divertindo com ela. Mesmo que você tecnicamente não precise, verifique regularmente cada uma de suas contas online. Adquira o hábito de alterar suas senhas regularmente também. Para evitar golpes de phishing bancário e de cartão de crédito, você deve verificar pessoalmente seus extratos regularmente. Obtenha extratos mensais de suas contas financeiras e verifique cuidadosamente cada entrada para garantir que nenhuma transação fraudulenta tenha sido feita sem o seu conhecimento.

Mantenha Seu Navegador Atualizado – Correções de segurança são lançadas para navegadores populares o tempo todo. Elas são lançadas em resposta às brechas de segurança que golpistas e outros hackers inevitavelmente descobrem e exploram. Se você geralmente ignora mensagens sobre atualizar seus navegadores, pare. Assim que uma atualização estiver disponível, faça o download e instale-a.

Use Firewalls – Firewalls de alta qualidade funcionam como barreiras entre você, seu computador e intrusos externos. Você deve usar dois tipos diferentes: um firewall de desktop e um firewall de rede. A primeira opção é um tipo de software, e a segunda é um tipo de hardware. Quando usados juntos, eles reduzem drasticamente as chances de hackers e golpistas infiltrarem seu computador ou rede.

Desconfie de Pop-Ups – Janelas pop-up frequentemente se disfarçam como componentes legítimos de um site. Com muita frequência, no entanto, são tentativas de phishing. Muitos navegadores populares permitem que você bloqueie pop-ups; você pode permiti-los caso a caso. Se um pop-up passar pelas brechas, não clique no botão "Cancelar"; esses botões geralmente levam a sites de phishing. Em vez disso, clique no pequeno "x" no canto superior da janela.

Nunca Forneça Informações Pessoais – Como regra geral, você nunca deve compartilhar informações pessoais ou financeiramente sensíveis pela Internet. Essa regra remonta aos dias do America Online, quando os usuários tinham que ser constantemente avisados devido ao sucesso dos primeiros golpes de phishing. Em caso de dúvida, visite o site principal da empresa em questão, pegue o número deles e ligue para eles. A maioria dos e-mails de phishing direcionará você para páginas que solicitam informações financeiras ou pessoais. Um usuário da Internet nunca deve fornecer informações confidenciais por meio dos links fornecidos nos e-mails. Nunca envie um e-mail com informações sensíveis para ninguém. Faça disso um hábito de verificar o endereço do site. Um site seguro sempre começa com "https".

Use Software Antivírus – Existem muitas razões para usar software antivírus. Assinaturas especiais que estão incluídas no software antivírus protegem contra contornos de tecnologia conhecidos e brechas. Certifique-se apenas de manter seu software atualizado. Novas definições são adicionadas o tempo todo porque novos golpes também são inventados o tempo todo. Anti-spyware e configurações de firewall devem ser usadas para prevenir ataques de phishing e os usuários devem atualizar os programas regularmente. A proteção de firewall impede o acesso a arquivos maliciosos bloqueando os ataques. O software antivírus verifica todos os arquivos que passam pela Internet para o seu computador. Ele ajuda a prevenir danos

Adote abordagens de Autenticação Multifatorial (MFA) em todas as suas contas online - Essas estratégias desempenham um papel fundamental na salvaguarda das suas contas contra ameaças de phishing. Embora existam diversas modalidades para implementar o MFA, como aplicativos, mensagens de texto (SMS) ou e-mails, a abordagem mais segura envolve a utilização de dispositivos de hardware que seguem os padrões do FIDO (Fast Identity Online).


O Que é a Autenticação Multifatorial (MFA)/Autenticação de dois fatores (2FA)

Ao acessar suas contas online - um processo que chamamos de "autenticação" - você está provando para o serviço que você é quem diz ser. Tradicionalmente, isso é feito com um nome de usuário e uma senha. Infelizmente, essa não é uma maneira muito eficaz de fazer isso. Nomes de usuário muitas vezes são fáceis de descobrir; às vezes, eles são apenas seu endereço de e-mail. Como senhas podem ser difíceis de lembrar, as pessoas tendem a escolher senhas simples ou usar a mesma senha em vários sites diferentes.

É por isso que quase todos os serviços online - bancos, redes sociais, compras e sim, Microsoft 365 também - adicionaram uma maneira de tornar suas contas mais seguras. Você pode ouvir falar disso como "Verificação em Duas Etapas" ou "Autenticação Multifatorial", mas todos eles operam com o mesmo princípio. Quando você faz login na conta pela primeira vez em um novo dispositivo ou aplicativo (como um navegador da web), você precisa de mais do que apenas o nome de usuário e a senha. Você precisa de uma segunda coisa - o que chamamos de segundo "fator" - para provar quem você é.

Um fator na autenticação é uma maneira de confirmar sua identidade quando você tenta fazer login. Por exemplo, uma senha é um tipo de fator, é algo que você sabe. Os três tipos mais comuns de fatores são:

Algo que você sabe - Como uma senha ou um PIN memorizado.

Algo que você tem - Como um smartphone ou uma chave USB segura.

Algo que você é - Como uma impressão digital ou reconhecimento facial.

Como Funciona a Autenticação Multifatorial?

Vamos supor que você vai fazer login na sua conta de trabalho ou escola e insere seu nome de usuário e senha. Se isso for tudo o que você precisa, qualquer pessoa que conheça seu nome de usuário e senha pode fazer login como você de qualquer lugar do mundo!

Mas se você tem a autenticação multifatorial ativada, as coisas ficam mais interessantes. Na primeira vez que você faz login em um dispositivo ou aplicativo, você insere seu nome de usuário e senha como de costume e, em seguida, recebe uma solicitação para inserir o segundo fator para verificar sua identidade.

Talvez você esteja usando o aplicativo gratuito Microsoft Authenticator como seu segundo fator. Você abre o aplicativo no seu smartphone, ele mostra um número de 6 dígitos exclusivo e dinamicamente criado que você digita no site e você entra.

Se outra pessoa tentar fazer login como você, no entanto, ela inserirá seu nome de usuário e senha e, quando for solicitada a inserir o segundo fator, ficará presa! A menos que tenha O SEU smartphone, ela não tem como obter aquele número de 6 dígitos para inserir. E o número de 6 dígitos no Microsoft Authenticator muda a cada 30 segundos, então mesmo que ela saiba o número que você usou para fazer login ontem, ainda ficará bloqueada.

Você não terá que fazer a segunda etapa com muita frequência. Algumas pessoas se preocupam que a autenticação multifatorial será muito inconveniente, mas geralmente ela é usada apenas na primeira vez que você faz login em um aplicativo ou dispositivo, ou na primeira vez que faz login após alterar sua senha. Depois disso, você só precisará do seu fator primário, geralmente uma senha, como faz agora.

A segurança adicional vem do fato de que alguém tentando invadir sua conta provavelmente não está usando seu dispositivo, então eles precisarão do segundo fator para entrar.

A autenticação multifatorial não é apenas para trabalho ou escola. Quase todos os serviços online, desde seu banco até seu e-mail pessoal e suas contas de redes sociais, oferecem suporte para adicionar uma segunda etapa de autenticação, e você deve acessar as configurações de conta desses serviços e ativá-la.

Senhas comprometidas são uma das maneiras mais comuns pelas quais os mal-intencionados podem acessar seus dados, sua identidade ou seu dinheiro. Usar a autenticação multifatorial é uma das maneiras mais fáceis de tornar isso muito mais difícil para eles.

As empresas desempenham um papel crucial na luta contra o phishing, pois são frequentemente alvos de ataques cibernéticos. Implementar uma abordagem abrangente de segurança cibernética é essencial para proteger não apenas os dados da empresa, mas também para contribuir para a segurança global da Internet. Aqui estão algumas diretrizes detalhadas para empresas:

Como resposta à crescente demanda por soluções eficientes e flexíveis, muitas empresas têm feito a opção inteligente de aderir ao Azure, a solução de nuvem da Microsoft. Sua praticidade e adaptabilidade se destacam como atributos fundamentais, impulsionando essa escolha. O Azure oferece uma gama notável de serviços e produtos, perfeitamente integrados, que vão além da simples hospedagem em nuvem. Isso se torna particularmente valioso quando consideramos a extensa gama de produtos Microsoft, como o Pacote Office. A integração harmoniosa entre o Azure e produtos como o Office resulta em uma poderosa sinergia que não apenas otimiza operações, mas também impulsiona a colaboração e a produtividade em um ecossistema digital coeso.

A notável compatibilidade do Azure se estende de maneira excepcional a várias aplicações. Através da integração com o Azure Active Directory, as instituições podem aproveitar as mesmas credenciais unificadas para acessar uma variedade de serviços, incluindo VPNs. Essa abordagem não apenas simplifica o processo de autenticação, mas também oferece uma "gestão de acessos" de excelência, onde as permissões podem ser centralmente controladas e monitoradas. Isso proporciona um nível mais alto de segurança, permitindo que as organizações concedam acesso somente a indivíduos autorizados, fortalecendo a postura geral de segurança e garantindo a integridade dos dados sensíveis.

Uma dimensão altamente relevante envolve a capacidade de aprimorar a segurança das credenciais do Azure por meio da implementação de autenticação de dois fatores. Nesse cenário, as Chaves de Segurança Locket desempenham um papel de integração excepcional, oferecendo uma solução harmoniosa. O processo de combinação se desenrola de maneira coesa: sempre que as credenciais do Azure são utilizadas, as Chaves de Segurança Locket proporcionam uma camada suplementar de proteção. O grande destaque reside na independência dessas chaves em relação aos dispositivos móveis, eliminando a necessidade de envolver esses aparelhos – frequentemente suscetíveis a riscos – para a autenticação. Essa particularidade não somente reduz as vulnerabilidades ligadas ao uso de celulares, mas também reforça a robustez do sistema de autenticação de dois fatores ao garantir uma autenticação sólida sem depender de um dispositivo específico.

Ao implementar essa abordagem, as organizações podem evitar os riscos inerentes à dependência de dispositivos móveis para autenticação. A notória suscetibilidade desses dispositivos a ataques, como phishing e malware, pode comprometer a segurança dos dados. A convergência das Chaves de Segurança Locket com as credenciais do Azure oferece uma alternativa de autenticação robusta que transcende a fragilidade dos dispositivos móveis. Isso não apenas reforça a proteção dos ativos empresariais, mas também simplifica a experiência de autenticação para os usuários. A possibilidade de autenticar sem recorrer a dispositivos móveis coloca a segurança diretamente nas mãos dos usuários de forma confiável e eficaz, criando um ambiente de acesso mais seguro e confiável para as operações diárias da empresa.

Chave de Segurança + Azure Active Directory

No mundo moderno altamente conectado em que vivemos, as ameaças cibernéticas representam uma preocupação crescente para todas as empresas, independentemente de seu tamanho ou setor de atuação. Assim como investimos em sistemas de segurança para proteger nossas casas, carros e escritórios, é fundamental entender que também precisamos proteger nossos ativos digitais no ambiente virtual.

A cibersegurança é um conceito que muitas vezes passa despercebido por gestores e empreendedores que não têm familiaridade com o mundo da tecnologia. Afinal, para muitos, é difícil visualizar a realidade das ameaças cibernéticas mesmo quando estão à frente de um computador. No entanto, é fundamental compreender que as ameaças virtuais estão tão presentes quanto as ameaças físicas, e seus impactos podem ser igualmente devastadores para um negócio.

Assim como nos preocupamos com cercas, alarmes e câmeras para proteger nossas propriedades físicas, precisamos investir em medidas de segurança cibernética para garantir a proteção de nossos ativos digitais. As vulnerabilidades existem, e os cibercriminosos estão sempre em busca de brechas para explorar. Eles podem sequestrar informações confidenciais, roubar dados de clientes, paralisar operações e causar prejuízos financeiros significativos.

Imagine, por exemplo, um cenário em que um ataque cibernético compromete os sistemas de sua empresa, tornando-os inacessíveis e causando a perda de dados importantes. As operações seriam interrompidas, os clientes ficariam insatisfeitos e sua reputação estaria em risco. Os custos envolvidos na recuperação do incidente e a reparação dos danos podem ser muito maiores do que o investimento preventivo em cibersegurança.

Portanto, é hora de criar uma consciência sobre a importância da cibersegurança e entender que o cenário virtual requer proteção tão vigorosa quanto o mundo físico. Implementar medidas de segurança cibernética é um investimento estratégico para proteger os dados e garantir a continuidade dos negócios.

A chave para proteger seu negócio no mundo virtual está na conscientização, educação e investimento em soluções de segurança cibernética adequadas. Treinar seus funcionários sobre as melhores práticas de segurança, manter sistemas e software atualizados e investir em tecnologias de cibersegurança confiáveis são passos essenciais para reduzir o risco de ataques e garantir a segurança de seus ativos digitais.E claro, conte com as Chaves de Segurança Lockeet, para proteger os acessos de todo o seu ambiente corporativo.

Não espere ser vítima de um ataque cibernético para tomar medidas. Prevenir é sempre mais econômico e menos doloroso do que remediar. Assuma o controle de sua segurança cibernética e proteja seu negócio no mundo virtual.

A segurança dos dados e informações em ambientes corporativos é uma preocupação constante para empresas de todos os setores. Um dos pontos críticos a serem considerados é a forma de autenticação utilizada pelos colaboradores para acessar sistemas e dados sensíveis.

Muitas empresas recorrem à utilização de celulares particulares como forma de autenticação, porém, esta prática pode trazer riscos significativos e desafios para a segurança e a gestão de TI.

Restrições de Confidencialidade e Questões Legais

Muitas vezes, a presença de dispositivos móveis pessoais na empresa pode violar as políticas internas de segurança e comprometer a privacidade dos dados. Além disso, a Lei Geral de Proteção de Dados (LGPD) impõe requisitos rigorosos para o tratamento de informações pessoais, e a utilização de celulares particulares para autenticação pode ser um ponto de vulnerabilidade, aumentando o risco de violação de dados e possíveis sanções legais.

A aquisição de celulares corporativos pode ser uma alternativa, mas os custos envolvidos podem ser altos, mesmo para modelos mais simples. Além disso, os dispositivos móveis estão sujeitos a desgaste físico e podem exigir manutenção frequente ou substituição, o que aumenta ainda mais os gastos. O controle desses dispositivos também pode ser um desafio, pois é necessário gerenciar e atualizar regularmente o software e as configurações de segurança para evitar vulnerabilidades de malware e ataques cibernéticos.

Chaves de Segurança Lockeet: Solução Prática e Segura

As Chaves de Segurança Lockeet oferecem uma alternativa mais segura e prática para a autenticação empresarial. Com tecnologia USB-A e NFC, as chaves proporcionam uma autenticação de dois fatores sólida, tornando os acessos muito mais seguros. Essas chaves são dispositivos próprios da empresa, o que garante maior controle e gerenciamento eficiente, sem a necessidade de utilizar dispositivos móveis pessoais. Além disso, o uso das chaves de segurança também contribui para o cumprimento das políticas de segurança e das regulamentações de proteção de dados, reduzindo significativamente os riscos de violações e incidentes de segurança.

Por tanto, a  utilização de celulares particulares para autenticação empresarial pode trazer riscos e desafios significativos, impactando negativamente a segurança dos dados e a conformidade com as regulamentações. Nesse contexto, as Chaves de Segurança Lockeet surgem como uma solução atrativa, fornecendo autenticação robusta, controle eficiente e contribuindo para a proteção dos dados da empresa.

Investir em uma abordagem de autenticação mais segura é fundamental para garantir a confidencialidade dos dados e a tranquilidade das empresas diante das ameaças cibernéticas cada vez mais sofisticadas.

Riscos de Utilizar o Celular Pessoal para Assuntos Empresariais: Esteja Ciente dos Perigos

Caro leitor, enfrentar uma invasão em sua empresa é uma situação preocupante e desafiadora. Saber como agir de forma eficaz é essencial para minimizar os danos e proteger seus dados sensíveis. Neste texto, abordaremos um guia passo a passo para uma contenção eficaz diante de uma invasão cibernética. Além disso, destacaremos os possíveis danos envolvidos nesse tipo de incidente, ressaltando a importância da prevenção como uma estratégia fundamental. Acompanhe-nos nesta jornada de aconselhamento para uma resposta assertiva a incidentes de segurança.

Quando sua empresa é invadida, você, como líder, é confrontado com a responsabilidade de tomar decisões cruciais. Nesse sentido, compartilhamos a seguir um plano de ação que pode ajudá-lo a lidar de maneira efetiva com uma invasão e minimizar as consequências negativas.

Ao identificar uma possível invasão, é fundamental agir rapidamente. O primeiro passo é formar uma equipe responsável para lidar com o incidente, que deve incluir especialistas em segurança cibernética, membros da equipe de TI e, se necessário, profissionais jurídicos. Essa equipe será responsável por reconhecer e avaliar a invasão, garantindo uma resposta adequada.

Em seguida, é importante isolar e conter a invasão. Desconectar os servidores afetados e desativar contas de usuário suspeitas é crucial para evitar que o ataque se espalhe para outros sistemas. Restringir o acesso às áreas comprometidas também é essencial para minimizar danos adicionais. Documentar todas as etapas tomadas é fundamental para análises posteriores.

Avaliar a extensão do dano é outro passo importante. Uma análise abrangente permitirá identificar quais dados foram acessados ou roubados durante a invasão. Se necessário, contar com o suporte de empresas especializadas em resposta a incidentes pode ser uma opção. Quanto mais cedo você compreender o impacto do incidente, melhor será para tomar medidas de mitigação.

Comunicar as partes interessadas de maneira transparente é fundamental. Informe seus clientes, fornecedores e parceiros comerciais sobre o ocorrido, explicando as ações tomadas para conter a invasão e proteger os dados. Assumir a responsabilidade e oferecer suporte aos afetados contribuirá para manter a confiança e a credibilidade da sua empresa.

Após a contenção do incidente, é crucial fortalecer a segurança da empresa. Faça uma revisão das práticas de segurança existentes e implemente melhorias onde necessário. Considere investir em soluções avançadas, como as chaves de segurança Lockeet, que proporcionam uma proteção sem igual aos acessos. Certifique-se de treinar regularmente sua equipe para que esteja atualizada com as melhores práticas de segurança cibernética.

É importante ressaltar que nenhuma empresa está imune a ataques cibernéticos. No entanto, estar preparado para enfrentar essas situações e agir com rapidez pode fazer toda a diferença na contenção dos danos e na proteção dos seus dados valiosos.

Lembre-se de que a prevenção é sempre a melhor estratégia. Investir em soluções de segurança robustas, como as chaves de segurança Lockeet, oferecerá uma camada adicional de proteção aos acessos da sua empresa, reduzindo significativamente o risco de invasões.

Ataques cibernéticos e cibersegurança para Empresas

Os ataques de phishing representam uma ameaça significativa para as empresas, e os CEO's desempenham um papel crucial na proteção dos negócios contra essas investidas maliciosas. Com a sofisticação crescente dos ataques e o uso de técnicas avançadas de engenharia social, é fundamental que os líderes estejam bem informados e preparados para identificar e se proteger contra o phishing. Neste artigo, discutiremos algumas dicas importantes para os CEO's reconhecerem os sinais de ataques de phishing e adotarem medidas proativas para manterem-se seguros.

Esteja atento a solicitações urgentes e incomuns

Os ataques de phishing frequentemente tentam induzir as vítimas a agirem rapidamente, criando um senso de urgência. CEO's devem estar atentos a solicitações de informações sensíveis ou transferências financeiras urgentes, especialmente se elas vierem de fontes não verificadas. Sempre verifique a autenticidade da solicitação, entrando em contato diretamente com a pessoa ou departamento envolvido, utilizando informações de contato confiáveis.

Analise cuidadosamente os remetentes de e-mails e mensagens

Os cibercriminosos são especialistas em criar e-mails falsos que se assemelham a comunicações legítimas. Verifique cuidadosamente os endereços de e-mail dos remetentes, procurando por erros ortográficos ou discrepâncias sutis. Além disso, desconfie de mensagens inesperadas, especialmente se contiverem links ou anexos suspeitos. Nunca clique em links ou baixe arquivos de origem desconhecida.

Mantenha-se atualizado sobre as últimas tendências em phishing

Os ataques de phishing estão em constante evolução, e é fundamental que os CEO's estejam atualizados sobre as últimas tendências e técnicas utilizadas pelos cibercriminosos. Fique atento a notícias e alertas de segurança, participe de treinamentos e capacitações sobre conscientização em segurança cibernética e compartilhe essas informações com a equipe para criar uma cultura de segurança sólida na organização.

Implemente autenticação de dois fatores com chaves de segurança FIDO

Uma medida eficaz para proteger contra ataques de phishing é a implementação de autenticação de dois fatores (2FA) com o uso de chaves de segurança FIDO. As chaves de segurança FIDO, como as fornecidas pela Lockeet, adicionam uma camada adicional de segurança ao processo de login, exigindo a presença física do usuário para autenticação. Isso dificulta significativamente o sucesso de ataques de phishing, uma vez que mesmo se as credenciais forem comprometidas, os invasores não terão acesso à chave física para completar o processo de autenticação.

A identificação e proteção contra ataques de phishing são fundamentais para a segurança das empresas e a manutenção da integridade de seus dados. Os CEO's desempenham um papel vital nesse processo, pois são alvos privilegiados devido à sua posição estratégica. Ao adotar uma abordagem proativa e implementar medidas como a conscientização da equipe, a adoção de práticas de verificação cuidadosa de comunicações e o uso de tecnologias avançadas, como as chaves de segurança FIDO da Lockeet, os CEO's podem fortalecer a segurança cibernética de suas organizações. A proteção contra ataques de phishing é uma responsabilidade compartilhada, e ao trabalharmos juntos, podemos reduzir significativamente os riscos e garantir um ambiente digital mais seguro e confiável para todos.

Os dispositivos móveis apresentam diversas preocupações de segurança, como perda física ou roubo, aplicativos maliciosos, acesso a redes Wi-Fi não seguras e ataques de phishing direcionados. A perda física ou o roubo de um dispositivo pode resultar no acesso não autorizado a informações sensíveis, comprometendo a privacidade e a segurança dos dados. Além disso, aplicativos maliciosos podem ser baixados acidentalmente, expondo o dispositivo a ameaças de malware e roubo de dados. O uso de redes Wi-Fi não seguras aumenta o risco de interceptação de dados por parte de invasores. E, por fim, os ataques de phishing direcionados por meio de e-mails, mensagens ou chamadas podem enganar os usuários e levá-los a compartilhar informações confidenciais.

Gerenciamento de Dispositivos Móveis (MDM)

Para mitigar esses riscos, é essencial ter um eficiente Gerenciamento de Dispositivos Móveis (MDM). O MDM permite implementar políticas de segurança consistentes em dispositivos móveis, como a configuração de senhas fortes, a criptografia de dados e a restrição de instalação de aplicativos não autorizados. Além disso, um MDM eficiente pode oferecer recursos de rastreamento remoto e bloqueio de dispositivos perdidos ou roubados, garantindo a proteção dos dados em caso de perda física. Também pode monitorar e detectar aplicativos maliciosos, bem como impedir o acesso a redes Wi-Fi não seguras. Além disso, ao educar e conscientizar os usuários sobre os riscos de phishing, um MDM pode ajudar a prevenir ataques direcionados, garantindo que os funcionários não sejam enganados por mensagens fraudulentas.

A chave de segurança Lockeet pode proteger os usuários em várias dessas situações. Em caso de perda física ou roubo do dispositivo móvel, a chave de segurança Lockeet oferece autenticação de dois fatores (2FA) robusta. Mesmo que um invasor tenha acesso às credenciais de login do usuário, ele não conseguirá acessar a conta sem a chave física, adicionando uma camada adicional de segurança.

No caso de aplicativos maliciosos, a chave de segurança Lockeet pode ser utilizada para autenticar a identidade do usuário ao fazer login em um aplicativo. Dessa forma, mesmo que um aplicativo malicioso seja baixado acidentalmente, ele não terá acesso às informações protegidas pela chave, evitando roubos de dados e comprometimento da segurança.

Em relação ao acesso a redes Wi-Fi não seguras, a chave de segurança Lockeet pode ser utilizada para autenticar o usuário em redes confiáveis. Isso significa que, mesmo que o dispositivo móvel se conecte a uma rede Wi-Fi não segura, os invasores não poderão acessar as informações protegidas pela chave, mantendo os dados do usuário seguros.

Diariamente recebemos emails e mensagens que buscam captar a nossa atenção, muitas vezes disfarçados de um boleto de um cartão de crédito que você não tem, por outras  de uma promoção imperdível de uma loja que você muito bem conhece. O Phishing possui muitas faces, principalmente pela facilidade de se elaborar este golpe. Mas nem todo Phishing, é bobo, ou facilmente perceptível, por isso a Lockeet trouxe alguns dos tipos de phishing mais conhecidos e aplicados no dia a dia:

O spear phishing é uma forma mais direcionada de ataque, em que os hackers pesquisam e coletam informações específicas sobre indivíduos ou organizações antes de lançar o ataque. Eles personalizam os emails de phishing com detalhes pessoais ou profissionais para aumentar a probabilidade de sucesso. Esses ataques são altamente sofisticados e podem se passar por colegas de trabalho, parceiros de negócios ou até mesmo executivos de alto escalão.

O whaling é uma variação do spear phishing que se concentra em indivíduos de alto perfil, como CEOs, executivos de alto escalão ou outras figuras importantes dentro de uma organização. Os hackers miram nessas "baleias" devido ao acesso privilegiado que elas possuem a informações críticas e à capacidade de tomar decisões importantes. Os ataques de whaling geralmente envolvem táticas de engenharia social altamente convincentes para manipular as vítimas em ações prejudiciais.

O smishing é um ataque que ocorre através de mensagens de texto (SMS) enviadas para dispositivos móveis. Os hackers se passam por instituições legítimas, como bancos ou empresas de serviços, e solicitam que as vítimas cliquem em links suspeitos ou divulguem informações confidenciais por meio de respostas aos SMS (Famoso código do whatsapp) . Esses ataques exploram a confiança que as pessoas têm em suas mensagens de texto para enganar as vítimas.

O angler phishing é um tipo de ataque em que os hackers se aproveitam de plataformas de mídia social ou outros sites populares para atrair as vítimas. Eles criam perfis falsos ou sequestram contas legítimas e postam links maliciosos, vídeos ou conteúdo atraente que levam as pessoas a revelar informações confidenciais ou baixar malware.

No contexto do phishing, os hackers usam táticas de engenharia social para manipular as vítimas e explorar a psicologia humana. Por meio de emails, mensagens de texto ou perfis falsos convincentes, eles aproveitam a confiança, os medos e a falta de conhecimento das pessoas. Os ataques de phishing são projetados para induzir ações prejudiciais, como fornecer dados confidenciais, clicar em links maliciosos ou baixar arquivos infectados. Essas táticas exploram a curiosidade das vítimas, instigando o desejo de saber mais ou de evitar consequências negativas. Além disso, os hackers se aproveitam da confiança que as pessoas têm nas instituições legítimas, enganando-as ao se passarem por autoridades confiáveis. A engenharia social desempenha um papel crucial na persuasão das vítimas, manipulando suas emoções e confiança para que ajam contra seus próprios interesses, revelando informações confidenciais ou realizando ações que favoreçam os criminosos cibernéticos.

Entendemos até aqui que além da variedade as quais o phishing pode ser aplicado, ele também possui diferentes níveis de elaboração e quando combinado com a engenharia social ele acaba sendo extremamente eficiente. Inclusive, um dos casos de repercussão envolvendo phishing foi o da  apresentadora do Shark Tank,  Barbara Corcoran, onde ele teve um prejuízo estimado de US$ 400 mil. Mas para ser vítima de um golpe phishing você não precisa ser milionário, basta estar vulnerável. A solução? Bem, esta você já conhece, se não, entre em contato conosco e descubra como é simples estar seguro. 

Spear Phishing e outros principais tipos de ataque

Se você não está familiarizado com o termo MDM, talvez esse texto possa contribuir na introdução deste tema que além de essencial pode gerar páginas e páginas de conteúdo. Pois bem, Mobile Device Management, ou em português, Gerenciamento de dispositivos móveis é uma forma de gerir de maneira simplificada dispositivos móveis a fim de trazer segurança para o ambiente corporativo.

Pode parecer relativamente simples, no entanto quando começamos a contabilizar os dispositivos móveis de uma empresa, os números só tendem a aumentar. Nessa lista encontramos notebooks, tablets, e claro, smartphones.

O MDM permite que as empresas gerenciem seus dispositivos móveis de forma simplificada, fornecendo um controle centralizado sobre os mesmos. Com essa solução, é possível responder a perguntas fundamentais, como: 

• Como gerenciar uma grande quantidade de dispositivos de maneira assertiva? 
• Como garantir que apenas as pessoas autorizadas acessem os recursos corporativos?
• Como identificar se um dispositivo foi comprometido?

Quando não somos capazes de responder a estes questionamentos, é sinal de que há possibilidade de melhorias na gestão destes dispositivos. Um controle ineficaz destes pode comprometer inclusive os dados mais sensíveis de uma empresa, acarretando inclusive na interrupção  temporária de suas atividades, o que de fato tira o sono de qualquer gestor.

Diante de tantas vulnerabilidades, entendemos que é fundamental que soluções de MDM sejam adotadas no dia a dia de empresas de todos os tamanhos.  Os desafios são muitos, por isso é fundamental que caso a sua empresa ainda não possua uma solução MDM, que ela possa começar a preparar o terreno para esta adequação.

Para começar, recomendamos a realização de um inventário detalhado dos dispositivos, avaliando características como sistema operacional, marcas e configurações. Além disso, é de suma importância definir e implementar políticas de segurança adequadas para garantir a proteção dos dados corporativos.

E claro, a melhor solução para proteger os seus acessos você já conhece, é a Chave de Segurança Lockeet. A autenticação de dois fatores é fundamental, ela garantirá que invasores não façam acesso a estes dispositivos mesmo que em posse das credenciais do usuário. Através da Chave de Segurança é possível garantir um acesso seguro onde quer que o usuário esteja.

A Chave é a solução ideal para quando a sua empresa necessita de um alto nível de segurança, onde dispositivos como smartphones podem apresentar uma ameaça, o que acaba sendo um problema para empresas dos mais diversos segmentos.  Através da Chave de Segurança Lockeet, é possível garantir uma autenticação de dois fatores segura para suas aplicações, protegendo seus acessos como nenhuma outra solução, uma vez que ela não depende de dispositivos móveis para autenticar. A contribuição da Chave de Segurança para o MDM  acresce em muito a segurança de empresas que de fato necessitam o melhor que a tecnologia de autenticação pode oferecer.

Ao unir a expertise em MDM da Lockeet com as chaves de segurança FIDO, as empresas podem garantir um ambiente corporativo seguro, protegendo seus dispositivos móveis e dados sensíveis contra acessos não autorizados. O MDM engloba uma série de fatores e sua presença nas empresas é fundamental, por isso conte conosco para entender mais deste tema de desenvolvimento de medidas de MDM para sua empresa.

Estado do Mobile Device Management (MDM) em 2023

Passkeys são uma forma segura e prática de autenticação. A ideia por trás dos Passkeys é substituir as senhas tradicionais por uma chave criptográfica. Mas qual é a diferença entre Passkeys e chaves de segurança FIDO/FIDO2?

A expressão "chave de segurança" já se tornou a maneira padrão de descrever um dispositivo externo habilitado para FIDO, como uma chave de segurança Lockeet, que contém credenciais WebAuthn/FIDO. 

"Senha” é uma terminologia já universalmente entendida. Como essas credenciais WebAuthn/FIDO podem substituir senhas, a indústria introduziu o termo "Passkeys", que foi referenciado publicamente no ano passado na apresentação "senhas de acesso no iCloud Keychain" da Apple e em um recente artigo da WIRED. Neste post, usaremos "Passkeys" para nos referir a quaisquer credenciais WebAuthn/FIDO, independentemente de estarem em uma chave de segurança, vinculadas ao hardware do seu dispositivo ou mesmo armazenadas em arquivos no seu dispositivo que são copiados por um provedor de nuvem. À medida que essa nomenclatura começou a se proliferar, recebemos muitas perguntas de nossos clientes e parceiros sobre como definir Passkeys, como elas funcionam como opções de autenticação adicionais e como podem ser expandidas as opções de autenticação WebAuthn/FIDO. 

Até agora, as credenciais criadas por Chaves de Segurança e Autenticadores de Plataforma eram de um único dispositivo, ou seja, vinculadas ao hardware em que foram criadas. Essas são senhas de um único dispositivo. Eles têm boas propriedades de segurança e são fáceis de entender e construir sistemas confiáveis em torno deles: sem dispositivo, sem acesso.

E se adicionássemos uma credencial que pudesse ser copiada, sem vinculação ao hardware em que foi criada? Essas "senhas copiáveis em vários dispositivos" estão em beta em algumas plataformas hoje e recentemente foram lançadas pelo Google publicamente.

Credenciais copiáveis podem ajudar a resolver alguns dos desafios pelo uso de telefones como chaves de segurança, permitindo uma transição mais suave entre dispositivos e recuperação de perda/destruição de dispositivos. No entanto, isso vem com o custo de redução da segurança.