Introdução à Autenticação de Dois Fatores (2FA)

A Autenticação de Dois Fatores (2FA) tornou-se uma ferramenta essencial para melhorar a segurança e proteger informações sensíveis no cenário digital atual. Este guia abrangente tem como objetivo explicar o conceito de 2FA, sua importância e seus diversos métodos de implementação.

Para começar, a 2FA pode ser definida como uma medida de segurança que requer dos usuários a fornecerem dois fatores de autenticação diferentes antes de acessar uma conta ou sistema. Isso adiciona uma camada extra de proteção além da combinação tradicional de nome de usuário e senha, tornando significativamente mais difícil para pessoas não autorizadas violarem contas.

A importância da 2FA na melhoria da segurança não pode ser exagerada. Com o aumento das ameaças cibernéticas e violações de dados, depender apenas de senhas já não é mais suficiente. A 2FA atua como um impedimento para possíveis atacantes e reduz significativamente o risco de acesso não autorizado a informações sensíveis.

A evolução dos métodos de autenticação desempenhou um papel crucial no desenvolvimento da 2FA. Desde os primeiros dias de autenticação baseada em senha até as opções biométricas mais avançadas disponíveis hoje, o cenário de autenticação evoluiu continuamente para acompanhar as ameaças crescentes enfrentadas por indivíduos e organizações.

Em termos de fatores de autenticação, a 2FA é baseada geralmente no princípio de Algo que Você Sabe, Algo que Você Possui e Algo que Você É. Isso significa que os usuários precisam fornecer dois tipos diferentes de informações para verificar sua identidade, como uma senha (algo que você sabe) e uma digitalização de impressão digital (algo que você é).

Implementar a 2FA envolve um processo de várias etapas. Primeiro, o usuário fornece suas credenciais de login iniciais, geralmente um nome de usuário e senha. Depois disso, é necessário uma segunda camada de verificação, que pode assumir várias formas, dependendo do método de 2FA escolhido.

Existem vários tipos de métodos de 2FA para escolher, cada um com suas próprias vantagens e desvantagens. Tokens físicos, como chaves de segurança ou cartões inteligentes, fornecem uma forma tangível de autenticação. A autenticação por SMS e voz envolve receber um código único por mensagem de texto ou ligação telefônica. Aplicativos autenticadores geram códigos com tempo limitado que são sincronizados com o dispositivo do usuário. A autenticação por notificação push envia uma notificação para um dispositivo confiável, permitindo que o usuário aprove ou negue a tentativa de login. Por fim, a autenticação biométrica depende de características físicas únicas, como impressões digitais ou reconhecimento facial.

Implementar a 2FA traz inúmeras vantagens tanto para indivíduos quanto para organizações. Em primeiro lugar, adiciona uma camada extra de proteção, tornando significativamente mais difícil para os atacantes obterem acesso não autorizado a contas ou sistemas. Essa camada adicional atua como um impedimento eficaz contra ataques cibernéticos.

Além disso, a 2FA oferece proteção contra vários tipos de ataques cibernéticos, incluindo phishing de senha, preenchimento de credenciais e ataques de força bruta. Ao exigir uma segunda forma de autenticação, mesmo que um atacante consiga obter a senha do usuário, eles ainda precisariam ter acesso a um token físico ou fator biométrico para obter acesso.

O uso da 2FA também ajuda as organizações a cumprir requisitos regulatórios e padrões do setor. Muitos setores, como financeiro e saúde, têm regulamentos rígidos de proteção de dados em vigor. A implementação da 2FA demonstra um compromisso com a segurança, potencialmente evitando penalidades e ramificações legais associadas a violações de dados.

Além disso, a 2FA ajuda a construir a confiança do usuário ao proteger contas e fornecer tranquilidade. Quando os usuários sabem que suas informações estão protegidas por uma camada adicional de segurança, eles têm mais probabilidade de se envolverem e interagirem com plataformas online sem medo de que seus dados sejam comprometidos.

A autenticação de dois fatores (2FA) concede uma camada extra de proteção contra acessos não autorizados, mas não está isenta de limitações. Desafios como a clonagem de SIM e intercepção de mensagens de texto podem enfraquecer a segurança de métodos baseados em SMS. Tokens físicos, embora úteis, carregam o risco de serem perdidos ou roubados, enquanto o software de autenticação pode ser vulnerável a ataques de malware.

A 2FA também pode trazer inconveniências ligadas ao uso de dispositivos específicos, o que pode ser problemático em situações de perda ou inacessibilidade do dispositivo. Códigos gerados que expiram após curto período podem interromper o acesso oportuno, enquanto a mobilidade do usuário é desafiada em viagens internacionais devido a problemas com recebimento de SMS e roaming. A experiência do usuário também pode sofrer, já que alguns podem encontrar dificuldades com a adição de etapas de autenticação, levando à resistência na adoção desta segurança.

No entanto, a chave de segurança Lockeet com os protocolos FIDO e FIDO2 oferece uma solução superior de 2FA. Esses padrões são projetados para combater as fragilidades mencionadas:

1. Resistência a ataques de phishing e fraude de cartão SIM: Ao contrário da 2FA baseada em SMS, o FIDO/FIDO2 impede que invasores interceptem ou redirecionem códigos, pois a autenticação é feita diretamente com o site ou serviço.

2. Segurança sem problemas de gerenciamento: Tokens de hardware como o Lockeet eliminam o risco associado à perda de dispositivos, já que a autenticação não depende de um telefone ou outro dispositivo suscetível a roubo ou esquecimento.

3. Conveniência e usabilidade: A chave Lockeet oferece uma vivência de 2FA mais simples e intuitiva, minimizando barreiras para sua adoção por parte dos usuários.

Dessa forma, a implementação de chaves de segurança Lockeet utilizando os protocolos FIDO e FIDO2 demonstra ser a opção mais eficaz e conveniente, endereçando as vulnerabilidades da 2FA tradicional e promovendo uma proteção robusta e de fácil utilização para os usuários.

Melhores práticas para organizações que implementam a 2FA

As organizações devem priorizar a educação de seus funcionários e usuários sobre a importância da 2FA e o papel que ela desempenha na melhoria da segurança. Programas adequados de treinamento e conscientização podem ajudar os usuários a entender os benefícios e incentivá-los a adotar medidas de 2FA.

Ao implementar a 2FA, as organizações também devem equilibrar as necessidades de segurança com a usabilidade. É importante escolher uma solução de 2FA que atenda aos requisitos da organização sem sacrificar a facilidade de uso. Encontrar o equilíbrio certo garante que os funcionários e usuários tenham mais probabilidade de adotar a 2FA e seguir os protocolos de segurança.

Em conclusão, a 2FA é uma medida de segurança crucial que aumenta a proteção online em um mundo cada vez mais digital. Ao exigir dois fatores de autenticação diferentes, ela reduz significativamente o risco de acesso não autorizado e protege contra várias ameaças cibernéticas.

Adotar a 2FA para uso pessoal e empresarial é essencial para proteger informações sensíveis e evitar possíveis violações de segurança. É importante manter-se atualizado com as práticas de segurança e continuar se educando sobre as ameaças emergentes e os avanços na tecnologia de 2FA.

Seguindo as melhores práticas e implementando corretamente a 2FA, indivíduos e organizações podem aprimorar sua postura de segurança e construir um ambiente online mais seguro para todos.

Autenticação de Dois Fatores (2FA): Um Guia Completo

A segurança digital se tornou uma preocupação fundamental no mundo interconectado de hoje. Com ciberataques e violações de dados em ascensão, é crucial implementar medidas robustas de segurança, como a Autenticação de Dois Fatores (2FA). Neste guia, exploraremos o mundo das Chaves Físicas de 2FA e como elas podem melhorar sua segurança digital.

Chaves Físicas de 2FA são dispositivos físicos que fornecem uma camada adicional de segurança para autenticação. Elas são projetadas para serem usadas em conjunto com senhas tradicionais ou outros métodos de autenticação.

- Tokens de Hardware: Esses pequenos dispositivos geram e exibem códigos de acesso únicos (OTP) para autenticação.

- Chaves de Segurança USB: Essas chaves se conectam à porta USB do seu dispositivo e usam algoritmos criptográficos para verificar sua identidade.

- Chaves NFC e Bluetooth: Essas chaves usam a tecnologia Near Field Communication (NFC) ou Bluetooth para se comunicar com seu dispositivo para autenticação.

Como as Chaves Físicas de 2FA Funcionam?

As chaves físicas de 2FA funcionam exigindo algo que você sabe (como uma senha) e algo que você possui (a chave física) para autenticar sua identidade. Esse processo de verificação em duas etapas adiciona uma camada extra de segurança às suas contas online.

As chaves FIDO para autenticação de dois fatores (2FA) representam a melhor defesa contra phishing devido à sua robusta abordagem de segurança, que liga a autenticação ao hardware físico combinado com a comprovação de presença do usuário. Em vez de depender de senhas que podem ser interceptadas ou de códigos de verificação enviados via SMS ou e-mail, que são vulneráveis a ataques de interceptação ou simulação de dispositivo, as chaves FIDO funcionam como um dispositivo seguro e confiável que o usuário deve apresentar durante o processo de login. Elas utilizam criptografia de ponta e o protocolo WebAuthn, que não apenas verifica as credenciais de login, mas também se certifica de que o pedido de autenticação está sendo feito por um site legítimo, não uma página maliciosa disfarçada. Isso efetivamente reduz o risco de um usuário ser enganado por tentativas de phishing que buscam capturar dados sensíveis, pois mesmo que o usuário seja induzido a inserir suas credenciais em um site falso, sem a chave física FIDO adequada, o ataque não terá sucesso.

Embora as chaves físicas de 2FA sejam altamente seguras, elas podem apresentar algumas limitações e considerações. Isso inclui problemas de compatibilidade com determinados dispositivos ou serviços e a necessidade de opções de backup caso a chave não esteja disponível.

A Necessidade de Autenticação Mais Forte

Em uma era de ameaças cibernéticas cada vez mais sofisticadas, fica evidente a necessidade de métodos de autenticação mais fortes. O 2FA fornece uma camada adicional de proteção, exigindo que os usuários forneçam dois tipos de evidências antes de conceder o acesso.

Sistemas tradicionais de senhas são propensos a violações, pois os usuários muitas vezes escolhem senhas fracas e facilmente adivinháveis. O 2FA adiciona uma camada extra de segurança, tornando muito mais desafiador para indivíduos não autorizados obterem acesso.

2FA e Conformidade com Padrões de Segurança

Muitas regulamentações da indústria e padrões de segurança exigem a implementação de 2FA como parte de seus requisitos de conformidade. O uso de chaves físicas pode ajudar a atender a esses padrões e garantir um nível mais alto de proteção de dados.

2.4 Estudos de Caso: Implementação Bem-sucedida de 2FA

O Twitter tem se empenhado em aumentar o uso de chaves de segurança para prevenir ataques de phishing. Em junho, foi oferecida aos usuários a opção de usar várias chaves de segurança para proteger suas contas no Twitter. Internamente, também foram implementadas chaves de segurança para ajudar a prevenir incidentes de segurança, como o ocorrido no ano passado. Neste mês, durante o "Mês da Consciência em Segurança Cibernética", o Twitter compartilha alguns dos seus pensamentos e resultados sobre a implantação das chaves de segurança internamente.

Para implantar as chaves de segurança no Twitter, a empresa fez a transição de uma variedade de métodos de autenticação de dois fatores (2FA) para o uso exclusivo das chaves de segurança em seus sistemas internos. Esse processo envolveu diferentes etapas:

Seleção de um modelo de chave de segurança. O Twitter escolheu a combinação das chaves USB, USB-C e NFC, que são compatíveis tanto com USB para laptops quanto com NFC para dispositivos móveis Android e iOS.

Após selecionar o modelo, as chaves de segurança foram compradas e enviadas para mais de 5.500 indivíduos ao redor do mundo. 

A maioria dos sistemas internos do Twitter estão protegidos por um Sistema de Logon Único (SSO, na sigla em inglês). O provedor de SSO já suportava o WebAuthn, e foi habilitado o suporte tanto para as chaves de segurança quanto para os autenticadores de plataforma, como o TouchID. Ao permitir, mas não exigir, o uso desses dispositivos WebAuthn para o 2FA, os funcionários conseguiram cadastrar suas chaves de segurança à medida que as recebiam, sem perder o acesso aos sistemas antes da data de transição.

Devido à natureza do WebAuthn, os funcionários precisavam cadastrar suas chaves de segurança assim que as recebiam. Para ajudá-los, foram fornecidas orientações de cadastro, ilustradas com imagens e GIFs. A equipe de TI forneceu suporte crítico durante todo o processo.

O último passo foi desabilitar os métodos antigos de autenticação de dois fatores e tornar o uso das chaves de segurança obrigatório em todos os sistemas internos. Uma data de transição foi definida e compartilhada com toda a empresa um mês antes. Cerca de 90% dos funcionários já haviam se cadastrado até a data limite e 100% durante o mês seguinte, quando aqueles que estavam de férias ou licença retornaram.

Na conclusão do processo, 100% das contas de funcionários do Twitter migraram dos métodos antigos de 2FA para o uso obrigatório de chaves de segurança em menos de três meses.

À medida que o mundo continua a se digitalizar, garantir as nossas pegadas digitais se torna cada vez mais importante. Isso levou à evolução das medidas de cibersegurança, abrindo caminho para a inovação em tecnologias de autenticação. Uma dessas inovações é a tecnologia Near Field Communication (NFC), que trouxe um aumento significativo na segurança digital por meio de chaves de segurança NFC. Neste post, vamos explorar as capacidades das chaves de segurança NFC e seu potencial em aprimorar a proteção digital.

NFC, ou Near Field Communication, é um tipo de tecnologia sem fio que permite a comunicação de curto alcance entre dispositivos compatíveis. Ela permite que os dispositivos estabeleçam uma conexão segura ao aproximá-los um do outro. O NFC não é algo novo, tendo sido desenvolvido há mais de uma década, e é amplamente utilizado hoje em diversas aplicações, incluindo pagamentos móveis, venda de ingressos e até mesmo cartões-chave.

Aqui estão alguns dispositivos com compatibilidade NFC:

Celulares:iPhone 13, iPhone 13 mini, iPhone 13 Pro, iPhone 13 Pro MaxSamsung Galaxy S22, Samsung Galaxy S22+, Samsung Galaxy S22 UltraGoogle Pixel 7, Google Pixel 7 ProXiaomi 12, Xiaomi 12 Pro, Xiaomi 12XMotorola Edge 30 Pro, Motorola Edge 30OPPO Find X5 Pro, OPPO Find X5OnePlus 10 Pro

Tablets:iPad Air (5ª geração), iPad Pro (12,9 polegadas, 5ª geração), iPad Pro (11 polegadas, 3ª geração)Samsung Galaxy Tab S8, Samsung Galaxy Tab S8+, Samsung Galaxy Tab S8 UltraApple iPad mini (6ª geração)Motorola Moto Tab G70Lenovo Tab P12 ProOPPO Pad Air

Smartwatches:Apple Watch Series 7, Apple Watch SE, Samsung Galaxy Watch4, Samsung Galaxy Watch4 ClassicGoogle Pixel WatchXiaomi Mi Watch S1 ActiveHuawei Watch GT 3 ProOPPO Watch Free

Fones de ouvido:Apple AirPods Pro, Apple AirPods (3ª geração)Samsung Galaxy Buds Pro, Samsung Galaxy Buds 2Sony WF-1000XM4Bose QuietComfort EarbudsJabra Elite 7 ProOPPO Enco X2

A compatibilidade NFC permite que esses aparelhos realizem diversas tarefas, como:

Pagamentos sem contato: usando um aplicativo de carteira digital, como o Apple Pay ou o Google Pay, é possível fazer pagamentos com o aparelho simplesmente aproximando-o de um leitor NFC.

Transferência de arquivos: é possível transferir arquivos, como fotos, vídeos e contatos, de um aparelho para outro usando NFC.

Acesso a recursos: alguns aparelhos permitem que você use NFC para acessar recursos, como o transporte público ou cartões de acesso.

A compatibilidade NFC está se tornando cada vez mais comum em aparelhos eletrônicos, pois oferece uma maneira conveniente e segura de realizar diversas tarefas.

Comparando o NFC com Outras Tecnologias Sem Fio

O NFC difere bastante de outras tecnologias sem fio, como Bluetooth e RFID. Enquanto o Bluetooth e o RFID possuem capacidades de alcance maior, o NFC opera dentro de uma curta distância, geralmente a poucos centímetros. Essa curta distância oferece vantagens de segurança inerentes, reduzindo significativamente o risco de acesso não autorizado. Além disso, o NFC utiliza protocolos de criptografia segura, tornando-o altamente resistente a escutas e alterações de dados.

O Papel das Chaves de Segurança na Cibersegurança

A Evolução dos Métodos de Autenticação

Os métodos de autenticação evoluíram ao longo do tempo para combater a crescente sofisticação das ameaças cibernéticas. Desde senhas tradicionais até autenticação de vários fatores (MFA), o objetivo é fornecer máxima segurança sem sacrificar a usabilidade. As chaves de segurança NFC são uma incorporação desses avanços nos métodos de autenticação.

Por que as Chaves de Segurança são Essenciais

As chaves de segurança NFC oferecem várias vantagens em relação aos protocolos de autenticação tradicionais. Primeiramente, elas fornecem uma forma física de autenticação que não é facilmente reproduzível ou roubada, adicionando uma camada extra de segurança ao processo de autenticação digital. Em segundo lugar, as chaves de segurança são resistentes a ataques de phishing, pois requerem interação física com o dispositivo que está sendo autenticado. Por fim, as chaves de segurança NFC podem ser usadas em vários dispositivos e plataformas, oferecendo conveniência sem comprometer a segurança.

Uma Análise Detalhada das Chaves de Segurança NFC

A Anatomia de uma Chave de Segurança NFC

As chaves de segurança NFC são compostas por componentes únicos que permitem a comunicação segura entre a chave e o sistema operacional. Esses componentes incluem um chip NFC, armazenamento seguro para chaves de criptografia e um elemento de segurança para autenticação. Compreender o funcionamento interno da chave ajuda os usuários a confiarem em sua capacidade de proteger seus ativos digitais.

Configurar uma chave de segurança NFC é um processo simples. Os usuários precisam parear a chave com seus dispositivos e registrá-la nos serviços de autenticação apropriados. As chaves de segurança NFC são compatíveis com uma ampla gama de plataformas e dispositivos, incluindo smartphones, tablets e computadores. Acesse nossa documentação, onde abordamos o processo de configuração das principais plataformas: https://www.lockeet.com/documentacao

As chaves de segurança NFC utilizam algoritmos criptográficos padrão da indústria, tornando-as altamente seguras. Esses algoritmos fornecem criptografia robusta e capacidades de assinatura digital, garantindo a integridade e confidencialidade dos dados transmitidos entre a chave e o dispositivo.

O FlipperZero consegue hackear uma chave de segurança FIDO NFC, como a chave de segurança Lockeet?

O FlipperZero não consegue roubar as credenciais de uma chave FIDO NFC devido à segurança inerente ao protocolo FIDO (Fast IDentity Online) e à própria natureza da tecnologia NFC (Comunicação de Campo Próximo). As chaves FIDO NFC são dispositivos de autenticação de dois fatores que utilizam criptografia de chave pública para fornecer uma forma segura de login, sem a necessidade de senhas tradicionais. Quando você usa uma chave FIDO para autenticação, o dispositivo cria um par de chaves criptográficas exclusivo (uma chave privada armazenada de forma segura no dispositivo e uma chave pública compartilhada com o serviço online). Durante o processo de autenticação, a chave privada assina um desafio criptográfico que prova a posse do dispositivo sem revelar a chave privada. Como a chave privada nunca deixa a chave FIDO e não pode ser lida ou copiada pelo FlipperZero ou qualquer outro leitor NFC, não há como roubar efetivamente as credenciais. A segurança é ainda reforçada por medidas como a verificação de presença do usuário, que geralmente requer uma ação física, como tocar no dispositivo, evitando assim tentativas secretas de autenticação.

Chaves de Segurança NFC versus Outras Formas de MFA

Em comparação com outras formas de autenticação de vários fatores, como códigos SMS ou senhas únicas, as chaves de segurança NFC oferecem segurança superior. Elas não são suscetíveis a ataques de troca de SIM ou malware que possa interceptar códigos SMS. Além disso, as chaves NFC proporcionam uma experiência do usuário tranquila, eliminando a necessidade de inserção manual de códigos.

Implementando Chaves de Segurança NFC em Ambientes Corporativos

Integrando as Chaves NFC à Política de Segurança da Sua Empresa

Implementar chaves de segurança NFC em um ambiente corporativo requer um planejamento cuidadoso e o desenvolvimento de políticas. Isso inclui definir políticas de controle de acesso, treinar os funcionários e integrar as chaves à infraestrutura de segurança existente. Entre em contato com nossos consultores para obter assessoria gratuita de implementação, para identificar quais serviços podem ser protegidos pela chave de segurança na sua empresa.

O Futuro do NFC e das Chaves de Segurança

Inovações em Perspectiva para a Tecnologia NFC

À medida que a tecnologia continua a evoluir, o NFC está cada vez mais presente. Isso pode incluir melhor compatibilidade com uma variedade maior de dispositivos e recursos de segurança aprimorados.

A Crescente Necessidade de Chaves de Segurança NFC

Em um mundo cada vez mais digital, a adoção de chaves de segurança NFC está se tornando mais necessária para garantir uma segurança digital ideal. Com a crescente sofisticação das ameaças cibernéticas, organizações e indivíduos precisam de soluções de segurança robustas e convenientes para proteger seus dados valiosos.

À medida que o panorama digital continua a se expandir, garantir nossas pegadas digitais se torna crucial. As chaves de segurança NFC oferecem uma solução confiável e conveniente para aprimorar a proteção digital. Ao adotar as chaves de segurança NFC, indivíduos e organizações podem fortalecer sua postura de cibersegurança e proteger suas informações sensíveis. É hora de desbloquear o potencial das chaves de segurança NFC e abraçar o futuro da segurança digital.

Enquanto você lia o título deste blog, aproximadamente oito novas ameaças digitais para a prática de crimes cibernéticos foram criadas.

Essa estatística é preocupante, especialmente considerando que mais de 81% da população brasileira com idade acima de 10 anos possui acesso à internet. Isso significa que mais de 152 milhões de pessoas no Brasil desfrutam da conectividade global, estando sujeitas a crimes cibernéticos.

Para ilustrar a gravidade desta vulnerabilidade, um relatório da consultoria alemã Roland Berger classificou o Brasil como o 5º país do mundo que mais sofreu com cibercrimes em 2021, registrando cerca de 9,1 milhões de ataques. Adicionalmente, o impacto financeiro desses crimes digitais foi significativo, causando perdas de 6 trilhões de dólares mundialmente no ano passado. Diante disso, é evidente que a priorização da cibersegurança se torna essencial.

Em um contexto corporativo, a cibersegurança deve abranger não apenas a proteção de dados, mas também a infraestrutura da rede. Isso ocorre porque os dados empresariais se tornaram ativos críticos, tornando o armazenamento e a proteção adequados uma prioridade. Além disso, a Lei Geral de Proteção de Dados (LGPD) agora estabelece diretrizes para a coleta, armazenamento, tratamento e compartilhamento de dados pessoais, tornando a proteção de dados ainda mais crucial.

Crimes cibernéticos, também conhecidos como crimes digitais, envolvem condutas criminosas relacionadas ao uso de dispositivos eletrônicos, como celulares, computadores e tablets, para fins fraudulentos, furtos e estelionato. No contexto empresarial, os crimes cibernéticos podem incluir roubo de dados para espionagem industrial, sabotagem e ataques a bancos de dados, chantagem para devolução de informações (ransomware) ou a prática de ataques e fraudes usando dados pessoais ou corporativos roubados ou voluntariados de forma errônea (phishing).

A legislação brasileira referente aos crimes cibernéticos é regida pela Lei 14.155, sancionada em 2021, que introduziu penas mais rigorosas para invasão de dispositivos, furto qualificado e estelionato no meio digital. Essas penalidades se aplicam a fatos ocorridos em ambiente digital, conectado ou não à internet.

- Ataques DDoS (Distributed Denial of Service): esses ataques sobrecarregam a rede de uma empresa ou pessoa ao enviar um grande volume de solicitações de diversos computadores, tornando a rede instável ou inacessível.

- Ameaças Compostas (Blended Threats): esses vírus são combinações de vários códigos maliciosos que podem atuar como uma variedade de vírus simultaneamente, sendo frequentemente distribuídos por e-mails falsos e pen drives infectados.

- Keyloggers: são softwares maliciosos projetados para interceptar informações digitadas pelo usuário, incluindo senhas e informações confidenciais.

- Phishing: é um dos crimes mais comuns e perigosos, em que os criminosos se passam por empresas ou organizações legítimas para enganar as vítimas e obter informações sensíveis.

- Ransomware: esse tipo de ataque envolve a criptografia de dados e exige um resgate para restaurar o acesso aos arquivos da vítima.

- Script-kid: são indivíduos sem habilidades técnicas avançadas que usam códigos desenvolvidos por outros hackers.

- Spear Phishing: semelhante ao phishing, esse ataque é mais direcionado e personalizado, com o hacker se passando por alguém próximo da vítima.

- Zero-day: envolve a exploração de vulnerabilidades de segurança desconhecidas pelo desenvolvedor de um programa.

É fundamental que empresas adotem medidas de segurança, como o uso de senhas fortes amparadas por métodos de autenticação multifatorial (MFA), a atualização de software (principalmente de patches críticos), a proteção da rede, políticas de proteção e treinamento da equipe para prevenir e lidar com ataques cibernéticos. Além disso, a denúncia de crimes cibernéticos deve envolver a coleta de provas, o registro em cartório e a apresentação de um boletim de ocorrência às autoridades competentes. A cibersegurança é essencial para evitar prejuízos financeiros, proteger informações confidenciais, preservar a reputação da empresa e garantir a segurança da infraestrutura de TI. Portanto, a prevenção e a pronta resposta a ataques cibernéticos são cruciais para empresas de todos os tamanhos.

https://www.kaspersky.com.br/resource-center/threats/cybercrime

https://www.ibm.com/br-pt/topics/cyber-attack

A engenharia social é uma técnica que se baseia na manipulação psicológica das pessoas para obter acesso a informações confidenciais, como senhas, números de cartão de crédito ou dados pessoais. Golpistas que utilizam métodos de engenharia social usam táticas como persuasão, intimidação, carisma e persuasão para convencer as vítimas a compartilhar informações sensíveis.

Os criminosos cibernéticos frequentemente usam táticas de engenharia social para obter dados pessoais ou informações financeiras - credenciais de login, números de cartão de crédito, números de contas bancárias, números de previdência social - que podem ser usados para roubo de identidade, permitindo que eles façam compras usando o dinheiro ou o crédito de outras pessoas, solicitem empréstimos em nome de outra pessoa, solicitem o benefício do seguro-desemprego de outras pessoas e muito mais. Mas um ataque de engenharia social também pode ser o primeiro estágio de um ataque cibernético em grande escala. Por exemplo, um criminoso cibernético pode induzir uma vítima a compartilhar um nome de usuário e uma senha e, em seguida, usar essas credenciais para plantar ransomware na rede do empregador da vítima.

Esta persuasão pode ocorrer em diversas formas, como telefonemas falsos, e-mails de phishing, mensagens de texto fraudulentas ou até mesmo pessoalmente. Por exemplo, um atacante pode se fazer passar por um funcionário de suporte técnico e solicitar que a vítima forneça sua senha ou outras informações confidenciais. Um e-mail que parece ser de um colega de trabalho confiável solicitando informações confidenciais, uma mensagem de voz ameaçadora alegando ser da Receita Federal, uma oferta de riquezas de um potentado estrangeiro são apenas alguns exemplos de engenharia social em uso para a aplicação de golpes cibernéticos.

A engenharia social e os vazamentos de dados são dois aspectos interligados que representam graves desafios para a segurança digital e a privacidade das pessoas e organizações. Enquanto a engenharia social explora a fraqueza humana para obter informações confidenciais, os vazamentos de dados ocorrem quando essas informações sensíveis são indevidamente expostas ao público ou a terceiros não autorizados.

Por que a Engenharia Social é tão eficaz?

As táticas e técnicas de engenharia social são baseadas na ciência da motivação humana. Elas manipulam as emoções e os instintos das vítimas de maneiras que comprovadamente levam as pessoas a tomar atitudes que não são de seu interesse.

A maioria dos ataques de engenharia social emprega uma ou mais das táticas a seguir:

Fazer-se passar por uma marca confiável: Os golpistas geralmente se fazem passar por empresas que as vítimas conhecem, confiam e com as quais talvez façam negócios com frequência ou regularmente - tão regularmente que elas seguem as instruções dessas marcas por reflexo, sem tomar as devidas precauções. Alguns golpistas de engenharia social usam kits amplamente disponíveis para criar sites falsos que se assemelham aos de grandes marcas ou empresas. 

Posar como uma agência governamental ou figura de autoridade: As pessoas confiam, respeitam ou temem a autoridade (em graus variados). Os ataques de engenharia social brincam com esses instintos com mensagens que parecem ou afirmam ser de órgãos governamentais (por exemplo, FBI ou IRS), figuras políticas ou até mesmo celebridades.

Induzir ao medo ou a um senso de urgência: As pessoas tendem a agir de forma precipitada quando estão com medo ou apressadas. Os golpes de engenharia social podem usar várias técnicas para induzir medo ou urgência nas vítimas - dizendo à vítima que uma transação de crédito recente não foi aprovada, que um vírus infectou seu computador, que uma imagem usada no site viola um direito autoral etc. A engenharia social também pode apelar para o medo de ficar de fora (FOMO) das vítimas, o que cria um tipo diferente de urgência.

Apelo à ganância: O golpe do príncipe nigeriano - um e-mail em que alguém que afirma ser um rei nigeriano tentando fugir de seu país oferece uma grande recompensa financeira em troca das informações da conta bancária do destinatário ou de uma pequena taxa de adiantamento - é um dos exemplos mais conhecidos de engenharia social que apela à ganância. (Ele também vem de uma suposta figura de autoridade e cria um senso de urgência - uma combinação poderosa). Esse golpe é tão antigo quanto o próprio e-mail, mas, em 2018, ainda estava arrecadando USD 700.000 por ano.

Apelo à utilidade ou à curiosidade: Estratégias de engenharia social também podem apelar para a boa índole dos usuários. Por exemplo, uma mensagem que parece ser de um amigo ou de um site de rede social pode oferecer ajuda técnica, solicitar a participação em uma pesquisa, alegar que a publicação do destinatário se tornou viral e fornecer um link falsificado para um site falso ou download de malware.

Quais os principais métodos de aplicação de golpes envolvendo a Engenharia Social?

Por ser uma abordagem ampla e centrada em vulnerabilidades individuais de cada usuário, a Engenharia Social proporciona aos golpistas diversas maneiras de aplicação de golpes, entre eles:

Os ataques de phishing são mensagens digitais ou de voz que tentam manipular os destinatários para que compartilhem informações confidenciais, façam download de software mal-intencionado, transfiram dinheiro ou ativos para as pessoas erradas ou tomem alguma outra medida prejudicial. Os golpistas criam mensagens de phishing para que pareçam ou soem como se viessem de uma organização ou pessoa confiável, às vezes até de uma pessoa que o destinatário conhece pessoalmente.

- E-mails de phishing em massa são enviados a milhões de destinatários de uma só vez. Eles parecem ser enviados por uma empresa ou organização grande e conhecida - um banco nacional ou global, um grande varejista on-line, um provedor de pagamentos on-line popular etc. - e fazem uma solicitação genérica, como "estamos com problemas para processar sua compra, atualize suas informações de crédito". Frequentemente, essas mensagens incluem um link malicioso que leva o destinatário a um site falso que captura o nome de usuário, a senha, os dados do cartão de crédito do destinatário e muito mais.

- O spear phishing tem como alvo um indivíduo específico, geralmente com acesso privilegiado a informações do usuário, à rede de computadores ou a fundos corporativos. Um golpista pesquisará o alvo - geralmente usando informações encontradas no LinkedIn, no Facebook ou em outras mídias sociais - para criar uma mensagem que pareça vir de alguém que o alvo conhece e confia, ou que se refira a situações com as quais o alvo está familiarizado. Whale phishing é um ataque de spear phishing que tem como alvo um indivíduo de alto perfil, como um CEO ou uma figura política. No comprometimento de e-mail comercial (BEC), o hacker usa credenciais comprometidas para enviar mensagens de e-mail da conta de e-mail real de uma figura de autoridade, tornando o golpe muito mais difícil de ser detectado.

- O phishing de voz, ou vishing, é o phishing realizado por meio de chamadas telefônicas. Normalmente, as pessoas sofrem vishing na forma de chamadas gravadas ameaçadoras que alegam ser do FBI. Mas a X-Force da IBM determinou recentemente que adicionar vishing a uma campanha de phishing direcionada pode aumentar o sucesso da campanha em até três vezes.

 - O phishing por SMS, ou smishing, é o phishing por mensagem de texto.

- O phishing de mecanismos de pesquisa envolve hackers que criam sites maliciosos com alta classificação nos resultados de pesquisa para termos de pesquisa populares.

- Angler phishing é o phishing por meio de contas falsas de mídia social que se disfarçam como a conta oficial das equipes de atendimento ao cliente ou de suporte ao cliente de empresas confiáveis.

De acordo com o IBM Security X-Force Threat Intelligence Index 2023, o phishing é o principal vetor de infecção por malware, identificado em 41% de todos os incidentes. E, de acordo com o relatório Cost of a Data Breach 2022, o phishing é o vetor de ataque inicial que leva às violações de dados mais caras. 

O baiting (isca) atrai vítimas para que, consciente ou inconscientemente, forneçam informações confidenciais ou façam download de código malicioso, tentando-as com uma oferta valiosa ou até mesmo com um objeto de valor.

O golpe do Príncipe Nigeriano é provavelmente o exemplo mais conhecido dessa técnica de engenharia social. Exemplos mais atuais incluem downloads de jogos, músicas ou softwares gratuitos, mas infectados por malware. Mas algumas formas de isca são pouco engenhosas. Por exemplo, alguns agentes de ameaças simplesmente deixam unidades USB infectadas com malware onde as pessoas as encontrarão, pegam-nas e as usam porque "ei, unidade USB grátis".

No "tailgating", também chamado de "piggybacking", uma pessoa não autorizada segue de perto uma pessoa autorizada em uma área que contém informações confidenciais ou ativos valiosos. O tailgating pode ser realizado pessoalmente - por exemplo, um agente de ameaças pode seguir um funcionário por uma porta destrancada. Mas o tailgating também pode ser uma tática digital, como quando uma pessoa deixa um computador sem supervisão enquanto ainda está conectada a uma conta ou rede privada.

Neste golpe, o agente da ameaça cria uma situação falsa para a vítima e se apresenta como a pessoa certa para resolvê-la. Com muita frequência (e ironicamente), o golpista alega que a vítima foi afetada por uma violação de segurança e se oferece para consertar a situação se a vítima fornecer informações importantes sobre a conta ou controle sobre o computador ou dispositivo da vítima. (Tecnicamente falando, quase todo ataque de engenharia social envolve algum grau de pretexto).

Em um golpe quid pro quo, os hackers oferecem um bem ou serviço desejável em troca das informações confidenciais da vítima. Ganhos falsos em concursos ou recompensas de fidelidade aparentemente inocentes ("obrigado pelo seu pagamento - temos um presente para você") são exemplos de estratagemas quid pro quo.

Também considerado uma forma de malware, o scareware é um software que usa o medo para manipular as pessoas para que compartilhem informações confidenciais ou façam download de malware. O scareware geralmente assume a forma de um aviso falso de aplicação da lei acusando o usuário de um crime ou uma mensagem falsa de suporte técnico alertando o usuário sobre malware em seu dispositivo.

Da frase "alguém envenenou o bebedouro", os hackers injetam código malicioso em uma página da Web legítima frequentada por seus alvos. Os ataques watering hole são responsáveis por tudo, desde credenciais roubadas até downloads involuntários de ransomware drive-by.

Como se proteger contra golpes que envolvem a Engenharia Social?

Os ataques de engenharia social são notoriamente difíceis de impedir porque dependem da psicologia humana em vez de caminhos tecnológicos. A superfície de ataque também é significativa: Em uma organização maior, basta o erro de um funcionário para comprometer a integridade de toda a rede da empresa. Algumas das etapas que os especialistas recomendam para reduzir o risco e o sucesso dos golpes de engenharia social incluem:

Treinamento de conscientização sobre segurança: Muitos usuários não sabem como identificar ataques de engenharia social. E em uma época em que os usuários frequentemente trocam informações pessoais por bens e serviços, eles não percebem que a entrega de informações aparentemente banais, como número de telefone ou data de nascimento, pode permitir que os hackers invadam uma conta. O treinamento de conscientização sobre segurança, combinado com políticas de segurança de dados, pode ajudar os funcionários a entender como proteger seus dados confidenciais e como detectar e responder a ataques de engenharia social em andamento.

 Políticas de controle de acesso: Políticas e tecnologias de controle de acesso seguro, incluindo autenticação multifatorial, autenticação adaptativa e uma abordagem de segurança de confiança zero, podem limitar o acesso dos criminosos cibernéticos a informações e ativos confidenciais na rede corporativa, mesmo que eles obtenham as credenciais de login dos usuários.

Tecnologias de segurança cibernética: Filtros de spam e gateways de e-mail seguros podem evitar que alguns ataques de phishing cheguem aos funcionários. Firewalls e software antivírus podem reduzir a extensão de qualquer dano causado por invasores que obtêm acesso à rede. Manter os sistemas operacionais atualizados com os patches mais recentes também pode fechar algumas vulnerabilidades que os invasores exploram por meio da engenharia social. E as soluções avançadas de detecção e resposta, incluindo a detecção e resposta de endpoints (EDR) e a detecção e resposta estendidas (XDR), podem ajudar as equipes de segurança a detectar e neutralizar rapidamente as ameaças à segurança que infectam a rede por meio de táticas de engenharia social.

Em resumo, a combinação de medidas técnicas e conscientização é fundamental para mitigar os riscos associados à engenharia social e aos vazamentos de dados. Proteger informações sensíveis é uma responsabilidade coletiva que envolve tanto ações individuais quanto a cooperação de organizações e autoridades reguladoras.

https://www.ibm.com/topics/social-engineering

https://www.cmu.edu/iso/aware/dont-take-the-bait/social-engineering.html

Engenharia Social - O que é? GUIA COMPLETO

O Que é Phishing? Desvendando os Segredos dos Ataques Cibernéticos

Você já ouviu falar sobre o termo "phishing," mas sabe o que realmente significa e como se proteger contra essa ameaça virtual? Neste extenso guia, exploraremos em detalhes o universo do phishing, sua história, tipos, como identificá-lo, e o mais importante, como se defender de ataques phishing. Além disso, forneceremos recomendações valiosas para empresas, destacando a importância do treinamento e cursos de segurança cibernética. Preparado para aprofundar seus conhecimentos sobre esse tópico crucial? Vamos lá!

Phishing é um crime cibernético no qual um ou mais alvos são contatados por e-mail, telefone ou mensagem de texto por alguém que se faz passar por uma instituição legítima. O objetivo é atrair indivíduos para fornecer dados sensíveis, como informações de identificação pessoal, detalhes bancários e de cartão de crédito, bem como senhas.

Essas informações são posteriormente usadas para acessar contas importantes, podendo resultar em roubo de identidade e perdas financeiras significativas.

O primeiro processo de phishing foi registrado em 2004, quando um adolescente californiano criou uma imitação do site "America Online". Por meio desse site falso, ele conseguiu obter informações sensíveis dos usuários e acessar os detalhes de seus cartões de crédito para retirar dinheiro de suas contas. Além do phishing por e-mail e sites, existem também o 'vishing' (phishing por voz), 'smishing' (phishing por SMS) e várias outras técnicas de phishing constantemente desenvolvidas por cibercriminosos.

A Evolução do Phishing: Da AOL aos Dias Atuais

O phishing, tão conhecido e disseminado atualmente, não existe desde sempre. Embora a prática tenha surgido por volta de 1995, não se tornou amplamente reconhecida pelas pessoas comuns até quase uma década depois. No entanto, o phishing sempre foi uma ameaça significativa desde o início.

Os golpes de phishing usam e-mails e sites falsos como iscas para induzir as pessoas a fornecer voluntariamente informações sensíveis. O termo "phishing" é usado para descrever essas artimanhas, com o uso do "ph" no lugar do "f" na grafia por uma razão específica. Os primeiros hackers eram conhecidos como "phreaks," ligados à exploração de sistemas de telecomunicações. A grafia com "ph" estabeleceu a conexão entre esses golpes e essas comunidades clandestinas.

De acordo com registros da Internet, a primeira vez que o termo "phishing" foi usado e registrado foi em 2 de janeiro de 1996, em um grupo de notícias Usenet chamado AOHell. Foi na América Online (AOL) que surgiram os primeiros indícios do que se tornaria um problema criminal importante.

Origens do Phishing na América Online (AOL)

Na época em que a AOL era o principal provedor de acesso à Internet, milhões de pessoas se conectavam ao serviço todos os dias. Sua popularidade a tornou um alvo natural para aqueles com intenções duvidosas. Desde o início, hackers e aqueles que trocavam software pirateado usavam o serviço para se comunicar. Essa comunidade era chamada de "warez community" e, eventualmente, começou a realizar ataques de phishing.

Os phishers começaram roubando senhas de usuários e criando números de cartão de crédito aleatórios usando algoritmos. Embora raramente tivessem sucesso, causavam danos suficientes. Os números de cartão de crédito aleatórios eram usados para abrir contas da AOL, que eram usadas para enviar spam e outras atividades prejudiciais. Programas especiais, como o AOHell, simplificavam o processo. A AOL interrompeu essa prática em 1995, quando implementou medidas de segurança para evitar o uso bem-sucedido de números de cartão de crédito gerados aleatoriamente.

Com o fim do esquema de geração de números de cartão de crédito aleatórios, os phishers criaram técnicas que se tornariam comuns e duradouras. Eles enviavam mensagens para os usuários através do AOL Instant Messenger e e-mails, fazendo-se passar por funcionários da AOL. Essas mensagens solicitavam que os usuários verificassem suas contas ou confirmassem suas informações de pagamento. Muitas pessoas caíram na armadilha, pois nunca haviam visto nada parecido antes. O problema piorou quando os phishers criaram contas AIM pela Internet, que não podiam ser sancionadas pelo departamento de Termos de Serviço da AOL. Eventualmente, a AOL foi forçada a incluir avisos em seus clientes de e-mail e mensagens instantâneas para evitar que as pessoas fornecessem informações sensíveis por meio desses métodos.

Em muitos aspectos, o phishing não mudou muito desde os dias da AOL. Em 2001, porém, os phishers voltaram sua atenção para sistemas de pagamento online. O primeiro ataque, em junho de 2001, direcionou a E-Gold e não foi considerado bem-sucedido, mas plantou uma semente importante. No final de 2003, os phishers registraram dezenas de domínios que pareciam sites legítimos, como eBay e PayPal. Eles usaram programas de e-mail para enviar e-mails falsificados aos clientes do PayPal, levando-os a sites falsos para atualizar seus detalhes de cartão de crédito.

No início de 2004, os phishers estavam obtendo sucesso em ataques a sites bancários e seus clientes. Janelas pop-up eram usadas para coletar informações sensíveis das vítimas. Entre maio de 2004 e maio de 2005, cerca de 1,2 milhão de usuários nos EUA sofreram perdas causadas por phishing, totalizando aproximadamente US$ 929 milhões. As organizações perdem cerca de US$ 2 bilhões por ano com o phishing.

O phishing é oficialmente reconhecido como parte integral do mercado negro. Software especializado surge em escala global para lidar com pagamentos de phishing, terceirizando enormes riscos. O software é implementado em campanhas de phishing por gangues do crime organizado.

No final de 2008, o Bitcoin e outras criptomoedas foram lançados, permitindo transações seguras e anônimas usando software malicioso, mudando o cenário para os cibercriminosos.

A partir de 2017, os phishers começaram a adotar o HTTPS com mais frequência em seus sites. Quando você clica em um link de phishing, os sites que tentam enganá-lo a inserir credenciais e informações pessoais implementam a criptografia da web pelo menos 24% das vezes. A presença do cadeado verde pode dar uma falsa sensação de segurança. Na realidade, isso apenas indica que o tráfego entre o servidor e o navegador do usuário está criptografado e protegido contra interceptações.

Um ataque de phishing direcionado a organizações associadas aos Jogos Olímpicos de Inverno de 2018 foi o primeiro a usar uma ferramenta do PowerShell chamada Invoke-PSImage, permitindo que invasores ocultassem scripts maliciosos em arquivos de imagem que, a princípio, parecem inofensivos. Em 2018, as campanhas de phishing de cartões-presente que começaram em 2018 continuaram a evoluir em 2019, com cybercriminosos aprimorando suas táticas para coletar informações pessoais e financeiras de alvos inconscientes.

Os ataques de "hijacking" de conversações, nos quais hackers se inserem em conversas de e-mail entre partes conhecidas e confiáveis, começaram a ser usados. Em 2019, o "Vendor Email Compromise" surgiu como um novo tipo de ataque, visando organizações com cadeias de suprimentos globais.

Em 2020, as táticas de phishing continuaram a evoluir, incluindo o redirecionamento de links de e-mail para resultados falsos de pesquisa do Google, páginas de login falsas e campanhas relacionadas à pandemia. Essas mudanças na maneira de pensar dos atacantes tornam essencial que as organizações não considerem apenas suas soluções de segurança como última linha de defesa. Os usuários devem desempenhar um papel fundamental na segurança organizacional.

O phishing envolve um atacante tentando enganar alguém para fornecer informações sensíveis de sua conta ou outros dados de login online. Todos os diferentes tipos de phishing são projetados para tirar vantagem do fato de que muitas pessoas fazem negócios pela internet. Isso torna o phishing uma das ameaças de cibersegurança mais prevalentes, rivalizando com ataques de negação de serviço distribuído (DDoS), violações de dados e muitos tipos de malware.

Phishing Direcionado (Spear Phishing)
Envolvendo o direcionamento de um indivíduo específico na organização para roubar suas credenciais de login.O atacante geralmente coleta informações sobre a pessoa, como nome, cargo e detalhes de contato.

Phishing por Telefone (Vishing)
Usando o telefone para tentar roubar informações, com o atacante se passando por uma pessoa de confiança ou parente.

Phishing por E-mail (Email Phishing)
Enviando e-mails que parecem legítimos, projetados para enganar o destinatário a fornecer informações em resposta ou em um site usado pelo hacker para roubar ou vender dados.

Phishing por HTTPS (HTTPS Phishing)
Envolvendo o envio de um e-mail com um link para um site falso, enganando a vítima a fornecer informações privadas.

Pharming
Código malicioso instalado no computador da vítima, redirecionando-a para um site falso projetado para coletar suas credenciais de login.

Phishing de Pop-up (Pop-up Phishing)
Usando pop-ups que alegam problemas de segurança no computador para induzir a vítima a clicar e baixar malware ou ligar para um suposto centro de suporte.

Phishing do Gêmeo Malévolo (Evil Twin Phishing)
Configurando uma falsa rede Wi-Fi que parece real, capturando informações quando alguém faz login.

Phishing do Local de Bebida (Watering Hole Phishing)
Envolvendo o ataque a um site que um grupo de usuários costuma visitar, a fim de infectar seus computadores e acessar a rede.

Whaling
Ataque de phishing direcionado a um executivo sênior, que frequentemente tem acesso a áreas sensíveis da rede.

Phishing de Clonagem (Clone Phishing)
O atacante faz uma cópia idêntica de uma mensagem que o destinatário já recebeu, incluindo um link malicioso.

Phishing Enganoso (Deceptive Phishing)
Usando tecnologia enganosa para se passar por uma empresa real e informar as vítimas de que já estão sofrendo um ciberataque, levando-as a clicar em um link malicioso.

Engenharia Social (Social Engineering)
Pressionando alguém a revelar informações sensíveis por meio de manipulação psicológica.

Phishing de Pescador (Angler Phishing)
Usando postagens falsas nas redes sociais para fazer as pessoas fornecerem informações de login ou baixarem malware.

Phishing por Mensagem de Texto (Smishing)
Phishing por meio de mensagens de texto ou SMS.

Ataques Man-in-the-Middle (MITM)
O hacker se insere "no meio" de duas partes para roubar informações trocadas entre elas, como credenciais de conta.

Phishing de Falsificação de Sites (Website Spoofing)
O hacker cria um site falso que parece legítimo, onde as vítimas inserem suas informações.

Phishing de Falsificação de Domínio (Domain Spoofing)
O atacante imita o domínio de uma empresa para enganar as pessoas a fornecer informações.

Phishing de Imagens (Image Phishing)
Usando imagens com arquivos maliciosos para roubar informações da conta ou infectar o computador.

Phishing de Mecanismo de Busca (Search Engine Phishing)
Criando produtos falsos em mecanismos de busca para roubar informações antes da compra.

Identificar um ataque de phishing pode ser desafiador, já que os criminosos usam táticas de engano avançadas. No entanto, alguns sinais de alerta incluem:

Erros de ortografia e gramática em mensagens e sites.

URLs suspeitas
Verifique se o URL corresponde à instituição real.

Solicitações de informações pessoais
Empresas legítimas raramente solicitam informações confidenciais por e-mail ou telefone.

Pressão para agir rapidamente
Criminosos costumam criar um senso de urgência.

Mantenha-se Informado Sobre Técnicas de Phishing – Novos golpes de phishing são desenvolvidos o tempo todo. Sem ficar por dentro dessas novas técnicas, você pode inadvertidamente cair em uma delas. Esteja atento às notícias sobre novos golpes de phishing. Descobrindo-os o mais cedo possível, você estará em um risco muito menor de ser pego por um. Para administradores de TI, treinamentos contínuos de conscientização de segurança e simulações de phishing para todos os usuários são altamente recomendados para manter a segurança em mente em toda a organização.

Pense Antes de Clicar! – Está tudo bem clicar em links quando você está em sites confiáveis. No entanto, clicar em links que aparecem em e-mails aleatórios e mensagens instantâneas não é uma jogada inteligente. Passe o mouse sobre os links sobre os quais você não tem certeza antes de clicar neles. Eles levam para onde deveriam? Um e-mail de phishing pode alegar ser de uma empresa legítima e, quando você clica no link para o site, ele pode parecer exatamente com o site real. O e-mail pode pedir que você preencha as informações, mas pode não conter o seu nome. A maioria dos e-mails de phishing começa com "Prezado Cliente", então você deve ficar alerta ao encontrar esses e-mails. Em caso de dúvida, vá diretamente à fonte em vez de clicar em um link potencialmente perigoso.

Verifique a Segurança de um Site – É natural ficar um pouco desconfiado ao fornecer informações financeiras sensíveis online. Contanto que você esteja em um site seguro, no entanto, você não deverá ter problemas. Antes de enviar qualquer informação, certifique-se de que o URL do site comece com "https" e haja um ícone de cadeado fechado perto da barra de endereço. Verifique também o certificado de segurança do site. Se você receber uma mensagem dizendo que um determinado site pode conter arquivos maliciosos, não abra o site. Nunca faça download de arquivos de e-mails ou sites suspeitos. Até os motores de busca podem mostrar links que levam os usuários a uma página de phishing que oferece produtos a baixo custo. Se o usuário fizer compras em um site assim, os detalhes do cartão de crédito serão acessados por cibercriminosos.

Verifique Suas Contas Online Regularmente – Se você não visita uma conta online por um tempo, alguém pode estar se divertindo com ela. Mesmo que você tecnicamente não precise, verifique regularmente cada uma de suas contas online. Adquira o hábito de alterar suas senhas regularmente também. Para evitar golpes de phishing bancário e de cartão de crédito, você deve verificar pessoalmente seus extratos regularmente. Obtenha extratos mensais de suas contas financeiras e verifique cuidadosamente cada entrada para garantir que nenhuma transação fraudulenta tenha sido feita sem o seu conhecimento.

Mantenha Seu Navegador Atualizado – Correções de segurança são lançadas para navegadores populares o tempo todo. Elas são lançadas em resposta às brechas de segurança que golpistas e outros hackers inevitavelmente descobrem e exploram. Se você geralmente ignora mensagens sobre atualizar seus navegadores, pare. Assim que uma atualização estiver disponível, faça o download e instale-a.

Use Firewalls – Firewalls de alta qualidade funcionam como barreiras entre você, seu computador e intrusos externos. Você deve usar dois tipos diferentes: um firewall de desktop e um firewall de rede. A primeira opção é um tipo de software, e a segunda é um tipo de hardware. Quando usados juntos, eles reduzem drasticamente as chances de hackers e golpistas infiltrarem seu computador ou rede.

Desconfie de Pop-Ups – Janelas pop-up frequentemente se disfarçam como componentes legítimos de um site. Com muita frequência, no entanto, são tentativas de phishing. Muitos navegadores populares permitem que você bloqueie pop-ups; você pode permiti-los caso a caso. Se um pop-up passar pelas brechas, não clique no botão "Cancelar"; esses botões geralmente levam a sites de phishing. Em vez disso, clique no pequeno "x" no canto superior da janela.

Nunca Forneça Informações Pessoais – Como regra geral, você nunca deve compartilhar informações pessoais ou financeiramente sensíveis pela Internet. Essa regra remonta aos dias do America Online, quando os usuários tinham que ser constantemente avisados devido ao sucesso dos primeiros golpes de phishing. Em caso de dúvida, visite o site principal da empresa em questão, pegue o número deles e ligue para eles. A maioria dos e-mails de phishing direcionará você para páginas que solicitam informações financeiras ou pessoais. Um usuário da Internet nunca deve fornecer informações confidenciais por meio dos links fornecidos nos e-mails. Nunca envie um e-mail com informações sensíveis para ninguém. Faça disso um hábito de verificar o endereço do site. Um site seguro sempre começa com "https".

Use Software Antivírus – Existem muitas razões para usar software antivírus. Assinaturas especiais que estão incluídas no software antivírus protegem contra contornos de tecnologia conhecidos e brechas. Certifique-se apenas de manter seu software atualizado. Novas definições são adicionadas o tempo todo porque novos golpes também são inventados o tempo todo. Anti-spyware e configurações de firewall devem ser usadas para prevenir ataques de phishing e os usuários devem atualizar os programas regularmente. A proteção de firewall impede o acesso a arquivos maliciosos bloqueando os ataques. O software antivírus verifica todos os arquivos que passam pela Internet para o seu computador. Ele ajuda a prevenir danos

Adote abordagens de Autenticação Multifatorial (MFA) em todas as suas contas online - Essas estratégias desempenham um papel fundamental na salvaguarda das suas contas contra ameaças de phishing. Embora existam diversas modalidades para implementar o MFA, como aplicativos, mensagens de texto (SMS) ou e-mails, a abordagem mais segura envolve a utilização de dispositivos de hardware que seguem os padrões do FIDO (Fast Identity Online).


O Que é a Autenticação Multifatorial (MFA)/Autenticação de dois fatores (2FA)

Ao acessar suas contas online - um processo que chamamos de "autenticação" - você está provando para o serviço que você é quem diz ser. Tradicionalmente, isso é feito com um nome de usuário e uma senha. Infelizmente, essa não é uma maneira muito eficaz de fazer isso. Nomes de usuário muitas vezes são fáceis de descobrir; às vezes, eles são apenas seu endereço de e-mail. Como senhas podem ser difíceis de lembrar, as pessoas tendem a escolher senhas simples ou usar a mesma senha em vários sites diferentes.

É por isso que quase todos os serviços online - bancos, redes sociais, compras e sim, Microsoft 365 também - adicionaram uma maneira de tornar suas contas mais seguras. Você pode ouvir falar disso como "Verificação em Duas Etapas" ou "Autenticação Multifatorial", mas todos eles operam com o mesmo princípio. Quando você faz login na conta pela primeira vez em um novo dispositivo ou aplicativo (como um navegador da web), você precisa de mais do que apenas o nome de usuário e a senha. Você precisa de uma segunda coisa - o que chamamos de segundo "fator" - para provar quem você é.

Um fator na autenticação é uma maneira de confirmar sua identidade quando você tenta fazer login. Por exemplo, uma senha é um tipo de fator, é algo que você sabe. Os três tipos mais comuns de fatores são: