Smishing e phishing representam táticas de manipulação digital, projetadas para ludibriar indivíduos e levá-los a expor informações pessoais sigilosas.
O phishing se manifesta através do envio de mensagens eletrônicas, com links ou arquivos anexados que carregam conteúdos maliciosos. Em contraste, o smishing, uma fusão de SMS e phishing, opera por meio de mensagens de texto, que incluem links comprometidos ou um número de telefone, onde se incentiva a vítima a clicar ou ligar, respectivamente.
Tanto no smishing quanto no phishing, os criminosos impõem um senso de urgência, ameaçando suas vítimas com consequências severas se não houver resposta imediata. As pessoas que cedem a essas intimidações podem acabar revelando dados cruciais, como credenciais de acesso ou detalhes bancários.
Crédito da imagem: Pixabay
Antes de aprofundarmos as convergências e divergências entre os ataques de smishing e phishing, vamos compreender o que cada um desses termos representa.
O que é Smishing
O smishing é uma modalidade de ataque onde criminosos despacham mensagens de texto com links prejudiciais ou números de telefone falsos, visando potenciais usuários de celulares. Essa prática envolve o uso de mensagens de texto engenhosas, com uma linguagem persuasiva, para induzir o destinatário a agir conforme o solicitado.
O atacante pode usar um apelo à urgência, como a necessidade de efetuar um pagamento imediato por um produto em trânsito ou confirmar uma transação financeira, regularizar uma fatura pendente, entre outras manobras.
O que é Phishing
Phishing é caracterizado pelo envio de e-mails fraudulentos, repletos de links ou anexos maliciosos, que conduzem o usuário a um servidor controlado pelo invasor ou instalam softwares maliciosos, capazes de furtar dados pessoais.
No phishing, o site do atacante pode exibir uma aparência semelhante a um site legítimo, mas com um nome de domínio grafado incorretamente. Nesses sites, pode haver um campo de login que, na verdade, captura o nome de usuário e as senhas quando a vítima os digita, acreditando estar acessando um site seguro.
Ataques Smishing vs. Phishing: Semelhanças
Tanto os ataques de smishing quanto os de phishing empregam táticas de engenharia social para persuadir usuários desavisados a divulgar informações sensíveis ou confidenciais. Ambos os métodos de ataque compartilham as seguintes semelhanças:
- Ambos usam uma linguagem de persuasão, alertando suas vítimas sobre supostos riscos, caso não respondam imediatamente. Por exemplo, alertam sobre o encerramento de contas bancárias ou cartões de crédito, a suspensão de serviços de eletricidade ou telefonia, entre outras ameaças, a menos que a vítima realize a ação solicitada, como clicar em um link fornecido.
- Ambos carregam links maliciosos, sob o controle dos atacantes, com potencial para roubar credenciais de acesso ou outros dados confidenciais, instalar malware ou vírus, ou comprometer o dispositivo do usuário.
Crédito da imagem: Pixabay
- Senso de Urgência: Os dois tipos de ataque criam um senso de emergência, recorrendo a ameaças ou alertando a vítima sobre desdobramentos negativos se não agir prontamente.
- Engano: Os dois ataques fazem uso de práticas de engenharia social para enganar e manipular suas vítimas. Os perpetradores de smishing e phishing frequentemente se fazem passar por empresas respeitadas, como Microsoft, Amazon, Google, entre outras marcas conhecidas. Isso faz com que potenciais vítimas ganhem confiança e respondam ou forneçam as informações requeridas, na crença de estarem interagindo com a referida organização ou autoridade.
- Objetivo Comum: O principal objetivo ao lançar ataques de smishing ou phishing é levar a vítima a divulgar informações confidenciais corporativas ou individuais, como credenciais de login, dados de cartão de crédito, informações bancárias, entre outras.
Ataques Smishing vs. Phishing: Diferenças
A tabela abaixo expõe as principais distinções entre os ataques de smishing e phishing:
| Recursos | Smishing | Phishing |
| Vetor de Ataque | Utiliza mensagens de texto SMS com URLs maliciosos encurtados ou um número de telefone falso. | Utiliza e-mail com links ou anexos maliciosos. |
| Meio | Telefone ou dispositivo móvel. | Computador ou dispositivo móvel com acesso a e-mail. |
| Alcance e Impacto | Em abril de 2022, foram enviadas e recebidas, em média, 2,65 bilhões de mensagens de texto de spam por semana. A taxa de cliques em links em mensagens de texto é maior do que em e-mails. É provável que mais usuários sejam comprometidos usando smishing em comparação com phishing. | Cerca de 3,4 bilhões de mensagens de e-mail de phishing são enviadas diariamente. No entanto, a taxa de cliques é inferior à do smishing. |
| Mecanismo de Entrega | Mensagens de texto para um telefone celular | Mensagens de e-mail para dispositivos de computação. |
| Conscientização do usuário | Uma média de 2,65 bilhões de mensagens de texto de spam foram enviadas e recebidas por semana de abril de 2022. A taxa de cliques em links em mensagens de texto é maior do que em e-mails. É provável que mais usuários sejam comprometidos usando smishing em comparação com phishing | A maioria dos usuários de e-mail está ciente de ataques de phishing. |
| Links | Links maliciosos encurtados e números falsos. | Links e anexos maliciosos. |
| Exploração de Dispositivos | Aproximadamente 60% dos usuários de celulares não estão cientes dos ataques de smishing e, provavelmente, serão vítimas. | Pode roubar informações confidenciais de um computador. Os invasores também podem usar o dispositivo comprometido para distribuir malware ou vírus para computadores na mesma rede. |
| Urgência | Usa uma mensagem mais urgente e convincente solicitando resposta imediata. | E-mail urgente, mas menos que o smishing. |
Como se proteger?
A seguir, algumas práticas para se proteger contra smishing e phishing:
- Empregue uma solução robusta de segurança de e-mail: Instale soluções de segurança eficientes, como software antivírus, firewalls fortes, filtros de spam, utilitários de análise de links, software anti-phishing e outras ferramentas. Eles auxiliam na identificação e bloqueio de mensagens de e-mail de phishing antes que atinjam os usuários.
- Utilize autenticação multifator (MFA): A implementação de um MFA adiciona uma camada extra de proteção, exigindo que o usuário forneça outra forma de autenticação além da senha. As soluções típicas de MFA exigem que o usuário forneça o nome de usuário e a senha, além de outra autenticação, como um código enviado a um dispositivo como um celular.
- Atualize e corrija sistemas operacionais e aplicativos de software regularmente: A atualização do sistema operacional, aplicativos e soluções de segurança assegura que eles estejam em dia, com os patches mais recentes, que corrigem as principais vulnerabilidades e falhas que os criminosos podem explorar.
- Adote práticas de segurança seguras: Embora a instalação de antivírus e outras soluções de segurança em seu computador ou dispositivo móvel ajude a detectar e protegê-lo de potenciais ataques, é necessário manter atividades online seguras. Aprender sobre truques novos e existentes que os invasores usam, contribui para mantê-lo seguro. Além disso, aprenda a identificar sinais de alerta de engenharia social, como erros de ortografia, urgência, nomes de domínio incorretos, remetentes desconhecidos, entre outros.
Crédito da imagem: Pixabay
- Promova a conscientização sobre segurança: As organizações devem prover aos seus funcionários treinamento adequado e regular sobre phishing, smishing e outros ataques cibernéticos. Adicionalmente, devem utilizar ferramentas de simulação de phishing para avaliar a conscientização, identificar e suprir lacunas. Usuários individuais também devem informar seus familiares e amigos sobre mensagens de spam e como agir e se proteger.
- Denuncie tentativas de ataque: Informe o caso a uma entidade como um banco ou outra instituição para que possam proteger a conta. Além disso, você pode informar uma instituição de prevenção de fraudes em seu país, para que investiguem mais a fundo.
- Teste o reconhecimento usando tentativas simuladas de phishing: os testes simulados permitem que os administradores determinem o conhecimento dos funcionários e como eles reagiriam a tentativas reais de phishing. O software de simulação geralmente envia e-mails de phishing similares aos que os atacantes enviariam, mas sem links ou anexos nocivos. Permite à organização constatar se o treinamento de conscientização está funcionando e se há lacunas que necessitam de atenção.
- Proteja informações confidenciais: Além de usar antivírus e criptografia para proteger dados confidenciais, é uma boa prática restringir quem tem acesso aos dados e o que pode fazer com eles. O ideal é conceder aos usuários o mínimo de privilégios, permitindo que acessem somente os dados e recursos necessários para realizar suas tarefas. Mesmo que um invasor obtenha acesso não autorizado, não será capaz de causar muito dano.
- Desconsidere ou exclua qualquer texto ou e-mail suspeito. Evite clicar em mensagens, anexos ou links suspeitos. Além disso, não responda a mensagens que exijam o envio de informações pessoais, como detalhes de cartão de crédito ou conta bancária.
O que fazer depois de um ataque?
Apesar de todos os esforços para detectar e impedir que mensagens de smishing e phishing alcancem as vítimas visadas, milhões de mensagens falsas ainda conseguem burlar filtros de spam e outras medidas de segurança diariamente.
Infelizmente, a maioria dos usuários, até mesmo aqueles que estão cientes dos golpes, ainda pode ser ludibriada e clicar em links maliciosos. Embora a melhor estratégia seja ignorar e evitar responder a mensagens de SMS e e-mails falsos, é útil saber o que fazer em caso de ataque.
#1. Estabeleça como o ataque aconteceu
Descubra por que o ataque ocorreu e se sua solução de segurança precisa de melhorias para evitar ataques semelhantes no futuro.
#2. Verifique o efeito do ataque
Investigue o e-mail de phishing para averiguar sua intenção, quais dados o invasor mirou e com que finalidade. Você também pode usar o firewall ou registros semelhantes para buscar endereços IP e URLs suspeitos. Verifique quais contas e dados podem ter sido comprometidos. Além disso, monitore minuciosamente suas contas ou transações online e bancárias em busca de atividades suspeitas, como tentativas de login em locais incomuns, transferência de fundos, entre outras.
#3. Informar a organização implicada
É uma prática recomendada entrar em contato com a empresa legítima envolvida, e informar que os invasores estão usando o nome da empresa para enganar os usuários. A informação permite que a organização alerte seus clientes sobre os golpes.
#4. Isole o dispositivo da rede
Se o seu telefone ou computador estiver infectado, desconecte-o da rede para impedir que o malware ou outro software instalado carregue seus dados confidenciais. Também ajuda a proteger outros dispositivos na rede.
Além de impedir que o malware se espalhe para outras máquinas da rede, a desconexão garante que o dispositivo não furte e carregue dados confidenciais para a internet ou para o dispositivo do invasor.
#5. Limpe o dispositivo
Use uma ferramenta confiável para limpar o dispositivo infectado e certifique-se de conectá-lo novamente apenas quando não houver risco de causar dano. Você pode considerar restaurar o sistema para um estado anterior, como uma semana antes do ataque. Além disso, altere as senhas e os PINs das contas comprometidas.
Conclusão
Qualquer pessoa ou organização que utiliza dispositivos móveis e computadores está vulnerável a ataques de smishing e phishing. Os ataques de smishing geralmente têm como alvo usuários de telefones celulares, enquanto o phishing se concentra em usuários de e-mail.
De qualquer forma, os spammers usam técnicas de engenharia social para levar os usuários a divulgar senhas, dados bancários e outras informações confidenciais. A maioria dos e-mails e textos SMS de phishing e smishing conseguem ultrapassar filtros de spam e outras soluções de segurança. Consequentemente, isso pode induzir os usuários a pensar que as mensagens são legítimas e seguras.
Estar atento e conhecer as melhores práticas de segurança cibernética pode ajudar na prevenção de roubo de dados e identidade. A melhor forma de impedir ataques é que os usuários aprendam a reconhecer sinais de ataque de smishing versus phishing, como urgência, remetentes desconhecidos, pedidos de divulgação de informações confidenciais, entre outros. Ao suspeitar de um ataque, desconsidere a mensagem e confirme se a organização mencionada realmente enviou a mensagem.
Em seguida, o que são ataques de spool e como se proteger contra eles?