Smishing e phishing são ataques de engenharia social que enganam as vítimas para que revelem informações confidenciais.
Phishing envolve o envio de e-mails com links ou anexos maliciosos. Por outro lado, smishing, que é uma combinação de SMS e phishing, envolve o envio de mensagens de texto através de links maliciosos ou de um número de telefone no qual a vítima é instada a clicar ou ligar, respectivamente.
Tanto nos ataques de smishing como nos de phishing, os criminosos ameaçam as suas potenciais vítimas com consequências graves, a menos que respondam imediatamente. As vítimas que respondem às ameaças podem acabar revelando informações confidenciais, como senhas ou detalhes de contas bancárias.
Phishing ataca roubo de dados Image Pixabay
Antes de examinarmos as semelhanças e diferenças entre os ataques smishing e os ataques de phishing, vamos aprender o que cada termo significa.
últimas postagens
O que é Smishing
Smishing é um ataque no qual criminosos enviam mensagens de texto com links maliciosos ou números de telefone falsos para potenciais usuários de telefones celulares. Inclui o uso de mensagens de texto manipulativas em linguagem convincente para induzir o usuário do telefone a responder.
O invasor pode usar a urgência, como a necessidade de pagar prontamente um pacote em trânsito ou confirmar uma transação financeira, pagar com urgência uma fatura pendente, etc.
O que é Phishing
Phishing é o envio de e-mails fraudulentos contendo links ou anexos maliciosos que direcionam o usuário para o servidor controlado pelo invasor ou instalam malware que pode roubar informações confidenciais.
No phishing, o site do invasor pode parecer semelhante a um site legítimo, mas terá um nome de domínio digitado incorretamente. No entanto, pode conter um campo de login que permite roubar o nome de usuário e as senhas à medida que a vítima os digita, acreditando que está acessando um site seguro.
Ataques Smishing vs. Phishing: Semelhanças
Os ataques de smishing e phishing usam táticas de engenharia social para induzir usuários desavisados a revelar informações sensíveis ou confidenciais. Os dois métodos de ataque têm as seguintes semelhanças.
- Cada um usa uma linguagem persuasiva para alertar as suas vítimas sobre perigos potenciais caso não respondam imediatamente. Por exemplo, alertam que a conta bancária ou o cartão de crédito serão encerrados, a eletricidade ou o serviço telefónico serão cortados e outras ameaças, a menos que a vítima tome a ação solicitada, como clicar num link fornecido.
- Contém links maliciosos controlados pelos invasores e com potencial para roubar credenciais de login ou outras informações confidenciais, instalar malware ou vírus ou comprometer o dispositivo do usuário.
Ataques smishing vs. phishing Imagem Pixabay
- Urgência: Cada um dos ataques cria um sentido de urgência e pode utilizar ameaças ou alertar a potencial vítima sobre consequências negativas se esta não agir ou responder imediatamente.
- Enganando: Ambos os ataques usam práticas de engenharia social para enganar e manipular suas vítimas. Os invasores smishing e phishing muitas vezes se fazem passar por empresas conhecidas e legítimas, como Microsoft, Amazon, Google e outras marcas conhecidas. Isso faz com que as potenciais vítimas ganhem confiança, respondam ou forneçam as informações solicitadas, acreditando que estão lidando com a referida organização ou autoridade.
- Mesmo objetivo: o principal objetivo do lançamento de ataques smishing ou phishing é induzir a vítima a divulgar informações confidenciais da empresa ou individuais, como credenciais de login, cartão de crédito ou dados bancários e muito mais.
Ataques Smishing vs. Phishing: Diferenças
A tabela abaixo destaca as principais diferenças entre ataques smishing e ataques de phishing.
RecursosSmishingPhishingAttack Vector Usa mensagens de texto SMS com URLs maliciosos abreviados ou um número de telefone falso.Usa e-mail com links ou anexos maliciosos.MédioTelefone ou dispositivo móvelComputador ou dispositivo móvel que acessa e-mail.Alcance e impacto Uma média de 2,65 bilhões de mensagens de texto de spam foram enviadas e recebidos por semana em abril de 2022. A taxa de cliques em links em mensagens de texto é maior do que em e-mails. É provável que mais usuários sejam comprometidos usando smishing em comparação com phishing. Cerca de 3,4 bilhões de mensagens de e-mail de phishing são enviadas todos os dias. No entanto, a taxa de cliques é inferior à do smishing. Mecanismo de entrega Mensagens de texto para um telefone celular Mensagens de e-mail para dispositivos de computação Conscientização do usuário Uma média de 2,65 bilhões de mensagens de texto de spam foram enviados e recebidos por semana de abril de 2022. A taxa de cliques em links em mensagens de texto é maior do que em e-mails. É provável que mais usuários sejam comprometidos usando smishing em comparação com phishingA maioria dos usuários de e-mail está ciente de ataques de phishingLinksLinks maliciosos encurtados e números falsosLinks e anexos maliciososExploração de dispositivos Cerca de 60% dos usuários de telefones celulares não têm conhecimento de ataques smishing e provavelmente serão vítimas.Pode roubar informações confidenciais de um computador. Os invasores também podem usar o dispositivo comprometido para distribuir malware ou vírus para computadores na mesma rede.Urgência Usar uma mensagem mais urgente e convincente solicitando resposta imediata. E-mail urgente, mas menos que o smishing.
Como se proteger?
Abaixo estão algumas das práticas de proteção contra smishing e phishing.
- Uso de uma solução forte de segurança de e-mail: Instale soluções de segurança eficazes, como software antivírus, firewalls fortes, filtros de spam, utilitários de análise de links, software anti-phishing e outras ferramentas. Eles ajudam a detectar e impedir a entrega de mensagens de e-mail de phishing aos usuários.
- Use autenticação multifator (MFA): a implantação de um MFA adiciona uma camada de proteção extra, exigindo que o usuário forneça outra autenticação além da senha. As soluções típicas de MFA exigem que o usuário forneça o nome de usuário e a senha, bem como outra forma de autenticação, como um código enviado a um dispositivo como um telefone celular.
- Atualizar e corrigir regularmente sistemas operacionais e aplicativos de software: A atualização do sistema operacional, dos aplicativos e das soluções de segurança garante que eles estejam atualizados e executando patches recentes que abordam a maioria das vulnerabilidades e falhas que os criminosos podem explorar.
- Observe práticas de segurança seguras: embora a instalação de um antivírus e outras soluções de segurança em seu computador ou dispositivo móvel ajude a detectar e proteger você contra possíveis ataques, você ainda precisa praticar atividades online seguras. Aprender sobre truques novos e existentes que os invasores usam ajuda a mantê-lo seguro. Além disso, aprenda como verificar sinais de alerta de engenharia social, como erros ortográficos, urgência, nomes de domínio errados, remetentes desconhecidos, etc.
Pare de ataques de phishing Imagem: Pixabay
- Criar consciência de segurança: As organizações devem fornecer aos seus funcionários formação adequada e regular de sensibilização sobre phishing, smishing e outros ataques cibernéticos. Além disso, devem utilizar ferramentas de simulação de phishing para testar a sensibilização e identificar e colmatar lacunas. Os usuários individuais também devem educar seus familiares e amigos sobre mensagens de spam e como agir e permanecer seguros.
- Denunciar a tentativa de ataque: Denuncie o caso a uma entidade como um banco ou outra instituição para que possam proteger a conta. Além disso, você pode informar a instituição de prevenção de fraudes em seu país para que possam investigar mais detalhadamente.
- Teste o reconhecimento usando tentativas simuladas de phishing: os testes simulados permitem que os administradores determinem o conhecimento dos funcionários e como eles responderiam às tentativas reais de phishing. O software de simulação geralmente envia e-mails de phishing semelhantes aos que os invasores enviariam, mas sem links ou anexos prejudiciais. Permite à organização estabelecer se a formação de sensibilização está a funcionar e se existem lacunas que precisam de ser abordadas.
- Proteja informações confidenciais: Além de usar antivírus e criptografia para proteger dados confidenciais, é uma boa prática limitar quem tem acesso aos dados e o que pode fazer com eles. O ideal é conceder aos usuários o menor privilégio que lhes permita acessar apenas os dados e recursos necessários para executar suas tarefas. Mesmo que um invasor obtenha acesso não autorizado, ele não poderá causar muitos danos.
- Ignore ou exclua qualquer texto ou e-mail suspeito. Evite clicar em mensagens, anexos ou links suspeitos. Além disso, não responda a mensagens que exijam o envio de informações pessoais, como cartão de crédito ou detalhes de conta bancária.
O que fazer depois de um ataque?
Apesar dos esforços para detectar e impedir que mensagens smishing e phishing cheguem às vítimas pretendidas, milhões de mensagens falsas ainda conseguem contornar spam e outros filtros de segurança todos os dias.
Infelizmente, a maioria dos usuários, mesmo aqueles que estão cientes dos golpes, ainda podem ser enganados e clicar em links maliciosos. Embora a melhor estratégia seja ignorar e evitar responder a mensagens SMS e e-mail falsas, também é bom saber o que fazer quando ocorrer um ataque.
#1. Estabeleça como o ataque aconteceu
Descubra por que o ataque ocorreu e se sua solução de segurança precisa de melhorias para evitar ataques semelhantes no futuro.
#2. Verifique o efeito do ataque
Investigue o e-mail de phishing para descobrir sua intenção, os dados que o invasor tinha como alvo e a finalidade. Você também pode usar o firewall ou registros semelhantes para procurar endereços IP e URLs suspeitos. Verifique as contas e os dados que podem ter sido comprometidos. Além disso, monitore de perto suas contas ou transações on-line e bancárias em busca de atividades suspeitas, como tentativas de login em locais incomuns, transferência de fundos, etc.
#3. Informar a organização implicada
É uma prática recomendada entrar em contato com a empresa legítima implicada e informá-la de que os invasores estão usando o nome da empresa para enganar os usuários. As informações permitem que a organização alerte seus clientes sobre os golpes.
#4. Isole o dispositivo da rede
Se o seu telefone ou computador estiver infectado, desconecte-o da rede para evitar que malware ou outro software instalado carregue seus dados confidenciais. Também ajuda a proteger outras máquinas na rede.
Além de evitar que o malware se espalhe para outras máquinas da rede, a desconexão garante que o dispositivo não roube e carregue dados confidenciais para a internet ou para a máquina do invasor.
#5. Limpe o dispositivo
Use uma ferramenta confiável para limpar o dispositivo infectado e certifique-se de conectá-lo novamente quando ele não puder causar nenhum dano. Você pode considerar restaurar o sistema para um bom estado anterior, como uma semana antes do ataque. Além disso, altere as senhas e PINs das contas comprometidas.
Conclusão
Cada indivíduo e organização que utiliza dispositivos móveis e computadores está vulnerável a ataques de smishing e phishing. Os ataques de smishing geralmente têm como alvo usuários de telefones celulares, enquanto o phishing se concentra em usuários de e-mail.
De qualquer forma, os spammers usam técnicas de engenharia social para induzir os usuários a revelar senhas, dados bancários e outras informações confidenciais. A maioria dos e-mails e textos SMS de phishing e smishing podem ignorar filtros de spam e outras soluções de segurança. Conseqüentemente, isso pode fazer com que os usuários pensem que as mensagens são legítimas e limpas.
Estar atento e conhecer as melhores práticas de segurança cibernética pode ajudar na prevenção de roubo de dados e identidade. A melhor maneira de prevenir ataques é os usuários aprenderem como procurar sinais de ataque smishing versus phishing, como urgência, remetentes desconhecidos, solicitações para revelar informações confidenciais e muito mais. Ao suspeitar de um ataque, ignore a mensagem e confirme se a organização mencionada lhe enviou a mensagem.
A seguir, o que são ataques de spool e como se manter protegido contra eles?