Ataque de phishing pode prejudicar a comunicação na rede de informações, principalmente dos usuários de email.

Phishing é uma forma de fraude eletrônica, uma mentalidade melévola, caracterizada por tentativas de adquirir fotos e músicas e outros dados pessoais, ao se fazer passar como uma pessoa confiável ou uma empresa enviando uma comunicação eletrônica oficial. Isto ocorre de várias maneiras, principalmente por email, mensagem instantânea, SMS, dentre outros.

Um ataque de Phishing pode ser realizado de diversas maneiras. As mais comuns manifestações dessa mentalidade indigna do ser humano são:

Ataque ao Servidor DNS:

Ataque baseado na técnica de envenenamento de DNS, que consiste em corromper o DNS (Sistema de nomes de domínio) em uma rede de computadores, fazendo com que a URL (localizador uniforme de recursos ou endereço www) de um site passe a apontar para um servidor diferente do original. Ao digtar a URL(endereço) do site que deseja acessar, de um banco por exemplo, o servidor DNS converte o endereço em um número IP, correspondente ao do servidor do banco. Se o servidor DNS estiver vulnerável a um ataque de Pharming, o endereço poderá apontar para uma página falsa hospedada em outro servidor com outro endereço IP, que esteja sob controle de um golpista, autor do phishing.

URLs Falsas:

Outra maneira é a criação de URLs extensas que dificultam a identificação por parte do usuário. Um exemplo simples pode ser: secure.nomedoseubanco.com.br/internetbanking/12345, que terminasse com: DHJJUHGRedirectto:maisalgumacoisa.dominiofalso.com Onde o usuário pode diretamente olhar o início da URL e acreditar que está na região segura do site do seu banco, enquanto que na verdade está em um subdomínio do website dominiofalso.com.

Formulários HTML Falsos em E-mails:

Outra técnica menos frequente é a utilização de formulários em emails com formatação HTML. Com isso, um usuário incauto pode diretamente no seu email incluir as informações requeridas pelo atacante, e com isso, o mesmo nem precisa se preocupar com a clonagem da interface do banco.

As buscas por essas informações sensíveis crescem com o aumento da possibilidade de realizar as mais diversas tarefas no conforto do lar. Isso pode trazer a uma grande massa de internautas a ilusória sensação de segurança. Diz-se ser ilusória, pois, uma vez que a internet é uma tendência globalizada, não menos do que esperada é a presença de criminosos.

Aproveitando-se da desatenção de certos usuários, indivíduos maliciosos desenvolvem e põem à prática métodos cada vez mais sofisticados para cometer ações ilícitas. Alguns destes métodos, contudo, se destacam por sua eficácia e rendimento, e dentre estes, podemos citar, certamente, o ataque de Phishing Scam.

Tipos de mensagens eletrônicas utilizadas para a prática do phishing:

Email:

Alguém envia e-mails falsos forjando a identidade de entidades populares consideradas confiáveis, tais como sítios de entretenimento, bancos, empresas de cartão de crédito, lojas, órgãos governamentais, etc. Geralmente, as mensagens são enviadas para milhões de endereços de e-mail que foram previamente coletados na Internet. A entrega dos e-mails, normalmente, é feita por computadores que estão sob o controle de pessoas mal intencionadas e incluem, principalmente, servidores de e-mail mal configurados e computadores com conexão banda larga infectados com cavalos de tróia, propositadamente desenvolvidos para permitir o envio de e-mail em massa.

Spear Phishing:

Spear Phishing é um ataque de Phishing altamente focalizado. É um tipo de ataque que exige toda uma etapa de minuciosa pesquisa por parte dos atacantes, além de muita paciência. Neste tipo de ataque, o atacante estabelece seu alvo (geralmente uma empresa/departamento desta, podendo incluir ainda universidades, instituições governamentais, dentre outras). Logo em seguida, inicia a etapa na qual o phisher sonda informações básicas de diferentes funcionários. Aqui, explora-se uma grande falha humana: A incapacidade de avaliar corretamente a sensibilidade de uma informação. Enquanto sozinha esta informação pode não significar muito, mas em conjunto, se inteligentemente utilizada pelo atacante, pode garantir-lhe conhecimento suficiente para assimilar a identidade de alguém com mais poder na empresa.

Fraude 419:

Criada por estudantes universitários em meados de 1980, quando a economia petrolífera da Nigéria estava em crise, para manipular indivíduos interessados no petróleo nigeriano. Eram inicialmente distribuídos por cartas ou fax, mas com a popularização do e-mail, este passou a ser o meio utilizado. Seu nome vem da seção 419 do código penal nigeriano, que tipifica atividades fraudulentas. O e-mail é proveniente de indivíduos que dizem ser do Banco Central da Nigéria ou do Governo deste mesmo país. Porém a fraude 419 não se resume a meramente um único e-mail. Muito, além disso, é um verdadeiro jogo, no qual o risco e as regras dependem das capacidades de persuasão do atacante. Vale frisar que neste caso, “atacante” pode ser lido como uma verdadeira equipe de criminosos profissionais, que articula minuciosamente seus planos.

iPhishing:

iPhishing é a vertente que visa explorar vulnerabilidades conseqüentes do avanço excessivamente rápido da tecnologia, que acaba por deixar aspectos de segurança em segundo plano, dando lugar à funcionalidade e ao design. O ataque pode ocorrer de algumas maneiras, mas podemos citar o envenenamento de DNS para exemplificar. Um servidor DNS, ou Domain Name System (Sistema de Nomes e Domínios) tem como função traduzir nomes para IP’s e IP’s para nomes. Um envenenamento de DNS faz com que usuários sejam redirecionados para sites diferentes daqueles que desejavam alcançar. Devido a limitação de espaço na tela de portáteis como o iPhone, os usuários podem não conseguir ver toda a URL das páginas que visitam, tornando-se assim muito mais vulneráveis.

Vishing Scam:

A VoIP (Voice over IP), tecnologia desenvolvida para possibilitar comunicação telefônica através da rede baseando-se no Protocolo de Internet (IP), não se tornou uma exceção a regra. Uma vez que apresenta diversas vantagens sobre a telefonia convencional, como o fato de ser uma tecnologia de baixo custo, e, acrescentando-se ainda a possibilidade de mascarar o número de telefone que será identificado pelo receptor, a VoIP configura-se como uma excelente “oportunidade” para indivíduos maliciosos, que, percebendo-a, criaram uma nova vertente baseada no Phishing Scam tradicional: O Vishing Scam. Ataques de Vishing Scam são geralmente propagados através de mensagens de texto (SMS), e-mails ou até mesmo mensagens de voz, e seu procedimento assemelha-se em muito ao do Phishing Scam tradicional. Um estelionatário envia mensagens SMS falsas fingindo ser uma instituação de confiança. Estas mensagens pedem normalmente respostas com dados como cartão de crédito e senhas, ou até mesmo que a pessoa retorne a ligação para certo número e fale com um atendente golpista. As justificativas dadas para se efetuar a ligação variam, mas dentre as mais comuns delas podemos citar, por exemplo, “a ocorrência de possíveis atividades fraudulentas na conta bancária que levaram à suspensão da mesma”.

Por Mensageiros Instantâneos:

Como uma das principais formas de comunicação no mundo atual, os mensageiros instantâneos estão longe de estarem isentos dos perigos do Phishing. Na verdade, pode-se dizer que é um dos terrenos mais férteis para a proliferação deste ataque, devido a alguns fatores, a serem aqui citados. O primeiro destes fatores é o tipo de comunicação que geralmente se estabelece em mensageiros instantâneos. É uma comunicação mais informal, entre indivíduos que geralmente se conhecem ou são até mesmo grandes amigos. Todo este ambiente “familiar” traz uma maior sensação de segurança, fazendo com que os cuidados sejam reduzidos, até porque em muitas vezes o remetente da mensagem é um amigo de confiança que foi, contudo, infectado por um malware que está distribuindo a mensagem através de sua rede de contatos. Em segundo lugar, podemos citar a velocidade (em tempo real) e grande quantidade de conversas estabelecidas simultaneamente. Estando o usuário perdido em tantas conversas, nas quais a troca de URL’s é comum e constante, uma URL maliciosa tem maiores chances de passar despercebida. Além disso, a maior percentagem de usuários deste tipo de software engloba leigos em geral, crianças e adolescentes, que muitas vezes não possuem a capacidade de discernir entre mensagens autênticas e maliciosas, acabando por acessar portais maliciosos e/ou efetuar o download de malwares sem ter notícia de tal. Este fato agrava-se caso o computador seja compartilhado com outros que possam vir a efetuar possíveis transações bancárias (ou ações de importância equivalente) nesta mesma máquina, uma vez que pode estar infectada por keyloggers. Fatores humanos somam-se a periculosidade do ataque de Phishing Scam, tornando este vetor possivelmente mais ameaçador que e-mails.

Sites de Relacionamento:

Assim como no caso dos mensageiros instantâneos, os sites de relacionamento são, por assim dizer, ambientes virtuais mais descontraídos que, por exemplo, uma caixa de e-mails, e novamente tem-se uma redução na cautela. Não se assemelha apenas neste ponto: Além disto, na maior parte das vezes o remetente da mensagem é algum amigo de confiança, possivelmente infectado por um malware. Por se tratar de uma rede onde circulam fotografias, informações da vida alheia, e onde se estabelecem paralelos com o mundo real, são estes os pontos que os phishers exploram. As possibilidades são inesgotáveis: os atacantes indicam a existência de uma foto da vítima circulando pela rede, de uma comunidade difamando-a, ou de um vídeo que deveria ser assistido, dentre outros. Os sites de relacionamento são um terreno fértil para phishings, pois nas páginas de recados, além da disseminação de links ser normal, são de acesso público (se não forem definidos como privados), e há a possibilidade de fisgar outros usuários que naveguem pela rede. Devido à desenfreada inclusão digital, temos nestes, ainda, muitos usuários leigos, completamente vulneráveis, passíveis de serem facilmente fraudados.

Para se proteger desse tipo de agressão desonesta, que pode envolver roube de identidade ou furto de informações bancárias, alguma dicas valiosas são as de sempre verificar os remetentes de emails e nunca baixar e nem executar arquivos não solicitados. Outras coisas importantes como formas de defesa são: ter um bom antivírus atualizado no computador, manter o sistema Windows atualizado e ter um firewall habilitado e funcionando com perfeição.

Também existem algumas medidas recomendadas por pesquisadores americanos para evitar fraudes por email, por exemplo, que são uma das variações do phishing.
Os pesquisadores oferecem dicas para reduzir as chances de o usuário ser enganado por golpes do tipo, começando com bloqueadores de spam. “Como uma forma de prevenção, descobrimos que os bloqueadores de spam são imperativos para reduzir os números de e-mails desnecessários recebidos pelas pessoas que poderiam potencialmente confundir seu julgamento e processamento de informações”, diz o professor do departamento de comunicação da universidade de Brock, Arun Vishwanath.

Os pesquisadores também sugerem a utilização de várias contas de e-mail, cada conta dedicada a um único propósito – correspondência bancária, pessoal, etc – para que spams com assuntos estranhos realmente pareçam que estão no lugar errado. Por exemplo, se um spam de banco aparecer em sua conta pessoal, vai se destacar, fazendo com que o usuário considere-o com mais cuidado.

Além disso, também é recomendado separar um tempo regular para cuidar das diferentes contas de e-mail. Essa prática ajudaria os usuários manterem o foco e serem menos vulneráveis a phishing.

Fontes: Wikipédia |  Dignow