Como evitar ser enganado online

A maioria das pessoas hoje usa a internet para praticamente tudo, desde interagir com colegas de trabalho até escolher um novo tablet Android barato. E embora a internet seja uma ferramenta maravilhosa por esses e muitos outros motivos, ela também tem um impacto negativo na segurança e na privacidade das pessoas. Por um lado, grandes corporações como Amazon e Google encontram novas maneiras de espremer cada gota de dados de nossa presença online em nome do resultado final. Nesse sentido, você pode seguir estas etapas simples para melhorar sua privacidade digital no Android.

No outro lado da moeda de privacidade e segurança está um grupo que leva essa coleta de dados mais a sério. Em vez de permitir que você ceda voluntariamente sua privacidade em troca de serviços, esses cibercriminosos fazem o possível para roubar suas informações e usá-las para se beneficiar às suas custas.

O que é phishing e como funciona?

Phishing é um tipo de ataque cibernético que usa uma mistura de técnicas de engenharia social para cometer roubo de identidade ou alguma outra forma de crime com o objetivo de roubar dinheiro das vítimas. Os hackers geralmente tentam fazer com que as vítimas entreguem informações confidenciais, como informações de cartão de crédito, credenciais de login bancário online ou credenciais de mídia social por meio de engenharia social. Os hackers usam esses dados para acessar as contas da vítima e roubar seu dinheiro ou como uma etapa adicional na cadeia de ataque.

Também existem ataques de phishing que visam dispositivos fazendo com que a vítima baixe um software contendo malware para extrair essas informações do sistema da vítima ou controlá-lo usando ransomware.

Os ataques de phishing geralmente acontecem por e-mail. Há também vishing e smishing, que ocorrem por meio de chamadas de voz e mensagens de texto.

Quais são os tipos de ataques de phishing e como evitá-los?

Embora os ataques de phishing possam envolver software sofisticado, eles geralmente requerem interação humana. Para ser vítima de um ataque de phishing, muitas vezes você precisa abrir um e-mail, baixar um arquivo, pegar o telefone ou todas as opções acima. A engenharia social por trás dos golpes de phishing os torna bem-sucedidos, mas também nos permite identificá-los e interrompê-los sem muito conhecimento técnico.

Vejamos algumas das técnicas de phishing mais comuns e como você pode evitá-las.

Spear phishing e e-mail phishing

Email phishing e spear phishing operam de acordo com o mesmo princípio. Em ambas as situações, os hackers fingem ser outra pessoa, como uma grande empresa ou prestador de serviços. Eles enviam e-mails para um indivíduo insistindo para que tomem algum tipo de ação, geralmente fazendo login em um site ou enviando informações aos hackers, para evitar alguma consequência negativa ou tirar proveito de alguma recompensa.

Quase sempre há um senso de urgência envolvido nesses e-mails, e é provável que você veja algo como: “Se você não responder a este e-mail em duas horas, sua conta bancária será congelada e levará 60 dias recuperar.” A suposta urgência obriga as vítimas a cair nos golpes. Uma vez que eles estão com medo das consequências, eles são mais propensos a agir e menos propensos a gastar tempo pesquisando as informações.

Spear phishing difere do e-mail phishing regular na forma como o golpe é implementado. O phishing de e-mail comum é um e-mail amplo e geral com pouco contexto ou informações sobre a vítima. Spear phishing visa um indivíduo específico usando informações limpas de mídias sociais ou uma violação de dados para personalizar o e-mail.

Os hackers de spear phishing geralmente enviam um e-mail se passando por uma empresa confiável que a vítima usa ou com a qual fez contato antes. Na maioria das vezes, os e-mails de spear phishing contêm links maliciosos que levam a sites falsos convincentes, nos quais os usuários devem fazer login para resolver qualquer problema que supostamente esteja acontecendo com sua conta ou serviço bancário. Quando o destinatário tenta fazer login, o site malicioso salva as credenciais da vítima e o criminoso pode usar as credenciais de login e os dados confidenciais como bem entender.

Os ataques de spear phishing podem ser mais convincentes – e, portanto, bem-sucedidos – do que os métodos regulares de phishing por e-mail que enviam centenas de e-mails por vez. Uma subcategoria de ataques de spear phishing é o phishing de baleia, uma técnica usada para atingir indivíduos de alto perfil (geralmente executivos ou celebridades) que têm acesso a informações confidenciais ou podem autorizar transações financeiras substanciais.

Outra pequena variação de e-mail e spear phishing é o clone phishing, que ocorre quando os invasores enviam à vítima uma cópia de um e-mail recebido anteriormente com links ou anexos alterados. A vítima já confia no remetente original, portanto, suspeita menos desse novo e-mail.

Como prevenir e-mail phishing e spear phishing

Os cibercriminosos que usam essas técnicas de falsificação para imitar entidades legítimas geralmente afirmam ser nomes de empresas grandes e conhecidas, como Amazon, Microsoft, PayPal e empresas de cartão de crédito. O e-mail que você recebe geralmente é uma imitação convincente de um e-mail legítimo que você pode receber de uma dessas empresas. Os invasores proficientes copiam e editam o código de marcação dos e-mails originais para fazer cópias incrivelmente confiáveis.

No entanto, mesmo nesses casos, geralmente há indícios de que o e-mail é falso. A primeira coisa a procurar em um e-mail suspeito é a ortografia e a gramática incorretas, mas existem outras maneiras de identificar um e-mail fraudulento. Também é útil saber que o Google Gmail faz um bom trabalho ao avisá-lo sobre links fraudulentos se você clicar em um.

O princípio fundamental da prevenção de phishing é não confiar em ninguém. Suponha que você receba um e-mail inesperado ou não solicitado sobre um reembolso, problema bancário ou serviço online semelhante que tenha seus dados confidenciais. Nesse caso, a melhor coisa a fazer é ignorar todos os links no e-mail.

Se você estiver preocupado, entre em contato com a empresa por meio de um canal de comunicação familiar. Por exemplo, se você receber um e-mail do seu banco informando que há um problema com sua conta, acesse a página de login do seu banco digitando o URL manualmente ou acessando-o no site do banco, ou ligue para os escritórios do banco em um número que você conhece. Sob nenhuma circunstância você deve abrir um link de um e-mail e fazer login em sua conta bancária a partir dele, a menos que tenha verificado a autenticidade da página da web.

Outra maneira fácil de identificar um golpe de phishing por e-mail é observando o endereço de e-mail. Normalmente, os hackers não podem obter acesso aos domínios reais do banco, portanto, geralmente usam algo que parece próximo o suficiente do domínio real do banco à primeira vista. Se você olhar atentamente para o endereço de e-mail, notará que palavras são adicionadas onde não deveriam ou letras são trocadas ou substituídas por números (essa técnica é conhecida como typosquatting). Você também pode evitar ataques de phishing baseados em e-mail usando filtros de spam automáticos.

O phishing prejudica a confiança que uma empresa conquistou com seus usuários; portanto, se você receber mensagens de phishing, é uma boa ideia denunciá-lo à empresa que está sendo falsificada.

Vishing e smishing são semelhantes às campanhas de phishing por e-mail, mas ocorrem por meio de chamadas e mensagens de texto. Se você receber uma ligação ou SMS de alguém dizendo que é uma empresa para a qual você trabalha e que há um problema que precisa que você resolva imediatamente na linha, é melhor ignorá-lo e ligar para a linha de atendimento ao cliente que você usou antes para validar que há um problema e prossiga a partir daí. Você pode verificar o número de telefone, mas tenha cuidado, pois os malfeitores provavelmente usarão um identificador de chamadas falso para enganá-lo.

Ataques de injeção de conteúdo e malvertising

Os ataques de injeção de conteúdo, malvertising e man-in-the-middle (MITM) são difíceis de combater, pois dependem fortemente dos hackers que comprometem um terceiro – um host de anúncio, ISP ou rede local – o que significa que saber sobre engenharia social só pode levá-lo tão longe. A injeção de conteúdo envolve um hacker obtendo acesso a um site que você está visitando e alterando o site para adicionar um link que baixa malware em seu dispositivo ou leva você a um site que tenta convencê-lo a inserir informações pessoais que serão usadas para confirmar a identidade roubo.

Malvertising usa vulnerabilidades em componentes do navegador como JavaScript, visualizadores de PDF e fontes da web para baixar malware em seu dispositivo. Frequentemente, esses ataques de phishing dependem da instalação de malware pelo usuário em seu sistema. Malware inclui keyloggers que roubam dados de entrada ou ransomware que mantém seus dados como reféns em troca de uma taxa. Esses links podem aparecer em e-mails ou anúncios, mas às vezes os phishers ocultam seu malware em um software aparentemente comum.

Como evitar ataques de injeção de conteúdo e malvertising

Existem ferramentas que você pode usar e hábitos que pode aprender para tornar menos provável que os golpistas tenham sucesso se implantarem software malicioso em um anúncio ou página da web. Primeiro, desative os downloads automáticos em seu computador e telefone para eliminar isso como uma vulnerabilidade. Em segundo lugar, instale um bloqueador de anúncios para evitar que anúncios comprometidos apareçam em seu navegador. Finalmente, sempre verifique os links antes de abri-los. Normalmente, você pode passar o mouse sobre eles na área de trabalho para visualizar o link. Se o URL não parecer correto ou redirecionar você para um site diferente que você não conhece, talvez seja melhor evitar abrir o URL e excluir o e-mail. Você também pode denunciá-lo como phishing ao seu provedor de e-mail para que ele possa tomar medidas contra esse endereço de e-mail específico e proteger outros usuários.

Outra coisa que você pode fazer para melhorar sua segurança cibernética é certificar-se de ter um software antivírus instalado e ativado. A segurança integrada no Android, iOS, Windows e macOS pode ser reparada. Além disso, opções de terceiros estão disponíveis se você achar que as opções integradas não são suficientes. Bloqueadores de anúncios como o uBlock Origin são ótimas ferramentas para prevenir ataques de malvertising. Se o anúncio não carregar, não há chance de colocar malware em seu sistema.

Se você faz coisas como serviços bancários on-line ou trabalha com informações privadas ou corporativas confidenciais, há algumas etapas a serem seguidas, especialmente se você estiver em uma rede em que não confia.

O uso de uma VPN é crucial para proteger informações confidenciais em redes públicas, pois oculta seu tráfego de sniffers na rede. Ainda assim, é melhor evitar completamente o uso de redes Wi-Fi públicas para fazer coisas que envolvam informações confidenciais.

Você pode frustrar alguns keyloggers usando o teclado na tela em vez do teclado de hardware em seu computador. Alguns aplicativos bancários e sites permitem que você use um teclado na tela integrado ao site, pois o teclado padrão do seu PC pode ser mais fácil de ser lido por alguns keyloggers.

Uma palavra sobre bots e IA

A maioria dos ataques cibernéticos mencionados neste artigo tem sido historicamente uma prerrogativa apenas de hackers humanos. No entanto, os rápidos desenvolvimentos em inteligência artificial (IA) e aprendizado de máquina (ML) estão mudando essa tendência. O advento dos bots de processamento de linguagem natural (NLP), como o ChatGPT, significa que os programas de IA podem criar e-mails praticamente indistinguíveis daqueles escritos por humanos. Alguns desses chatbots (Bing AI e Google Bard são os mais famosos até o momento) já podem acessar a Internet, o que significa que podem pesquisar empresas e indivíduos antes de escrever e-mails que soam como um CFO, um grande banco ou seu melhor amigo. Os programas de IA também podem escrever código, o que significa que também podem criar cargas úteis para injeção de conteúdo e ataques de malvertising.

Dito isto, as técnicas mencionadas acima para se defender contra esses tipos de ataques também se aplicam às campanhas maliciosas criadas com o suporte de ferramentas de IA.

Cabeças mais frias prevalecem

Ficar seguro na internet não é muito difícil se você estiver ciente do que está vendo e com o que está interagindo. Seguir as dicas deste artigo e aderir a sites confiáveis ​​o manterá protegido contra a maioria dos problemas de segurança. Manter seus dispositivos atualizados também é uma ótima maneira de se manter seguro na web.

Se você deseja atualizar ainda mais sua postura de segurança online, saiba mais sobre os gerenciadores de senhas. Também temos um guia sobre como evitar que as câmeras de segurança de sua casa sejam invadidas.