Perigos da engenharia social - como não se tornar uma vítima. Parte 1

Perigos da engenharia social - como não se tornar uma vítima. Parte 1

De acordo com dados do relatório da LookingGlass Cyber e ISACA, a engenharia social se tornou um dos principais tipos de ciberataques contra indivíduos e organizações em 2022.

Além disso, a IBM relata que os prejuízos causados por vazamentos de dados em 2022 totalizaram 4,1 milhões de dólares. Como se proteger sendo um usuário comum e sendo uma organização? Um bom antivírus pode protegê-lo contra ações maliciosas, mas não pode proteger contra a engenharia social.

Neste artigo, vamos falar sobre as táticas comuns usadas na engenharia social e também sobre como não se tornar uma vítima delas.

O que é engenharia social?

Em vez de depender apenas de medidas técnicas, os fraudadores recorrem a métodos "sociais": usam manipulação psicológica para convencer pessoas a revelarem informações confidenciais, mesmo que isso coloque a segurança delas em risco.

Métodos comuns de engenharia social incluem phishing (e suas variantes), baiting, pretextos e o uso de scareware (programas assustadores).

Fishing

Os fraudadores podem se passar por representantes de instituições legais ou empresas para “arrancar” as informações necessárias do usuário. Os ataques de phishing ocorrem por meio de e-mails comuns ou eletrônicos. Os criminosos muitas vezes jogam com o medo do usuário para levá-lo a realizar uma ação sem pensar.

Veja um exemplo de e-mail de phishing:

Fazendo-se passar por representantes do banco, os criminosos solicitam aos usuários que atualizem seus dados de conta. O e-mail parece muito ser real, e é como se tivesse sido enviado de um endereço eletrônico oficial. Como o bloqueio de uma conta bancária é um assunto sério, muitos usuários abrirão esse tipo de e-mail e realizarão as ações solicitadas sem pensar. O e-mail contém um anexo que, ao ser aberto, provavelmente infectará o computador.

Nos e-mails de phishing, os usuários frequentemente são solicitados a preencher informações manualmente, embora isso não seja necessário. Esses e-mails podem conter links que iniciam a instalação de um vírus. Isso é frequentemente usado para o criptojacking, um tipo de ataque que permite que hackers minerem criptomoedas usando a potência do computador de suas vítimas. Às vezes, os e-mails podem conter anexos que, ao serem abertos, infectam o computador e dão ao invasor acesso a arquivos pessoais do usuário.

Um caso específico de phishing é o spear phishing, em que o invasor se passa por alguém conhecido, em quem o usuário confia, como um amigo ou colega. Esse tipo de engenharia social é direcionado a uma pessoa específica e é frequentemente usado para espionagem industrial. Por exemplo, o invasor pode se passar pelo chefe e enviar um e-mail ao funcionário solicitando o envio de arquivos confidenciais.

Baiting

O baiting é uma tática muito parecida com o phishing. O criminoso não apenas se faz passar por uma autoridade, mas também atrai a vítima para que ela compartilhe suas informações pessoais em troca de algo tentador.

Aqui está um exemplo de uma mensagem:

Nessa mensagem, os cibercriminosos se apresentam como representantes da empresa Google e prometem aos usuários um iPhone gratuito como agradecimento por sua lealdade à empresa. Assim como no caso anterior, os criminosos intencionalmente criam uma sensação de urgência no usuário. Muitas pessoas sonham em ter um iPhone, e, portanto, esse tipo de e-mail funciona como uma isca e motiva as pessoas a clicarem no link.

Outro tipo comum de ataque de baiting é deixar um pen drive infectado em algum lugar na esperança de que alguém o encontre e o conecte ao seu computador. O dispositivo USB serve como isca: as pessoas ficam curiosas para saber o que há nele. Quando o pen drive é conectado ao computador, um programa malicioso é executado, tornando o computador vulnerável aos criminosos.

Vishing

Vishing é um termo derivado das palavras voice (voz) + phishing, ou seja, phishing por meio de chamadas telefônicas. Há mais ou menos 20 anos, os ataques de vishing ocorriam da seguinte maneira: um criminoso ligava para a vítima se passando por uma autoridade com quem a vítima nunca havia se encontrado. Hoje em dia, esse tipo de ataque usa cada vez mais a inteligência artificial para imitar vozes de membros da família e parentes próximos da vítima.

Veja essa história compartilhada por um usuário no Twitter. Ele relata como fraudadores tentaram enganar seu avô utilizando vishing. 

Em vez de enviar uma mensagem eletrônica, o criminoso pode ligar para a vítima ou deixar uma mensagem de voz. A maioria das pessoas está acostumada com spam em suas caixas de e-mail, mas elas costumam ser menos cautelosas durante as comunicações por voz. Por exemplo, o criminoso pode ligar para a vítima e, com a ajuda de inteligência artificial, imitar a voz de um membro da família que está no exterior e pedir que seja transferida uma quantia de $5000 para uma conta bancária específica. Esses tipos de tecnologia, como imitação de voz, ainda são desconhecidos por algumas pessoas, especialmente idosos, o que torna usuários comuns vulneráveis a fraudes desse tipo.

Smishing

Smishing é o termo usado para phishing por meio de SMS. Se o seu número de telefone se tornar conhecido pelos criminosos, eles podem tentar usá-lo para roubar seus dados pessoais.

Aqui está um exemplo de ataque smishing:

No smishing, os criminosos usam as mesmas artimanhas. Eles podem se passar por autoridades ou empresas legítimas e prometer prêmios, bônus e recompensas. No exemplo acima, os criminosos se fazem passar por representantes da empresa Walmart e dizem que desejam presentear a vítima. Eles garantem que é fácil, basta preencher um formulário. É importante abordar essas mensagens de forma crítica - isso ajudará a evitar a perda de dinheiro e a divulgação de dados confidenciais.

Programas assustadores

Programas assustadores se disfarçam de softwares legítimos, geralmente antivírus, e bombardeiam o usuário com falsos alertas de segurança ou atualizações. Os usuários frequentemente os instalam em seus computadores inadvertidamente por meio de e-mails de phishing ou propagandas maliciosas.

Os alertas emitidos por esses programas assustadores podem vir acompanhados de janelas pop-up, efeitos visuais ou sonoros piscantes, projetados para chamar a atenção do usuário e criar uma sensação de urgência.

Veja  um exemplo desse tipo de programa:

Os usuários são solicitados a instalar um software que supostamente resolve problemas. No entanto, a instalação desse software proposto causará apenas danos adicionais, como permitir que o criminoso roube arquivos pessoais do computador. É por isso que nunca se deve abrir links em e-mails suspeitos.

Pretexting 

No pretexto, o criminoso se faz passar por outra pessoa, geralmente uma figura de autoridade. Isso lhes permite obter acesso não autorizado às suas informações. Por exemplo, um criminoso pode se passar por um sociólogo conduzindo uma pesquisa ou por um cliente interessado em obter mais informações sobre seu produto.

Pretexting pode ser usado para prejudicar tanto usuários comuns quanto empresas. Essa técnica explora o desejo natural das pessoas de serem úteis e de cumprir as exigências das autoridades. Portanto, é importante que indivíduos e organizações estejam cientes dessa tática e tomem medidas adequadas para se protegerem.

Você se tornou vítima de engenharia social. Quais são as consequências?

Ao se tornar vítima de engenharia social, você pode enfrentar consequências devastadoras. Aqui estão alguns exemplos:

Roubo de dinheiro

Criminosos que conseguem aproveitar sua confiança e obter informações confidenciais podem monetizá-las de várias maneiras. Eles podem fazer compras com seu cartão se tiverem acesso às suas informações bancárias e/ou número de telefone. Eles também podem hackear suas contas nas redes sociais e pedir dinheiro emprestado aos seus amigos. Tudo depende da criatividade dos criminosos. Se as informações financeiras da sua organização forem divulgadas, os danos podem chegar a milhões e até bilhões.

Roubo de Identidade Digital

Por “roubo de identidade digital” entende-se situações, nas quais os fraudadores se passam por você. Por exemplo, os criminosos podem solicitar um empréstimo em seu nome ou até mesmo cometer um crime se passando por você. A recuperação das consequências pode levar anos. No mundo corporativo, esse tipo de ataque pode ameaçar organizações inteiras e colocar em risco seu futuro.

Danos à reputação

Os dispositivos dos usuários frequentemente armazenam informações confidenciais, cujo acesso por terceiros pode causar grande prejuízo. Tornaram-se comuns os casos de invasão de telefones e vazamentos de fotos pessoais, incluindo fotos íntimas. Um vazamento desse tipo pode torná-lo objeto de chacota e abalar seu equilíbrio emocional. Se uma organização se torna vítima de vazamento de dados como resultado de um ataque de engenharia social, ela pode perder a confiança dos clientes.

Conclusão

Os ataques de engenharia social se baseiam na falta de higiene digital e exploram manipulações psicológicas para enganar as pessoas e induzi-las a revelar informações pessoais. Os criminosos lançam uma variedade de ataques criativos, explorando emoções humanas naturais, como confiança, medo e ganância. É difícil resistir a esses ataques sem um treinamento especializado. No próximo artigo, falaremos sobre as etapas que devem ser tomadas para proteger a si mesmo e aos seus entes queridos contra a engenharia social.