paint-brush
Campanhas de phishing se tornaram muito mais sinistras em 2024por@prguyvic
965 leituras
965 leituras

Campanhas de phishing se tornaram muito mais sinistras em 2024

por Erich Kron4m2025/01/23
Read on Terminal Reader

Muito longo; Para ler

No segundo semestre de 2024, os ataques de phishing aumentaram em 202%, com usuários recebendo pelo menos uma mensagem avançada de phishing capaz de escapar das defesas de segurança por semana.
featured image - Campanhas de phishing se tornaram muito mais sinistras em 2024
Erich Kron HackerNoon profile picture

A crescente variedade de ameaças direcionadas a pessoas e empresas.


O phishing é uma das ameaças mais prevalentes e prejudiciais, sendo responsável por quase um terço de todos os ataques cibernéticos ano passado. No segundo semestre de 2024, os ataques de phishing aumentaram em 202% com usuários recebendo pelo menos uma mensagem avançada de phishing capaz de escapar das defesas de segurança por semana. Abaixo estão alguns exemplos notáveis de 2024 que ilustram como as ameaças de phishing cresceram e evoluíram em complexidade. As organizações devem examinar de perto esses exemplos para preparar suas defesas para 2025.


  1. Ofuscação acelerada de páginas móveis aproveitada para phishing


O Google desenvolveu originalmente URLs AMP para aumentar a experiência do usuário e o desempenho de páginas de sites com muito conteúdo. Os agentes de ameaças agora estão explorando essa funcionalidade para mascarar URLs maliciosos e driblar defesas de segurança de e-mail. Ao empregar domínios legítimos e adicionar várias camadas de redirecionamentos nessas URLs, os invasores podem ocultar o verdadeiro destino das URLs e passar pelos scanners de URL sem serem detectados, porque essas ferramentas de segurança são projetadas apenas para verificar a reputação de domínios visíveis. Os invasores sabem que os usuários tendem a passar o mouse sobre links de URL antes de clicar neles e, portanto, esse método de ofuscação os ajuda a enganar o usuário, fazendo-o pensar que está clicando em uma URL de um domínio confiável.


  1. YouTubers são alvos de ataques de phishing


Maioria os ataques cibernéticos são motivados financeiramente. Portanto, não é surpreendente ver criminosos cibernéticos mirando influenciadores afluentes do YouTube. De acordo com um relatório de NuvemSEK , os agentes de ameaças estão contatando YouTubers sob o pretexto de solicitações de promoção de marca ou acordos de colaboração. Eles se passam por marcas confiáveis e entregam arquivos com malware disfarçados de contratos ou material promocional, hospedando-os em plataformas de nuvem como o OneDrive. Quando esses anexos maliciosos são baixados e abertos na máquina da vítima, o malware se instala e rouba dados confidenciais, como informações financeiras, propriedade intelectual e credenciais de login.


  1. Phishers aumentam ataques BEC contra varejistas


Algumas fontes afirmam 3,4 bilhões e-mails de phishing são enviados diariamente. Os ataques de comprometimento de e-mail comercial (BEC) custam às empresas quase US$ 5 milhões por incidente . Em um desses incidentes, o Pepco a unidade de negócios húngara do grupo foi alvo de uma campanha de BEC onde os invasores se passaram por um executivo sênior falsificando seu endereço de e-mail. O e-mail continha linguagem convincente que levou o destinatário a transferir € 15,5 milhões sem verificar a autoridade do remetente. Embora os ataques de BEC possam afetar qualquer negócio, independentemente de seu tamanho, receita ou setor, estudos mostram que organizações de maior receita correm maior risco de ataques de BEC do que empresas de menor receita. A prevalência de ataques de BEC é a __ mais alta __no comércio varejista.

  1. Golpes de obituário de IA em ascensão


Pesquisadores em Trabalhos seguros tropeçou em um golpe de engenharia social que tem como alvo indivíduos que buscam informações sobre pessoas recentemente falecidas. O golpe envolve a publicação de obituários falsos em sites fraudulentos e o uso de técnicas de envenenamento de SEO para direcionar tráfego para esses sites. Os invasores usam tecnologia de IA para fabricar um longo tributo a partir de fatos extraídos de um tributo mais curto. O objetivo é redirecionar os usuários para sites maliciosos, onde eles são expostos a adware, infostealers e outros programas maliciosos.


  1. Anexos sequestrados em tópicos de e-mail de fatura


Pesquisadores em IBM detectou um novo tipo de ataque de phishing impactando organizações financeiras, tecnológicas, de manufatura, de mídia e de comércio eletrônico em toda a Europa. O ataque começa com atores mal-intencionados enviando notificações de faturas reais que foram roubadas ou sequestradas usando credenciais de e-mail comprometidas. O que é diferente sobre esses e-mails do e-mail original é que eles contêm um anexo ZIP trocado que é protegido por senha para evitar filtragem de e-mail e inspeção de sandbox. Os nomes dos arquivos são até mesmo adaptados à organização alvo para fazê-los parecer mais autênticos. Quando um destinatário descompacta o arquivo, um malware infostealer (como StrelaStealer) infecta a máquina da vítima e rouba credenciais de e-mail armazenadas no MS Outlook ou Mozilla Thunderbird.


Principais conclusões


Nenhuma ferramenta única no mundo pode fornecer proteção infalível contra phishing. Para mitigar o phishing, as organizações devem se concentrar em princípios básicos de segurança:


  1. Crie uma força de trabalho preocupada com a segurança: por meio de treinamento regular, exercícios de conscientização e testes de simulação de phishing, crie uma força de trabalho responsável e vigilante em relação à segurança cibernética.


  1. Atualize o software regularmente: certifique-se de que os sistemas, hardware, aplicativos e software estejam atualizados para evitar que invasores explorem quaisquer vulnerabilidades novas ou existentes.


  1. Adote uma mentalidade de confiança zero: implemente ferramentas e processos de confiança zero (nunca confie, sempre verifique) que se concentrem na verificação da identidade do usuário antes de conceder acesso aos recursos ou dados da empresa.
  2. Capacite a equipe: Forneça ferramentas de segurança como gerenciadores de senhas aos funcionários para que eles não sejam vítimas de ameaças como reutilização de senhas. Facilite para a equipe entrar em contato com a equipe de segurança e relatar mensagens de phishing. Estabeleça e comunique políticas de segurança claras e transparentes, o que fazer e o que não fazer, etc.


  1. Implemente uma segurança de e-mail robusta: utilize filtros de e-mail avançados (de preferência baseados em IA) que possam detectar padrões suspeitos, como endereços de remetentes incomuns, URLs e domínios maliciosos.


As técnicas de phishing descritas acima destacam a crescente sofisticação e variedade de ameaças direcionadas a indivíduos e organizações. Esses novos métodos demonstram a necessidade de maior vigilância e medidas de segurança proativas. Construir uma força de trabalho consciente da segurança, capacitá-la com ferramentas, adotar confiança zero, atualizar software regularmente e implementar segurança de e-mail robusta pode fornecer defesas críticas contra futuras ondas de ataques de phishing.