Como evitar golpes de phishing
Publicados: 2022-01-29Escrever malware é apenas mais um trabalho de codificação nos dias de hoje, mas é difícil. Codificadores legítimos precisam criar programas que façam o que devem fazer, em cooperação com o sistema operacional e quaisquer outros processos. Os codificadores de malware têm a tarefa adicional de criar programas que podem ocultar suas ações nefastas do sistema operacional e dos programas antivírus. Não é uma maneira fácil de ganhar dinheiro. Não é de admirar, então, que alguns malfeitores pulem tentando enganar o sistema operacional e mudem para um alvo muito mais fácil... você! Eles criam cópias fraudulentas de sites populares e esperam que as vítimas façam login. Quando você preenche suas credenciais em uma dessas falsificações, você fornece sua conta aos fraudadores. Mantenha os olhos abertos, porém, e você pode evitar ser enganado.
O fator COVID-19
Com um grande número de pessoas presas em casa, buscando entretenimento na internet, os golpistas de phishing estão no paraíso dos porcos. Para começar, eles acabaram de ganhar um público maior para fraudes comuns de roubo de credenciais. Mas o medo, a incerteza e a dúvida causados por essa pandemia sem precedentes são a forragem perfeita para novos tipos de golpes.
Mesmo em abril de 2020, o Google relatou bloquear 18 milhões de golpes relacionados a vírus todos os dias. O Google faz um bom trabalho; as estimativas sugerem que ele bloqueia 99,9% dos e-mails de spam e phishing. Isso significa, porém, que 18.000 mensagens indesejadas chegaram, para um número desconhecido de vítimas, todos os dias.
Os golpistas de vírus não estão apenas procurando suas senhas; eles querem o seu dinheiro. Golpes e contras existem desde a humanidade e funcionam online tão bem quanto pessoalmente. Desconfie de qualquer e-mail que tenha qualquer conexão com a pandemia, especialmente se pedir que você clique em um link ou baixe um arquivo. Se o senso de urgência do e-mail falso o preocupa, vá diretamente à fonte em vez de usar um link fornecido.
Lembre-se também de que o cheque que você espera do Tio Sam é chamado de "pagamento de estímulo econômico". Se você vir uma frase como "verificação de estímulo", está vendo uma fraude.
Eu pessoalmente não encontrei nenhuma fraude ou golpe relacionado ao COVID-19, talvez graças ao Google. E os sites que eu crio para encontrar fraudes de phishing do mundo real para testes se concentram no roubo de credenciais, não em outros tipos de golpes. Mas não duvido nem por um segundo que os golpistas de vírus estão por aí, em vigor.
Para obter dicas específicas sobre como se proteger desse tipo de ameaça, leia Como identificar e evitar golpes COVID-19.
Como funcionam os golpes de phishing
A chave para executar um esquema de phishing de roubo de credenciais é criar uma réplica de um site seguro que seja bom o suficiente para enganar a maioria das pessoas, ou mesmo apenas algumas pessoas. Com as falsificações mais elegantes, todos os links vão para o site real. Bem, todos os links, exceto aquele que envia seu nome de usuário e senha aos criminosos. Como cereja do bolo, os fraudadores podem tentar criar um URL que pareça pelo menos um pouco legítimo. Em vez de paypal.com, talvez pyapal.com ou paypal.security.reset.com.
No entanto, nem todas as páginas de phishing são bem feitas. Alguns usam as cores erradas ou não combinam com a página que imitam. Outros têm URLs totalmente pouco convincentes, como admin.dentistry.com/forms ou X8el87.journal.com. Mesmo essas falsificações esfarrapadas podem pegar alguns otários, aparentemente, ou os fraudadores desistiriam.
Quando você insere seu nome de usuário e senha em um site de phishing, os proprietários do site obtêm acesso total à sua conta. Para evitar que você perceba que foi enganado, eles podem passar as credenciais para o site real, então parece que você fez login normalmente. Sua única pista pode vir quando você descobrir que sua conta bancária está vazia ou que não consegue fazer login no seu e-mail e seus amigos dizem que estão recebendo spam de você. Então, como você se protege contra esse tipo de ataque?
Elimine o óbvio
Alguns sites falsos são muito mal implementados para convencer qualquer um que esteja prestando atenção. Se você linkar para um site e ele parecer lixo, pressione Ctrl+F5 para recarregar totalmente a página, caso a aparência ruim tenha sido um acaso. Mas se ainda não parecer certo, fique longe.
Confira a página acima. A formatação é estranha, e é mais estranha à medida que você altera a largura da janela do navegador. Os rótulos dos campos de e-mail e senha se movem de forma diferente dos campos de entrada de dados correspondentes. Quão difícil teria sido apenas centralizar todo o conteúdo?
Quando você cria uma página de phishing, a verossimilhança é essencial. Usar um serviço gratuito de hospedagem na web que deixa seu banner em sua página ou seu domínio em sua URL é uma espécie de doação. Mesmo assim, toda vez que executo um teste de proteção contra phishing, encontro um punhado de falsificações que nem tentam como essa. Quem acreditaria que o Facebook usa 000webhostapp.com?
Verifique o endereço
Os navegadores modernos estão se afastando de um grande foco na barra de endereços. Agora é a barra de pesquisa mais endereço, no mínimo. Mas essa barra de endereço é um recurso extremamente importante quando você está olhando uma página para confirmar que ela é legítima. Os melhores farejadores de phishing podem identificar um URL desequilibrado com o canto do olho, sem nem pensar nisso.
Cuidado com as tentativas de ocultar a parte real do domínio do URL. Essa é a parte imediatamente anterior ao .com final, .net, .org e assim por diante. Qualquer coisa que venha antes do domínio é apenas um subdomínio. Se a URL fakery.paypal.com existisse, seria um subdomínio de paypal.com. Se em vez disso você vir paypal.fakery.com, bem, isso é pura falsidade!
Ataques de phishing em contas do Dropbox ou outras contas de armazenamento online não têm o valor garantido que os ladrões obtêm ao capturar logins bancários. Por outro lado, as pessoas não aplicam necessariamente o mesmo nível de vigilância a essas contas. Qualquer coisa pode aparecer no armazenamento online, desde uma lista de pedidos de biscoitos de escoteiras até planos secretos para uma missão a Marte. Da mesma forma, não há muito potencial de receita óbvio na captura de logins para streaming de mídia, mas o acesso a essa conta pode levar ao comprometimento de algumas contas mais importantes com as mesmas credenciais. Dê uma olhada na barra de endereços na imagem acima. Mesmo se você entrar na Netflix roubando credenciais de um amigo idiota, você certamente não verá “idiotfriend” na URL!
Aqui está outra esquisitice. Claramente, o URL não representa Xfinity, Comcast ou qualquer marca relacionada. Mas além disso, o navegador está acenando uma grande bandeira vermelha, apontando que o certificado de segurança do site foi revogado. Sim, webmasters de sites válidos ocasionalmente fazem besteira e deixam seus certificados expirarem, mas esta página é claramente uma fraude.
Procure o cadeado
O sistema de comunicação HyperText Transfer Protocol (HTTP) usado para comunicação básica na Internet é um resquício dos primeiros dias da World Wide Web. Não é seguro, porque ninguém imaginou outros fazendo coisas ruins na internet nascente. Bem, os maus estão aqui, e a única maneira sensata de se conectar é usando o protocolo HTTPS seguro. Os navegadores da Web mostram um ícone de cadeado para páginas HTTPS. O Chrome dá um passo além, marcando ativamente sites HTTP como "Não seguros". Você nunca deve fazer login em nenhum site que não use HTTPS.
"Mas espere", você pode argumentar, "que tal um site legítimo que simplesmente não conseguiu se tornar seguro?" Desculpe, eu não compro. Nesta era de HTTPS Everywhere não há desculpa. Um site que deseja que você faça login sem usar HTTPS, mesmo que não seja uma fraude, simplesmente não é legítimo.
Se você não notar o domínio .ru, esta página pode parecer uma página de login legítima da Amazon. Observe, porém, que não há bloqueio e que o endereço começa http:, não https:. Não toque nesta página; é mal!
Recomendado por nossos editores
Às vezes, você simplesmente não pode dizer olhando. O site do Commonwealth Bank chama seu sistema bancário online de Netbank. A página segura em netbank.com mostrada acima parece legítima. Se você não tiver certeza, uma rápida olhada nos dados whois do domínio pode ajudar na sua decisão. Acho que podemos concordar, é muito improvável que o site real do Commonwealth Bank estacione sua hospedagem com CrazyDomains.com.
Considere a Fonte
Você já ouviu isso um milhão de vezes. Não clique em links em mensagens de e-mail de pessoas que você não conhece. Não clique em links em mensagens de pessoas que você conhece, pois elas podem ter sido hackeadas. Este é um bom conselho! Clicar em um link aleatório pode levá-lo a um site de hospedagem de malware ou a uma fraude. Quando o link leva você a uma página de login, é especialmente importante considerar a fonte.
É concebível que você receba uma mensagem de e-mail do seu banco, embora muitos bancos evitem essa forma de comunicação. Se você clicou em um link em um site não relacionado e acabou no login do Bank of Armorica, as chances são muito boas de que seja falso.
Nossos utilitários antivírus mais bem avaliados
Ver todos (4 itens)
Mas e se o seu banco, o IRS ou o PayPal realmente estiverem tentando entrar em contato com você sobre um problema com sua conta? A solução é simples: pule o link e faça login no serviço diretamente, como faria normalmente.
Obtenha ajuda para combater o phishing
Ser mais esperto que os fraudadores, detectar suas artimanhas mais astutas, dá uma boa sensação, com certeza. Mas você pode não ser tão afiado amanhã, então vale a pena pedir ajuda na luta contra golpes de phishing. Os navegadores modernos têm proteção integrada contra sites fraudulentos e fazem um trabalho decente. A maioria dos produtos antivírus e de pacote de segurança adiciona sua própria proteção contra phishing; os melhores deles obtêm pontuações de até 100% de proteção em nossos testes.
Usar um gerenciador de senhas também ajuda a mantê-lo longe de fraudes. Com a maioria desses produtos, você pode visitar um site seguro e fazer login com um único clique. E se de alguma forma você conseguir acessar um site fraudulento, o fato de seu gerenciador de senhas não preencher as credenciais de login salvas é uma grande bandeira vermelha.
Os internautas mais experientes usam uma rede privada virtual ou VPN para suas atividades online. O uso de uma VPN protege seus dados em trânsito, porque os dados viajam de forma criptografada para o servidor VPN. Ele também oferece alguma proteção contra cyberstalking, porque seu tráfego parece vir do servidor VPN, não do seu endereço IP local. Mas o roteamento do tráfego da Web por meio de uma VPN não ajuda em nada contra o phishing. Quando você fornece suas credenciais aos proprietários de um site de phishing, não importa como eles chegaram lá. Os ataques de phishing têm como alvo você , não seus dispositivos ou sistemas de comunicação.
O phishing é mais comum do que você imagina. Para obter as imagens para este artigo, peguei as últimas cinco ou seis dúzias de fraudes verificadas de um site popular de rastreamento de phishing e trabalhei com elas, procurando bons exemplos. Sim, as páginas fraudulentas são colocadas na lista negra rapidamente, mas os golpistas simplesmente fecham e aparecem com uma nova página de fraude.
Proteja-se do Phishing
Para evitar a dor de ser enganado com seu dinheiro tão necessário ou o constrangimento de ceder seus dados confidenciais a uma fraude, use os recursos disponíveis, como gerenciadores de senhas e o sistema de detecção de phishing em seu antivírus. Mas mantenha seus próprios olhos abertos, para detectar quaisquer fraudes que passem. Se uma página vier de um link suspeito, se não houver bloqueio HTTPS na barra de endereços, se parecer errado de alguma forma, não toque nela! Sua vigilância será recompensada.