Uma análise do elemento de engenharia social nos ataques de spear phishing

Views: 173

Por David Balaban

Quando você pensa em um ciberataque, provavelmente imagina um hacker sofisticado atrás de uma tela estilo Matrix, penetrando redes com sua destreza técnica. No entanto, a realidade de muitos ataques é muito mais mundana.

Um simples e-mail com um assunto inocente, como “Tentativa de entrega não realizada”, está na pasta de spam de um funcionário. Eles o abrem distraidamente e, em seguida, inserem suas credenciais do Office 365 na página de login que parece confiável. Em um instante, os maus atores têm livre acesso aos sistemas da organização sem suar a camisa.

Esse exemplo (que é muito realista) destaca a enorme ameaça que o spear phishing representa hoje. Em vez de explorações técnicas abertas, os atacantes utilizam técnicas de engenharia social que exploram as fraquezas da psicologia humana. E-mails meticulosamente elaborados contornam até as defesas de perímetro mais seguras, manipulando os usuários para que habilitem o acesso voluntariamente.

Neste blog, analisarei as técnicas reais dos atacantes para explorar nossos pontos fracos e vulnerabilidades. Também mostrarei o quão mais elaborados esses ataques de hacking podem ser em comparação com os ataques de phishing típicos que muitos de nós já estamos acostumados. Dessa forma, você poderá reconhecer e resistir a tentativas de spear phishing que exploram gatilhos psicológicos contra você.

Anatomia de um golpe de spear phishing

Antes de analisarmos os detalhes da engenharia social, vamos estabelecer o que define um ataque de spear phishing.

• Altamente direcionado: O spear phishing tem como alvo indivíduos ou organizações específicas, usando personalização e contexto para aumentar a credibilidade. Isso pode incluir cargos, assinaturas familiares, detalhes da empresa, projetos em que se trabalhou, etc.
• Aparenta ser legítimo: Os spear phishers investem tempo para fazer e-mails e páginas de destino parecerem 100% autênticos. Eles frequentemente usam logotipos reais, domínios e dados roubados.
• Busca dados sensíveis: O objetivo final é fazer com que as vítimas revelem credenciais, detalhes bancários, segredos comerciais ou outras informações sensíveis ou que instalem malware.
• Instila um senso de urgência/medo: Assuntos e conteúdos ativam gatilhos emocionais relacionados à urgência, curiosidade, medo e dúvida para obter cliques rápidos sem um pensamento mais profundo.

Com essa base estabelecida, vamos examinar como os spear phishers utilizam a engenharia social para explorar vulnerabilidades humanas com assustador sucesso.

#1: Eles aproveitam o desejo humano de ser útil

Os seres humanos têm um desejo inato de serem percebidos como prestativos. Quando alguém lhe pede um favor, seu primeiro instinto provavelmente é querer dizer sim, em vez de duvidar da pessoa.

Os spear phishers exploram esse traço ao elaborar e-mails que fazem pedidos parecerem razoáveis e essenciais. Mesmo apenas começar um e-mail com “Espero que você possa me ajudar com…” ativa o viés de reciprocidade que aumenta a vulnerabilidade ao ataque. Vamos dar uma olhada em um exemplo:

Assunto: SUporte URGENTE Necessário

Corpo do E-mail: “Oi Amanda, estou entrando em contato porque preciso da sua ajuda, por favor. Estou fora do escritório e tendo problemas para acessar as faturas. Você se importaria de me enviar as 2 faturas mais recentes que recebemos? Preciso enviá-las até o final do dia. Desculpe pelo pedido urgente! Por favor, me avise. Obrigada, Sarah”.

Este e-mail reúne quatro gatilhos de engenharia social altamente eficazes:

• Cortesia: Dizer “por favor” e “obrigado” se alinha às normas sociais ao buscar ajuda.
• Senso de urgência: Criar um prazo curto pressiona por uma ação rápida sem um pensamento mais profundo.
• Problema vago: Manter os detalhes específicos em aberto evoca curiosidade e o desejo de ser útil.
• Assinatura familiar: Um nome de remetente conhecido inspira confiança.

Quando confrontados com um pedido educado de ajuda que parece sensível ao tempo, muitos concordam sem considerar os riscos potenciais. Isso permite que os spear phishers reúnam dados sensíveis ou façam com que as vítimas cliquem em links duvidosos com bastante facilidade.

#2: Eles fabricam autoridade

A psicologia humana é fortemente condicionada a se submeter a figuras de autoridade. Quando alguém em uma posição de liderança pede que você faça algo, você provavelmente executa sem fazer muitas perguntas.

Os ataques de spear phishing muitas vezes aproveitam essa tendência ao assumir uma posição de autoridade. Eles simulam nomes de executivos, títulos de gerentes, contas de administradores ou funções como RH que dão direções, tornando as vítimas muito mais propensas a cumprir solicitações imediatamente. Aqui estão alguns exemplos:

• E-mail se passando pelo CEO exigindo um pagamento urgente por transferência bancária.
• Conta de TI falsa solicitando redefinições de senha para resolver “problemas de rede”.
• E-mail imitação da chefe de RH pedindo correções nas informações de depósito direto.

Posicionar o remetente como influente faz com que os alvos abaixem a guarda e se envolvam sem ceticismo. Em vez de avaliar criticamente, as vítimas se veem movendo-se rapidamente para evitar desapontar as pessoas acima.

#3: Eles criam ilusões de confiança

O princípio da prova social afirma que, se outras pessoas confiam em algo, é mais provável que nós também confiemos. O spear phishing aproveita isso mais uma vez, criando ilusões de que é confiável por meio de detalhes reconhecíveis.

Em vez de vir de contas totalmente desconhecidas ou aleatórias, os e-mails de spear phishing muitas vezes simulam:

• Assinaturas conhecidas: Remetentes fingem ser contatos já em sua rede.
• Logos e branding reais: E-mails e sites clonam elementos visuais que correspondem às expectativas.
• Tons de escrita familiares: O conteúdo corresponde aos estilos de comunicação que você esperaria do indivíduo ou empresa falsificada.
• Detalhes pessoais: Eles pesquisam nomes, projetos, atividades, etc., para referenciar no conteúdo.

Os pequenos detalhes familiares fazem com que os e-mails duvidosos pareçam autênticos, em vez de aleatórios, o que abre as vítimas à manipulação usando outras técnicas de engenharia social.

Por exemplo, um e-mail que finge ser de um contato conhecido pedindo que você baixe um documento quase não desencadearia nenhuma investigação. A suposta confiança garante cliques sem pensamento crítico, permitindo que malware e links maliciosos penetrem ambientes com mais facilidade.

#4: Eles provocam emoções fortes

E-mails de spear phishing muitas vezes tentam provocar emoções fortes que anulam seu pensamento lógico. Sua capacidade de avaliar situações diminui muito quando você sente uma urgência de excitação ou raiva. Os atacantes usarão palavras que tocam em emoções como:

• Curiosidade: Assuntos como “Sua senha foi alterada” despertam preocupação que faz você correr para verificar sem pensar duas vezes.
• Raiva: Imagine receber uma mensagem rude de um colega ou chefe. Essa raiva pode obscurecer seu julgamento o suficiente para clicar em links de malware.
• Esperança: Ofertas “boas demais para serem verdade” inundam as caixas de entrada porque até pessoas inteligentes arriscam prêmios ou empregos dos sonhos sem considerar os riscos.
• Pânico: Nada faz você reagir mais rápido do que pensar que seu e-mail, conta bancária ou acesso ao sistema foi comprometido ou cortado de alguma forma. O medo torna-se um solo fértil para erros.

O objetivo é fazer com que reagimos instintivamente, em vez de analisar cuidadosamente o que está acontecendo. Mas, se você estiver ciente desses truques psicológicos, poderá se pegar no momento. Basta levar um tempo para considerar por que certos e-mails provocam sentimentos intensos e se alguém quer que você clique sem pensar. Manter-se ciente dos gatilhos emocionais ajuda a evitar erros descuidados no futuro.

#5: Eles exploraram a preguiça humana

Aqui está uma verdade infeliz sobre a natureza humana – gostamos de despender o mínimo de esforço possível. É provável que você não verifique minuciosamente cada e-mail de trabalho que chega à sua caixa de entrada. Isso demanda muito tempo e esforço quando você está tentando concluir tarefas.

O spear phishing se aproveita dessa tendência à preguiça e atalhos mentais. Em contraste com ataques excessivamente complexos, eles apresentam chamadas simples para a ação:

• Clique neste link de redefinição de senha.
• Ative macros para visualizar uma fatura.
• Baixe o documento de um remetente familiar.
• Visite este site para reivindicar um prêmio.

Quando não há bandeiras vermelhas conspícuas, a maioria dos usuários cai na armadilha do pensamento preguiçoso. Clicar sem esforço em links parece mais fácil do que examinar os detalhes do remetente, avaliar URLs ou abrir documentos com segurança.

Essa disposição para seguir o caminho mais fácil e menos resistente se encaixa perfeitamente nas mãos dos spear phishers. Eles querem que os destinatários ajam rapidamente, sem muito pensamento ou esforço. Capturar as pessoas quando estão cognitivamente preguiçosas é a maneira mais confiável de ter sucesso.

Palavra final

Enquanto os ataques de phishing padrão já são uma grande dor de cabeça para lidar, o spear phishing dá um passo além, incorporando algumas táticas inteligentes de engenharia social para tentar enganar as pessoas a tomar ações. Embora qualquer um possa cair nesses truques, vigilância e conscientização são a melhor defesa contra eles. Agora que você conhece os sinais reveladores e as táticas que esses malfeitores usam, estará melhor preparado para detectar o ataque se algum dia se encontrar na linha de fogo de um.

Esse artigo tem informações retiradas do blog da AT&T. A Neotel é parceira da AT&T e, para mais informações sobre as soluções e serviços da empresa, entre em contato com a gente.