Cyxtera lista ameaças e alerta: fraudes estão cada vez mais difíceis de ser identificadas
O phishing deu origem a 90% dos ciberataques nos últimos dois anos. O levantamento é da Cyxtera, empresa especializada na detecção de fraudes que já avaliou mais de 32 bilhões de conexões globais em busca de ameaças. Segundo a entidade, ataques utilizando phishing, homoglyphs de caracteres e domínios de sites semelhantes estão entre as maiores tendências de cibercrime para 2019.
“Os hackers dispõem de recursos cada vez mais sofisticados e as fraudes estão cada vez mais difíceis de ser identificadas. Com a tecnologia de machine learning, podemos encontrar e derrubar a grande maioria dos sites de phishing assim que eles entram em operação. Mas, em alguns casos, é preciso muito mais do que isso”, pontua Ricardo Villadiego, diretor de Segurança da Cyxtera.
Com base nesses dados, a Cyxtera listou cinco dos novos ataques mais perigosos vistos, por ora, em 2019, e que devem continuar acontecendo nos próximos anos. A empresa também elaborou recomendações de como combatê-los.
1) Homoglyphs: ataques evoluídos para evitar detecção
Alvo: grandes bancos da América Latina
Como é realizado: um homoglyph é um caractere ou sequência de caracteres que parecem ser semelhantes ou idênticos. Historicamente, eles têm sido muito úteis em ataques de phishing. Um exemplo simples é quando o nome oficial de um site tem a letra O substituída pelo número 0 em um URL. Ataques recentes têm usado homoglyphs de caracteres em outros idiomas para contornar a detecção automatizada de ameaças para publicidade online e mídias sociais.
Os invasores usam esses caracteres para garantir que a detecção automática de palavras-chave não seja acionada. Além disso, eles fazem combinações com links de URL que não são domínios semelhantes para impedir a detecção pelos sistemas que os pesquisam.
A imagem acima mostra um anúncio malicioso de uma instituição financeira da América Latina. O primeiro “a” contém um caractere que não faz parte do idioma espanhol, e o URL não é um domínio semelhante.
Este é um exemplo de um ataque homoglyph em mídias sociais. Há caracteres russos no nome da conta, que não contém nenhuma palavra-chave de marca que possa acionar um alerta.
Como mitigar a ameaça: segundo Villadiego, embora a detecção automatizada usando tecnologia como machine learning seja essencial para identificar e parar ataques de phishing, as empresas precisam ajustar os algoritmos para garantir que eles estejam detectando a maior parte das fraudes. “É preciso realizar buscas manuais e análises para encontrar ataques que os algoritmos podem não ter sido treinados para encontrar ainda, e aprimorar esses algoritmos de acordo com a detecção de ataques futuros”, explica.
2) Os domínios mudam, mas os endereços IP permanecem os mesmos
Alvo: grandes bancos do leste asiático
Como é realizado: vários ataques de phishing podem ser iniciados, ao mesmo tempo, a partir de uma variedade de domínios semelhantes. No entanto, com a desativação desse grupo de domínios, os ataques são relançados em um novo grupo, usando o mesmo endereço IP ou intervalo de IP dos ataques anteriores. Esses IPs parecem ser cuidadosamente selecionados, uma vez que, geralmente, vêm de países específicos e os provedores de serviços de internet têm maior probabilidade de facilitar esse comportamento sistemático.
Mapeamento de um ataque por meio de vários endereços IP/intervalos recorrentes.
Como mitigar a ameaça: temporariamente, esses tipos de ataques podem ser atenuados por meio do monitoramento de domínio e IP, que culminam na remoção de um site. Machine learning e outras tecnologias analíticas permitem observar padrões de como esses ataques continuaram a ser lançados em novos domínios semelhantes e em vários endereços IP depois que foram removidos pela primeira vez. É necessário alavancar os relacionamentos com alguns dos provedores de serviços de Internet afetados e até mesmo governos locais, a fim de garantir a exclusão completa de ataques em grande escala.
3) Falsos interesses
Alvo: cooperativas de crédito dos EUA
Como é realizado: uma conta no Twitter, por exemplo, se identificará como um sugar daddy ou sugar mommy, oferecendo-se para fazer depósitos online para indivíduos interessados, com a condição de que a parte receptora tenha uma conta em uma instituição financeira específica. Depois que a atenção da vítima é capturada, os supostos ‘patrocinadores’ pedem informações bancárias online, como nomes de usuário e senhas, por meio de mensagens diretas. Isso acaba levando o dinheiro a ser removido da conta da vítima.
Captura de tela de uma postagem fraudulenta típica.
Como mitigar a ameaça: esses ataques são um exemplo de uma ameaça externa que começa longe do perímetro de uma instituição financeira e que, no entanto, leva a perdas tangíveis. É preciso monitorar diferentes redes para possíveis ataques de phishing e trabalhar de perto com as redes sociais que hospedam os ataques para suspender as contas criminais.
4) Encontrando Vishings secretos no Blogspot
Alvo: grandes bancos do Oriente Médio
Como é realizado: uma mensagem smishing (phishing de SMS) é enviada para a conta do Whatsapp de um usuário, solicitando com urgência que ele atualize informações para impedir que sua conta e seus cartões associados sejam bloqueados. A mensagem fraudulenta inclui um número de contato e um URL, que leva a um site de phishing do banco no Blogspot.
O site do Blogspot é destinado a tornar toda a experiência mais realista e nenhuma informação é solicitada lá; os dados confidenciais do usuário são obtidas por meio de uma chamada de vishing (chamada de phishing por voz) depois que a mensagem é recebida. Para Villadiego, o Blogspot é uma opção atraente para hospedar os sites porque os portais são gratuitos e fáceis de usar, seus proprietários não são validados e seus subdomínios exclusivos são difíceis de serem detectados pelas soluções de monitoramento anti-phishing. “A falta de captura de dados nos sites significa que eles não são classificados como sites de phishing e, portanto, não estão na lista negra. Além disso, o Blogspot demora para remover sites que alegam violar marcas registradas”, ressalta.
Acima está um exemplo de um dos sites fraudulentos do Blogpost. Não há campos solicitando que um usuário insira credenciais, o que dificulta a classificação automática como um site de phishing.
Como mitigar a ameaça: usando palavras-chave de marca enviadas pela instituição financeira, é possível encontrar os sites como parte do monitoramento regular de fóruns online e plataformas de blogs. Para lidar com a remoção atrasada que esses sites costumam apresentar, é necessário colocar cada um deles na lista negra instantaneamente. Desta forma, os clientes da instituição serão avisados quando tentarem acessá-los.
5) Quando domínios similares se disfarçam
Alvo: bancos menores da América Latina
Como é realizado: o usuário final recebe uma mensagem fraudulenta do WhatsApp solicitando documentação pessoal para realizar um empréstimo. O remetente é apresentado para parecer uma empresa legítima, e a mensagem indica que os documentos necessários devem ser enviados para um endereço de e-mail ou um número de telefone diferente do número original do remetente.
Nenhum link de phishing está incluído, mas se o usuário acessa o site associado ao endereço de e-mail, verá um domínio semelhante e que compartilha um nome com uma instituição financeira legítima, mas possui uma marca completamente diferente. As vítimas são eventualmente solicitadas a transferir dinheiro por meio do WhatsApp para supostamente pagar uma taxa para iniciar o processo de empréstimo; esse dinheiro é roubado pelos cibercriminosos.
Site de imitação:
Site real:
Como mitigar a ameaça: segundo Villadiego, muitos desses sites não estavam sendo classificados como sites de phishing porque não capturavam nenhum dado e, em muitos casos, nem sequer se pareciam com a página de um site bancário oficial. Usando palavras-chave de marca que as instituições financeiras enviam, é possível encontrar os domínios semelhantes camuflados e bloquear o acesso do usuário final a eles, enquanto o processo de reivindicação de marca registrada para remover os sites possa ser executado.
Para o especialista, como mostram os ataques acima, os cibercriminosos estão constantemente à procura de novas formas de contornar os mecanismos de detecção e continuar a realizar ataques de phishing. “As instituições precisam de uma estratégia abrangente de proteção contra ameaças digitais para acompanhar os fraudadores, não importa o quanto as ameaças evoluam, e bloquear os ataques, não importa de que forma se transformem”, finaliza.
