No início, os ataques de phishing eram muitas vezes muito simples e utilizavam fontes legítimas de comunicação escrita, como e-mail, para obter acesso a dados confidenciais.
Na era da IA, é tentador considerar como os invasores estão modernizando seus métodos de phishing. Com a crescente popularidade das ferramentas GenAI, os ataques de phishing baseados em voz – também conhecidos como “vishing” – tornaram-se a nova norma e a evolução dos métodos de ataque continua.
Phishing como trampolim
Para compreender a importância do phishing na indústria de malware, é útil observar a anatomia de um ataque. Geralmente são os ataques de ransomware bem-sucedidos que recebem toda a atenção da mídia. No entanto, a colocação bem-sucedida de Trojans de chantagem já representa o fim de um ciclo de infecção que leva às temidas exigências de resgate ou à perda de dados. A fase de preparação de tal ataque está muito menos em destaque, embora a estratégia defensiva já deva começar aqui. Na fase de detecção de vítimas, os métodos modernos de phishing desempenham um papel significativo ao qual as organizações de TI devem responder.
Os mecanismos de phishing desempenham um papel importante quando os agentes de malware determinam a superfície de ataque de uma organização. O foco de interesse geralmente são os dados de acesso pessoal ou a colocação de malware de dia zero para obter acesso a um sistema. Como os invasores também contam com a tendência da IA para suas manobras enganosas, as organizações devem fortalecer seus mecanismos de defesa, por exemplo, usando técnicas modernas de análise de malware baseadas em comportamento.
Ataques de phishing personalizados
A variedade de iscas para vítimas evoluiu de simples golpes de e-mail para grandes audiências até ataques personalizados. À medida que o conhecimento das campanhas tradicionais de phishing aumentou através do treinamento, os adversários descobriram novos canais e técnicas. Conseqüentemente, telefonemas falsos e vishing aumentaram recentemente. A voz real de um gerente é imitada por meio de uma ferramenta de clonagem de voz de IA. Essas ferramentas primeiro definem as características de uma voz humana e depois usam inteligência artificial para treinar o sistema para imitar perfeitamente essa voz ao recitar diversas mensagens. Em conjunto com as técnicas convencionais de phishing, está a tornar-se cada vez mais difícil reconhecer vozes imitadas, ou seja, as chamadas vozes falsas.
Além da clonagem de voz, outro método de phishing será introduzido. “Quishing” envolve o envio de um código QR por e-mail com um link malicioso escondido atrás da imagem. Esse método dificulta a detecção do código malicioso porque as ferramentas de segurança geralmente não são eficazes. Isto aumenta o risco, especialmente para os funcionários com telemóveis privados que não estão adequadamente protegidos. Para acompanhar esses desenvolvimentos nas técnicas de phishing, recomenda-se uma mentalidade de confiança zero. Não apenas como solução de segurança técnica, mas também a nível humano. A força de trabalho deve demonstrar uma suspeita saudável de comunicações, conteúdos incomuns ou remetentes desconhecidos para evitar a execução de ameaças ocultas.
Confiança é bom, controle é melhor
É claro que, além das defesas humanas, as estratégias de cibersegurança também devem ser adaptadas para lidar com a ameaça crescente do phishing moderno e proteger informações sensíveis. Hoje, porém, os funcionários confiam demais nas soluções de segurança disponíveis e não são suficientemente cuidadosos ao lidar com comunicações suspeitas. Um telefonema de alguém que você acha que conhece, mas que faz pedidos incomuns ou inesperados, deve sempre ser questionado. Antes de os funcionários agirem em tal situação, recomenda-se cautela. Em caso de dúvida, um retorno de chamada garante que a situação estranha seja esclarecida e o chamador seja autenticado, garantindo assim informações valiosas.
Como a interação presencial para verificação nem sempre é possível no ambiente de trabalho híbrido atual, é recomendável escolher um canal diferente para verificar as comunicações recebidas. Por exemplo, se você suspeitar de uma ligação de vishing via WhatsApp, é aconselhável certificar-se de que a pessoa ao telefone é quem diz ser por meio de uma ligação de celular, mensagem do Slack ou e-mail. Para evitar concessões, os funcionários também devem garantir que nunca compartilhem informações pessoais ou senhas por telefone ou e-mail, se solicitado. Uma coisa deve ser transmitida à força de trabalho: não há necessidade de utilizar internamente a senha de outro funcionário para acessar dados ou recursos do sistema. Mesmo com tal solicitação, alarmes devem soar antes que dados confidenciais sejam transmitidos.
Mais atenção
Como o phishing é muitas vezes apenas o início de uma cadeia de comprometimento, esta tática de engenharia social deveria receber mais atenção – e não apenas no Dia da Proteção de Dados. As empresas devem armar-se contra as novas opções de ataque baseadas em IA, pois isso eleva os ataques a um novo nível de perigo. Ao enfrentar este desafio, as empresas podem promover uma cultura de cibersegurança mais resiliente e proteger eficazmente os dados sensíveis.
O credo deveria ser trazer uma mentalidade de confiança zero ao nível humano. Isto significa que a força de trabalho deve ser treinada para não confiar implicitamente numa fonte de informação, mas para a verificar sempre através de outro meio. Isto tornar-se-á ainda mais importante, uma vez que a IA desempenhará um papel importante na desinformação e nas campanhas de desinformação no futuro.
Mais em Zscaler.com
Sobre Zscaler O Zscaler acelera a transformação digital para que os clientes possam se tornar mais ágeis, eficientes, resilientes e seguros. O Zscaler Zero Trust Exchange protege milhares de clientes contra ataques cibernéticos e perda de dados, conectando com segurança pessoas, dispositivos e aplicativos em qualquer lugar. O Zero Trust Exchange baseado em SSE é a maior plataforma de segurança em nuvem em linha do mundo, distribuída em mais de 150 data centers em todo o mundo.
Artigos relacionados ao tema