Acabo de abrir Caixa de Entrada do meu e-mail e o que eu encontro la? Uma mensagem convidando-me a abrir um comprovante de depósito de alguém que eu nem imagino ser.
Esse tipo de mensagem a qual chamamos de phishing (ou phishing scam) consiste no envio de e-mail não solicitado para vítima, e estimula a mesma a acessar paginas(sites) fraudulentas, preencher formulários com seus dados privados ou como neste exemplo despertar curiosidade fazendo com que o usuário clique em um link para fazer download de um arquivo malicioso (malware) capaz de transmitir para o atacante as informações que tenha interesse.
De acordo com o Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, os principais tipos de ações envolvendo phishing utilizados pelos atacantes são:
Mensagens que contêm links para programas maliciosos
Oferta de grandes lucros: mensagens de um milionário da África ou da China que esteja interessado em parceria para lavar dinheiro, golpe da pirâmide, etc.
Fotos de conhecidos ou celebridades: notícias de celebridades, informação de que a pessoa está sendo traída, etc.
Notícias e boatos: tragédias divulgadas na mídia, boatos sobre personalidades, fotos de uma pessoa famosa que foi assassinada, filmagens de ator surpreendido consumindo drogas, etc.
Realy shows: fotos e vídeos sobre BBB, Fazenda, etc.
Orçamentos e cotações de preços: geralmente com links para acessar os dados do produto.
Sites de comércio eletrônico: cobrança de débito, devolução de compra e outros fatos envolvendo grandes empresas do gênero.
Empresas de telefonia ou provedoras de acesso a internet: aviso de bloqueio de serviços, promoções, consulta detalhadas, etc.
Falsos cartões virtuais: cartão do voxcards, etc.
Avisos de órgãos do governo: CPF cancelado ou pendente de regularização, correção do programa para enviar o Imposto de Renda, titulo eleitoral cancelado, etc,
SERASA ou SPC: inclusão de nome em cadastro de devedores, restrições financeiras, possibilidade de acessar ao extrato com as informações, etc.
Ameaças de órgãos do governo: mensagem da Polícia Federal sobre pornografia infantil em seu computador, intimação da Polícia Civil, informação sobre multa, cobrança de impostos, ação de despejo, etc.
Transações bancárias: necessidade de instalar novo módulo de segurança, etc.
Uma dica útil é passar o cursor do mouse sobre o link e ver na barra de status do programa de e-mail qual o endereço que aparece, pois algumas vezes o link que o usuário lê na mensagem tem um endereço e o link que ele acessa ao clicar nele é outro.
Deve-se tomar muito cuidado com a extensão do arquivo anexo ao e-mail. Qualquer extensão pode conter arquivos maliciosos, porém se for .exe, .scr, .com, .dll, .zip e .rar o risco é maior.
O bom senso ainda é a maior defesa contra este tipo de ataque se receber uma mensagem sem a sua solicitação que se enquadre nesses exemplos não pense duas vezes exclua.
