Em setembro de 2003, falar de Phishing era quase como falar de física quântica: somente alguns poucos especialistas na matéria poderiam dissertar sobre o assunto. Doze meses depois, ele já era a maior ameaça de todos os tempos, com crescimento e projeção de danos muito superiores a qualquer vírus conhecido em toda a história.

O que levou essa forma de malware (malicious software) a crescer nessa proporção acelerada?

O dinheiro. Até 2003, era seguro afirmar que a grande maioria dos vírus e suas variantes, como os worms e trojans, tinham como objetivo causar danos na infra-estrutura e nos dados de pessoas e organizações. Mesmo quando isso se resumia em gastos de tempo e dinheiro, raras vezes o criador do programa malicioso recebia um benefício econômico pelo seu trabalho.

Com o crescimento das atividades econômicas na internet, uma grande quantidade de programadores mal-intencionados desenvolveram tecnologias para enganar o usuário e assim se apoderar de informações essenciais como os dados de cartões de crédito, nomes de usuário e senhas de Internet Banking, conta e agência bancária. Esse é o conceito de fraude eletrônica.

PHISHING, DEFINIÇÃO FUNCIONAL

A grande maioria dos esquemas de segurança estabelece que um indivíduo necessita, no mínimo, um Nome de Usuário e uma Senha para acessar áreas privadas, como contas de e-mail, Internet banking, Compras on-line e até seu próprio computador.

Esses dados e demais dispositivos de segurança formam o que se conhece por “Identidade Eletrônica” ou, em alguns meios, “Credenciais” de um indivíduo.

Mas, além disso, é importante ter o cuidado especial de não divulgar sua Identidade Eletrônica a ninguém. Qualquer pessoa que chegue a conhecer a senha do seu e-mail, por exemplo, poderia lê-lo e inclusive se passar por você diante dos olhos do receptor da mensagem.

A maioria dos espiões virtuais têm como interesse o acesso à somente uma coisa: seu dinheiro.

MAS COMO CONSEGUIRAM ROUBAR MEU DINHEIRO?

Entende-se por Engenharia Social, o método de ataque onde o invasor utiliza da ingenuidade e confiança do usuário para roubar informações sigilosas e a identidade eletrônica.

Os esquemas de “Engenharia Sociais” mais utilizados são os e-mails falsos, projetados para atrair as vítimas a sites igualmente falsos, porém idênticos aos das instituições bancárias e de cartões de crédito que foram programados para solicitar ao visitante que divulgue sua informação sensível para depois fazer uso em benefício próprio.

Ao instalar um tipo de software malicioso (keyloggers ou trojans) no equipamento da vítima, o invasor é capaz de captar o que o usuário escreve no teclado, conseguindo assim roubar sua identidade eletrônica.
É através de sites falsos ou executáveis em anexos de e-mail desconhecidos que esses invasores podem agir, por isso repetimos a mesma recomendação de sempre: não siga links que venham em e-mails ou páginas que não sejam seguras, nem execute arquivos anexos em e-mails a menos que você saiba perfeitamente quem o enviou.

Esse ato de instalar um software no equipamento do usuário, sem seu consentimento, para conseguir roubar sua identidade eletrônica é conhecido pelo nome de CRIMEWARE, já que é utilizado em uma atividade criminal que causa danos aos patrimônios das vítimas.

Ao final, o criminoso dispõe de sua Identidade Eletrônica e com isso pode entrar em suas contas, ver seus saldos, solicitar transferências, comprar produtos e fazer tudo o que você mesmo faria sem que a instituição financeira tenha como saber que não é exatamente você que está fazendo tudo isso.

Os ataques de Phishing causam maiores estragos entre usuários leigos em serviços de comércio e bancos eletrônicos, pois eles podem considerar verdadeiro o fato de receber um e-mail que solicite ir a um site para inserir sua informação.

Mas não se alarme. A seção “Recomendações” traz conselhos simples que ajudam a fazer praticamente impossível que isso aconteça. Esteja consciente de que isso pode acontecer se as precauções adequadas não forem tomadas. Quanto mais informado você estiver, mais difícil será surpreenderem você, mesmo que seja um usuário principiante.

Cabe ressaltar ainda que, embora mais de 90% das campanhas de Phishing abranjam o setor financeiro, são registrados ataques a sistemas de comércio eletrônico como eBay e PayPal, serviços de reservas como Expedia.com e a vários estabelecimentos comerciais, entre outros.

BLOQUEIE AS IMAGENS

CENÁRIOS PARA A FARSA

Cenário nº 1: O arquivo anexo.
Você recebe um e-mail informando que seu serviço de banco on-line foi suspenso por várias causas e que você deve seguir as instruções contidas no arquivo anexo para restabelecê-lo.
No momento em que você executa o arquivo anexo, um código trojan (keylogger) é instalado no seu computador sem que você perceba. A partir desse momento, esse código malicioso fica encarregado de armazenar tudo o que você fizer no seu equipamento. O que escrever no teclado, os programas executados, os movimentos do mouse e tudo que fizer serão transmitidos para sites especiais em que toda essa informação será revisada por pessoas mal-intencionadas, que podem facilmente distinguir quais são os nomes de usuário, senhas e demais dados necessários para cometerem suas fraudes.

Cenário nº 2: O site falso.
Nesse caso, o e-mail explica que por diferentes causas (todas falsas) sua instituição financeira requer que você confirme todas suas informações confidenciais, pedindo que você visite uma página da internet em que serão cobrados seus dados como número da conta, nome de usuário, senha e outros.

Quase sempre incluem um link para “facilitar” as coisas para você. Quando você clicar sobre ele, será levado a um site falso.

Uma variante desse cenário acontece ao visitar um site fraudulento, um código trojan (keylogger) é automaticamente instalado no seu equipamento sem sua aceitação, criando então o mesmo risco para sua privacidade apresentado no cenário nº 1.

É válido mencionar que esses e-mails e sites falsos são projetados com muita atenção aos detalhes. É muito difícil distingui-los dos reais e, de fato, requere preciso muita criatividade e conhecimentos técnicos para desenvolvê-los.

Se você tem interesse em conhecer modelos diferentes que foram realmente utilizados por criminosos para enganar os usuários, o Anti-Phishing Working Group, uma organização sem fins lucrativos que se dedica a combater esse câncer da informática, publica em seu site um arquivo histórico que pode ser consultado em http://www.antiphishing.org/phishing_archive.html (em inglês).

Finalmente, reiteramos a importância de se educar neste tema para se manter alerta e protegido. Não deixe de consultar a seção mais adiante em que se explica o que é o Pharming, outro modelo tecnológico pensado para enganar o usuário e obter sua Identidade Eletrônica. A seção “Tecnologia Explicada” o ajuda a entender o conceito de Crimeware.

Não se deixe surpreender, atualize seus conhecimentos!

COMO SE PROTEGER DO ATAQUE DE PHISHING

Na tabela abaixo, você encontrará recomendações importantes de segurança que o ajudarão a evitar esquemas de fraude. Como poderá notar, algumas são relativas à segurança em geral, por isso as informações da coluna Observações o ajudará em relação direta ao Phishing.