Como funciona o ataque Smishing?
A concepção popular de phishing concentra-se no email porque o email era uma das mídias originais e mais comuns para entrega de conteúdo de phishing. No entanto, esta não é a única forma de os phishers atingirem os seus objetivos.
O uso de dispositivos móveis cresceu rapidamente e esses dispositivos vêm com uma mentalidade “sempre ligada” que é inestimável para os phishers. Embora os dispositivos móveis tenham acesso a vários canais de comunicação (e-mail, redes sociais, etc.), as mensagens de texto trazem vários benefícios para os phishers.
Uma mensagem de texto pode conter links ou anexos maliciosos (no caso de MMS), assim como um e-mail, permitindo-lhes usar as mesmas técnicas que phishing emails. No entanto, as mensagens de texto têm algumas vantagens em relação ao e-mail, como comprimento limitado e maior uso pelas marcas.
Por exemplo, em uma mensagem SMS, o uso de serviços de encurtamento de link é rotineiro, e esses serviços dificultam a visualização antecipada do alvo de um link. Além disso, os telefones celulares não permitem que os usuários passem o mouse sobre um link para visualizar seu destino. Ambos os fatores tornam o phishing por SMS mais fácil e eficaz para os invasores
Exemplos de ataques de smishing
Assim como os ataques tradicionais de phishing baseados em e-mail, os ataques smishing usam diferentes pretextos para induzir os destinatários a clicar em um link incorporado na mensagem. Alguns pretextos comuns incluem:
- Problemas na conta: As marcas estão usando cada vez mais mensagens SMS para atendimento ao cliente, e os usuários podem estar acostumados a receber mensagens de texto sobre problemas ou notificações sobre suas contas. Smishers podem enviar mensagens de texto alegando que existe um problema e direcionando o destinatário para um link falso que rouba credenciais da conta.
- COVID 19: Os acontecimentos atuais são pretextos comuns para ataques de phishing, e a pandemia da COVID-19 proporcionou inúmeras oportunidades aos cibercriminosos. scam smishing baseado em COVID pode solicitar informações pessoais para “rastreamento de contato” ou fornecer informações imprecisas sobre verificações de estímulo e atualizações de segurança pública que levam ao phishing do site.
- Serviços financeiros: Um smisher pode se passar por uma organização de serviços financeiros pedindo ao destinatário que verifique alguma atividade em sua conta. Se o alvo responder, o smisher poderá tentar roubar credenciais de login ou outras informações pessoais como parte do processo de verificação.
- Códigos MFA: Como o SMS é um dos métodos mais comuns utilizados para Autenticação multifatorial (MFA), alguns ataques smishing são projetados para roubar esses códigos. O phisher pode informar ao destinatário que ele precisa verificar sua identidade, informando ao invasor o código MFA enviado a ele. O invasor aciona esse código tentando fazer login como usuário e, em seguida, obtém acesso assim que o destinatário fornece o código correto.
- Confirmação do pedido: As mensagens smishing podem conter a confirmação de um pedido falso, bem como um link para modificar ou cancelar esse pedido. Quando o destinatário clica no link, ele o direciona para um site falso que rouba credenciais de login.
Esses são alguns dos pretextos mais comuns que os smishers usam em seus ataques. À medida que o uso de dispositivos móveis cresce devido ao aumento do trabalho remoto e das políticas BYOD, esses ataques estão se tornando mais comuns e sofisticados.
Como se proteger de ataques de smishing
Como os ataques smishing são apenas ataques de phishing realizados em um meio diferente, muitas das mesmas práticas recomendadas se aplicam, incluindo:
- Evite clicar em links: Os links nas mensagens de texto são difíceis de verificar devido ao encurtamento dos links e à incapacidade de passar o mouse sobre os links para ver os alvos. Em vez de clicar em links em mensagens de texto, navegue diretamente para o site de destino.
- Não forneça dados: Os ataques smishing são comumente projetados para roubar dados confidenciais de seus alvos, sob o pretexto de verificar identidades ou outros pretextos. Nunca forneça dados pessoais a alguém para quem você não ligou ou enviou uma mensagem de texto por meio de um número listado em seu site.
- Instale aplicativos de Appstores: Os ataques smishing podem ser projetados para induzir os destinatários a instalar aplicativos maliciosos em seus dispositivos móveis. Sempre instale aplicativos de lojas de aplicativos confiáveis, de preferência após verificar sua autenticidade no site do criador.
Nunca compartilhe códigos MFA: Mensagens de texto são comumente usadas para transmitir códigos MFA para contas online, e os golpistas podem fingir que enviaram um código MFA para verificar a identidade de um usuário. Nunca forneça um código MFA a ninguém.
Proteção contra ataques smishing com Check Point
Com o surgimento dos modelos de trabalho remoto e híbrido e das políticas de dispositivos BYOD, os dispositivos móveis estão se tornando uma parte essencial do negócio e Segurança móvel é mais importante do que nunca. Isso torna os ataques smishing uma séria ameaça para empresas e também para indivíduos.
A Check Point e a Avanan desenvolveram um Anti-phishing solução que fornece proteção em todos os vetores de ataque, inclusive para ataques smishing. Para saber mais sobre como proteger o dispositivo móvel da sua empresa contra phishing com Harmony, você está convidado a solicite uma demogratuita.
Opinião