Tempo de leitura: 9 minutos
Sem tempo para ler? Ouça este post ou baixe para ouvir mais tarde!
Os crimes cibernéticos estão em constante evolução e aprimoramento. De olho nos riscos em potencial, as empresas precisam adotar medidas preventivas para otimizar a segurança da informação e a proteção de dados. O teste de phishing é um grande aliado nessa missão, sendo de fácil realização pelas organizações.
Embora as medidas técnicas de segurança continuem a melhorar, o phishing ainda é uma das maneiras mais baratas e fáceis para os criminosos cibernéticos obterem acesso a informações confidenciais e a falta de cuidado e de conhecimento dos colaboradores facilita ainda mais esse tipo de ação.
Para sua empresa não ser vítima do phishing, vamos apresentar algumas dicas de segurança e te ajudar a entender melhor como funciona o teste de phishing. Continue a leitura e saiba mais!
O que é phishing e qual seu impacto para a segurança da informação?
Phishing é um crime cibernético em que um ou mais alvos são contatados por e-mail, telefone ou mensagem de textos. Nesses contatos, o cibercriminoso se passa por uma instituição legítima ou alguém de suposta confiança para atrair indivíduos a fornecer dados confidenciais, como informações de identificação pessoal, senhas, dados pessoais e organizacionais, entre outros.
Trata-se de um dos tipos mais comuns de engenharia social, que é um termo geral para descrever tentativas de manipular ou enganar usuários de computador. A engenharia social é um vetor de ameaças cada vez mais comum usado em quase todos os incidentes de segurança. Ataques de engenharia social, como phishing, geralmente são combinados com outras ameaças, como malware, injeção de código e ataques de rede.
As mensagens de phishing manipulam um usuário, fazendo com que ele execute ações como instalar um arquivo malicioso, clicar em um link malicioso ou divulgar informações confidenciais. Todas essas ações impactam diretamente na segurança da informação.
As informações capturadas podem ser usadas para acessar contas importantes e resultar em roubo de identidade, perda de dados, perda financeira e diversos outros prejuízos. Ou seja, simplesmente clicando em um link, por exemplo, as vítimas podem colocar em risco a segurança da informação e causar diversos impactos significativos em sua empresa.
Como evitar o phishing?
Comparado com outros crimes cibernéticos, o phishing é mais fácil de ser identificado. Isso porque uma análise cuidadosa de e-mails, mensagens ou ligações pode indicar a prática do crime.
Confira algumas práticas comuns utilizadas pelos criminosos que você pode compartilhar com seus colaboradores para evitar o golpe e preservar a segurança da informação:
Bom demais para ser verdade
Ofertas lucrativas e declarações atraentes ou que chamam a atenção são projetadas para atrair a atenção das pessoas imediatamente. Por exemplo, muitos cibercrimonosos enviam e-mails afirmando que você ganhou um iPhone, um prêmio na loteria ou algum outro prêmio de grande valor. Jamais clique em nenhum e-mail desse tipo. Lembre-se que se parece bom demais para ser verdade, provavelmente é uma tentativa de phishing.
Senso de Urgência
Uma tática muito utilizada entre os cibercriminosos é pedir para você agir rápido porque as super ofertas são apenas por tempo limitado. Alguns deles até lhe dirão que você tem apenas alguns minutos para responder. Quando você se deparar com esses tipos de e-mails, é melhor simplesmente ignorá-los.
Às vezes, eles também utilizam o argumento de que sua conta será suspensa, a menos que você atualize seus dados pessoais imediatamente. As organizações mais confiáveis dão bastante tempo antes de encerrar uma conta. Em caso de dúvida, visite a fonte diretamente em vez de clicar em um link em um e-mail.
Hiperlinks
Um link pode não ser tudo o que parece ser. Passar o mouse sobre um link mostra o URL real para onde você será direcionado ao clicar nele. Pode ser completamente diferente ou pode ser um site popular com um erro de ortografia, por exemplo www.receifa.fazenda.gov.br, o ‘t’ é na verdade um ‘f’ e pode passar despercebido. Sempre olhe com cuidado e, se o link for suspeito, jamais clique.
Anexos
Se você vir um anexo em um e-mail que não esperava ou que não faz sentido, não abra. Eles geralmente contêm cargas úteis como ransomware ou outros vírus. O único tipo de arquivo que é sempre seguro clicar é um arquivo .txt.
Remetente incomum
Se parece que é de alguém que você não conhece ou alguém que você conhece, mas com algo fora do comum, inesperado ou apenas suspeito em geral, não clique em nenhum link ou arquivo do e-mail. Em muitos casos, os cibercriminosos vão tentar se passar por funcionários de grandes organizações para ganhar a confiança do usuário. Por isso, é sempre importante checar todas as informações antes de abrir ou clicar em um conteúdo do e-mail.
Veja também: E-book: Quais cuidados com a segurança da informação sua empresa precisa ter quando se trabalha home office
O que é e como realizar o teste de phishing?
O teste de phishing é uma simulação com um exemplo real de golpe de phishing. Esses testes são tradicionalmente criados com software e usados para treinar os usuários sobre as variedades e perigos do phishing online por e-mail.
O objetivo de um teste de phishing nas empresas é educar os colaboradores sobre os perigos do phishing e reduzir o risco de hackers obterem acesso a informações confidenciais.
Alguns servidores de e-mail, como a Microsoft, oferecem uma alternativa para criar uma simulação de ataque phishing. Essa ferramenta oferece análises bem completas e de diversos fatores, contribuindo para conscientizar a equipe e aumentar a segurança da informação da sua empresa.
Basicamente, o teste de phishing pode ser feito da seguinte forma:
- Escreva um e-mail com uma chamada atrativa com anúncio de prêmio ou sorteio;
- Adicione um link ao final do e-mail;
- Direcione para uma página avisando que o usuário foi vítima de phishing e trazendo informações educativas sobre o tema na sequência;
- Mensure a taxa de abertura e a taxa de clique da equipe.
Além disso, você pode desenvolver um programa de treinamento de conscientização de segurança direcionado para os colaboradores. Com mais conhecimento sobre os riscos, ficará mais fácil proteger os dados e a segurança da sua organização.
A Microservice oferece a realização de testes recorrentes de phishing, com o uso de ferramentas e técnicas para simular ataques reais e identificar vulnerabilidades no ambiente, tanto interno quanto externo.
Fale com um especialista Microservice e saiba mais!
