Técnicas e Táticas de Ataques Cibernéticos em Ascensão – Utilizadas pelos Hackers

​

As técnicas e táticas de ataques cibernéticos, foram retiradas do site da Information Week, em julho de 2020. 

​

1. Golpes de Doação

​

Desde que o isolamento social começou, houve muitas campanhas de fraude disparadas por e-mails. Todas elas pediam praticamente a mesma coisa: Doações para organizações de saúde e outras entidades na linha de frente no combate ao COVID–19. 

​

O problema é que essas organizações e entidades, quando não existiam, tinham suas marcas falsificadas pelos golpistas. Um exemplo foi o disparo de campanhas em nome da Organização Mundial da Saúde (OMS), que também sofreu uma tentativa de invasão nos sistemas.

​

Ainda em meio à pandemia, o movimento Black Lives Matter também se tornou alvo de golpistas, que passaram a disparar vários conteúdos SPAM para diferentes públicos em nome da iniciativa. 

​

2. Aplicativos Móveis

​

Aqui temos duas situações: 

​

- 1ª Situação: 

​

A primeira é em relação a empresas como Google e Apple que desenvolveram aplicativos de rastreamento para identificar pessoas que estiveram próximas a outra infectada pelo COVID–19. Os hackers, com grande flexibilidade, não perderam tempo e 12 aplicativos maliciosos foram disponibilizados na Play Store (Google) e App Store (Apple), de acordo com o site www.informationweek.com. Todos eles serviam apenas para baixar um malware nos dispositivos dos usuários.

​

- 2ª Situação:

​

Já a segunda situação é bem específica do Brasil. Com o anúncio do auxílio emergencial, diversos aplicativos em nome da Caixa Econômica Federal surgiram. Foram mais de 60 sites e aplicações falsas desenvolvidas em um mês e, recentemente, um app malicioso foi disponibilizado para furtar o benefício cedido pelo governo por causa do COVID-19.

​

3. DDoS

​

Esse tipo de ataque é bem conhecido, desde o início da pandemia até maio, ataques DDoS aumentaram 67%.

​

Os ataques DDoS, Ataques de Negação de Serviço distribuído em rede. Esse tipo de ataque aproveita os limites de capacidade específicos que se aplicam a todos os recursos de rede, como a infraestrutura que viabiliza o site de uma empresa. O ataque DDoS envia múltiplas solicitações para o recurso Web invadido com o objetivo de exceder a capacidade que o site tem de lidar com diversas solicitações, impedindo seu funcionamento correto.

​

Entre os alvos comuns de ataques DDoS estão:

​

• Sites de compras virtuais;

​

• Cassinos on-line;

​

• Qualquer empresa ou organização que dependa do fornecimento de serviços on-line.

​

Como funciona um ataque DDoS

​

Os recursos de rede, como servidores Web, conseguem atender a um limite finito de solicitações simultaneamente. Além do limite de capacidade do servidor, o canal que conecta o servidor à Internet também tem largura de banda/capacidade finita. Sempre que o número de solicitações excede os limites de capacidade de qualquer componente da infraestrutura, o nível do serviço tende a sofrer de uma das deficiências: 

​

• A resposta às solicitações é muito mais lenta do que o normal;

​

• Algumas ou todas as solicitações dos usuários podem ser totalmente ignoradas.

​

Em geral, o objetivo final do invasor é impedir totalmente o funcionamento do recurso da Web, ou seja, uma “negação de serviço” total. O invasor também pode solicitar um pagamento para interromper o ataque. Em certos casos, um ataque DDoS pode até ser uma tentativa de desacreditar ou prejudicar os negócios de um concorrente.

​

Para enviar uma grande quantidade de solicitações ao recurso da vítima, o hacker em geralmente estabelece uma “rede zumbi” de computadores infectados.

​

Como o criminoso controla as ações de cada computador infectado da rede zumbi, a simples escala do ataque pode sobrecarregar os recursos da Web da vítima.

​

4. Phishing

​

O phishing é uma ameaça cibernética bastante aliada da dependência digital. Com o Home Office, muitos colaboradores trocam e-mails para resolverem algumas demandas e negócios do dia a dia.

​

Durante a pandemia, alguns desses e-mails maliciosos são disparados com mapas de contaminação e até mesmo outros conteúdos relacionados ao COVID-19, como se fossem legítimos. Porém, é nos pequenos detalhes (uma letra trocada, por exemplo) que mora o perigo.

Quando um colaborador clica inadvertidamente em algum link dentro desses e-mails, as chances de ele ter informações sensíveis (CPF, RG, número de cartão de crédito, login e senhas) roubadas são grandes.

​

5. Spear Phishing

​

Se no phishing temos o disparo em massa de e-mails de uma forma genérica, o spear phishing traz uma maior complexidade, porque é um tipo de ataque direcionado – seja a uma pessoa, uma instituição ou até mesmo a um estado ou país.

​

Esse tipo de ameaça cibernética vai reunir a maior quantidade de informações possíveis do alvo para, depois, disparar e-mails que vão parecer legítimos na tentativa de enganá-lo. A OMS – Organização Mundial da Saúde, também sofreu essas tentativas de ataque.

​

6. Vishing

​

Mesmo que muitas pessoas estejam mais conectadas, elas não são vítimas somente de ataques “digitais”. Por exemplo, antes mesmo do e-mail, o uso de voz era bem comum na tentativa de roubar as informações de alguém. 

​

Essa prática é chamada de vishing — combinação das palavras voice (voz) e phishing — e ela recebeu uma atualização desde que o trabalho remoto ganhou força nas empresas. Os hackers fingem ser do suporte técnico da empresa para convencer os funcionários a divulgar login e senha ou inseri-los em um site falso. Para que tenham sucesso, costumam utilizar técnicas de indução nas conversações, visando retirar as informações em que a vítima perceba. 

​

7. Smishing 

​

O termo smishing é uma combinação de “SMS” (short message services, ou mensagens de texto) e “phishing”. No phishing, o criminoso virtual envia e-mails fraudulentos que buscam induzir o destinatário a abrir um anexo com malware ou clicar em um link malicioso. O smishing basicamente usa mensagens de texto no lugar de e-mails.

​

Uma mensagem de texto perversa pode estar a caminho de um smartphone perto de você. Muitas vezes, essa mensagem diz ser de seu banco e solicita suas informações pessoais ou financeiras, como o número da conta ou a senha do cartão. Fornecer essas informações é como dar aos cibercriminosos a chave de seu cofre. 

​

As mensagens de textos são o recurso mais usado dos smartphones. A Experian descobriu que usuários adultos de dispositivos móveis, com idades entre 18 a 24 anos, enviam mais de 2.022 mensagens de texto por mês — em média, 67 por dia — e recebem 1.831.

​

Dois outros fatores tornam essa ameaça cibernética especialmente traiçoeira. A maioria das pessoas conhecem um pouco os riscos das fraudes por e-mail. Provavelmente pode até desconfiar de e-mails que dizem “Olá! Dê uma olhada neste link interessante”, sem uma mensagem pessoal do suposto remetente.

​

No telefone, as pessoas são menos cautelosas. Muitas acreditam que seus smartphones são mais seguros do que os computadores. Mas a segurança dos smartphones é limitada e não oferece proteção direta contra smishing. 

​

Conforme observado pela WillisWire, o crime virtual direcionado a dispositivos móveis está aumentando muito, junto com o uso desses dispositivos. 

​

Entretanto, embora os dispositivos Android sejam o principal alvo de malware, simplesmente pela quantidade existente e pela flexibilidade que a plataforma oferece aos clientes (e aos cibercriminosos), o smishing, como o próprio SMS, atinge as várias plataformas. Os usuários de iPhones e iPads correm risco especificamente por acharem que estão imunes a ataques. Embora a tecnologia iOS da Apple para dispositivos móveis seja reconhecida pela segurança, nenhum sistema operacional é capaz de se proteger sozinho contra ataques como phishing. Outro fator de risco é que as pessoas utilizam o smartphone em qualquer lugar, geralmente quando está distraído ou com pressa. Isso significa que você está mais propenso a ser pego desprevenido e a responder sem pensar quando recebe uma mensagem que solicita informações bancárias ou o resgate de um cupom.

​

Resumindo, assim como a maioria dos cibercriminosos, o objetivo deles é roubar dados pessoais, que serão usados depois para roubar dinheiro, ou, às vezes, da empresa. Os cibercriminosos usam os métodos para roubar dados. 

​

Eles podem fazê-lo baixar um malware que se instala no telefone. Esse tipo de malware pode se passar por um aplicativo legítimo, induzindo-o a digitar informações confidenciais e enviá-las aos criminosos virtuais. Por outro lado, o link na mensagem de smishing pode te levar para um site falso, que solicita a inserção de informações pessoais e sigilosas que os criminosos virtuais usarão para roubar sua identidade on-line.

Quanto mais pessoas usam seus smartphones pessoais no trabalho (uma tendência chamada de BYOD, ou “traga seu próprio dispositivo”), mais o smishing se torna uma ameaça para a empresa e para o cliente. 

​

Por esta razão não é de se surpreender que o smishing se tornou a principal forma de mensagens de texto maliciosas.

​

8. Ransomware

 

Com as organizações cada vez mais dependentes do mundo digital para manter as suas operações, não é surpresa que os ataques ransomware tenham aumentado durante a pandemia do COVID–19.

 

Com uma maior vulnerabilidade da segurança das empresas (fruto da rápida e necessária migração para um “Home Office”), os cibercriminosos passaram a olhar para as empresas que possuem uma infraestrutura crítica com o objetivo de travar os sistemas digitais até que um resgate seja pago.

 

Como isso é feito? Com a mesma tática que já falamos em outros tópicos: e-mails e sites falsos relacionados à COVID-19 são direcionados aos funcionários que agora trabalham de casa. Basta um download de um conteúdo malicioso para que os invasores consigam sequestrar o sistema de toda a empresa. Fácil não? Por isso que a sensibilização dos empregados é uma arma estratégica na prevenção. 

 

9. Currículos Maliciosos

 

Talvez essa seja uma das ameaças cibernéticas mais “peculiares” no momento. A alta do desemprego fez com que muitas empresas passassem a receber currículos de possíveis candidatos. 

 

Segundo uma publicação da Check Point, empresa de solução de segurança cibernética, o número de currículos e formulários de licenças médicas com algum malware escondido dobrou desde o início da pandemia – geralmente em formato Word ou em planilha de Excel.

 

10. Sites Maliciosos de COVID-19

 

Muitas pessoas buscam na internet informações sobre o COVID-19. Isso se tornou uma oportunidade para cibercriminosos: 86 mil domínios com palavras-chave relacionadas à pandemia são de “alto risco” ou “maliciosos”, apontou a Palo Alto Networks.

 

Segundo a publicação da empresa de segurança cibernética, “1.767 nomes de domínio de ‘alto risco’ e ‘maliciosos’ (C2, malware ou phishing) sobre o COVID-19 são criados diariamente”. 

 

Nunca é demais lembrar: para se informar sobre o COVID–19 deve-se acessar sites oficiais, tanto de órgãos federais, estaduais e municipais, veículos de imprensa tradicionais e de Universidades. 

 

11. Ciberespionagem

 

Nem todo ataque cibernético tem um hacker independente por trás. Segundo uma reportagem do Jornal americano The Washington Post existem suspeitas de países que ordenaram invasões a hospitais e entidades de saúde presentes em outras nações.

 

Geralmente essas investidas buscavam informações sobre pesquisas relacionadas a cura do COVID-19. No entanto, são ataques cibernéticos mais sofisticados e difíceis de prevenir e mitigar. 

 

Conclusão

 

As empresas de todos os tipos e tamanhos são suscetíveis aos ciberataques. A joia da coroa, os ativos considerados críticos devem estar mapeados, quais são os processos e/ou atividades críticas da empresa? Quais são as informações e dados críticos dos processos críticos?

Quais são os sistemas críticos que suportam as informações críticas dos processos críticos? 

 

Mapeando esta tríade, a empresa estará segura, pois os cibercriminosos não irão atacar algo que não tenham retorno, seja financeiro, político ou simplesmente por ego e/ou emocional. Todos os esforços devem estar concentrados nestes três quesitos para que a empresa esteja preparada para enfrentar um ataque cibernético.