Cuidado com os golpes de phishing da Receita

Faltando poucos dias para o fim do prazo de entrega da Declaração do Imposto de Renda Pessoa Física, a Receita Federal alerta para tentativas de phishing scan, ou golpes por e-mail, que aumentam nessa época. Golpistas utilizam como “iscas” o nome do Órgão e temas a ele correlatos para “pescar” suas vítimas no mundo virtual.

O phishing scan consiste no envio de e-mails sugerindo que os internautas baixem arquivos, acessem links ou visitem sites maliciosos. Quadrilhas especializadas em crimes pela Internet transmitem mensagens eletrônicas que servem como meio para os criminosos obterem ilegalmente informações fiscais, bancárias e cadastrais do contribuinte. Ao clicarem em links ou baixarem anexos, os usuários têm seus computadores infectados por vírus e programas que permitem esse acesso ilegal aos dados.

Em uma das modalidades de golpe, a pessoa recebe um e-mail dizendo que a Receita Federal disponibilizou certa quantia de restituição do Imposto de Renda. O usuário deveria então clicar em um link para acessar formulário para o resgate. Outras mensagens fraudulentas indicam a existência de pendência na declaração ou de débito em aberto.

A Receita Federal esclarece que não manda mensagens via e-mail sem a autorização do contribuinte, nem autoriza terceiros a fazê-lo em seu nome.
A única forma de comunicação eletrônica com o contribuinte é por meio do Centro Virtual de Atendimento ao Contribuinte (e-CAC), localizado em sua página na Internet.

A orientação ao internauta que se deparar com esse tipo de mensagem é não responder, não abrir arquivos anexados, nem acionar links para endereços da Internet, excluindo imediatamente o e-mail.

Fonte: Estadão

Phishing que rouba credenciais do Gmail

Phishing é um método de ataque simples, que é baseado no desconhecimento da vítima — você pode saber mais sobre ele aqui. Acontece, muitos de vocês provavelmente sabem como identificar esses golpes e estão ilesos. Porém, um novo método está sendo espalhado pelo Gmail, e ele tem uma aparência que pode lhe enganar.

Como outros métodos de “pescaria”, ele começa de maneira simples: a vítima recebe um e-mail com um arquivo Word ou PDF como anexo. O arquivo é apresentado de maneira legítima pelo Gmail e, assim que a vítima clica no arquivo, ela é redirecionada para uma página de login da Google — como se você tivesse sido desconectado.

Acontece que essa página é falsa e ela que rouba as suas informações. Se a vítima não notar que a página não é legítima, ela vai escrever o endereço de e-mail e a senha para realizar o login.

Agora, como esse phishing engana o Gmail ao apresentar o arquivo Word ou PDF de maneira legítima? Na verdade, não é um arquivo dos formatos citados, mas uma imagem de como eles ficariam caso estivessem anexos.

Incrivelmente, quem notou o golpe não foi uma empresa de segurança, mas o youtuber Tom Scott — clique aqui para ver. De acordo com um tweet, ele comenta que percebeu o golpe porque a resolução de seu monitor é alta, e a página falsa havia ficado um pouco distorcida. Além disso, a URL da página não havia o padrão de segurança “https://”.

Fonte: Tecmundo

Phishing é a maior ameaça para os donos de iPhone

golpe-iphoneA situação é triste: seu iPhone é roubado, você faz o boletim de ocorrência, cancela o chip e compra um novo para colocar em outro aparelho. Após algum tempo, eis que você recebe um SMS pedindo para acessar um link em que é necessário digitar um login do iCloud para ver a localização do seu aparelho.

Isto é um típico ataque de phishing, isto é, uma tentativa de conseguir dados pessoais (como senha) de um usuário por meio de fraude. Geralmente, com essas informações em mãos, o golpista pode desbloqueá-lo para ter acesso aos dados pessoais (como fotos ou vídeos comprometedores) e extorquir o dono ou até mesmo revender o dispositivo.

“Este tipo de ataque tem aumentado consideravelmente nos últimos anos. Uma das possíveis razões é o alto valor de revenda de iPhones”, afirmou Fábio Assolini, analista de segurança da Kaspersky Lab Brasil.

Como ocorre o ataque

Com um aparelho em mãos e bloqueado via iCloud, a única solução do golpista para que o iPhone deixe de ser um peso de papel é tentar burlar os sistemas de segurança. Passar pelo sistema de desbloqueio por código do aparelho é difícil, porém não impossível, como já foi mostrado algumas vezes.

O passo seguinte, porém, envolve tentar hackear a conta do iCloud da pessoa. E aí é que entra o phishing por SMS. No iPhone, é possível saber o número da linha do usuário de duas formas: indo ao menu Ajustes, se ele estiver sem senha; ou simplesmente tirando o SIM card dele e colocando num outro aparelho. Com essa informação em mãos, o atacante tenta enviar uma “isca” via mensagem de texto.

“Phishing é a maior ameaça contra donos de iPhone”

Sabemos que as empresas de tecnologia melhoraram os mecanismos de segurança nos smartphones para tornar o roubo desse tipo de aparelho uma atividade menos atraente para os ladrões. No entanto, essa prática de phishing tem sido comum entre usuários de iOS, segundo a Kaspersky.

“Phishing é a maior ameaça contra donos de iPhone. A Apple consegue com algum sucesso coibir vírus no ambiente móvel. No entanto, este tipo de golpe sempre acha vítimas que acabam cedendo seus dados para golpistas”, afirmou Assolini.

Em um mundo ideal, seria interessante que os provedores e fabricantes monitorassem esse tipo de iniciativa e encerassem essas páginas o quanto antes.

Como os golpistas são rápidos e acham formas de hospedar páginas em plataformas distintas, resta ao usuário ficar esperto ao abrir links estranhos e tomar alguns cuidados específicos. Ative a autenticação de dois fatores da Apple, para que qualquer tipo de mudança seja verificada em um segundo meio, como um código enviado a outro aparelho; e após um furto ou roubo, bloqueie o iPhone via iCloud o mais rápido possível.

Fonte: Gizmodo

Conheça os 5 tipos mais comuns de Phishing

De uma forma geral, podemos dizer que todas as técnicas descritas neste post estão vinculadas com a Engenharia Social.
Normalmente, os atacantes se passam por uma empresa conhecida, rede social, instituição financeira ou algum site de vendas online, com o intuito de roubar informações confidenciais das vítimas.

Esse tipo de campanha maliciosa pode ser vista diariamente na América Latina, por isso, hoje serguem dicas para que você possa identificar os 5 tipos de phishing mais encontrados.

Phishing Tradicional

Esse tipo de ataque é o mais simples na hora de analisá-lo tecnicamente; normalmente está vinculado à cópia de um site conhecido pela vítima, no qual é alterado o endereço para onde irão os dados inseridos. Deste modo, o cibercriminoso rouba as credenciais inseridas pelo usuário, que podem estar hospedadas em um texto simples de um arquivo ou serem enviadas para alguma conta de e-mail.

A principal característica do phishing tradicional é estar ligado a apenas um site web que hospeda todos os conteúdos do portal falso.
Na imagem a seguir, podemos observar um site de phishing que afeta a Paypal. A página foi montada sobre a outra, que teria sido supostamente violada e, logo em seguida, utilizada para montar o site da fraude.

paypal-tradicional

Phishing redirecionador

Assim como o caso anterior, essa técnica é utilizada em campanhas massivas, que apesar do baixo percentual de vítimas, existe uma grande quantidade de usuários afetados e, consequentemente, credenciais comprometidas.

Esse procedimento conta com um nível de complexidade e, diferente do anterior, utiliza pelo menos dois ou mais sites ou domínios para continuidade do golpe. Existem várias formas conhecidas e que podem ser classificadas dentro deste tipo de phishing.

No entanto, podemos destacar três técnicas que comumente são utilizadas e que correspondem ao uso de encurtadores nas URLs, a injeção dos conhecidos Iframes e a exploração de técnicas relacionadas com os frames no código HTML.

Apesar de serem conceitos diferentes, todos têm algo em comum: utilizar um endereço para refletir um site armazenado em um determinado servidor por meio de outro, sendo visível apenas através de um estudo do código fonte.

Desta forma, os cibercriminosos tentam aumentar o tempo gasto pelas equipes de segurança para detectar e eliminar o conteúdo dos sites falsos.

Spear phishing

A principal diferença desse tipo é ser direcionado à poucas pessoas ou grupos reduzidos. Dessa forma, as campanhas são muito mais personalizadas e com um percentual muito maior de vítimas.

Não é comum ver casos que afetam entidade bancárias ou redes sociais, pois esse tipo não busca a massividade, pelo contrário; na realidade, esse tipo de método é utilizado em ataques como os APTs, direcionado a funcionários de empresas com determinados perfis. Isso significa que as vítimas podem receber e-mails personalizados com nome e sobrenome, inclusive falsificando endereços conhecidos para gerar maior confiança e empatia de um internauta descuidado.

Devemos ter em mente que se os cibercriminosos quisessem entrar nos sistemas, buscariam o elo mais fraco dentro da rede. Deste modo, não devemos esperar que o Gerente de Sistemas seja o principal alvo desse tipo de ataque, mas que alguém com menos conhecimento técnico de informática, como em muitos casos são pessoas de áreas não relacionadas com a TI (por exemplo, administração ou recursos humanos).

Essa metodologia, junto com a Engenharia Social, e um estudo prévio das vítimas, gera uma sólida técnica com a qual facilmente se pode comprometer um sistema ou rede corporativa com o objetivo de roubar credenciais. Por isso, é fundamental, mas uma vez, a conscientização e capacitação dos funcionários sobre boas práticas de Segurança da Informação.

Smishing SMS

Esse tipo de phishing está relacionado com o uso de outro canal digital como os telefones celulares. Normalmente, os cibercriminosos se passam por instituições conhecidas e enviam uma mensagem de texto alertando à vítima que ganhou um prêmio. Em geral, as vítimas respondem com algum tipo de código ou número especial para validar seu falso prêmio.

Como costuma ocorrer, o objetivo dessa operação é obter um retorno econômico. Na América Latina foram encontradas campanhas que utilizavam mensagens de “parabéns” para informar as vítimas que supostamente ganharam um prêmio, por exemplo. Nestes casos, eram solicitados dados pessoais ou, inclusive, criados falsas centrais de atendimento telefônico, onde de uma maneira muito profissional, enganavam às vítimas pedindo seus dados de contas bancárias e até mesmo os números de cartão de crédito.

Na imagem a seguir podemos ver um típico caso de smishing, mas utilizando uma pequena variante, que se baseia em não usar o serviço de SMS, e sim aplicativos como WhatsApp o Telegram.smishingComo esse tipo de aplicativo não cobra o envio de mensagem, é necessário apenas estar conectado à Internet para que a ameaça se dissemine de forma muito rápida e econômica para o atacante.

Vishing

Como citado anteriormente, existe o estabelecimento de falsos centros de atendimento telefônico que realizam ligações com o objetivo de cometer uma fraude, relacionando-as com casos de vishing.
Esse ataque muitas vezes está relacionado com outro, de forma que se complementem para conseguir mais credibilidade e, desta maneira, enganar à vítima de uma forma mais simples e eficaz.

Para proteger-se desse tipo de ameaças e identificá-las facilmente, é importante que tenha em conta 6 dicas para reconhecer mensagens de phishing.
Além disso, manter uma solução de segurança atualizada que possa combater ameaças é fundamental.

Fonte: Eset blog

Black Friday chegando….cuidado com as compras!

black_friday_2016A Black Friday, Cyber Monday, juntamente com o Natal, constituem a alta temporada de caça para os cibercriminosos. Enquanto você está tentando conseguir uma TV novinha ou uma calça jeans pelo preço de meias, bandidos estão tentando roubar seu dinheiro. Por exemplo, nossas estatísticas mostram que o número de páginas de phishing que tem por alvo dados financeiros aumenta em um terço nesta época.

Como se proteger e ainda se divertir fazendo compras na Black Friday? Temos dicas, mas primeiro deixe-nos descrever os tipos mais comuns de golpe a sua espera nessa temporada.

Fique de olho nas lojas falsas

A questão que mais impressiona com compras online é que basicamente você está trocando dinheiro pela promessa de que algo será entregue. Pense bem, durante um período de 1 a 7 dias, seu dinheiro já foi embora e tudo que você tem é um e-mail dizendo que seus bens estão a caminho.

Lojas falsas não têm porque manter promessas. Elas pegam seu dinheiro ou seus dados de cartão de crédito e desaparecem. Essas lojas tendem a ter três coisas em comum:

  • Você nunca ouviu falar delas;
  • Dependem muito de propaganda;
  • Oferecem descontos absurdos; como um iPhone novinho por R$ 400.

Se você der de cara com um negócio que parece bom demais para ser verdade, não caia. Tanto na Black Friday quanto nos outros dias, melhor comprar em sites que você já tenha tido alguma experiência.

Mais uma coisa: criminosos também tentam se passar por lojas populares para roubar dados de cartão de crédito. Então preste bastante atenção na URL. Se for algo como MarcadoLivre.com no lugar de MercadoLivre.com, não faça nada no site, especialmente inserir dados financeiros.

Não seja enganado por mensagens de entrega falsas

O phishing depende muito de engenharia social e para ela funcionar, depende da sua vontade de ter algo ou de estar acostumado a algo. Então, se você pediu um monte de coisas e está só esperando os pacotes aparecerem – como muita gente nessa época – um e-mail “Informações sobre seu pedido” ou “Confirmação de entrega” pode até parecer legítimo, e importante o suficiente para que você o abra, baixe um anexo ou clique em um link.

Esse cenário simples é a essência dos golpes de engenharia social envolvendo compras de fim de ano. O e-mail não é necessariamente legítimo. Pode ser enviado por criminosos que estão tentando te atrair para baixar malwares como banking Trojans ou ransomware, ou fazê-lo enviar seus dados pessoais. Então, antes de abrir, tenha certeza de que o remetente é legítimo.

Conheça seus contatos

Então, a Black Friday e a Cyber Monday foram cheias de oportunidades para comprar um monte de coisas úteis. E então você recebe uma mensagem que parece ser do seu banco informando que detectou atividades suspeitas em seu cartão de crédito. A mensagem orienta que você faça uma ligação para verificar se tem conhecimento de todas as compras.

É bastante fácil de acreditar, considerando quantas coisas você comprou em vários lugares, mas não se apresse para ligar para esse número na mensagem – ela pode levá-lo a cibercriminosos. Em vez disso, encontre o número oficial de seu banco e ligue para confirmar a autenticidade da mensagem. Se realmente houve atividade suspeita, vão orientá-lo.

Outras armadilhas

As possibilidades de phishing durante as vendas da Black Friday parecem infinitas, e os criminosos investem muito tempo para criar estratégias. Outro exemplo, um site falso pode oferecer cartões de presentes gratuitos em troca de suas informações. Claro, não há cartões. Não existe almoço grátis.

Outro site pode atrair vítimas com cupons baratos, incentivando quem quer economizar – essa é a promessa. Naturalmente, os sites legítimos de cupons existem, mas há também os mal-intencionados.

Esses truques são apenas a ponta do iceberg; Os cibercriminosos têm lançado novas ideias com bastante frequência, fazendo como vítimas desde heavy-users até usuários pouco frequentes. Fizemos uma lista com dicas que podem protegê-lo.

Mantenha-se alerta

Não estamos sugerindo que se torne paranoico, mas comprar online requer alguns cuidados. Pode parecer estragar a diversão, mas perder dinheiro é muito pior. Recomendamos que mantenha os olhos abertos o tempo todo. Sugestões:

  • Entenda o que é phishing e como evitá-lo.
  • Não clique em links suspeitos – podem levá-lo a malwares.
  • Sempre confirme se páginas online, cartas e mensagens de texto são verdadeiras.
  • Conte com uma solução de segurança confiável.
Fonte: Kaspersky blog

93% das mensagens de Phishing contêm ransomware

phishingEsqueça furto de dados de cartão, roubo de acesso a online banking ou criação de botnets: ransomware se tornaram o componente principal de 93% de todos os emails de phishing enviados mensalmente.

Segundo a empresa de segurança PhishMe, especializada em análise de golpes de emails falsificados, a velocidade do retorno financeiro e a facilidade de aplicação teriam tornado os ransomwares atrativos para criminosos cibernéticos.

A instalação de malwares que criptografam os arquivos de suas vítimas e só liberam o acesso mediante o pagamento de resgate para uma conta de bitcoin vem crescendo assustadoramente. Em 2015, os ransomwares estavam presentes em apenas 10% dos emails falsos enviados pela internet, subiu para 56% em Dezembro e atingiu o atual patamar de 93% em Março, data da última pesquisa da PhishMe, publicada essa semana.

A prática do crime cibernético também contribuiu para aumentar em 789% o número de emails de phishing gerados, entre o último trimestre de 2015 e o primeiro deste ano. Chegou a 6.3 milhões o número de mensagens que buscam ludibriar o usuário para clicar em um anexo contaminado ou visitar um endereço eletrônico comprometido.

Para o mundo do crime, a modalidade oferece velocidade (já que a vítima pode pagar o resgate em poucos dias) e facilidade (uma vez que o hacker não precisa negociar números de cartão furtado no mercado negro ou se arriscar a realizar transferências bancárias rastreáveis). De acordo com a PhishMe, o ransomware não só tem atraído criminosos cibernéticos de outras áreas para seu uso, como tem atraído aventureiros para o crime.

O baixo valor cobrado pelo resgate, em torno de 1 a 2 bitcoins, ou cerca de R$2.199 e R$4.398 na cotação atual, também tem contribuído para a popularização da prática. Empresas de médio e grande porte vem preferido pagar aos criminosos e recuperar imediatamente o acesso aos seus arquivos do que pesquisar um método (nem sempre existente) de acesso, denunciar o crime ou arriscar perder documentos e sistemas importantes.

Agradecemos ao Paulo Sollo, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: CódigoFonte

Fique atento ao vishing e smishing, novas modalidades de phishing

vishingÉ importante para todos os usuários da internet conseguirem perceber quando estão sendo alvos de tentativas de ataques. Se você já preencheu formulários online contendo endereço, email e número de telefone existem chances dessa informações terem sido passadas adiante e, eventualmente, autores de golpes podem tentar utilizá-las contra você em algum momento. Existem golpes que são mais fáceis de perceber e evitar, mas os fraudadores estão sempre explorando novas modalidades de ataques, e agora o perigo está no crescimento do “Vishing” e “Smishing”.

O “Phishing” é um dos tipos de golpe mais conhecido, onde as tentativas de ataques chegam por email ou serviços de mensagem instantânea. A vítima em potencial recebe uma mensagem fraudulenta de um contato falso que geralmente solicita resposta de forma instantânea. A mensagem então redireciona a vítima a um site falso, onde normalmente ela digita dados como senhas, credenciais e outras informações de identificação. Esse tipo de golpe já existe há muito tempo e já era aplicado mesmo antes da internet e mídias sociais conectarem as pessoas. O início da implementação de sistemas online nos bancos, até então confiáveis, foi responsável pela era de ouro do Phishing.

Já os ataques “Vishing”, abreviação para Voice phishing, é uma técnica de fraude eletrônica comum que está sendo utilizada cada vez mais. O Vishing é aplicado através de ligações telefônicas ao invés de vir por mensagens ou email. Essas chamadas tem como objetivo principal obter dados bancários ou outras informações pessoais importantes das vítimas, normalmente é aplicado por ligações automáticas ou equipamentos que modificam a voz do fraudador. Ainda assim estão aumentando as denúncias de novos ataques aplicados por operadores de telefone comuns, que pressionam as vítimas em busca de obter seus dados pessoais. Esses golpes são muito difíceis de rastrear, pois são aplicados através de serviços baratos de VoIP ou outros serviços automatizados.

Uma técnica comum do Vishing é fazer as pessoas responderem perguntas durante a ligação. Geralmente eles dizem ter informações de compras não autorizadas no cartão de crédito ou transações de banco incomuns na conta da vítima. Para não levantar suspeita os golpistas passam outro número de telefone para a vítima ligar, e aí que o golpe começa. Ao ligar para o número suspeito provavelmente será solicitado por um sistema automático de voz dados do cartão de crédito, débito ou outros detalhes de conta bancária junto com senhas é outras informações de identificação.

Dependendo das informações passadas e do banco é possível que as vítimas que caíram em golpes consigam recuperar o dinheiro perdido, mas isso não é o que acontece em todos os casos. Alguns bancos podem simplesmente rejeitar a solicitação e alegar negligência.

O “Smishing” são golpes aplicados através de mensagens SMS. A vítima recebe uma mensagem de texto geralmente de fontes até então confiáveis, mas é aí que o problema começa. Geralmente os responsáveis pelo ataque dizem ser administradores de banco ou oficiais de cobrança avisando que o cartão de crédito da vítima ou conta bancária estão comprometidos. A vítima é solicitada a clicar em links suspeitos ou ligar para algum número de telefone incluído na mensagem, onde geralmente acabam passando todas as informações pedidas pelos fraudadores. Um exemplo desse tipo de ataque aconteceu em 2012 nos EUA, um grande número de pessoas começou a receber nos telefones a seguinte mensagem:

“Caro comprador do Walmart, você acaba de ganhar um Gift Card no valor de U$1000. Clique aqui para solicitar o prêmio:” a mensagem apresentava um endereço URL que devia ser acessado pelas vítimas para “receber” o Gift Card prometido pela empresa.

Nesse caso em particular, os golpistas se aproveitaram da popularidade do Walmart para atingir o máximo de vítimas possível. Muitas pessoas acabaram acessando o link, algumas responderam um questionário e chegaram até a passar informações de cartão de crédito no processo.

Nem sempre o objetivo final é só obter informações pessoais. Alguns golpes Smishing focam apenas em instalar malware nos telefones da vítimas para coletar dados de forma contínua, conseguindo dessa maneira ainda mais informações por um período maior de tempo.

Mas por pior que sejam os golpes, ainda é possível seguir algumas dicas para tentar se prevenir. Elas são fáceis de lembrar e podem economizar tempo e dinheiro.

Confira sempre os números que estão te ligando ou de onde vem suas mensagens de texto. Já existem apps para smartphone que podem te ajudar na identificação de ligações e mensagens suspeitas;

  • Nunca forneça suas informações bancárias pelo telefone, não importa o quanto insistam;
  • Os bancos geralmente não solicitam esse tipo de informação por telefone. Nunca transfira dinheiro para contas que foram passadas no momento da ligação;
  • Fique atento as mensagens SMS recebidas e suas fontes, se perceber algo estanho entre em contato com seu banco;
  • Dê atenção especial para os links recebidos por SMS, não saia clicando em tudo o que vê por aí, geralmente não é possível saber para onde os links levam o usuário e o que pode acontecer após o acesso;
  • Se receber ligações suspeitas apenas desligue o telefone, ignore as mensagens que não foram solicitadas;
  • Outra forma de identificar golpes por email é ficar atento ao endereço que envia as mensagens e arquivos suspeitos que vem em anexo.
  • É difícil detectar todos os golpes, mas a tecnologia já nos oferece algumas formas de se proteger.

A melhor maneira de evitar golpes é desconfiar de tentativas constantes de comunicação e estar bem informado.

Agradecemos ao Davi, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: Canaltech