Quem nunca recebeu aquelas mensagens do tipo “atualize seus dados bancários” ou, então, “parabéns, você é o novo milionário” que atire o primeiro mouse. Esse tipo de correio se tornou rotina em nossas caixas de email e configura um golpe muito comum na internet: o phishing.
Esse tipo de crime cresce em ritmo tão acelerado quanto o alcance da rede mundial de computadores e, apesar de muitos novos usuários acabarem se tornando reféns desse golpe, cair em uma cilada não é exclusividade de pessoas inexperientes. Por isso, é bom ficar ligado e saber o que fazer quando a dúvida surgir: essa mensagem é real?
Conhecendo a ameaça
O termo phishing vem de outra palavra do idioma inglês, fishing, cujo significado em português é “pescar”. E o funcionamento desse malware tem tudo a ver com o calmo esporte.
Cuidado, pois fishing não é phishing!
Os hackers fazem nada mais do que uma pescaria, lançando centenas de iscas pela internet para depois esperar por aquela “mordida” ou, em termos mais tecnológicos, que alguém clique naquele link malicioso.
Essas “pegadinhas” vêm em vários formatos diferentes, como páginas falsas da internet, emails de bancos e instituições financeiras, promoções (muitas vezes absurdas) ou, ainda, disfarçados de mensagens pessoais, como “as fotos da festa que ficaram ótimas”, por exemplo.
Tipos de phishing
O phishing acontece de maneira tão frequente na internet que já existem até tipos diferentes e que permitem uma classificação do ataque. Os dois mais comuns são:
- Blind Phishing – é o tipo mais conhecido, aquele que é atirado em massa por meio de spams e emails na esperança de que alguém “caia” na armadilha;
- Spear-phishing – como o seu nome sugere (“pesca com arpão”, em português), esse tipo de ataque é mais direcionado e busca atingir alvos específicos e previamente estudados. Além disso, apresentam-se de forma mais convincente do que o normal.
Como fazer para identificar um ataque por phishing?
Existem maneiras simples de identificar ataques por phishing. E a primeira arma que você tem contra esse mal não é produzida por nenhum gigante dos softwares, muito menos custa aquela impagável fortuna. O que você precisa usar, antes do que qualquer coisa, é o seu poder de julgamento.
Isso porque é preciso analisar um pouco antes de clicar em qualquer email que chegue pela caixa de entrada. Mensagens com prêmios de concursos extremamente vantajosos devem ser sumariamente ignoradas, uma vez que dificilmente uma empresa fará sorteios entre endereços de email para premiar um felizardo com milhões de dólares.
Outras mensagens comuns e que ainda “pescam” alguns usuários desavisados são aquelas com propostas incríveis de negócios. Ou você acha que algum estrangeiro iria mesmo escolher um endereço aleatório de email para enviar uma chance de parceria na qual você é quem fica com a maior parte do lucro? Não faz sentido, não é mesmo?
Verifique links e endereços
Endereços de email falsos para o envio de mensagens
Essa é outra dica indispensável. Isso porque alguns tipos de ataques podem já ter “pego” alguns de seus contatos, o que torna possível que você receba emails dessas pessoas sem que elas saibam.
Logo, caso o endereço de envio seja conhecido, não custa nada você entrar em contato com o dono da conta que enviou a mensagem e verificar se se trata de uma comunicação real ou um caso de phishing.
No caso de emails vindos de outros lugares, uma forma bastante simples de checar para onde ele desejar levar você é, simplesmente, posicionar a seta do mouse sobre o botão ou link. Isso porque no rodapé do seu navegador deverá surgir o caminho real do endereço em questão.
Exemplo de email falso se passando por um banco
Outro cuidado que deve ser tomado é com relação aos subdomínios. Perceba que, ao acessar o Tecmundo, você encontra o seguinte endereço:
- https://www.tecmundo.com.br/
Não existem outras palavras entre o “www” e o endereço do site, de modo que há, assim, um “acesso direto”. O dono do domínio pode inserir palavras antes, que configuram um subdomínio:
- http://www.subdominio.tecmundo.com.br/
Todavia, um criminoso pode registrar um endereço qualquer e usar o nome de outros sites como “subdomínio”, confundindo a cabeça dos usuários:
- https://www.tecmundo.com.br.vouroubarasuasenha.com/
Perceba que dessa forma você não estará visitando o Tecmundo, mas sim um site falso e que utilizou o nome do verdadeiro como subdomínio para enganá-lo.
Não importa qual a extensão do domínio, seja ele “.com”, “.net” ou “.com.br”, esse risco sempre existe. Além disso, os endereços são criados de maneira que se tornam bastante parecidos com o link original;
- www.tecmundo.com.registronotechnomundo.com.br
Assim, independentemente do domínio principal, qualquer pessoa pode colocar um subdomínio com o nome que quiser, confundindo usuários menos experientes e os deixando à mercê de crimes como o roubo de senhas de bancos, usuários e etc.
Parece real? Vá até a página você mesmo
Como o cuidado dos usuários aumentou, cresceu também o capricho dos hackers nesses emails falsos. Logo, é comum receber cópias extremamente fiéis com a fonte, marca, menus reproduzidos e, em muitos casos, até aquela assinatura do gerente de marketing no rodapé da mensagem.
Promoção? Será?
No caso dos bancos, por exemplo, é importante que você conheça como funciona a rotina de comunicação da instituição com os clientes, uma vez que a maioria não realiza comunicação ativa (aquela em que o banco é quem procura o cliente) por meio da internet – somente por telefone. O mesmo serve para a maioria dos órgãos públicos.
Caso algo realmente chame a sua atenção, basta que você não utilize os links da mensagem, digitando o endereço e entrando você mesmo na página em questão (www.meubanco.com.br) – isso evita que um link mal-intencionado leve-o para um endereço falso.
Cuidado nas redes sociais
Um relatório de segurança semestral produzido pela Microsoft identificou um crescimento exponencial do phishing nas redes sociais – cerca de 1.200% de aumento somente em 2010.
Isso mostra que, além de aproximar as pessoas, esse tipo de site também vem se apresentando como um novo canal de atuação para usuários mal-intencionados, como aconteceu recentemente no formato de um aplicativo para Facebook e também em outro caso representado por um link para um vídeo.
Redes sociais também são alvo (Fonte da imagem: Divulgação)
Apesar de alguns desses sites passarem a sensação de um lugar “limpo e seguro”, a verdade é que muitos riscos estão presentes. Por isso, é importante tomar alguns cuidados, como não adicionar pessoas desconhecidas como amigos, além de “trancar” informações de caráter mais pessoal, telefones e endereços de email, por exemplo.
Cuidados fundamentais
Além de reconhecer no que você está clicando ou em que mensagens está confiando, é importante também contar com programas de proteção que auxiliem quando algo acabar passando batido, não só em relação a ataques por phishing, mas também de qualquer outro tipo. Por isso, é fundamental que você utilize antivírus bons e atualizados, além de outros softwares complementares, como filtros para phishing e cookies maliciosos.
Com essas dicas e os programas certos, dificilmente você cairá em algum golpe na internet. Então, olho vivo e até a próxima!
