O que é Vishing?
O vishing é definido como um ataque de cibersegurança em que uma entidade maliciosa contacta a vítima por telefone e tenta ganhar a confiança da vítima através de práticas de engenharia social para obter dados confidenciais, extrair fundos ou prejudicar a pessoa de outra forma.
Trata-se essencialmente de um tipo de ataque de phishing efectuado através de meios de voz, razão pela qual é designado por ataque de vishing.
Mecanismo de ataque de vishing
O vishing assume normalmente a forma de uma chamada telefónica urgente ou perturbadora. Por exemplo, o autor da chamada pode alegar que a conta da vítima foi pirateada e que necessita de um número PIN para validar a sua identidade ou reabrir a conta.
Podem também afirmar que estão a telefonar em nome de uma agência governamental, como o Internal Revenue Service (IRS) ou a Social Security Administration. Podem até insistir que a vítima deve dinheiro ou que ganhou um concurso.
Todos estes são casos de "vishing" (como já foi referido, uma frase que mistura "voz" e "phishing" para indicar uma burla telefónica). Phishing é um termo utilizado para descrever qualquer tentativa dos cibercriminosos de enganar as pessoas para que entreguem dinheiro, dados pessoais ou informações secretas. Do mesmo modo, o correio eletrónico e os sistemas de mensagens curtas ou de mensagens de texto ("smishing") também podem ser utilizados para cometer fraudes.
O vishing é um cibercrime em que os criminosos utilizam os telemóveis das vítimas para extrair informações que podem prejudicar a pessoa ou beneficiar o criminoso de alguma forma.
Os ciberdelinquentes utilizam técnicas sofisticadas de engenharia social para convencer as vítimas a fornecer dados pessoais e até mesmo acesso a contas bancárias ou segredos comerciais. Tal como o smishing e o phishing, o vishing centra-se em persuadir as vítimas de que aceder às exigências do autor da chamada é a resposta correcta. Os autores das chamadas fazem-se muitas vezes passar por autoridades governamentais, agências fiscais, instituições financeiras da vítima ou pela polícia.
O êxito desta tática depende de uma engenharia social eficaz, ou seja, da exploração da psicologia de uma pessoa para criar um efeito convincente. Os autores do vishing utilizam ameaças ou persuasão positiva para fazer com que as vítimas sintam que têm de fornecer as informações solicitadas. As vítimas podem também receber mensagens de voz ameaçadoras que lhes dizem que correm o risco de serem processadas ou de terem as suas contas bancárias congeladas se não telefonarem corretamente.
Como é que o vishing funciona?
Os atacantes de phishing utilizam frequentemente a falsificação do identificador de chamadas para levar as vítimas a acreditar que uma chamada telefónica vem de uma empresa de confiança ou de um código de bairro local.
Muitas vezes, fazem-se passar por entidades de confiança para enganar as vítimas e levá-las a partilhar os seus dados. Por exemplo, podem fazer-se passar por um executivo de um banco ou de uma agência de cartões de crédito, um credor ou um agente do IRS. Estes burlões criam uma sensação de urgência quando a vítima atende o telefone para se aproveitarem dos seus sentimentos e forçá-la a responder às exigências.
O vishing pode assumir muitas formas, mas o objetivo é sempre o mesmo: enganar a vítima para que revele informações pessoais, quer para obter ganhos monetários quer para cometer outros crimes, como o roubo de identidade.
Uma das razões pelas quais estes ataques podem ser persuasivos é o facto de os autores das fraudes poderem utilizar informações pessoais obtidas de outras fontes para fazer com que as tentativas de vishing pareçam legítimas.
Os tipos mais comuns de vishing
1) Alerta
2. Ataques baseados em VoIP
3. falsificação do identificador de chamadas
4. Recolha em contentores
1) Alerta
O Wardialing utiliza vários tipos de tecnologias para marcar automaticamente um grande número de números de telefone em rápida sucessão, normalmente para descobrir falhas na segurança e nas infra-estruturas de TI.
Os piratas informáticos utilizam frequentemente ferramentas de marcação para encontrar modems não seguros, por vezes conhecidos como "wardialers" ou "demon dialers". Demora muito pouco tempo
para o fazer se o burlão localizar a lista de números que estão ligados aos modems.
2. Ataques baseados em VoIP
A transferência de conteúdos de voz e multimédia através de uma ligação à Internet é conhecida como VoIP (Voice over Internet Protocol). Os utilizadores podem fazer chamadas de voz utilizando VoIP através dos seus computadores, smartphones, outras plataformas digitais, como telefones VoIP e sítios Web de comunicação em tempo real (WebRTC).
A VoIP é uma tecnologia vantajosa tanto para os particulares como para as empresas, uma vez que contém frequentemente capacidades adicionais que não se encontram nos sistemas telefónicos tradicionais. É também útil para as empresas como meio de unificar as comunicações.
Infelizmente, o VoIP pode ser explorado por indivíduos fraudulentos para iniciar ataques de vishing. O atacante regista um domínio e cria páginas de phishing que se assemelham à página de início de sessão da rede da organização. Como resultado, as chamadas VoIP iniciadas pelo agente da ameaça parecem ter origem na mesma rede. Além disso, uma vez que o VoIP exige frequentemente uma autenticação multifactor, o autor da chamada pode pedir à vítima que visite a página fraudulenta e partilhe os seus dados.
3. falsificação do identificador de chamadas
A falsificação ocorre quando um autor de uma chamada falsifica propositadamente as informações enviadas para o ecrã de entrada da chamada para ocultar a sua identidade. Os burlões utilizam frequentemente a técnica de "falsificação do vizinho" para fazer com que o identificador de chamadas pareça vir de um número local ou para se fazerem passar por uma empresa ou instituição governamental em que a vítima já confia.
Se essa chamada for atendida, o atacante tenta roubar fundos ou dados críticos, que podem ser utilizados em actividades fraudulentas. Os guiões de burla são uma parte importante dos ataques de falsificação do identificador de chamadas, uma vez que reforçam ainda mais a crença de que o autor da chamada é legítimo.
4. Recolha em contentores
Vasculhar os caixotes do lixo - físicos e digitais - pertencentes a bancos, edifícios empresariais e outras instituições é um meio fácil e popular de recolher as informações de contacto das vítimas de vishing.
Os criminosos podem reunir informações suficientes a partir de documentos destruídos, dispositivos de armazenamento descartados, calendários antigos, fotocópias, etc., para efetuar um ataque de spear-phishing centrado no sujeito.
Prevenção de ataques de phishing: oito práticas recomendadas para 2022
Quando uma pessoa é vítima de um ataque de vishing, é difícil reverter os seus efeitos e recuperar os danos. Mesmo que a polícia identifique o culpado, a recuperação dos danos é um desafio. É por isso que é crucial tomar medidas proactivas para evitar ataques de vishing, seguindo estas práticas recomendadas:
Boas práticas para evitar o vishing
1. ter uma ligação VPN
Uma rede privada virtual (VPN) protege as informações partilhadas através da Internet e dificulta a obtenção dos seus dados de contacto por parte dos autores de fraudes.
A VPN encripta o tráfego de rede e envia-o através de um túnel seguro antes de chegar a um servidor VPN que oculta o seu endereço IP. Como resultado, os agentes de ameaças não saberão a sua localização, dificultando a execução de ataques de engenharia social. A vítima pretendida pode simplesmente perguntar ao autor da chamada sobre a sua localização para verificar se a chamada é legítima.
2. Estar atento às chamadas "urgentes".
Quando o autor da chamada cria um sentimento de urgência, deve considerar isso como um sinal de alerta. Por exemplo, os vendedores podem tentar convencer a vítima de que pode haver consequências negativas se ela não fornecer os seus dados bancários ou não pagar imediatamente uma conta por pagar.
Pode desligar ou pedir os dados de contacto do autor da chamada e dizer-lhe que voltará a ligar mais tarde. Se se tratar de uma burla, o autor da chamada exercerá normalmente mais pressão ou desligará.
3. Utilizar ferramentas de bloqueio de chamadas automáticas
As ferramentas de bloqueio de chamadas automáticas, popularmente conhecidas como filtros de chamadas, são programas informáticos que detectam chamadas automáticas. Se uma entidade terceira tiver utilizado técnicas de ala, o bloqueador de chamadas automáticas identifica-as e bloqueia-as imediatamente.
4. Implementar processos internos
Quem é que pega no telefone quando o número geral da organização toca? Pode facilmente ir parar às mãos do funcionário errado?
Passar o telefone de um utilizador para outro pode criar confusão e fazer com que os funcionários da organização percam a noção de quem está do outro lado da chamada.
Contratar um rececionista dedicado para filtrar os maus dos bons pode ser útil quando necessário e garantir que todos os empregados verificam quem está a telefonar quando passam a outra pessoa.
Outra opção é criar um processo em que o destinatário confirme diretamente com o "requerente" através de outro canal oficial antes de lhe entregar o telefone.
5. Assegurar que todos os dispositivos têm autenticação multi-fator.
A utilização de palavras-passe de alta segurança é muito boa, mas a autenticação multifactor fornece essas camadas extra de segurança que garantem que a sua conta não pode ser comprometida com uma única palavra-passe.
A Google anunciou que a autenticação multifactor será obrigatória para 150 milhões de utilizadores até 2021, a fim de proporcionar uma camada reforçada de segurança contra ameaças e reduzir assim o número de contas comprometidas em 50%.
Conclusão
O vishing pode não ser uma preocupação importante para a sua organização, mas deveria ser. Independentemente da inteligência ou capacidade da sua empresa e dos seus colegas, as tácticas de engenharia social são suficientemente poderosas para apanhar qualquer pessoa desprevenida.
Agora que já sabe o que é o vishing, é importante que partilhe esta informação com os seus empregados.
Informe-os de que questionar o autor da chamada e verificar as informações com alguém através dos canais oficiais pode ser a diferença entre dados seguros e o risco de um incidente cibernético ou violação de dados.
