Proteja-se contra phishing

Para muitos de nós, a idéia de impedir um ataque cibernético ou evitar malware pode induzir o estresse. Afinal, embora a maioria de nós agora viva cada vez mais on-line, poucos têm treinamento formal sobre o assunto. Mas um dos tipos mais comuns de ataques, Phishing, é fácil evitar se você souber o que procurar.

Os golpes de phishing dependem de seus objetivos, entregando voluntariamente informações confidenciais (como senhas ou números de cartão de crédito) ou instalando malware no dispositivo. Isso é feito enganando as pessoas através do uso de mensagens de email e sites falsos. Geralmente, ele começa com um email que pretende ser de uma fonte confiável e leva a um site fraudulento projetado para capturar informações pessoais e valiosas. Depois de fornecer suas informações, parece que são negócios como de costume. No entanto, no dia seguinte, você pode ficar chocado ao descobrir que sua conta bancária está esgotada. Ou você não pode entrar no seu e-mail para informar seus amigos que, não, você não está preso em uma ilha que precisa de sua ajuda financeira imediata.

Para quem administra a farsa, é uma aposta bastante baixa, que depende de pessoas que caem em um truque simples e entregam informações lucrativas. Mas para quem é a vítima, com certeza é alto o risco. No quarto trimestre de 2019, o Grupo de Trabalho Anti-Phishing (APWG) identificado 162,155 sites de phishing exclusivos voltados para instituições financeiras, sites de comércio eletrônico, nuvem e mídias sociais (entre outras coisas). Aprenda a identificar essas falsificações abaixo e proteja-se contra golpes de phishing.

Sinais de que você pode ter recebido um email de phishing

• Endereço "de" suspeito: E-mails oficiais sobre senhas e informações pessoais são enviados de endereços de e-mail oficiais, não de contas pessoais. Se o remetente não tiver um endereço de e-mail associado à empresa, não acredite. A Ne'er Do Wells costuma criar endereços de e-mail que são fechar ao nome de uma empresa, mas não exatamente. Por exemplo, recentemente avisamos a todos sobre e-mails supostamente do Centros para Controle e Prevenção de Doenças, mas os emails eram de endereços que terminavam em cdc-gov.org e cdcgov.org, nenhum dos quais é usado pelo CDC. Uma visita ao site do CDC mostra que todos os endereços de contato terminam com cdc.gov.
• Tom estranho: Se algo sobre a maneira como um e-mail é escrito parecer "errado", ouça o que você diz. Saudações genéricas que não usam seu nome, frases estranhas, erros ortográficos e uma chamada para uma ação urgente que parece desnecessária indicam que o e-mail pode não ser autêntico. Lembre-se, mesmo que você não tenha provas concretas, você sempre pode entrar em contato com a empresa por meio de um número de telefone ou e-mail que encontrou em um lugar confiável para ter certeza de que é real.
• Links para sites falsos:. Esse email, quando bem feito, levará você a um URL convincente. Namecheck. com pode testar URLs quanto à autenticidade e tem uma lista de endereços falsos como exemplos - como paypal-secure.online em vez de paypal.com. Alguns golpes mais elaborados o levarão a uma página fraudulenta, mas com links para páginas legítimas da empresa. Procure você mesmo no site - não basta clicar nos links dos e-mails. E verifique se qualquer URL de um site em que você está inserindo informações confidenciais é legítimo.
• Nenhuma assinatura digital: Se você tiver a sorte de trabalhar com uma empresa que assina e-mails com S/MIME, essa assinatura é uma prova de identidade sem abrir o email. No entanto, é importante verificar todas as informações nos emails e se o certificado é real, emitido pela CA S/MIME certificado, independentemente.
  
  Se o seu cliente de email suportar S/MIME (e a maioria o faz), é fácil verificar e inspecionar uma assinatura digital. Veja como fazer no Gmail (para outros clientes, verifique a documentação do seu fornecedor):
  1. Clique no triângulo à direita do nome do remetente para Mostrar detalhes.2. A marca de seleção verde e Endereço de e-mail confirmado message significa que a mensagem foi assinada por uma assinatura digital confiável. Para mais informações, clique no Informações do remetente ligação. Se o certificado for não confiável pelo Gmail, você verá a mensagem The certificate is not trusted. Para não assinado email, nenhuma informação de certificado será exibida.
  3. Agora podemos verificar o endereço de e-mail do signatário, a CA emissora e o período de validade do certificado.
• Nenhuma menção de informações de contato conhecidas: Se um email que solicita que você redefina sua senha ou forneça informações não contenha informações adicionais que você sabe que são uma maneira de entrar em contato com a empresa ou organização, desconfie. Seja muito desconfiado. Veja outros e-mails que você sabe que são da organização, cartas que recebeu pelo correio ou a página de contato no site deles. Você vê as mesmas informações no e-mail que acabou de receber? Mesmo se não, basta usar os contatos que você sabe que são confiáveis.

Sinais de que você pode estar em um site de phishing

• Verifique o URL: Veja a página em que você está enviando suas informações. Alguns URLs falsos parecem falsos. Mas, como observado acima, muitas páginas de phishing têm as características dos negócios legítimos que a farsa está pretendendo representar. Portanto, não fique tranqüilo se puder acessar a página inicial do Chase a partir do URL - examine cuidadosamente a página em que está. O nome da empresa está escrito corretamente? O domínio de nível superior é o mesmo da página principal (.com or .de vs .org or .gov, por exemplo) e os URLs começam com o mesmo prefixo (por exemplo, https://)? Uma maneira de garantir que você está indo para um site real é usar um marcador salvo anteriormente ou pesquisar o site com o Google depois de fechar e reabrir o navegador.
• Pop-ups: Tenha cuidado com sites que buscam agressivamente sua senha através de janelas pop-up. Alguns golpes usam janelas pop-up em sites reais e usam isso como uma maneira de ganhar sua confiança.
• As coisas não "parecem" certas: Dê a si mesmo algum crédito! Somos capazes de captar pequenas coisas que podem até não se registrar em nossa mente consciente. Os sites fraudulentos geralmente apresentam cores, fontes e frases ligeiramente diferentes. Siga seu coração se as coisas não parecerem boas.
• Não feche!: Os navegadores da Web mostram um bloqueio fechado para sites seguros que usam o Protocolo HTTPS, e sites legítimos simplesmente não solicitam que você faça login sem usar HTTPS. Se você vir um aviso ou um bloqueio desbloqueado na barra de ferramentas de URL do seu navegador, pare imediatamente antes de oferecer informações. Sem bloqueio, sem login. E não ignore os avisos do navegador - mesmo que você esteja tão acostumado a eles que eles não emitem nenhum alarme interno. Não descarte avisos e aceite apenas sites com certificados confiáveis ​​do navegador. Infelizmente, uma fechadura não é mais uma garantia por si só, que um site é seguro, já que alguns phishers agora são inteligentes o suficiente para usar o protocolo HTTPS, mas a falta de HTTPS é um sinal claro de que você está em um terreno perigoso e deve voltar.

Como derrotar phishers

• Feche o seu navegador: Suspeito por causa de algum dos sinais acima? Feche o navegador e inicie novamente sem seguir os links principais.
• Habilite a autenticação de dois fatores (2FA): A autenticação de dois fatores significa simplesmente que você precisa de mais de uma coisa para acessar suas informações confidenciais. Um exemplo do mundo real é um cartão ATM - para obter acesso à sua conta bancária, você precisa do cartão físico e do PIN. A autenticação on-line e de dois fatores se parece com um segundo passo após a digitação da senha - às vezes, esse é um código enviado para outro dispositivo ou, às vezes, algo exclusivo do usuário, como uma impressão digital. O ponto é que ter dois necessário, chaves díspares são muito mais seguras e mais difíceis de roubar, então configure 2FA se estiver disponível em qualquer site que você loga regularmente (como o do seu banco).
• Verifique os certificados do site: Embora a verificação da segurança não seja mais tão fácil quanto procurar HTTPS ou a "barra verde" que antes era o padrão na indicação de certificados de Validação Estendida (EV), ainda é uma boa medida procurar esses certificados, como explicamos anteriormente. Muitos sites optaram por usar certificados baratos (ou gratuitos) de Validação de Domínio (DV) que oferecem algumas garantias - você sabe que sua comunicação com o site é criptografada. No entanto, os certificados DV não fornecem a garantia necessária de que você sabe quem realmente está operando o site. Descrevemos como encontrar essas informações, para cada navegador, aqui.
  
• Fique protegido com certificados digitais de SSL.com: À medida que o mundo se torna mais conectado digitalmente e mais "reuniões" acontecem on-line, é crucial poder verificar identidades on-line e evitar fraudes como phishing. SSL.com pode ajudar com:
  • S/MIME, Assinatura de documento e certificados de cliente: Lute contra o phishing diretamente com documentos e email assinados digitalmente, para que seus colegas e clientes saibam que esse email ou PDF é clientes de você. Os certificados de cliente adicionam um fator extra de autenticação para trabalhadores remotos e outros usuários.
  • SSL /TLS Certificados: Forneça aos seus visitantes e clientes a garantia da identidade e segurança do seu site.
  • Certificados de assinatura de código: Garanta aos clientes que seu código para download é de uma fonte confiável e não contém malware.

Por fim, todos podem fazer sua parte e denunciar e-mails de phishing para spam@uce.gov e reportphishing@antiphishing.org, e avise as organizações que estão sendo representadas, para que elas possam proteger outras pessoas que estão seguindo em frente.