O phishing engana as pessoas para que forneçam credenciais, dinheiro ou acesso. O atacante faz-se passar por uma entidade de confiança: um banco, um colega, um fornecedor de software, uma agência governamental. A mensagem cria uma sensação de urgência. A sua conta será encerrada. Um pagamento está em atraso. Uma encomenda não pôde ser entregue. Clique no link, introduza a sua palavra-passe e o atacante terá o que precisa.

O phishing é o vetor de acesso inicial mais comum em violações de segurança. Funciona porque tem como alvo pessoas, não sistemas. Os controlos técnicos ajudam. Os filtros de e-mail detetam domínios de phishing conhecidos. DMARC e SPF dificultam a falsificação. Os scanners de links verificam os URLs antes de os utilizadores clicarem. Mas os filtros deixam passar algumas coisas. Um e-mail de phishing bem elaborado, enviado a partir de uma conta legítima comprometida, passa por todas as verificações. A formação também ajuda, embora não seja a solução definitiva. As pessoas clicam quando estão ocupadas, distraídas ou com medo. A melhor defesa combina filtragem, treino e autenticação multifator (MFA). Se uma palavra-passe for roubada, a MFA impede o login. Se a MFA for contornada através de um proxy, a deteção comportamental identifica a anomalia. Nenhuma camada isolada é suficiente.

Iscas de phishing comuns

• Avisos de suspensão de conta
• Faturas e pedidos de pagamento falsos
• Notificações de entrega
• Alertas de redefinição de palavra-passe
• notificações de documentos partilhados

Denuncie e-mails de phishing em vez de os apagar. A equipa de segurança precisa de saber o que está a passar.