Durante muito tempo, falar em phishing significava imaginar um e-mail mal escrito, enviado por um remetente desconhecido, com erros evidentes de português, um link suspeito e uma mensagem apelando para a urgência. A vítima precisava clicar em uma página falsa e informar suas credenciais, dados bancários ou informações pessoais para que o golpe fosse concluído. Embora esse tipo de ataque ainda exista e continue sendo utilizado, acreditar que o phishing permanece limitado a esse modelo é um erro perigoso.
O phishing é uma ameaça antiga, mas está em constante evolução. Ao longo dos anos, os criminosos aprimoraram suas técnicas para acompanhar as mudanças nos hábitos dos usuários, nos sistemas de autenticação e nas ferramentas de segurança utilizadas pelas organizações. À medida que as empresas passaram a adotar filtros mais sofisticados, autenticação multifator e mecanismos de detecção de comportamentos suspeitos, os atacantes também passaram a buscar maneiras diferentes de manipular as vítimas.
Em muitos ataques atuais, o criminoso tenta convencer o usuário a autorizar uma ação que, em condições normais, não realizaria. Essa ação pode consistir na instalação de um software, na execução de um comando, na aprovação de uma solicitação, na concessão de permissões em um aplicativo ou na realização de uma transação financeira. A vítima não precisa entregar uma informação secreta ao atacante; em determinados casos, basta que seja convencida a abrir, de maneira legítima, uma porta que ele possa usar.
Essa transformação torna o phishing mais difícil de identificar e, em alguns casos, mais difícil de atribuir a uma falha técnica específica. Afinal, o sistema pode estar funcionando exatamente como foi projetado. O usuário pode ter se autenticado corretamente, o aplicativo pode ser legítimo e a transação pode ter sido confirmada com os mecanismos de segurança disponíveis. O problema está no fato de que a decisão que desencadeou o evento foi obtida por meio de manipulação psicológica.
A definição tradicional de phishing continua sendo útil, mas já não é suficiente para explicar a amplitude da ameaça. Durante muitos anos, o principal objetivo de uma campanha de phishing era capturar nomes de usuário e senhas. O atacante enviava uma mensagem falsa, direcionava a vítima para uma página que imitava um serviço conhecido e armazenava as informações inseridas.
Esse modelo ainda é extremamente relevante, mas a evolução dos mecanismos de proteção tornou mais difícil para os criminosos depender exclusivamente dele. A autenticação multifator, os gerenciadores de senhas e os sistemas de detecção de credenciais comprometidas reduziram a eficácia de parte dos ataques tradicionais.
Como consequência, os meliantes passaram a buscar formas de contornar essas proteções, explorando não apenas aquilo que o usuário sabe, mas também aquilo que ele pode ser induzido a fazer. Essa diferença é importante porque uma senha, isoladamente, pode não ser mais o ativo mais valioso. Uma sessão já autenticada, uma autorização concedida a um aplicativo ou uma transferência financeira realizada pela própria vítima podem oferecer ao invasor resultados muito mais imediatos.
Imagine, por exemplo, que um funcionário receba uma mensagem informando que precisa revisar um documento compartilhado. O link leva a uma página que parece fazer parte do ambiente corporativo e, durante o processo, o usuário é solicitado a autorizar um aplicativo ou conceder determinadas permissões. A aplicação pode parecer relacionada a uma ferramenta conhecida, mas as permissões concedidas podem permitir acesso excessivos.
Em outro cenário, um suposto integrante do suporte técnico entra em contato com o colaborador para informar que há um problema com sua conta. O criminoso solicita que o usuário aprove uma notificação de autenticação que aparecerá em seu telefone. O funcionário não informa a senha, não desativa nenhuma proteção e talvez nem perceba que acabou de conceder acesso a outra pessoa.
Uma das principais características do phishing contemporâneo é a sua capacidade de se misturar ao cotidiano do usuário. Em vez de depender de uma mensagem claramente estranha, o criminoso pode construir uma situação que se parece com uma atividade comum dentro da organização ou na vida pessoal da vítima.
Essa mudança é particularmente relevante porque muitos treinamentos de conscientização ainda se concentram na identificação de sinais visuais muito evidentes. Os usuários aprendem a observar erros de ortografia, endereços suspeitos, remetentes desconhecidos e links estranhos, mas podem não estar preparados para lidar com uma solicitação que parece absolutamente compatível com sua rotina.
Uma mensagem pode ser enviada por uma conta legítima que foi comprometida. Um documento pode estar hospedado em uma plataforma conhecida. Um link pode utilizar um serviço legítimo. Uma solicitação de autenticação pode ser tecnicamente verdadeira. Ainda assim, o contexto em que esses elementos são utilizados pode ser fraudulento. Essa é uma das dificuldades centrais da segurança da informação atualmente: nem sempre a ameaça está na ferramenta utilizada, mas na intenção de quem a está utilizando.
Por esse motivo, uma comunicação que chega por uma plataforma legítima não deve ser automaticamente considerada segura. O fato de uma solicitação utilizar um serviço conhecido não significa que a pessoa que a enviou tenha uma intenção legítima ou que a ação solicitada seja apropriada.
A evolução do phishing também pode ser observada em ataques que utilizam engenharia social para induzir a vítima a executar comandos ou instalar softwares maliciosos. Nesse modelo, o criminoso não precisa necessariamente explorar uma vulnerabilidade técnica no dispositivo. Em vez disso, ele convence o próprio usuário a realizar as ações necessárias para comprometer o sistema.
A abordagem pode assumir diferentes formas. A vítima pode receber uma mensagem informando que precisa instalar uma atualização, corrigir um problema de segurança, validar um certificado ou executar uma ferramenta para concluir determinado procedimento. Em alguns casos, o usuário é orientado a abrir um terminal, acessar o PowerShell ou executar um comando fornecido pelo suposto suporte técnico.
Para uma pessoa que não possui conhecimentos técnicos, a operação pode parecer apenas uma etapa necessária para solucionar um problema. Entretanto, o comando pode instalar um malware, estabelecer persistência no equipamento, coletar informações ou abrir caminho para novos acessos.
O aspecto mais perigoso desse tipo de abordagem é que a vítima muitas vezes não percebe que está executando uma ação de risco. Ela acredita estar seguindo uma instrução legítima e, justamente por isso, pode não apresentar o mesmo nível de desconfiança que teria diante de um arquivo executável recebido de um remetente desconhecido. O problema não está apenas na capacidade técnica do malware, mas na narrativa utilizada para convencer o usuário a executá-lo.
A autenticação multifator é uma das medidas mais importantes para proteger contas digitais, mas sua presença não significa que uma organização esteja imune a ataques de phishing. Um dos motivos é que autenticação e autorização são conceitos diferentes. Tal tecnologia busca verificar se uma pessoa é realmente quem afirma ser. A autorização, por outro lado, determina se aquela pessoa ou aplicação pode realizar determinada ação. Um usuário pode ser corretamente autenticado e, ainda assim, ser manipulado para autorizar uma atividade que beneficia um criminoso.
Esse problema aparece, por exemplo, nos ataques conhecidos como MFA fatigue. Neles, o usuário recebe repetidas solicitações de autenticação até que, por cansaço, distração ou confusão, acaba aprovando uma delas. A técnica pode ser ainda mais eficaz quando combinada com uma ligação telefônica ou uma mensagem que fornece uma explicação aparentemente plausível para a solicitação.
O criminoso pode afirmar que está realizando uma manutenção, que identificou um problema na conta ou que precisa confirmar a identidade do usuário para concluir um procedimento. Quando a notificação aparece no dispositivo, a vítima interpreta aquela solicitação dentro do contexto apresentado pelo atacante. A tecnologia, nesse caso, pode estar funcionando corretamente. O usuário recebeu uma solicitação real e a aprovou conscientemente. O que não era verdadeiro era a história utilizada para levá-lo a tomar essa decisão.
A evolução do phishing pode ser observada com especial clareza nas fraudes financeiras. Em muitos casos, o criminoso não precisa obter a senha do banco ou assumir o controle direto da conta da vítima — ele pode simplesmente convencê-la a realizar uma transferência. No Brasil, essa possibilidade é particularmente relevante devido à ampla utilização de meios digitais de pagamento, especialmente o Pix. A velocidade e a facilidade das transações oferecem benefícios significativos aos usuários, mas também criam oportunidades para golpes baseados em engenharia social.
Uma fraude pode começar com uma mensagem que simula um banco, uma ligação de um suposto funcionário, uma conversa em uma rede social ou uma abordagem que imita um familiar ou conhecido. A partir daí, o criminoso constrói uma narrativa destinada a produzir uma decisão específica. A vítima pode ser informada de que existe uma transação suspeita, de que sua conta está sob ameaça ou de que precisa transferir temporariamente um valor para uma conta considerada “segura”. Em outros casos, pode receber uma solicitação aparentemente enviada por um fornecedor, cliente ou superior hierárquico.
Quando o alvo realiza a transferência, o sistema pode registrar uma operação autenticada pelo próprio cliente. Do ponto de vista técnico, não houve necessariamente uma invasão do sistema bancário. O que ocorreu foi uma fraude baseada na manipulação da pessoa que tinha autorização para movimentar o dinheiro.
Essa distinção é importante para compreender por que o phishing moderno não deve ser analisado apenas como um mecanismo de roubo de credenciais. A fraude pode ser bem-sucedida mesmo quando nenhuma senha é capturada.
A inteligência artificial acrescenta uma nova dimensão à evolução do phishing, principalmente porque reduz o custo e o tempo necessários para criar mensagens personalizadas. Durante muito tempo, erros de gramática, traduções inadequadas e construções pouco naturais eram considerados sinais úteis para identificar uma tentativa de golpe. Embora esses elementos ainda possam indicar uma fraude, eles perderam parte de sua utilidade como mecanismo de identificação.
Ferramentas de inteligência artificial podem produzir textos mais naturais, adaptar o tom de comunicação e gerar diferentes versões de uma mensagem para públicos específicos. Quando combinadas com informações obtidas em redes sociais, vazamentos de dados, sites corporativos e outras fontes públicas, essas ferramentas podem ajudar criminosos a construir abordagens mais contextualizadas.
Uma mensagem fraudulenta pode mencionar um projeto real, uma reunião que de fato aconteceu ou uma relação comercial existente. O atacante pode utilizar informações disponíveis publicamente para criar uma narrativa que pareça coerente com a rotina da vítima.
Essa combinação representa um desafio importante para os programas de conscientização, porque muitos usuários ainda associam a fraude a uma mensagem obviamente estranha. Quanto mais contexto uma abordagem possui, mais difícil pode ser identificar o ataque apenas pela aparência do texto.
A percepção de que o phishing é uma ameaça fácil de identificar pode, por si só, aumentar a exposição de uma organização. Quando o treinamento apresenta o phishing apenas como uma mensagem cheia de erros, enviada por um remetente desconhecido e acompanhada de um link suspeito, o usuário pode aprender a reconhecer um modelo específico de ataque, mas não necessariamente desenvolver a capacidade de analisar solicitações incomuns.
A pergunta “esta mensagem parece falsa?” continua sendo importante, mas não deveria ser a única. Também é necessário questionar por que determinada ação está sendo solicitada, se o pedido é compatível com o processo normal da organização, se a urgência apresentada é realmente justificável e se a solicitação poderia ser confirmada por outro canal.
Essa análise contextual é especialmente importante quando a ação envolve dinheiro, dados sensíveis, instalação de softwares, execução de comandos, alteração de configurações ou concessão de permissões. Em outras palavras, a segurança não depende apenas da capacidade de reconhecer uma mensagem falsa. Depende também da capacidade de perceber quando uma solicitação legítima está sendo utilizada para produzir um resultado ilegítimo.
Por essa razão, a prevenção contra phishing não deve depender exclusivamente de treinamentos anuais ou de campanhas que ensinem listas de sinais suspeitos. Embora esse conhecimento seja útil, ele precisa ser acompanhado pelo desenvolvimento de comportamentos que permitam ao usuário interromper e verificar solicitações incomuns.
Uma organização pode possuir excelentes ferramentas técnicas e ainda permanecer vulnerável se seus funcionários acreditarem que devem obedecer imediatamente a qualquer solicitação feita por uma pessoa que pareça ocupar uma posição de autoridade. É necessário criar um ambiente no qual seja aceitável confirmar uma instrução, questionar uma solicitação de um superior, interromper uma transação ou procurar o suporte técnico antes de executar um comando.
Essa cultura é particularmente importante porque os ataques de engenharia social exploram justamente comportamentos que, em outros contextos, são considerados positivos, como agilidade, colaboração, confiança e disposição para resolver problemas rapidamente. A segurança, portanto, não deve ser construída sobre a obediência automática.
Em um ambiente no qual as solicitações fraudulentas se tornam cada vez mais convincentes, a capacidade de interromper uma ação e buscar confirmação pode ser tão importante quanto a capacidade de reconhecer uma mensagem suspeita.
2º PAINEL ESKIVE - Cibercrime e a Epidemia de Insiders
Assista ao debate multifacetado entre nossa CEO, Priscila Meyer, e especialistas do mercado sobre a “febre” das ameaças internas e como o ecossistema de segurança está lidando com o fenômeno. ⭣