phishing

segurançahacking

Enganar alguém para revelar credenciais ou executar malware, geralmente por e-mail.

O phishing weaponiza a confiança em vez do código: uma mensagem de aparência legítima atrai o alvo a clicar, entrar ou pagar. "Spear phishing" é feito sob medida para uma pessoa; "whaling" mira executivos. Continua sendo uma das entradas mais confiáveis, porque ataca o humano, não o firewall.

O phishing persiste porque ataca a pessoa, e não o sistema, e nenhuma correção fecha isso. A mensagem pede algo plausível num contexto que parece normal, e a defesa precisa funcionar sobre um humano cansado no fim de um dia longo, e não sobre um bem descansado lendo um boletim de segurança.

A sofisticação já foi muito além da gramática ruim. Ataques direcionados citam projetos e colegas reais, chegam em momentos plausíveis, e cada vez mais clonam o estilo de escrita do remetente a partir de material publicamente disponível. O comprometimento de e-mail corporativo dispensa malware por completo e simplesmente pede que um pagamento seja redirecionado, o que nenhum scanner de anexos jamais pegará, porque não há nada malicioso na mensagem além da intenção.

As defesas que de fato funcionam reduzem o que uma tentativa bem-sucedida alcança, em vez de tentar tornar as pessoas infalíveis. A autenticação resistente a phishing é a principal, porque uma chave em hardware verifica a origem do site e não autentica num domínio sósia por mais convencido que o usuário esteja. Além dela: autenticação de correio, para que personificar seu próprio domínio seja difícil, e uma cultura de reporte em que as pessoas são agradecidas por sinalizar, e não culpadas por clicar, já que punição produz silêncio, não segurança.

Também conhecido como: spear phishing, spear-phishing, whaling

← Todos os verbetes do glossário