O que é Smishing?
Uma combinação de SMS - serviço de mensagens curtas, ou mensagens de texto - e phishing, smishing refere-se a mensagens de texto enviadas por invasores para obter informações pessoais e confidenciais. Como o spear phishing, os ataques de smishing dependem de enganar os usuários para que cliquem em um link para fornecer informações confidenciais, como credenciais de login , que podem ser usadas para acessar sistemas-alvo ou até mesmo depositar malware.
Saiba mais sobre nossos 10 requisitos para proteção de endpoints.
Esse método de ataque tornou-se mais popular recentemente devido à facilidade de coletar números de telefone, à prevalência de smartphones e à confiança inferida de uma mensagem de texto em relação a um e-mail tradicional. Enquanto os e-mails podem conter qualquer número de letras ou caracteres especiais, os números de telefone em todo o mundo seguem padrões específicos, como o padrão de três-quatro-três de 10 dígitos nos EUA, e os invasores podem tentar combinações diferentes ou enviar explosões para um intervalo específico. Além disso, os números de telefone são frequentemente associados às mídias sociais, o que os torna mais fáceis de encontrar e também fornece aos invasores um repositório de informações para tornar as tentativas de smishing mais personalizadas.
Os golpistas também são bem-sucedidos devido ao relacionamento entre o usuário e seu telefone. Quer estejam em trânsito ou distraídos com outra coisa, os usuários têm maior probabilidade de confiar em seus smartphones ou passar os olhos por uma mensagem em vez de lê-la com atenção. Para se proteger melhor contra o smishing - e os golpes de phishing em geral - é importante que os usuários examinem os números de telefone, leiam as mensagens com cuidado e nunca cliquem em um link desconhecido.
Como identificar uma tentativa de Smishing
Infelizmente, não há escassez de ataques de phishing em qualquer dispositivo. Independentemente de os criminosos cibernéticos estarem em busca de cartões de crédito, credenciais de login ou qualquer outra informação confidencial, as tentativas de phishing por SMS são ameaças para as quais os usuários móveis precisam estar preparados.
Um ataque comum de smishing envolve serviços bancários. Fazendo-se passar por uma instituição financeira legítima, essas mensagens de texto podem parecer sensíveis ao tempo para incentivar as vítimas a se conectarem sem pensar criticamente.
Figura 1: Exemplo de mensagem de texto alertando a vítima sobre o comprometimento da conta, incentivando-a a fazer login com o link fornecido
A melhor maneira de reagir a esse tipo de mensagem é ignorar o link e ir diretamente ao próprio banco. Acesse o site do banco, faça login no aplicativo ou ligue para uma agência local para verificar se há algum problema com uma conta bancária.
Outro exemplo de ataques de smishing aproveita a autenticação multifator (MFA). Os invasores enviarão mensagens de texto com credenciais aos usuários, incentivando-os a fazer login. Os hackers criam essas páginas para se parecerem com os sites de credenciais autênticas com os quais os usuários estão familiarizados.
Figura 2: Exemplo de mensagem de texto incentivando a vítima a fazer login no link fornecido para que possa verificar sua identidade.
Com ataques como esses, os usuários precisam pensar com cuidado. Eles se conectaram a alguma coisa recentemente? Essa é a maneira normal de eles verificarem sua identidade? Assim como acontece com as instituições bancárias, é melhor ir diretamente à fonte e verificar. É importante observar que, embora alguns invasores estejam tirando proveito da MFA, a segurança adicional da MFA ainda é uma defesa incrivelmente importante contra o crime cibernético.
A Figura 3 é um exemplo realista baseado em uma mensagem de smishing que um de nossos funcionários recebeu.
Figura 3: Captura de tela de uma tentativa de smishing com o número estranho e o link incorreto destacados
Como evitar a perda de dinheiro
Como mencionado anteriormente, uma das melhores técnicas para evitar ser enganado é ser crítico com as mensagens de texto que o senhor recebe. Nunca clique em um link com o qual não esteja familiarizado e não se sinta obrigado a responder a um texto estranho de um número que não reconhece. Se o senhor receber um texto de smishing nos EUA, poderá denunciá-lo em reportfraud.ftc.gov.
Para os profissionais de segurança, é importante implementar a educação do usuário. Treinar e testar sua empresa sobre como identificar phishing e smishing reduzirá muito a probabilidade de uma tentativa bem-sucedida de phishing.
Dando um passo adiante, outra peça importante desse quebra-cabeça é a adoção de uma postura de Zero Trust em toda a organização. É importante monitorar seu ambiente com a compreensão de que nada deve ser implicitamente confiável - qualquer coisa em sua rede pode ser usada contra o senhor. Produtos como detecção e resposta de endpoint (EDR) fornecem ampla visibilidade e detecção baseada em aprendizado de máquina (ML)para análise de ameaças em tempo real. Um produto EDR pode ser combinado com uma plataforma de orquestração, automação e resposta de segurança (SOAR) para resposta a ameaças baseada em automação.
Saiba mais sobre como a segurança de endpoint e de rede trabalham juntas.
Inscreva-se para uma demonstração do Cortex para ver como o XDR e o XSOAR podem melhorar sua postura de segurança.
