Ataques de phishing mais comuns nas redes sociais

Os analistas de Phishfort detalham os ataques de phishing de mídia social mais comuns ocorridos em 2020. A proliferação de plataformas de mídia social abriu inúmeros vetores de ataque para tentativas de phishing. Descrevemos as práticas recomendadas que as empresas com presença digital podem aplicar para se protegerem contra phishing de mídia social.

TL; DR

O phishing de mídia social se tornou uma ameaça legítima para empresas com presença online

As empresas estão se esforçando para identificar e derrubar rapidamente as tentativas de phishing de mídia social devido à grande quantidade de plataformas atualmente disponíveis para os invasores

Ataques comuns de phishing em redes sociais incluem invasores que se fazem passar por uma marca, obtendo acesso a dados confidenciais de clientes e assumindo o controle de uma conta

Uma combinação de tecnologia sofisticada e analistas treinados é atualmente a forma mais eficaz de proteção contra tentativas de phishing de mídia social.

Phishing de mídia social

Desde 1909, a BP vinha transformando seu negócio e marca em um gigante global do petróleo e do gás. O desastre atingiu a empresa em 2010, quando uma plataforma de petróleo que a BP estava arrendando explodiu, resultando no maior derramamento de óleo da história americana.

Em meio ao caos, uma conta satírica no Twitter usando o identificador @BPGlobalPR conseguiu ganhar o dobro de seguidores da conta corporativa oficial da BP no Twitter. A conta falsa do Twitter causou comoção na mídia internacional, prejudicando ainda mais a marca da BP em um momento em que a comunicação eficaz com o público era crucial.

A história da BP destaca a assimetria entre o tempo e o esforço necessários para construir uma marca e a facilidade com que um invasor pode colocar essa marca em risco. Com apenas um endereço de e-mail, um invasor pode se passar por uma marca comercial e até mesmo entrar em comunicação com os clientes da marca.

As consequências do phishing nas redes sociais podem ir muito além da simples sátira. O phishing de mídia social pode fazer com que os invasores tenham acesso a dados confidenciais do cliente e executem ataques prolongados contra a marca de uma empresa.

No entanto, com as equipes de segurança sobrecarregadas com possíveis ataques de phishing em uma variedade de plataformas de mídia social, a solução para lidar com esses ataques de forma eficaz não é simples. Neste artigo, detalhamos o que é exatamente um ataque de phishing de mídia social. Também detalhamos quais são os tipos mais comuns de ataques de phishing de mídia social e a melhor abordagem para lidar com essas ameaças.

O que é phishing de mídia social?

A principal característica de um ataque de phishing de mídia social é que a vítima é direcionada por meio de uma plataforma de mídia social. No entanto, o phishing de mídia social pode assumir várias formas.

Os ataques normalmente se concentram em usuários que já estão cientes da marca-alvo, tornando esses ataques parecidos com ataques de spear-phishing, em que os ataques são criados para indivíduos específicos com base em algum conhecimento de seus interesses, comportamentos ou crenças.

Os ataques geralmente são realizados falsificando uma conta existente, como o uso de @AcmeOfficial para direcionar os usuários que seguem @Acme. Os invasores também tentarão ocasionalmente comprometer uma conta legítima de mídia social para usá-la para se comunicar diretamente com seus usuários, destacando a importância de proteger adequadamente as contas de mídia social.

Dada a abundância de informações pessoais e a popularidade das mídias sociais, o impacto dos ataques de phishing nas redes sociais não deve ser subestimado. Em março de 2017, um ataque sofisticado foi lançado por hackers russos visando profissionais do Departamento de Defesa dos Estados Unidos.

Mais de 10.000 mensagens no Twitter foram enviadas contendo um link com informações adaptadas aos interesses dos indivíduos. Cada link continha malware que permitia aos hackers assumir o controle do dispositivo das vítimas.

Ataques de phishing mais comuns nas redes sociais

A natureza do mundo online atual significa que os invasores podem direcionar sua empresa em uma variedade de plataformas e de várias maneiras. Aqui estão alguns dos ataques típicos de phishing de mídia social que podem ser lançados contra sua empresa.


Ataques de falsificação de identidade

A falsificação de identidade pode ser um invasor se passando por sua marca ou uma pessoa em sua empresa. Tal ataque pode ser extremamente simples de realizar, conforme destacado pelo relato da sátira da BP.

As barreiras de entrada são baixas, mas o ataque tem potencial para causar danos graves à sua marca. Muitas vezes, essas contas falsas podem ser estabelecidas em plataformas onde a empresa não está presente.

Digamos que sua empresa tenha uma grande presença no Facebook, mas não se concentre no Twitter. Isso deixa uma lacuna para que um invasor se faça passar por sua empresa no Twitter, o que terá mais credibilidade para os usuários, visto que não há uma conta oficial.

Roubo de credencial

Embora a falsificação de identidade envolva uma conta falsa, o roubo de credencial ocorre quando um invasor obtém acesso à conta legítima de mídia social da empresa. O roubo de credenciais pode ser muito mais grave, pois o invasor pode agir sob a conta oficial da empresa até que o problema seja sinalizado e resolvido.

Isso permite que os invasores comunicar-se com os clientes. Quando e se o problema for resolvido, a empresa-alvo enfrentará uma longa batalha difícil para restaurar a confiança de seus clientes e usuários.

Em muitos casos, o invasor pode obter acesso a várias outras contas por meio de “ataques de reutilização de senha” em que outras contas são acessadas usando uma senha idêntica ou semelhante. Um invasor pode até mesmo ser capaz de alterar a senha da conta de mídia social se também puder acessar o endereço de e-mail associado à conta.

Um método comum para obter credenciais é um site típico de phishing, que engana os usuários para que insiram detalhes confidenciais em uma plataforma de mídia social falsa que espelha a plataforma legítima. Desconfiar de URLs enviados para a força de trabalho é importante para evitar tais ataques, principalmente em grandes organizações, onde apenas um funcionário clica em um URL falso e insere as credenciais.

Phishing de suporte ao cliente

Quando você está enfrentando um problema com um produto ou serviço, entrar em contato com o suporte ao cliente pode ser estressante. Muitas vezes pode ser um quebra-cabeça tentar descobrir onde estão as informações de contato do suporte ao cliente.

Os clientes não querem perder tempo desnecessário com um produto ou serviço que está causando problemas. O phishing de suporte ao cliente é uma forma particularmente perigosa e sutil de phishing, que está bem posicionada para tirar proveito disso.

Os clientes em um estado de frustração podem não ter tempo para verificar se entraram em contato com um agente de suporte ao cliente legítimo. Os analistas de Phishfort encontram regularmente esses casos ao lidar com phishing de mídia social.

Perfis falsos de suporte ao cliente podem ser abertos para mensagens diretas de clientes e também podem listar números de telefone de suporte ao cliente e endereços de e-mail falsos. Se um cliente entrar em contato com o número de telefone ou endereço de e-mail listado, ele também se tornará vulnerável a ataques futuros, pois compartilhará seu próprio endereço de e-mail ou número de telefone com o invasor.

Despejos e violações de dados

Os invasores que podem acessar a conta de mídia social de uma empresa muitas vezes obtêm acesso a dados confidenciais do cliente. Existem mercados online na dark web para a compra e venda de tais dados.

Algumas empresas sofreram porque um invasor despejou conjuntos de dados em um fórum ou em outro lugar online. Esses incidentes expõem os dados dos clientes a toda a web e prejudicam a confiança que as empresas construíram com seus usuários.

Não pense que as grandes empresas estão imunes a tais incidentes porque podem ter equipes de segurança maiores e melhores práticas de segurança. O LinkedIn sofreu um despejo de dados recentemente em 2016!

Malware e phishing direcionado

A mídia social mudou o cenário das mensagens. Mensagens virtualmente ilimitadas podem ser enviadas em uma variedade de plataformas de qualquer lugar do globo.

Esses recursos reduziram a fricção para os invasores enviarem links contendo malware. O resultado de vítimas clicando em tais links pode variar, permitindo que o invasor assuma o controle do dispositivo das vítimas.

Quais soluções existem para phishing em mídias sociais?

A resposta típica das organizações para lidar com esses ataques de phishing de mídia social é gerenciar a ameaça à segurança internamente. No entanto, as equipes de segurança são inundadas com potenciais bandeiras vermelhas.

O grande número de plataformas disponíveis para os invasores de mídia social tornou quase impossível para as equipes de segurança internas gerenciarem a grande quantidade de incidentes sinalizados. Mesmo que as equipes internas tenham os recursos para examinar cada caso, lidar com ele de forma rápida e eficaz é outro desafio significativo.

A história da BP destacou como um ataque de spear-phishing pode ficar fora de controle se não for abordado no início. A conta falsa da BP conseguiu construir duas vezes mais seguidores do que a conta legítima da mídia social.

Além disso, nos casos em que um invasor assumiu o controle da conta da mídia social de uma empresa, é provável que haja correspondência contínua com os clientes. As tentativas de phishing nas redes sociais precisam ser sinalizadas e resolvidas antes de chegarem a esse estágio. Se eles conseguirem progredir para esse estágio avançado, eles precisam ser tratados com urgência.‍

Uma maneira eficaz de gerenciar o risco de phishing de mídia social é implementar tecnologia projetada para filtrar os ataques legítimos de phishing de mídia social de sinalizadores de falso positivo. Phishfort combina essa tecnologia com analistas de segurança treinados para lidar de forma rápida e eficaz com qualquer ataque de phishing de mídia social que surgir.

Nosso serviço anti-phishing de mídia social cobre uma ampla gama de plataformas de mídia social. Para saber mais, confira nossa página de serviço de proteção contra phishing de mídia social.

Para usuários de criptografia, recomendamos instalar nossa extensão de navegador Protect, que ajuda a proteger contra ataques comuns.

Com a mídia social se tornando cada vez mais uma parte predominante da vida cotidiana, esperamos que a incidência de ataques de phishing de mídia social continue aumentando. Se sua empresa passou anos construindo uma marca confiável e respeitável, arriscar essa reputação arduamente conquistada ao deixar de se proteger contra phishing de mídia social simplesmente não vale a pena.

Consultas? Entre em contato Twitter ou noTelegram. Assine nosso RSS feed para recibir nuestras últimas actualizaciones.


Não perca essas histórias