O que é um ataque de spoofing?

O que é spoofing? Definição de spoofing

Spoofing, no contexto da cibersegurança, é quando alguém ou algo finge ser outra coisa com a intenção de ganhar nossa confiança, acessar nossos sistemas, roubar dados, dinheiro ou espalhar malware. Ataques de spoofing podem ocorrer de várias formas, incluindo:

• Falsificação de e-mail
• Spoofing de site e/ou URL
• Spoofing de identificador de chamadas
• Spoofing de mensagem de texto
• Spoofing de GPS
• Ataques man-in-the-middle
• Spoofing de extensão
• Spoofing de IP
• Spoofing facial

Então, como os cibercriminosos nos enganam? Muitas vezes, apenas mencionar o nome de uma grande organização confiável é suficiente para nos fazer fornecer informações ou realizar alguma ação. Por exemplo, um e-mail falsificado da PayPal ou Amazon pode perguntar sobre compras que você nunca fez. Preocupado com sua conta, você pode ser levado a clicar no link incluído.

A partir desse link malicioso, os golpistas te enviam para uma página web com um download de malware ou uma página de login falsificada—com um logotipo familiar e URL falsificado—com o objetivo de capturar seu nome de usuário e senha.

Existem muitas outras maneiras de um ataque de spoofing ocorrer. Em todas elas, os fraudadores contam com as vítimas caindo no falso. Se você nunca duvidar da legitimidade de um site e nunca suspeitar de um e-mail falsificado, então poderá se tornar uma vítima de um ataque de spoofing em algum momento.

Para isso, esta página é toda sobre spoofing. Vamos te educar sobre os tipos de spoof, como o spoofing funciona, como distinguir e-mails e sites legítimos dos falsos e como evitar se tornar um alvo para fraudadores.

“Spoofing, no contexto da cibersegurança, é quando alguém ou algo finge ser outra coisa para ganhar nossa confiança, acessar nossos sistemas, roubar dados, roubar dinheiro ou espalhar malware.”

Tipos de spoofing

Falsificação de e-mail

Spoofing de e-mail é o ato de enviar e-mails com endereços de remetente falsos, geralmente como parte de um ataque de phishing projetado para roubar suas informações, infectar seu computador com malware ou apenas pedir dinheiro. Cargas típicas de e-mails maliciosos incluem ransomware, adware, cryptojackers, Trojans (como Emotet), ou malware que escraviza seu computador em um botnet (veja DDoS).

Mas um endereço de e-mail falsificado nem sempre é suficiente para enganar a pessoa média. Imagine receber um e-mail de phishing que parece ter um endereço do Facebook no campo do remetente, mas o corpo do e-mail está escrito em texto básico, sem design ou HTML para mencionar—nem mesmo um logotipo. Não é algo que estejamos acostumados a receber do Facebook e deve levantar algumas bandeiras vermelhas. Assim, e-mails de phishing geralmente incluem uma combinação de características enganosas:

• Endereço de remetente falso projetado para parecer que é de alguém que você conhece e confia—possivelmente um amigo, colega de trabalho, membro da família ou empresa com quem você faz negócios. 
• No caso de uma empresa ou organização, o e-mail pode incluir elementos visuais familiares; por exemplo, logotipo, cores, fonte, botão de call-to-action, etc.
• Ataques de spear phishing têm como alvo um indivíduo ou pequeno grupo dentro de uma empresa e incluem linguagem personalizada e abordagem ao destinatário pelo nome.
• Erros de digitação—muitos deles. Por mais que tentem nos enganar, os fraudadores por e-mail geralmente não passam muito tempo revisando seus próprios trabalhos. E-mails falsos costumam ter erros de digitação, ou parecem que alguém traduziu o texto pelo Google Translate. Desconfie de construções de frases incomuns; empresas como Facebook ou PayPal dificilmente cometeriam tais erros em seus e-mails para clientes. 

O spoofing de e-mail desempenha um papel crucial em golpes de sextorsão. Esses golpes nos enganam fazendo-nos acreditar que nossas webcams foram sequestradas com spyware e usadas para nos gravar assistindo pornografia. Esses e-mails falsos dirão algo como "Estou te vendo assistir pornografia", o que é uma coisa incrivelmente estranha de se dizer. Quem é o verdadeiro esquisito nesse cenário?

Os golpistas então exigem uma quantia em Bitcoin ou outra criptomoeda ou ameaçam enviar o vídeo para todos os seus contatos. Para criar a impressão de legitimidade, os e-mails podem incluir uma senha desatualizada de algum vazamento de dados anterior. O spoofing entra em cena quando os golpistas disfarçam o campo do remetente do e-mail para parecer que está sendo enviado de sua suposta conta de e-mail violada. Fique tranquilo, é provável que ninguém esteja realmente te assistindo.

Falsificação de site

Spoofing de site é sobre fazer um site malicioso parecer legítimo. O site falsificado se parece com a página de login de um site que você frequenta—exatamente, branding, interface do usuário e até mesmo um nome de domínio falsificado que, à primeira vista, parece o mesmo. Os cibercriminosos usam sites falsificados para capturar seu nome de usuário e senha (também conhecido como login spoofing) ou instalar malware em seu computador (um drive-by download). Um site falsificado geralmente é usado junto com uma falsificação de e-mail, na qual o e-mail direciona para o site.

Também vale mencionar que um site falsificado não é o mesmo que um site hackeado. No caso de uma invasão de site, o site real foi comprometido e tomado por cibercriminosos—sem falsificações ou imitações envolvidas. Da mesma forma, malvertising é uma espécie própria de malware. Neste caso, os cibercriminosos aproveitam canais de publicidade legítimos para exibir anúncios maliciosos em sites confiáveis. Esses anúncios carregam malware secretamente no computador da vítima.

Spoofing de identificador de chamadas

Spoofing de identificador de chamadas acontece quando golpistas enganam seu identificador de chamadas fazendo a ligação parecer proveniente de um lugar que não é. Os golpistas aprenderam que você tem mais chances de atender o telefone se o identificador mostrar um código de área igual ou próximo ao seu. Em alguns casos, os golpistas ainda falsificam os primeiros dígitos do seu número de telefone além do código de área para criar a impressão de que a ligação está se originando do seu bairro (também conhecido como spoofing de vizinho). 

Spoofing de mensagem de texto

Spoofing de mensagem de texto ou SMS spoofing é enviar uma mensagem de texto com o número de telefone ou ID de remetente de outra pessoa. Se você já enviou uma mensagem de texto do seu laptop, você falsificou seu próprio número de telefone para enviar o texto, porque a mensagem não se originou do seu telefone.

As empresas frequentemente falsificam seus próprios números, para fins de marketing e conveniência para o consumidor, substituindo o número longo por um ID de remetente alfanumérico curto e fácil de lembrar. Os golpistas fazem a mesma coisa—escondem sua verdadeira identidade por trás de um ID de remetente alfanumérico, muitas vezes se passando por uma empresa ou organização legítima. As mensagens de texto falsificadas frequentemente incluirão links para sites de phishing por SMS (smishing) ou downloads de malware.

Golpistas de mensagens de texto podem aproveitar o mercado de trabalho fingindo serem agências de recrutamento, enviando ofertas de emprego boas demais para ser verdade. Em um exemplo, uma posição de trabalho em casa na Amazon incluía um "Toyota Corrola novinho em folha". Primeiro, por que alguém precisaria de um carro da empresa se está trabalhando de casa? Segundo, um Toyota “Corrola” é uma versão genérica do Toyota Corolla? Boa tentativa, golpistas.

Spoofing de GPS

Spoofing de GPS ocorre quando você engana o GPS do seu dispositivo para pensar que você está em um local, quando na verdade está em outro. Por que alguém gostaria de fazer spoofing de GPS? Duas palavras: Pokémon GO.

Com o uso de spoofing de GPS, trapaceiros do Pokémon GO são capazes de fazer o popular jogo mobile pensar que estão próximos de um ginásio no jogo e tomam controle desse ginásio (ganhando moeda no jogo). De fato, os trapaceiros estão em um local ou país completamente diferente. Da mesma forma, é possível encontrar vídeos no YouTube de jogadores do Pokémon GO capturando vários Pokémon sem sair de casa. Enquanto o spoofing de GPS pode parecer brincadeira de criança, não é difícil imaginar que atores de ameaça poderiam usar o truque para fins mais nefastos do que ganhar moeda de jogo para celular.

Ataque Man-in-the-Middle (MitM)

Ataques Man-in-the-Middle (MitM) podem acontecer quando você usa Wi-Fi gratuito em seu café local. Já pensou no que aconteceria se um cibercriminoso hackeasse a Wi-Fi ou criasse outra rede Wi-Fi fraudulenta no mesmo local? Em ambos os casos, você tem um cenário perfeito para um ataque man-in-the-middle, assim chamado porque os cibercriminosos são capazes de interceptar o tráfego web entre duas partes. O spoofing entra em cena quando os criminosos alteram a comunicação entre as partes para redirecionar fundos ou solicitar informações pessoais sensíveis como números de cartão de crédito ou login.

Observação: Enquanto ataques MitM geralmente interceptam dados na rede Wi-Fi, outra forma de ataque MitM intercepta os dados no navegador. Isso é chamado de ataque man in the browser (MitB).

Spoofing de extensão

Spoofing de extensão ocorre quando cibercriminosos precisam disfarçar arquivos de malware executáveis. Um truque comum de spoofing de extensão que os criminosos gostam de usar é nomear o arquivo algo como “arquivo.txt.exe”. Os criminosos sabem que as extensões de arquivo estão ocultas por padrão no Windows, então, para o usuário médio do Windows, este arquivo executável aparecerá como “arquivo.txt”.

Spoofing de IP

Spoofing de IP é usado quando alguém quer esconder ou disfarçar a localização de onde estão enviando ou solicitando dados online. Como se aplica às ameaças cibernéticas, a falsificação de endereços de IP é usada em ataques de negação de serviço distribuído (DDoS) para impedir que o tráfego malicioso seja filtrado e para esconder a localização do atacante.

Spoofing facial

Spoofing facial pode ser o mais pessoal, devido às implicações que carrega para o futuro da tecnologia e nossas vidas pessoais. Como está, a tecnologia de identificação facial é bastante limitada. Usamos nossos rostos para desbloquear nossos dispositivos móveis e laptops, e não muito mais. Mas em breve, podemos nos encontrar fazendo pagamentos e assinando documentos com nossos rostos. Imagine as consequências quando você puder abrir uma linha de crédito com seu rosto. Coisas assustadoras.

Pesquisadores demonstraram como modelos faciais 3D criados a partir de suas fotos em redes sociais já podem ser usados para invadir um dispositivo bloqueado via identificação facial. Indo um passo além, a Malwarebytes Labs relatou sobre a tecnologia deepfake sendo usada para criar vídeos de notícias falsas e fitas de sexo falsas, apresentando as vozes e aparências de políticos e celebridades, respectivamente.

Como o spoofing funciona?

Exploramos as várias formas de spoofing e abordamos a mecânica de cada uma delas. No caso de falsificação de e-mail, no entanto, vale a pena examinar um pouco mais. Há algumas maneiras pelas quais os criminosos cibernéticos podem ocultar sua verdadeira identidade em uma falsificação de e-mail. A opção mais infalível é invadir um servidor de e-mail não seguro. Nesse caso, o e-mail é, do ponto de vista técnico, proveniente do suposto remetente.

A opção de baixa tecnologia é simplesmente colocar qualquer endereço no campo "De". O único problema é que se a vítima responder ou o e-mail não puder ser enviado por algum motivo, a resposta irá para quem estiver listado no campo "De"—não para o atacante. Essa técnica é comumente usada por spammers para usar e-mails legítimos para passar por filtros de spam. Se você já recebeu respostas para e-mails que nunca enviou, esta é uma possível razão, além de sua conta de e-mail ter sido hackeada. Isso é chamado de backscatter ou spam colateral.

Outra maneira comum de atacantes falsificarem e-mails é registrando um nome de domínio semelhante ao que estão tentando falsificar, no que é chamado de homograph attack ou spoofing visual. Por exemplo, “rna1warebytes.com”. Observe o uso do número “1” em vez da letra “l”. Também note o uso das letras “r” e “n” para imitar a letra “m”. Isso traz o benefício adicional de dar ao atacante um domínio que ele pode usar para criar um site falsificado.

Independentemente do tipo de spoof, não é sempre suficiente lançar um site ou e-mail falso no mundo e torcer para o melhor. Spoofing bem-sucedido requer uma combinação da falsificação em si e engenharia social. Engenharia social refere-se aos métodos que cibercriminosos usam para nos enganar a entregar informações pessoais, clicar em um link malicioso ou abrir um anexo carregado de malware.

Existem muitas jogadas no livro de engenharia social. Os cibercriminosos contam com as vulnerabilidades que todos carregamos como seres humanos, tais como medo, ingenuidade, ganância e vaidade, para nos convencer a fazer algo que realmente não deveríamos estar fazendo. No caso de um golpe de sextorsão, por exemplo, você pode enviar Bitcoin ao golpista por temer que sua proverbial roupa suja seja exposta para todos verem.

Vulnerabilidades humanas também não são sempre ruins. Curiosidade e empatia são geralmente boas qualidades, mas os criminosos adoram almejar pessoas que as exibem.

Um exemplo é o golpe dos netos presos, no qual um ente querido supostamente está na cadeia ou no hospital em um país estrangeiro e precisa de dinheiro rápido. Um e-mail ou mensagem de texto pode dizer: "Vô Zé, fui preso por contrabando de drogas em [insira nome do país]. Por favor, envie dinheiro, ah, e não conte para a mamãe e o papai. Você é o melhor [três emojis de rostos piscando felizes]!" Aqui, os golpistas contam com a falta geral de conhecimento dos avós sobre onde o neto está em um determinado momento.

"O spoofing bem-sucedido requer uma combinação do próprio spoof e de engenharia social. Engenharia social refere-se aos métodos que os cibercriminosos usam para nos enganar para fornecer informações pessoais, clicar em um link malicioso ou abrir um anexo cheio de malware."

Como eu detecto o spoofing?

Aqui estão os sinais de que você está sendo enganado. Se você notar esses indicadores, aperte delete, clique no botão de voltar, feche o navegador, nem passe perto.

Falsificação de site

• Não há símbolo de cadeado ou barra verde. Todos os sites seguros e respeitáveis precisam ter um certificado SSL, o que significa que uma autoridade de certificação de terceiros verificou que o endereço web realmente pertence à organização sendo verificada. Uma coisa para ter em mente, os certificados SSL são agora gratuitos e fáceis de obter. Mesmo que um site tenha um cadeado, isso não significa que é de confiança. Lembre-se, nada é 100% seguro na Internet.
• O site não está usando criptografia de arquivos. HTTP, ou Protocolo de Transferência de Hipertexto, é tão antigo quanto a Internet e refere-se às regras usadas ao compartilhar arquivos pela web. Sites legítimos quase sempre usam HTTPS, a versão criptografada do HTTP, ao transferir dados. Se você estiver em uma página de login e ver "http" em vez de "https" na barra de endereço do navegador, deve ficar atento.
• Use um gerenciador de senhas. Um gerenciador de senhas como o 1Password preencherá automaticamente suas credenciais de login para qualquer site legítimo que você salve no seu cofre de senhas. No entanto, se você acessar um site falsificado, seu gerenciador de senhas não reconhecerá o site e não preencherá os campos de nome de usuário e senha para você - um bom sinal de que você está sendo enganado.

Falsificação de e-mail

• Verifique duas vezes o endereço do remetente. Como mencionado, golpistas registram domínios falsos que se parecem muito com os legítimos.
• Pesquise o conteúdo do e-mail. Uma busca rápida pode mostrar se um e-mail de phishing conhecido está circulando pela web.
• Links embutidos têm URLs incomuns. Verifique os URLs antes de clicar passando o cursor sobre eles.
• Erros de digitação, gramática ruim e sintaxe incomum. Os golpistas muitas vezes não revisam seu trabalho.
• Os conteúdos do e-mail são bons demais para ser verdade.
• Existem anexos. Desconfie de anexos, especialmente quando vindos de um remetente desconhecido.

Spoofing de identificador de chamadas

• O ID de chamadas é facilmente falsificado. É uma situação triste quando nossos telefones fixos se tornaram um foco de chamadas fraudulentas. É especialmente preocupante quando se considera que a maioria das pessoas que ainda têm telefones fixos são idosos - o grupo mais suscetível a chamadas de golpes. Deixe chamadas no fixo de remetentes desconhecidos ir para a caixa postal ou secretária eletrônica.

Como posso me proteger contra o spoofing?

Primeiro e mais importante, você deve aprender a identificar um ataque de falsificação. Caso tenha pulado a seção "Como detectar falsificação?", volte e leia agora.

Ative seu filtro de spam. Isso impedirá que a maioria dos e-mails falsificados cheguem à sua caixa de entrada.

Não clique em links ou abra anexos em e-mails se o e-mail vier de um remetente desconhecido. Se houver a chance de o e-mail ser legítimo, entre em contato com o remetente por outro canal e confirme o conteúdo do e-mail.  

Faça login através de uma aba ou janela separada. Se você receber um e-mail ou mensagem de texto suspeito, pedindo que você faça login na sua conta e tome alguma ação, por exemplo, verifique suas informações, não clique no link fornecido. Em vez disso, abra outra aba ou janela e vá diretamente para o site. Alternativamente, faça login através do aplicativo dedicado no seu telefone ou tablet.

Pegue o telefone. Se você recebeu um e-mail suspeito, supostamente de alguém que você conhece, não hesite em ligar ou enviar uma mensagem de texto para o remetente e confirmar se ele realmente enviou o e-mail. Este conselho é especialmente verdadeiro se o remetente fizer um pedido fora do comum, como: "Ei, você pode comprar 100 cartões-presente do iTunes e me enviar os números dos cartões? Obrigado, seu chefe."

Mostre extensões de arquivos no Windows. O Windows não mostra extensões de arquivos por padrão, mas você pode alterar essa configuração clicando na aba “Exibir” no Explorador de Arquivos, em seguida, marcando a caixa para mostrar as extensões de arquivos. Embora isso não impeça cibercriminosos de falsificar extensões de arquivos, pelo menos você poderá ver as extensões falsificadas e evitar abrir esses arquivos maliciosos.

Invista em um bom programa de antivírus. No caso de você clicar em um link ou anexo ruim, não se preocupe, um bom programa antivírus poderá alertá-lo sobre a ameaça, parar o download e evitar que o malware obtenha acesso ao seu sistema ou rede. O Malwarebytes, por exemplo, possui produtos de antivírus/antimalware que você pode experimentar gratuitamente antes de assinar.

Notícias sobre spoofing

• Os golpistas estão falsificando números de telefone de bancos para roubar vítimas.
• Pescadores fingem ser uma empresa confiável de treinamento de cibersegurança para atrair cliques.
• Endereços falsificados e envio anônimo: novos bugs no Gmail facilitam golpes.
• Quando três não é demais: ataques Man-in-the-Middle (MitM) explicados.
• Truques menos conhecidos de falsificação de extensões.

Para mais leituras sobre falsificação e todas as últimas notícias sobre ameaças cibernéticas, visite o blog da Malwarebytes Labs.

História do spoofing

Não há nada de novo sobre falsificação. Na verdade, a palavra "spoof" como uma forma de engano remonta a mais de um século. Segundo o dicionário online Merriam-Webster, a palavra "spoof" é atribuída ao comediante inglês do século XIX Arthur Roberts em referência a um jogo de truques e enganação criado por Roberts. As regras do jogo se perderam no tempo. Podemos apenas supor que o jogo não era muito divertido ou que os britânicos da época não gostavam de ser enganados. Seja qual for o caso, o nome pegou, embora o jogo não.

Só no início do século 20, spoof passou a ser sinônimo de paródia. Por várias décadas, sempre que alguém mencionava "spoof" ou "falsificação" era em referência a algo engraçado e positivo—como o último filme de paródia de Mel Brooks ou álbum de comédia de "Weird Al" Yankovic.

Hoje em dia, a falsificação é mais usada ao falar sobre cibercrime. Sempre que um golpista ou ameaça cibernética finge ser alguém ou algo que não é, isso é falsificação.