O que é a caça à baleia?
O whaling é um tipo sofisticado de ataque de spear phishing em que os agentes da ameaça visam diretamente intervenientes de alto nível numa organização ou se fazem passar por eles para enganar outros. Um exemplo comum é visar o CEO de uma empresa ou fazer-se passar por ele para enganar outros componentes essenciais de uma organização, como os diretores financeiros, os departamentos de salários, as equipas de segurança ou os porta-vozes.
Os cibercriminosos podem utilizar estratégias complexas de engenharia social para executar com êxito os ataques whaling, porque sabem que os líderes das organizações modernas utilizam várias estratégias e ferramentas de atenuação do phishing. Infelizmente, pode ser difícil apanhar os atacantes, porque muitas vezes ocultam a sua localização e escondem as suas pegadas digitais.
O que é whaling vs. phishing?
Antes de nos aprofundarmos no que é o whaling ou como funcionam os ataques de whaling, devemos provavelmente responder à pergunta frequente: o que é o phishing em cibersegurança? Em síntese, o phishing é quando agentes maliciosos se apresentam falsamente como entidades fidedignas para ganhar a confiança da vítima e roubar o seu dinheiro ou informações confidenciais. Ao contrário da crença popular, os ataques de phishing não se limitam aos e-mails. Por exemplo, os ataques de phishing que utilizam mensagens de texto são designados por smishing , e os ataques de phishing que utilizam comunicações de voz são designados por... vishing .
As mensagens de correio eletrónico de phishing visam normalmente muitos utilizadores da Internet e são mais fáceis de detetar porque os autores das ameaças as concebem para uma audiência em massa. De facto, enviam milhares de milhões de e-mails de phishing todos os dias. No entanto, os ataques de phishing também podem ser mais direcionados.
O que é um ataque de spear-phishing?
Um ataque de spear-phishing é um tipo de ataque de phishing mais direcionado, no qual os agentes maliciosos personalizam os e-mails para atacar um grupo específico de pessoas, como os funcionários do departamento financeiro. Podem recolher dados de spyware ou de fontes na internet, como páginas de redes sociais, para obter nomes, cargos, endereços de e-mail e outras informações, de forma a criar um ataque de spear-phishing persuasivo. Táticas semelhantes podem ajudar hackers lançar ataques baleeiros.
Porque é que se chama um ataque à baleia?
Os termos phishing, spear-phishing e whaling são todos análogos à pesca. Enquanto os pescadores lançam uma linha com isco para a água, na esperança de fisgar um dos muitos peixes do mar, um hacker Envia e-mails de phishing para muitas pessoas na esperança de capturar pelo menos uma vítima. Da mesma forma que alguns pescadores utilizam arpões para pescar um único peixe, os cibercriminosos utilizam o spear-phishing para atingir alvos específicos.
Quanto às baleias, estes mamíferos são o maior peixe do mar e um alvo de elevado valor para alguns pescadores. Do mesmo modo, os ataques à baleia no domínio da cibersegurança também visam alvos lucrativos, como os executivos de uma empresa.
Como é que um ataque à baleia funciona?
Com alvos de alto nível receosos de ataques de phishing, hackers utilizam diversas estratégias para garantir o sucesso das suas campanhas de whaling. Por exemplo, podem recolher informações pessoais de um executivo. LinkedIn página para dar um toque pessoal à sua campanha. Aliás, as falhas de segurança são a razão pela qual talvez não deva usar LinkedIn . Um atacante de phishing direcionado também pode pesquisar jargões do setor para parecer legítimo e explorar as emoções do alvo, oferecendo uma oportunidade de negócio lucrativa. Após a conclusão da fase de recolha de informação, podem utilizar os seguintes vetores de ataque de phishing direcionado:
- E-mails: Como mencionado acima, os e-mails concebidos para manipular os seus alvos são um vetor de ataque comum e utilizam anexos, links ou sites maliciosos.
- Telefone: O Centro Nacional de Cibersegurança do Reino Unido observou que os atacantes podem utilizar o correio eletrónico e as chamadas telefónicas numa estratégia de 1-2 punch, em que a chamada telefónica se segue ao correio eletrónico para reforçar o phishing.
- Pretexto: Os burlões podem fazer amizade com um alvo através das redes sociais, fingindo ser um potencial parceiro de negócios, um interesse amoroso, um colega do sector ou uma figura de autoridade, como um funcionário das finanças.
- Isco: O atacante pode induzir o alvo a utilizar uma unidade USB infetada de aspeto autêntico, deixando-a no escritório, no cacifo do ginásio ou enviando-a por correio para casa.
Qual é o objetivo dos ataques à baleia?
- Dinheiro: Os atacantes podem utilizar o ataque de spear-phishing para enganar as vítimas e fazê-las enviar dinheiro através de uma transferência bancária ou extorquir uma organização após a exfiltração de dados.
- Controlo: A hacker Podem utilizar credenciais roubadas para movimentação lateral na rede de uma organização ou para abrir falhas de segurança.
- Ataque à cadeia de abastecimento: Um ataque à cadeia de abastecimento ocorre quando... hackers atingir as organizações explorando pontos vulneráveis na sua cadeia de abastecimento. Com o phishing dirigido a grandes grupos, um cibercriminoso poderia, teoricamente, atacar um governo invadindo o sistema de um fornecedor para realizar um ataque do tipo "homem no meio" .
- Espionagem corporativa: Com um ataque bem-sucedido à caça de baleias, um hacker Podem roubar propriedade intelectual ou outros segredos comerciais para ajudar os concorrentes, por vezes noutro país.
- Malware: Um grupo de cibercriminosos pode enganar as vítimas de ataques whaling para que instalem malware perigoso, como ransomware, keyloggers ou rootkits.
- Vingança pessoal: A vítima de um ataque à baleia pode sofrer uma perda catastrófica na sua reputação.
Qual é um exemplo de caça à baleia?
Ao longo dos anos, tem havido muitos ataques à baleia, a que alguns meios de comunicação social também chamam burlas de e-mail de CEO. Eis alguns exemplos:
2015: Uma subsidiária de Hong Kong da empresa sem fios Ubiquiti Networks Inc. foi defraudada em 46,7 milhões de dólares depois de um e-mail falso ter enganado um funcionário da área financeira.
2015: Um executivo financeiro do gigante do fabrico de brinquedos Mattel transferiu 3 milhões de dólares para um burlão depois de receber um pedido fraudulento que parecia ser do novo diretor executivo.
2016: Um fabricante aeroespacial austríaco chamado FACC despediu o seu diretor executivo depois de ter perdido 58 milhões de dólares num esquema de correio eletrónico de caça às baleias.
2016: Um funcionário de RH do Snapchat divulgou dados sobre a folha de pagamentos dos funcionários após um esquema de e-mail do CEO.
2017: Hackers informáticosroubaram 50 000 dólares a um proprietário de uma pequena empresa num ataque "man-in-the-middle whaling".
2020: Os cibercriminosos utilizaram uma ligação maliciosa para atacar o cofundador de um fundo de cobertura australiano com fraude, forçando o encerramento da empresa.
Como evitar ataques de baleeiros?
Uma organização pode diminuir a ameaça de ataques de whaling aprendendo a detetar tentativas de phishing. hackers Assim como verificar o URL, o endereço de e-mail, os links e os anexos num e-mail em busca de sinais de alerta. Da mesma forma, a linguagem, o tom e a gramática de um e-mail podem ser reveladores. Além do treino anti-phishing, as simulações de ataques de whaling também podem melhorar as capacidades de deteção de phishing de uma equipa. Para maior segurança, as empresas devem utilizar software de cibersegurança que bloqueie os vetores de ataque de whaling, como os sites fraudulentos.