Quando ouvimos a frase: A empresa foi invadida! Logo imagens fantasiosas de “hackers” de capuz, experts em computadores e com telas fantasiosas como as que aparecem no filme Matrix (cenas que normalmente aparecem em filmes e seriados) vem à nossa mente.

Pois bem, essa nem sempre é a técnica mais efetiva e mais utilizada pelos atacantes. Muito antes de existirem computadores, a técnica de engenharia social já era utilizada. Kevin Mitnick, Frank Abagnale Jr. e o brasileiro Marcelo Nascimento da Rocha são exemplos de como a engenharia social é efetiva e independente do mundo digital. Esses engenheiros sociais já foram inclusive bem retratados no cinema: Caçada Virtual, 2000; Prenda-me se for capaz, 2002; VIPs, 2011), respectivamente).  

O próprio Kevin Mitnick (A Arte de Enganar, 2003) descreve a engenharia social de forma bastante simples: “Fazer com que as pessoas façam coisas que normalmente não fariam para um estranho”. Sendo assim, o e-mail é mais um veículo para os atacantes utilizarem técnicas de engenharia social para enganar os usuários e convencê-los a fornecer acesso às informações confidenciais. Afinal de contas, a melhor forma de acessar as informações sem gerar desconfiança é utilizar credenciais válidas.

Imagine um usuário que trabalha diariamente com recebimento de NF e pagamento de boleto, uma bela segunda-feira pela manhã ele recebe um e-mail de um remetente, supostamente confiável, informando que a NF e o boleto estão disponíveis para download. O usuário, no mínimo ficará tentado, porque em função da falta de tempo livre, da falta de treinamento e de ferramentas adequadas ele não consegue analisar a situação de forma crítica. Contudo, esse e-mail não passa de uma isca para atrair o usuário.

Observe que não é necessário grande conhecimento técnico por parte do atacante para conseguir as informações de forma legítima, basta apenas explorar o usuário mal treinado sem o olhar crítico da situação. O simples clique do usuário pode desencadear uma grande dor de cabeça para ele, para o administrador e, sobretudo para a empresa.

A segurança de uma empresa é determinada pelo elo mais fraco. Dessa forma, cabe à TI analisar todos os possíveis cenários e mitigar os riscos. Segue abaixo algumas dicas para o administrador:

  • Cuide do usuário: Na maioria das empresas, os administradores de TI investem (alto) em equipamentos, firewall, antivírus, IDS, IPS e esquecem do usuário. Lembre-se, o usuário é o dono da informação. Ele é peça fundamental na engrenagem da segurança da informação, pois ele tem acesso a informação. E se ele simplesmente decide informar dados confidenciais porque acredita que quem está solicitando é o presidente da empresa;
  • Filtro Antispam ativo: Muitas ameaças utilizam o e-mail como forma de entrada. Garanta que o antispam para o seu domínio está ativo e é eficiente;
  • Antivírus: Hoje em dia o antivírus não é um simples programa e sim uma suite que ajuda na proteção do sistema e do acesso dos usuários;
  • Firewall: Utilize com sabedoria, tão importante quanto preocupar-se com acessos a redes social e site de entretenimento é preocupar-se com o acesso a sites maliciosos;
  • Equipamentos externos: A cultura do BYOD (Bring your own device, em português: traga seu próprio dispositivo) está cada vez mais forte, mas não esqueça que esses equipamentos devem entrar na sua política de segurança.

Como a MAV trabalha para ajudar o administrador a evitar esse tipo de ataque através de e-mail?

Conforme explorado no artigo ANTISPAM DA MAV GANHA NOVA CAMADA DE PROTEÇÃO o antispam da MAV possui diferentes camadas de proteção, sendo uma, dedicada exclusivamente para e-mails que visam explorar o usuário através de engenharia social.

The following two tabs change content below.

Iuri Oliveira Carvalho

Diretor de Operações

Latest posts by Iuri Oliveira Carvalho (see all)

Nenhum comentário

Deixe um comentário

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *