Como a Engenharia Social é Utilizada no E-mail

Home > E-mail  > Como a Engenharia Social é Utilizada no E-mail

Quando ouvimos a frase: A empresa foi invadida! Logo imagens fantasiosas de “hackers” de capuz, experts em computadores e com telas fantasiosas como as que aparecem no filme Matrix (cenas que normalmente aparecem em filmes e seriados) vem à nossa mente.

Pois bem, essa nem sempre é a técnica mais efetiva e mais utilizada pelos atacantes. Muito antes de existirem computadores, a técnica de engenharia social já era utilizada. Kevin Mitnick, Frank Abagnale Jr. e o brasileiro Marcelo Nascimento da Rocha são exemplos de como a engenharia social é efetiva e independente do mundo digital. Esses engenheiros sociais já foram inclusive bem retratados no cinema: Caçada Virtual, 2000; Prenda-me se for capaz, 2002; VIPs, 2011), respectivamente).  

O próprio Kevin Mitnick (A Arte de Enganar, 2003) descreve a engenharia social de forma bastante simples: “Fazer com que as pessoas façam coisas que normalmente não fariam para um estranho”. Sendo assim, o e-mail é mais um veículo para os atacantes utilizarem técnicas de engenharia social para enganar os usuários e convencê-los a fornecer acesso às informações confidenciais. Afinal de contas, a melhor forma de acessar as informações sem gerar desconfiança é utilizar credenciais válidas.

Imagine um usuário que trabalha diariamente com recebimento de NF e pagamento de boleto, uma bela segunda-feira pela manhã ele recebe um e-mail de um remetente, supostamente confiável, informando que a NF e o boleto estão disponíveis para download. O usuário, no mínimo ficará tentado, porque em função da falta de tempo livre, da falta de treinamento e de ferramentas adequadas ele não consegue analisar a situação de forma crítica. Contudo, esse e-mail não passa de uma isca para atrair o usuário.

Observe que não é necessário grande conhecimento técnico por parte do atacante para conseguir as informações de forma legítima, basta apenas explorar o usuário mal treinado sem o olhar crítico da situação. O simples clique do usuário pode desencadear uma grande dor de cabeça para ele, para o administrador e, sobretudo para a empresa.

A segurança de uma empresa é determinada pelo elo mais fraco. Dessa forma, cabe à TI analisar todos os possíveis cenários e mitigar os riscos. Segue abaixo algumas dicas para o administrador:

  • Cuide do usuário: Na maioria das empresas, os administradores de TI investem (alto) em equipamentos, firewall, antivírus, IDS, IPS e esquecem do usuário. Lembre-se, o usuário é o dono da informação. Ele é peça fundamental na engrenagem da segurança da informação, pois ele tem acesso a informação. E se ele simplesmente decide informar dados confidenciais porque acredita que quem está solicitando é o presidente da empresa;
  • Filtro Antispam ativo: Muitas ameaças utilizam o e-mail como forma de entrada. Garanta que o antispam para o seu domínio está ativo e é eficiente;
  • Antivírus: Hoje em dia o antivírus não é um simples programa e sim uma suite que ajuda na proteção do sistema e do acesso dos usuários;
  • Firewall: Utilize com sabedoria, tão importante quanto preocupar-se com acessos a redes social e site de entretenimento é preocupar-se com o acesso a sites maliciosos;
  • Equipamentos externos: A cultura do BYOD (Bring your own device, em português: traga seu próprio dispositivo) está cada vez mais forte, mas não esqueça que esses equipamentos devem entrar na sua política de segurança.

Como a MAV trabalha para ajudar o administrador a evitar esse tipo de ataque através de e-mail?

Conforme explorado no artigo ANTISPAM DA MAV GANHA NOVA CAMADA DE PROTEÇÃO o antispam da MAV possui diferentes camadas de proteção, sendo uma, dedicada exclusivamente para e-mails que visam explorar o usuário através de engenharia social.