“Como saber se estou sendo hackeado?”
A palavra inglesa hack é utilizada para representar “truques” ou “dicas” e está presente em diversas palavras que corroboram com essa conceituação – lifehack ou biohacking são bons exemplos disso.
Na década de setenta um americano chamado John Draper descobriu um truque que lhe permitia realizar ligações nacionais e internacionais de graça através de técnicas que envolviam dissuasão e certa engenhosidade. Esse truque posteriormente ficou conhecido como phreaking (“ph” de phone) e deu início a cultura hacker.
Pensando nisso, é interessante pontuar que apesar da estigmatização do hacker como um mestre dos computadores, sua origem se abraça muito mais em técnicas de manipulação social do que computação de fato. Nesse artigo abordaremos mais amplamente o conceito de engenharia social, principais formas de propagação e como evitar essas armadilhas.
O que é um Ataque de Engenharia Social?
Engenharia social envolve uma combinação de técnicas de manipulação que induzem os usuários a realizarem ações que de alguma maneira beneficiam o atacante, concedendo acessos e direitos de maneira ilegítima. Um exemplo que você já deve ter visto em algum momento da sua vida são banners em sites com mensagens do tipo:
“Você é o visitante n° 1.000 clique aqui e receba seu prêmio de $1.000 dólares”.
Não sei se você já teve a curiosidade ou a inocência para clicar em um anúncio desse tipo, mas a recomendação sensata é não clique NUNCA nesse tipo de manipulação barata.
Esse exemplo foi meio óbvio, eu sei, mas me deixa te fazer uma pergunta: você saberia identificar se está sendo enganado?
Como hoje é impossível se manter afastado da internet e viver uma vida “normal”, devemos nos manter sempre atentos para no mínimo dificultar o trabalho de agentes maliciosos que, através de engenharia social, espalham armadilhas para conseguir realizar golpes e coletar dados sensíveis.
Tipos de Ataque
Como a natureza de um ataque de engenharia social envolve respostas espontâneas dos usuários frente a estímulos distribuídos pelos black hats. Alguns dos tipos dessa forma de ataque são:
- Baiting – Esse tipo de ataque envolve mídias físicas que são usadas como “iscas” (do inglês bait). Através de CDs ou pendrives comprometidos, por exemplo, um atacante poderia ter acessos aos servidores de uma empresa, por exemplo. Normalmente, essas iscas são posicionadas de maneira estratégica, manipulando seu alvo (predeterminado ou não) para que insira o dispositivo em sua máquina, liberando o acesso ou exportando informações sigilosas.
Para evitar esse tipo de ataque, as orientações abrangem de maneira geral softwares de segurança e medidas de prevenção. Assim, com o desenvolvimento de uma cultura de cibersegurança consciente, as oportunidades e vetores para propagação destes ataques gradualmente se acabarão.
- Phishing – Existem diversos formatos para propagação deste tipo de ataque, contudo, seu princípio se baseia na obtenção de informações privadas através de falsificação de solicitações legítimas como sites e emails de empresas reais. A “pescaria” – que o nome phishing faz alusão – nesse tipo de ataque tem sua distribuição ampla, nesse contexto seria uma “pescaria de rede”. Esse conceito envolve um cenário de relação entre presa e predador que certamente se abalaria se o alvo soubesse que está sendo caçado. Peixes não negam iscas, mesmo que cada caso exija uma isca diferente – e para solucionar isso existe uma incontável variedade delas.
Como os métodos de Phishing trabalham com falsificações,a remediação principal para esse tipo de ataque é analisar criticamente por solicitações que possam apresentar elementos suspeitos como erros de digitação, informações genéricas, ameaças de cancelamento de serviço, etc.
- Spear Phishing – Esse “filho” do phishing se baseia em um ataque com um alvo definido previamente onde os atacantes se utilizam de informações pessoais específicas para manipular o alvo. Normalmente esse tipo de ataque é direcionado contendo informações forjadas sobre o remetente da solicitação, se passando apropriando de nomes e títulos de confiança para obtenção de êxito em seu golpe.
Como a diferença nesse tipo de ataque é que o atacante possui informações sobre o alvo, sua prevenção envolve principalmente medidas de proteção ao acesso desse tipo de informações, que podem estar em ambientes públicos ou privados com poucas camadas de segurança de acesso.
- Pharming – Nesse modelo, agentes mal intencionados redirecionam usuários a sites fraudulentos, de aparência similar ou até mesmo idêntica ao original. A distribuição de pharming (farming + phishing) é ampla, então qualquer pessoa pode acidentalmente acessar um site forjado e ter suas informações coletadas ou ter sua máquina infectada por código malicioso.
Assim como no phishing, as medidas contra o pharming envolvem a identificação de sites pharming. Normalmente, as discrepâncias podem ser observadas na página WEB ou na URL do site, que podem apresentar discrepâncias visuais ou textuais em seu conteúdo.
- Waterholing – Um ataque Water Hole é estruturado e baseado em informações sobre seu alvo e trata-se de um variante drive-by download – práticas que levam o usuário a baixar não intencionalmente algum código malicioso. Nesse tipo de ataque, páginas ou sistemas visitados recorrentemente pelos alvos são corrompidos pelos atacantes, transformando-os em novos vetores para alcançar seus objetivos através de vulnerabilidades, normalmente do tipo “dia zero”.
- Quid pro quo – A expressão latina quid pro quo significa “uma coisa por outra”, esse método de ataque ocorre quando um usuário fornece suas informações privadas em troca de alguma vantagem, como descontos, presentes gratuitos e acessos ilimitados, mas na verdade foi apenas manipulado por algum cibercriminoso.
A evolução tecnológica não caminha ao mesmo passo que a evolução humana, e a esse ponto ela já nos superou em aceleração há um bom tempo. Isso significa que apesar de atualizações que dificultam que pessoas mal-intencionadas tirem vantagens de terceiros em situações oportunas, nós como humanos fomos “programados” para confiar e criar laços de reciprocidade, o que faz surgir brechas em sistemas de seguranças (não somente digitais, como físicas também).
Caso você queira se manter seguro na internet, evitando golpes e infecções de código malicioso em sua máquina você tem DUAS opções: você pode se manter minimamente atualizado sobre como funcionam ataques de black hats, assim diminuindo sua exposição a esses riscos; ou (se você gosta de tecnologia) poderia de fato aprofundar seus conhecimentos, dominar o assunto e se tornar um hacker ético.
Se de fato você se sente inclinado para a área da tecnologia e é disciplinado para desenvolver seus estudos dentro de uma metodologia comprovada, junte-se a mais de 70 mil alunos da Solyd e dê o pontapé inicial para formação de um currículo altamente requisitado pelo mercado através de nossos cursos profissionalizantes de TI.