Os pesquisadores da Check Point
Software revelam a lista de phishing de marca do segundo trimestre de 2024:
Microsoft está no topo da lista, enquanto Adidas, WhatsApp e Instagram aparecem
no Top 10 sinalizando mudança no cenário de ameaças
Imagem ilustrativa
Divulgação Check Point Software
Os pesquisadores da Check Point Research (CPR), divisão de Inteligência em Ameaças da Check Point Software, divulgaram nova edição do Ranking de Phishing de Marcas referente ao segundo trimestre de 2024. O relatório destaca as marcas mais frequentemente imitadas por cibercriminosos em suas tentativas de enganar os usuários para roubar informações pessoais ou credenciais bancárias.
No segundo trimestre deste ano, a Microsoft permaneceu como a marca mais imitada em ataques de phishing, representando mais da metade de todas as tentativas, com 57%. A Apple saltou da quarta posição para a segunda no ranking com 10%, enquanto o LinkedIn manteve sua posição anterior em terceiro lugar, com 7% dessas tentativas. Além disso, houve novas entrantes na lista, como as marcas Adidas, WhatsApp e Instagram listadas no Top 10 pela primeira vez desde 2022.
O setor de tecnologia continuou sendo o mais falsificado em phishing de marcas, seguido por redes sociais e financeiro/bancos. Empresas de tecnologia frequentemente possuem informações sensíveis, incluindo dados pessoais, informações financeiras e credenciais de acesso a outras contas, o que as torna alvos valiosos para os atacantes. Empresas como Microsoft, Google e Amazon oferecem serviços essenciais e frequentemente utilizados, como e-mail, armazenamento em nuvem e compras online. Isso significa que as pessoas são mais propensas a responder a mensagens que parecem ser desses provedores de serviços críticos.
"Os ataques de phishing continuam sendo uma das ameaças
cibernéticas mais predominantes e muitas vezes são a porta de entrada para
campanhas de maior escala, como as de cadeia de suprimentos. Para se proteger
contra ataques de phishing, os usuários devem sempre verificar o endereço de
e-mail do remetente, evitar clicar em links não solicitados e ativar a
autenticação de múltiplos fatores (MFA) em suas contas. Além disso, usar
software de segurança e mantê-lo atualizado pode ajudar a detectar e bloquear
tentativas de phishing", aponta Omer Dembinsky, gerente de Grupo de Dados na Check Point
Software.
Top Phishing de Marcas
A seguir estão as dez principais marcas classificadas pelo porcentual de eventos de phishing de marca durante o segundo trimestre de 2024:
1. Microsoft (57%)
2. Apple (10%)
3. LinkedIn (7%)
4. Google (6%)
5. Facebook (1,8%)
6. Amazon (1,6%)
7. DHL (0,9%)
8. Adidas (0,8%)
9. WhatsApp (0,8%)
10. Instagram (0,7%)
Campanhas de phishing - Adidas
No trimestre passado, a equipe da Check Point Research observou várias campanhas de phishing direcionadas aos usuários via websites falsos adotando a marca Adidas.
Por exemplo, sites adidasyeezys[.]cz e adidasyeezys[.]it foram projetados para enganar as vítimas, fazendo-as acreditar que são sites autênticos da Adidas Yeezy, imitando a aparência do site legítimo da Adidas em https[:]//News[.]adidas[.]com/yeezy. Esses sites fraudulentos têm como objetivo induzir os usuários a inserirem suas credenciais e dados pessoais, explorando sua semelhança com o site original para obter êxito no roubo de informações. Da mesma forma, adidas-ozweego[.]fr e adidascampus[.]co[.]at imitam a plataforma oficial da Adidas.
Além disso, adidasoriginalss[.]fr atualmente parece inativo para
phishing e, em vez disso, hospeda anúncios.
 |
| Site de phishing:adidasyeezys[.]cz |
Site de phishing:adidasyeezys[.]it
 |
| Site de phishing:adidas-ozweego[.]fr |
 |
| Site de hishing:adidascampus[.]co[.]at |
Campanhas de phishing - Instagram
No segundo trimestre, os pesquisadores da Check Point Software observaram inúmeras campanhas utilizando a marca Instagram para perpetrar fraudes online. Como resultado, o Instagram subiu para a 10ª posição na lista das principais marcas impactadas por phishing, marcando a sua primeira aparição no ranking desde 2022.
Nos últimos meses, a equipe da CPR identificou campanhas de phishing que se faziam passar pelo Instagram para enganar os usuários e fazê-los divulgar suas credenciais de login. Um exemplo envolve uma página de phishing hospedada em instagram-nine-flame[.]vercel[.]app/login, que imita a interface de login do Instagram. Esta página, hospedada no Vercel, plataforma de criação de aplicativos React, solicita que os usuários insiram seus nomes de usuário e senhas.
Outra campanha observada utilizou o domínio
instagram-verify-account[.]tk. Embora atualmente inativo, ele exibia
anteriormente uma mensagem destinada a induzir os usuários a inserir
informações pessoais sob o pretexto de verificar suas contas do Instagram.
Essas táticas visam explorar a confiança e enganar os usuários, fazendo-os
comprometer suas credenciais.
Site de phishing:instagram-nine-flame[.]vercel[.]app/login
 |
| Site de phishing:instagram-verify-accoun[.]tk |
Importante: como reconhecer e evitar phishing
A melhor defesa é conhecer os sinais reveladores de uma mensagem de phishing. Atualmente é preciso ter ainda mais atenção, pois, com a adoção cada vez maior da IA, não é mais suficiente procurar palavras com erros ortográficos e gramaticais.
Seguem
os principais indicadores listados para identificar o phishing:
- Ameaças
ou intimidação: As mensagens de phishing podem usar táticas
de intimidação, como ameaças de suspensão de conta ou ameaças de ação
legal, para coagir o usuário a agir. Fique atento a mensagens urgentes,
alarmantes ou ameaçadoras.
- Estilo
da mensagem: se uma mensagem parecer inadequada para o
remetente, é provável que seja uma tentativa de phishing. Fique atento a
qualquer linguagem ou tom incomum. As mensagens de phishing geralmente
usam saudações ambíguas ou genéricas, como “Prezado usuário” e “Prezada
cliente”, em vez de saudações personalizadas.
- Solicitações
incomuns: e-mails de phishing podem solicitar que o
usuário execute ações incomuns. Por exemplo, se um e-mail instruir a
pessoa a instalar um software, deve-se verificar com o departamento de TI
da organização se isso é um pedido verdadeiro, principalmente se não for
uma prática padrão.
- Inconsistências
em links e endereços: verifique se há discrepâncias com endereços
de e-mail, links e nomes de domínio. Passe o mouse sobre hiperlinks ou
URLs encurtadas para ver seus destinos reais e ver se há
incompatibilidade.
- Solicitações
de informações pessoais: o usuário deve ser
cauteloso quando um e-mail solicitar informações confidenciais, como
senhas, números de cartão de crédito ou do banco ou números de previdência
social. Organizações legítimas geralmente não solicitam esses detalhes por
e-mail.
Reforce a proteção fortalecendo sua senha
1. Crie e use senhas fortes e um gerenciador de senhas, e evite a reutilização de senhas.
2. Habilite a autenticação de múltiplos fatores (MFA).
Check Point Software Technologies Ltd
Check Point Software
Nenhum comentário:
Postar um comentário