Os ataques de phishing são bem comuns em organizações do mundo todo e existem diversos golpes que usam o mesmo princípio, enganar as pessoas para que elas sejam fisgadas pelos criminosos.
Além dos ataques mais comuns onde as pessoas conseguem identificar as ações criminosas existem o whaling, que é um tipo de phishing muito específico usado pelos cibercriminosos para atingir funcionários do alto escalão de uma organização.
Esse golpe é muito perigoso, pois são usados diversos mecanismos para que as mensagens pareçam o mais real possível e consigam enganar as suas vítimas.
Essa ameaça cresce continuamente e diversas empresas de renome já foram vítimas dessas ações, como é o caso do Snapchat, Mattel e Ubiquiti Networks.
Dessa forma, é importante que organizações de todo o mundo se atentem a esse golpe, continue lendo o texto e saiba como se proteger dessas ações.
O que é um ataque de Whaling?
Whaling é uma espécie de phishing, que também é conhecido como fraude do CEO, esse é um ataque direcionado que utiliza técnicas de engenharia social com o objetivo de enganar funcionários de alto nível, para que eles forneçam informações sigilosas.
Portanto, enquanto os golpes de phishing convencionais atingem indivíduos não específicos e muitas vezes enviam mensagens genéricas, o whalling sabe exatamente quem deseja atingir.
Dessa forma, criam comunicados que parecem vir de alguém muito experiente ou influente para adquirir ainda mais convicção a suas mensagens.
Whaling deriva da palavra “whales” (baleia), isso porque esse golpe visa pessoas que podemos chamar de “peixes grandes”, como os CEO ou gerentes financeiros.
Assim como qualquer outro phishing, os e-mails contêm pedidos urgentes de transferências bancárias ou instruções que exigem uma ação imediata, como a transferência de valores ou solicitação de dados confidenciais.
Como os ataques de Whaling acontecem?
Podemos dizer que o whaling é diferente do spear-phishing, isso porque a comunicação enviada nos ataques de whaling parece ter sido enviada por alguém experiente ou que a pessoa conheça.
Mas o que eles têm em comum é que os criminosos fazem pesquisas sobre suas vítimas em:
Redes sociais;
Buscadores;
Dark Web;
Sites da empresa.
Para criar abordagens personalizadas para os seus alvos, afinal com essas informações fica mais fácil convencer as pessoas e realizar seus ataques.
Os ataques acontecem de diversas formas, como, um e-mail que parece ser de um gerente sênior, que contém um remetente de uma fonte confiável, com logotipos corporativos ou até mesmo links para um site falso.
Como as vítimas desse tipo de ataque são valiosas para os criminosos, eles dedicam tempo e energia para que esse golpe seja o mais eficiente possível, por isso ele é tão perigoso.
Se um ataque de whaling for bem-sucedido, os criminosos podem obter acesso a informações altamente sensíveis, como planos estratégicos, dados financeiros confidenciais.
Além disso, podem ter acesso a informações sobre fusões e aquisições, ou propriedade intelectual. Isso não apenas compromete a segurança da empresa, mas também pode resultar em perdas financeiras significativas e danos à reputação.
Por que esse ataque é tão perigoso?
O waling é um ataque muito eficaz por alguns motivos, um deles é que suas ações são direcionadas a pessoas que possuem autoridade para aprovar transações financeiras ou que possuem informações sigilosas.
Dessa forma, se as vítimas caem nesses golpes, o estrago é imenso, comparado a um simples colaborador que cuida do atendimento ao cliente, por exemplo, isso porque as responsabilidades que ambos possuem são bem diferentes.
Outro ponto que merece atenção, é que esses ataques se baseiam na exploração da confiança e da autoridade associadas a executivos de alto nível.
Ou seja, quando uma mensagem parece pertencer a um CEO ou CFO, as pessoas tendem a assumi-la com algo legítimo e cumprir as solicitações sem ao menos se questionar sobre a sua autenticidade.
Sendo justamente a autoridade e a urgência um fator de risco para a segurança das organizações, onde as pessoas muitas vezes agem rapidamente sem verificar a autenticidade da comunicação.
Esse ataque também costuma ser eficaz por incluir um pequeno número de pessoas, e ao contrário do phishing comum podem passar despercebidos dos filtros de spam.
Além disso, os executivos costumam receber menos treinamentos que os demais colaboradores, os tornando mais vulneráveis a este tipo de ataques.
Os ataques de whaling visam frequentemente obter ganhos financeiros ou acessar informações empresariais sensíveis, ao focar em executivos com autoridade para decisões financeiras.
Dessa forma, os criminosos exploram seu acesso a fundos e recursos, potencialmente resultando em prejuízos financeiros substanciais.
Como se proteger do whaling?
Os ataques de whaling evidenciam ainda mais a importância que a cibersegurança exerce em uma organização e como ela é importante para todas as pessoas, independente do seu cargo ou experiência.
Isso porque, por mais que os colaboradores de alto escalão sejam mais experientes, os criminosos encontram mecanismos para enganá-los e com isso entrar em sistemas e roubar informações.
Dessa forma, a defesa contra esses ataques começa com a conscientização sobre cibersegurança para todas as pessoas, os colaboradores precisam conhecer os riscos, para serem capazes de se proteger.
Para que as organizações se protejam especificamente dos ataques de whaling, é necessário que os membros mais importantes das equipes, se atentem a todos os contatos e principalmente aqueles que não foram solicitados.
É preciso observar todas as mensagens, sejam elas sobre assuntos corriqueiros ou aquelas que se referem a informações importantes e transações financeiras. As pessoas precisam se questionar referente ao remetente e se estavam esperando por aquele anexo ou link.
Além disso, as pessoas precisam ser treinadas para que saibam identificar os sinais de um ataque, como endereços de e-mail, nomes falsos ou sites fraudulentos. As simulações de phishing são ótimos mecanismos para ajudar nessa identificação.
Isso porque, eles colocam as pessoas em cenários reais e controlados que ajudam a enfatizar a importância de se atentar a todos os detalhes que um e-mail possui para que as informações sigilosas não caiam em mãos erradas.
Outro fator muito importante para se proteger desses ataques, é que os executivos precisam tomar cuidado ao publicarem e compartilharem informações pessoas em redes sociais, como:
Aniversários;
Hobbies;
Férias;
Cargos;
Promoções;
Relacionamentos.
É preciso privar essas informações, pois elas podem ser utilizadas para criar ataques whaling, afinal são dados específicos que personalizam ainda mais as mensagens dos criminosos.
Outro método que pode ajudar a identificar e-mails de whaling é solicitar que o departamento de TI, sinalize de maneira automática as mensagens recebidas fora da rede, isso porque esses e-mails fingem ser da organização, mas são enviados por terceiros.
Com isso, fica mais fácil saber qual e-mail de fato é da organização e qual veio de fora da rede, ajudando com que os colaboradores consigam identificar as tentativas de fraude.
Os mecanismos de defesas unidos com as ações de conscientização são fundamentais para proteger as organizações e auxiliar as pessoas para que elas não caiam em golpes e saibam se proteger desses e de outros ataques.
A PhisX como proteção a ataques de whaling
Os ataques de whaling são prejudiciais para as empresas, pois são capazes de enganar os executivos e com isso roubar uma quantia considerável de valores.
Em 2018, a Pathé, que é uma empresa de cinema da Europa, perdeu cerca de US$ 21.5 milhões em um ataque whaling. No golpe, os criminosos se passaram por executivos de alto nível e enviaram um e-mail para o CEO e o CFO, pedindo uma transferência de dinheiro.
Essa transferência foi só o começo da perda e até que se fosse percebido o ataque a organização já estava com um prejuízo imenso.
Por isso, é fundamental que as organizações invistam em ações de conscientização, para que ataques como este não aconteçam em suas organizações.
A PhishX pode auxiliar sua empresa a combater os riscos relacionados a ataques cibernéticos. Nosso ecossistema fortalece a cibersegurança das organizações, mitigando os ataques cada vez mais sofisticados como o whaling.
Com uma abordagem integrada que combina tecnologia e estratégias de conscientização, a PhishX capacita organizações a protegerem seus dados sensíveis e operações contra ameaças cibernéticas.
Para auxiliar as organizações, oferecemos várias soluções.
Simulações de Phishing e Treinamento
A PhishX permite a criação e execução de campanhas de simulação de phishing direcionadas, ajudando a identificar quais pessoas podem ser suscetíveis a ataques de whaling. Isso é combinado com treinamentos personalizados para melhorar a conscientização e a resposta de todos.
Análise de Dados
Por meio do PhishX Analytics, é possível monitorar indicadores de desempenho relacionados à segurança digital, incluindo métricas específicas para avaliar a eficácia das campanhas contra whaling.
Gamificação
Com a nossa solução, as organizações podem utilizar a gamificação e com isso incentivar uma cultura de segurança digital entre as pessoas, incentivando práticas seguras e competitividade saudável na identificação de possíveis ataques de whaling.
Assistente Digital
Com o PhishX Assistant, as instituições conseguem oferecer um ambiente seguro para análise de links e mensagens suspeitas, reduzindo o risco operacional ao detectar e mitigar rapidamente possíveis ameaças de whaling.
Essas ações fortalecem a postura de segurança das empresas contra whaling e promovem uma cultura de segurança cibernética proativa e responsável entre todas as pessoas da organização.
Comments