What is Spear Phishing

Spear phishing is an email or electronic communications scam targeted towards a

specific individual, organization or business. Although often intended to steal data for
malicious purposes, cybercriminals may also intend to install malware on a targeted
user’s computer.
O phishing spear é um esquema de e-mail ou comunicações eletrónicas direcionado
para um indivíduo, organização ou negócio específico. Apesar de muitas vezes se
destinar a roubar dados para fins maliciosos, os cibercriminosos também podem
pretender instalar malware no computador de um utilizador direcionado.

What is spear phishing vs phishing?

Phishingcampaigns don't target victims individually—they're sent to hundreds, sometimes
thousands, of recipients. Spear phishing, in contrast, is highly targeted and targets a single
individual. Hackers do this by pretending to know you. It's personal.

How does spear phishing attack work?

Spear phishing typically uses faked correspondence from friends or associates to get
someone to unwittingly download a piece of malware or to release sensitive information. The
first point of contact with a potential victim is usually through email or social media.Dec 5, 2016

What is typical of a spear phishing attempt?

Here are some of the most common ways in which they target people.
 Email phishing. Most phishing attacks are sent by email. ...
 Whaling. Whaling attacks are even more targeted, taking aim at senior
executives. ...
 Smishing and vishing. ...
 Angler phishing. ...
 Your employees are your last line of defence.

A DEFINITION OF SPEAR-PHISHING

O spear-phishing é uma tentativa direcionada de roubar informações confidenciais,

como credenciais da conta ou informações financeiras de uma vítima específica,
geralmente por motivos maliciosos. Isso é conseguido através da aquisição de
dados pessoais da vítima, como amigos, cidade natal, empregador, locais que
freqüentam e o que compraram recentemente online. Os atacantes se disfarçam de
amigos ou entidades confiáveis para adquirir informações confidenciais, geralmente
por email ou outras mensagens online. Essa é a forma mais bem-sucedida de obter
informações confidenciais na Internet, respondendo por 91% dos ataques.
PHISHING SPEAR VS. PHISHING

O spear-phishing pode ser facilmente confundido com o phishing, porque ambos

são ataques on-line a usuários que visam adquirir informações confidenciais.
Phishing é um termo mais amplo para qualquer tentativa de induzir as vítimas a
compartilhar informações confidenciais, como senhas, nomes de usuários e
detalhes de cartão de crédito por motivos maliciosos. Os atacantes geralmente se
disfarçam de uma entidade confiável e fazem contato com seu alvo por e-mail, mídia
social, telefonemas (geralmente chamados de "vishing" para phishing por voz) e até
mesmo mensagens de texto (geralmente chamadas de "smishing" para phishing por
SMS) .

Ao contrário dos ataques de spear-phishing,ataques de phishing are not

personalized to their victims, and are usually sent to masses of people at the same
time. The goal of phishing attacks is to send a spoofed email (or other
communication) that looks as if it is from an authentic organization to a large number
of people, banking on the chances that someone will click on that link and provide
their personal information or download malware. Spear-phishing attacks target a
specific victim, and messages are modified to specifically address that victim,
purportedly coming from an entity that they are familiar with and containing personal
information. Spear-phishing requires more thought and time to achieve than
phishing. Spear-phishing attackers try to obtain as much personal information about
their victims as possible to make the emails that they send look legitimate and to
increase their chance of fooling recipients. Because of the personal level of these
emails, it is more difficult to identify spear-phishing attacks than to identify phishing
attacks conducted at a wide scale. This is why spear-phishing attacks are becoming
more prevalent.
HOW DOES SPEAR-PHISHING WORK?

The act of spear-phishing may sound simple, but spear-phishing emails have
improved within the past few years and are now extremely difficult to detect without
prior knowledge on spear-phishing protection. Spear-phishing attackers target
victims who put personal information on the internet. They might view individual
profiles while scanning a social networking site. From a profile, they will be able to
find a person’s email address, friends list, geographic location, and any posts about
new gadgets that were recently purchased. With all of this information, the attacker
would be able to act as a friend or a familiar entity and send a convincing but
fraudulent message to their target.

Para aumentar as taxas de sucesso, essas mensagens geralmente contêm

explicações urgentes sobre por que elas precisam de informações confidenciais. As
vítimas são solicitadas a abrir um anexo malicioso ou clicar em um link que as leva a
um site falsificado, onde são solicitadas a fornecer senhas, números de contas,
PINs e códigos de acesso. Um invasor que se apresenta como amigo pode pedir
nomes de usuário e senhas para vários sites, como o Facebook, para que eles
possam acessar as fotos postadas. Na realidade, os invasores usarão essa senha,
 ou variações dela, para acessar diferentes sites que possuem informações
confidenciais, como detalhes do cartão de crédito ou números de segurança social.
Depois que os criminosos coletam informações confidenciais suficientes, eles
podem acessar contas bancárias ou até criar uma nova identidade usando as
informações de suas vítimas.

6 DICAS PARA EVITAR UM ATAQUE DE PHISHING:

 Assista quais informações pessoais você publica na internet: veja seus perfis online.
Quanta informação pessoal está disponível para os possíveis invasores visualizarem? Se
houver algo que você não deseja que um fraudador em potencial veja, não o publique - ou, no
mínimo, verifique se você definiu as configurações de privacidade para limitar o que os
outros podem ver.

 Tenha senhas inteligentes: não use apenas uma senha ou variações de senhas para
todas as contas que você possui. Reutilizar senhas ou variações de senha significa que, se um
invasor tiver acesso a uma de suas senhas, ele efetivamente terá acesso a todas as suas contas.
Todas as senhas que você possui devem ser diferentes das demais - senhas com frases,
números e letras aleatórias são as mais seguras.

 Atualize seu software com freqüência: Se o seu fornecedor de software notificar que
há uma nova atualização, faça-o imediatamente. A maioria dos sistemas de software inclui
atualizações de software de segurança que devem ajudar a protegê-lo contra ataques comuns.
Sempre que possível, ative as atualizações automáticas de software.

 Não clique nos links dos e-mails: se uma organização, como o seu banco, enviar um
link para você, inicie o navegador e vá diretamente para o site do banco em vez de clicar no
próprio link. Você também pode verificar o destino de um link passando o mouse sobre ele.
Se o URL não corresponder ao texto âncora do link ou ao destino indicado do email, há uma
boa chance de que ele seja malicioso. Muitos atacantes de spear-phishing tentarão ofuscar os
destinos dos links usando o texto âncora que se parece com um URL legítimo.

 Use a lógica ao abrir e-mails: se você receber um e-mail de um "amigo" solicitando

informações pessoais, incluindo sua senha, verifique cuidadosamente se o endereço de e-mail
dele é aquele que você já viu usar no passado. Empresas reais não enviarão um e-mail
solicitando seu nome de usuário ou senha. Sua melhor aposta seria entrar em contato com
esse "amigo" ou empresa fora do e-mail ou visitar o site oficial da empresa para ver se eles
foram a parte que realmente entrou em contato com você.

 Implemente um programa de proteção de dados em sua organização: um programa de

proteção de dados que combine a educação do usuário com as práticas recomendadas de
segurança de dados e a implementação de uma solução de proteção de dados ajudará a evitar
a perda de dados devido a ataques de spear-phishing. Para empresas de médio e grande
porte,software de prevenção de perda de dadosdeve ser instalado para
proteger os dados confidenciais contra acesso ou saída não autorizados, mesmo que um
usuário caia em uma tentativa de phishing.
Spear Phishing vs Phishing
Both attack types are focused on acquiring confidential information. Phishing is a broader term for
any attempt to trick victims into sharing private data and credentials for malicious reasons. Attacks
are not personalized to their victims, and are usually sent as bulk mail to full email databases. Spear
phishing attacks try first to obtain as much personal information about their victims as possible – this
gives the effort much more credibility and increases the likelihood of catching the victim. These
more sophisticated techniques target a specific individual or group with some sort of
“individualized” details in the message. Because of the trust factor of personal emails, it is more
difficult for recipients to identify spear phishing attacks than basic phishing.

Ambos os tipos de ataque estão focados em adquirir informações confidenciais. Phishing é um

termo mais amplo para qualquer tentativa de enganar as vítimas na partilha de dados e credenciais
privados por razões maliciosas. Os ataques não são personalizados para as suas vítimas, e são
geralmente enviados como correio em massa para bases de dados de e-mail completos. Os ataques
de phishing de spear tentam primeiro obter o máximo de informações pessoais sobre as suas vítimas
– isto dá muito mais credibilidade ao esforço e aumenta a probabilidade de apanhar a vítima. Estas
técnicas mais sofisticadas visam um indivíduo ou grupo específico com algum tipo de detalhes
"individualizados" na mensagem. Devido ao fator de confiança dos e-mails pessoais, é mais difícil
para os destinatários identificar ataques de phishing de lança do que phishing básico.

Spear Phishing on the rise

O spear phishing está aumentando. Por quê? Porque funciona. As técnicas tradicionais de filtragem
tendem a analisar as mensagens de maneira convencional para identificar emails indesejados ou
incômodos, mas lutam para sinalizar corretamente as tentativas de spear phishing.