SPOOFING, FLOOD, DOS, DDOS, PHISHING

Spoofing, Flood, Dos, DDoS, Phishing

Spoofing

O termo tem origem na palavra em inglês "spoof", que significa "enganar", "fingir" ou "imitar". Essa ação
é um tipo de falsificação tecnológica que procura burlar uma rede ou uma pessoa, fazendo com que o
indivíduo que está no controle possa enviar um e-mail, mensagens e até ligações utilizando o número
de outra, como foi o caso do Ministro e outros que tiveram seus aparelhos invadidos.

Além disso, os hackers podem usurpar o IP e DNS para assumir o controle das máquinas e fazer com
que o usuário "acesse" sites fraudulentos e distribua mensagens em aplicativos como Telegram
e WhatsApp.

Dentre as modalidades de spoofing, o de e-mail é o mais fácil de identificar. Quem nunca recebeu em
sua caixa aqueles e-mails maliciosos solicitando dados e informações sigilosas se fazendo passar por
bancos e demais instituições? Pois bem, esse é o caso mais comum, mas existem outros.

Os outros tipos de Spoofing incluem:

Spoofing de sites

Spoofing de DNS

Falsificação de identificação de chamadas

Falsificação de mensagem de texto

Spoofing de GPS

Ataques man-in-the-middle

Spoofing de extensão

Falsificação de IP

Spoofing facial

"A segurança digital hoje depende muito mais das ações do usuário do que propriamente das empre-
sas. Quanto mais ferramentas de segurança forem ativadas, mais difícil se tornará a invasão", explica
Carraretto. "Módulos de autenticação eliminam 99% dos problemas, pois é necessário que o requerinte
digite uma senha ou código. Quando mais dispositivos assim ativarmos, melhor", complementa.

Como o spoofing nada mais é do que uma falsificação, é muito mais plausível se proteger, como o
próprio Carraretto disse, do que eliminá-lo — até porque não é algo passível de eliminação. Com um
bom comportamento online, como bom senso e atenção ao acessar e-mails e mensagens, as vulnera-
bilidades se tornam cada vez mais raras.

A utilização de um bom antivírus também é recomendada, tanto no PC como em dispositivos móveis,

mas nada substituirá o comportamento do usuário e suas práticas digitais.

Portanto, evite responder a e-mails maliciosos ou clicar em seu conteúdo, observe se há alguma mo-
dificação ou atividade estranha em suas caixas de entrada e aplicativos e, claro, como alertou o espe-
cialista em segurança da Symantec, ative todas as ferramentas de autenticação possíveis, como se-
nhas e demais recursos de segurança.

O nome vem da palavra inglesa spoof, que significa enganar, fingir ou imitar. No universo da internet,
a expressão é relacionada a falsificação, com os spoofers utilizando diversas táticas para assumir uma
identidade que não é a deles para enganar os outros.

As campanhas de spoofing podem ser direcionadas tanto a pessoas quanto a redes de empresas.
Neste caso, a técnica é utilizada para contornar os sistemas de segurança de bancos, operadoras de
telecomunicações e outras grandes companhias para espalhar malwares e preparar o terreno para ou-
tros ataques.

WWW.DOMINACONCURSOS.COM.BR 1
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

Tipos De Spoofing

Há diversas modalidades de spoofing, algumas mais fáceis de identificar, como a de e-mail, e outras
um pouco mais complicadas. Conheça as mais comuns:

Spoofing De E-Mail

Talvez o mais utilizado, consiste no envio de e-mails falsos, assumindo a identidade de conhecidos,
prestadora de serviço, banco, instituição de ensino, empresa de cobrança ou outro tipo. Geralmente
vem acompanhado de anexo e pede ao destinatário que tome alguma decisão com urgência.

Spoofing De DNS

Ao alterar o DNS de roteadores, o hacker pode desviar os acessos que iriam para um site legítimo,
levando os internautas a acessar páginas fraudulentas. Nessas cópias de sites, pode-se acabar tendo
os dados roubados ou baixar malwares sem saber.

Spoofing De Site

Nesse caso, nem é preciso modificar o DNS, uma vez que o cibercriminoso cria um site falso para atrair
usuários desatentos. Páginas de bancos estão entre as preferidas dos spoofers.

Spoofing De Chamadas Ou SMS

Acontece quando se recebe uma chamada ou mensagem de alguém se passando por uma empresa
real. O atacante tenta enganar a vítima, fazendo-a fornecer senhas, números de documentos, cartões
e outras informações sigilosas.

Spoofing De ID

Uma versão mais avançada da técnica, consiste em usar um número de telefone clonado para tentar
acessar mensageiros, contas de e-mail e redes sociais, fazendo-se passar pelo verdadeiro usuário de
tais serviços.

Spoofing De IP

Muito usado em ataques de DDoS, esse método permite ao criminoso virtual alterar o endereço IP le-
gítimo de um dispositivo em uma rede fechada, enganando os demais e deixando-os expostos.

Diferença Entre Spoofing E Phishing

As características descritas em alguns dos exemplos de spoofing podem fazer lembrar outro golpe
virtual muito comum e semelhante, o phishing. Apesar de bastante parecidos, especialmente no caso
das campanhas relacionadas a e-mails e sites, eles não são a mesma coisa.

O phishing é uma evolução do spoofing, consistindo em técnicas para atrair as vítimas e fazê-las for-
necer dados sigilosos, como se estivessem sendo informados a uma fonte legítima. Em alguns casos,
os dois métodos são usados em conjunto com a finalidade de tornar os ataques mais eficientes.

Como Se Proteger Dos Ataques De Spoofing

A principal maneira de se proteger de spoofing é desconfiar sempre de e-mails enviados por remetentes
desconhecidos, principalmente quando solicitam dados e contêm anexos. O mesmo vale para chama-
das telefônicas e mensagens de texto. Também é essencial não clicar em links suspeitos compartilha-
dos via e-mail, SMS, mensageiros e redes sociais e não compartilhar documentos, senhas, números
de cartões e códigos de segurança.

Flood

Com a ampla difusão de informações nas redes sociais, é difícil encontrar aqueles que não tenham
escutado que alguém estava “floodando” um feed. O termo flood já está difundido e é amplamente
utilizado pelos usuários da internet.

WWW.DOMINACONCURSOS.COM.BR 2
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

Porém, é importante analisar quais os impactos que esta prática tem na internet atualmente. Confira
neste artigo o que é e como o flood impacta a vida de todos os usuários da internet.

Incorporado do inglês, o termo flood significa inundar. O verbo foi atribuído pejorativamente às práticas
utilizadas por usuários que postam sucessivamente conteúdos irrelevantes e repetitivos em fóruns da
internet ou em redes sociais.

Quando uma pessoa está “floodando”, isso significa que ela está causando um alto fluxo de uma
mesma informação em um curto espaço de tempo. Os assuntos são dos mais variados, geralmente,
podendo ser uma corrente de 'bom dia' em grupos do WhatsApp, ou até ser uma pessoa que adora
comentar sobre um reality show, ou um jogo de futebol constantemente.

Flood e Fake News

A "rede social" que mais sofreu com o flood de seus usuários foi o WhatsApp. Nos últimos anos, o Fa-
cebook, empresa dona do WhatsApp, foi acusado de permitir a disseminação de notícias falsas em
grande escala e continuamente. Uma investigação internacional foi aberta após o escândalo da Cam-
bridge Analytica, empresa britânica que teve acesso a dados de milhões de usuários que deveriam
estar sob proteção da empresa.

Mensagens diretas podiam ser enviadas indiscriminadamente para quantos contatos os usuários qui-
sessem, gerando alto flood na rede do WhatsApp. Atualmente, o WhatsApp limitou o reenvio de men-
sagens para 5 destinatários, para tenar diminuir a prática de disseminação de fake news e, consequen-
temente, o flood.

Diferença Entre Flood e SPAM

Apesar de parecidos, há diversas diferenças entre o ato de flood e o spam. O flood está diretamente
ligado a quantidade de posts e mensagens nas redes sociais, ao passo que o spam está ligado ao
recebimento de ligações, e-mails ou mensagem que não foram solicitadas, ou são indesejadas.

A diferença está na quantidade e na procedência desta mensagem. Em caso de e-mail, é considerado

o domínio e a origem. Disparadores de e-mail utilizado por agências de marketing, por exemplo, podem
ser classificados como spam, mesmo que tenham enviado um simples e-mail.

Em alguns países da Europa e nos Estados Unidos, o ato de enviar mensagens spam pode ser consi-
derado ilegal, com a possibilidade de o autor dos disparos ser processado. No Brasil, a prática não é
considerada ilegal, o que fez com que o país se tornasse um dos que mais recebe ligações spam do
mundo em 2019.

Apesar de todos os malefícios citados, o flood pode servir para mapear interesses. Os trending topics
do Twitter, por exemplo, são baseados em assuntos que estão sendo comentados no momento por
seus usuários. Isto permite que outras pessoas fiquem por dentro dessas tendências e interajam entre
si. Porém, é importante ficar atento ao flood de conteúdos falsos e ao spam, pois esta prática pode
tornar uma informação falsa verdadeira.

E você, “flooda” ou já “floodou” algum fórum ou algum grupo na internet?.

Sistema Operacional DOS

"MS-DOS é uma acrossemia de MicroSoft Disk Operating System (sistema operacional em disco da
Microsoft); é um nome genérico do sistema operacional licenciado pela Microsoft Corporation para uso
em vários microcomputadores de diferentes de fabricantes. Alguns destes fabricantes alteram o MS-
DOS para melhor adaptá-lo a seus computadores dando-lhe novos nomes, como PC-DOS ou Z-DOS.

Baseando-se no nome disk-operating system (sistema operacional em disco, ou DOS), pode-se imagi-
nar que tudo o que o MS-DOS é gerenciar seus discos. Entretanto, o MS-DOS faz muito mais que isto:
ele proporciona um modo de se dizer ao computador qual o programa ou comando que se deseja
executar, onde ele encontrará este programa ou comando e o que ele deve fazer com ele. Por exemplo,
ele pode enviar informações à tela de vídeo, a uma impressora ou a uma porta de comunicações, para
que elas sejam enviadas a outro sistema.

WWW.DOMINACONCURSOS.COM.BR 3
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

O sistema operacional pode ser considerado como operacionalizável em dois níveis:

O primeiro nível é um sistema de gerenciamento de hardware: o MS-DOS coordena a unidade central

de processamento do computador (a CPU, que é o chip microprocessador que atua como o "cérebro"
do computador) com o resto do hardware. Nesta capacidade, o MS-DOS capta o caractere digitado no
teclado, codifica-o de forma que a CPU possa entender e, então, exibe-o no monitor de uma forma que
o usuário possa entender. Ou seja, o MS-DOS atua como intermediário, convertendo os sinais eletrô-
nicos gerados pelo teclados em códigos de controle que os programas de aplicação possam utilizar.
Ele também executa pequenas tarefas relacionadas com a utilização dos programas, como a formata-
ção de um disco, ou informando-lhe sobre os arquivos que se encontram em um determinado disco.

O segundo nível no qual o MS-DOS opera é a função utilitária. Nesta capacidade, o MS-DOS executa
comandos, o que lhe permite interagir diretamente com o computador. Estes comandos executam fun-
ções como renomear arquivos no disco ou copiar arquivos de um lugar para o outro. O MS-DOS trata
de seus próprios comandos exatamente como os programas de aplicação. Estes comandos, entretanto,
são mais limitadors que a maioria dos programas de aplicação. Eles não executam tarefas como o
processamento de palavras ou a contabilidade; em vez disso, são usados para a manutenção geral de
seu computador. Cada comando possui um nome, que é geralmente de fácil memorização. Este traba-
lho se aterá apenas ao primeiro nível de operacionalização do MS-DOS.

Comunicando-se com o Hardware

A CPU do computador não pode funcionar bem sem um sistema operacional. O MS-DOS coordena o
hardware e permite que a CPU comunique-se com quase todas as partes de seu computador.

Após carregar o sistema operacional (geralmente logo após o computador ter sido ligado), ele é mantido
na memória de acesso aleatório do computador (RAM). A memória RAM é temporária, isto é, ela só é
mantida pela força elétrica do computador. Quando este é desligado ou a energia é cortada mesmo
que por alguns segundos, todas as informações guardadas em RAM são perdidas.

O processo de colocação em RAM dos dados vindos de foontes como o teclado e, alternativamente, a
captação de informações da RAM e o seu envio para um dispositivo de hardware diferente, como a tela
de vídeo, é chamado de E/S, ou entrada/saída. Cada vez que forem "lidas" informações advindas de
algum dispositivo de hardware, como um acionador de disco, ou "gravadas" em um dispositivo de
hardware, como uma impressora, o MS-DOS executa uma operação de E/S.

"Um dispositivo é simplesmente uma peça de hardware que utiliza E/S. Por exemplo, uma impressora,
um monitor, um acionador de disco, etc. Os dispositivos são conectados ao computador por meio de
portas seriais ou paralelas. Quando a CPU precisa se comunicar com outro hardware, ela utiliza a parte
do sistema operacional que conhece esse hardware.

Executando Programas de Aplicação

Em seu papel de intermediário entr e a CPU e um programa de aplicação, o MS-DOS executa tarefas
importantes. Ele obtém o programa que você deseja executar e coloca-o em RAM, além de ajudar o
programa a executar E/S. Quando o usuário comunica ao MS-DOS que deseja executar determinado
programa, ele encontra o programa no disco, carrega-o em RAM e mostra à CPU o local do início do
programa.

Nota: Há programas de aplicação desenvolvidos para sistemas operacionais diferentes do DOS, como
o OS/2 ou Windows NT, por exemplo. O Windows 3.1, que é utilizado em muitos micros, geralmente é
confundido com um sistema operacional, porém é apenas uma plataforma. Ele se utiliza do DOS para
fazer as entradas e saídas, como qualquer outro programa de aplicação, porém fornece recursos como
os de um sistema operacional para os programas de aplicação que o utilizam.

Discos e Arquivos

Quando dados são guardados em disco, eles são gravados em arquivos. As informações em arquivos
podem consistir em texto, dados, programas, etc. O arquivo pode ter qualquer tamanho, limitado ape-
nas pelo espaço disponível em disco.

WWW.DOMINACONCURSOS.COM.BR 4
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

Os arquivos são armazenados em discos ou disquetes. Um disco (ou disco rígido, ou ainda "Winches-
ter"), é uma peça circular de material rígido coberto por um material magnético (podem ser várias peças
como essa agrupadas em um único "Winchester"); um disquete (ou disco floppy) é uma versão flexível
do disco, com capacidade menor.

Para recuperar arquivos do disco, o cabeçote percorre o mesmo até o local onde está armazenado o
arquivo. O cabeçote lê primeiramente o diretório, onde estão informações sobre o arquivo. A partir daí
e da File Allocation Table, o DOS descobre em que local do disco o arquivo se encontra, o que é
determinado por trilhas e setores, como se fosse os eixos X e Y do disco.

As trilhas são círculos concêntricos e os setores são como fatias do disco, como mostra a figura ao
lado. Uma cluster, em linguagem técnica, é a intersecção de um setor com uma trilha. Um cluster possui
um número fixo de bytes e um arquivo pode ocupar um ou mais clusters, sequencialmente ou não. É
esse o papel da File Allocation Table, ou simplesmente FAT: mostrar ao DOS onde se encontram as
diversas partes do arquivo espalhadas pelo disco.

Trabalho feito por Willian Cruz em Abril de 94, no terceiro ano do curso de Administração de Empresas
com ênfase em Análise de Sistemas da FASP, de São Paulo, para a matéria de “Sistemas Operacio-
nais”. Como o DOS praticamente não mudou de lá pra cá, ele continua se mantendo bastante atual. A
imagem que fala sobre discos ilustra um disquete de 5¼, mas os discos de 3½ funcionam do mesmo
modo (com exceção, claro, do entalhe de proteção contra gravação, sobre o qual se colavam etiquetas
metálicas, hoje substituído por uma peça de plástico do tipo “abre e fecha”)."

O que são ataques de DDoS?

Os ataques de rede distribuídos muitas vezes são chamados de ataques de negação de serviço distri-
buído (DDoS). Esse tipo de ataque aproveita os limites de capacidade específicos que se aplicam a
todos os recursos de rede, como a infraestrutura que viabiliza o site de uma empresa. O ataque DDoS
envia múltiplas solicitações para o recurso Web invadido com o objetivo de exceder a capacidade que
o site tem de lidar com diversas solicitações, impedindo seu funcionamento correto.

Entre os alvos comuns de ataques DDoS estão:

Sites de compras virtuais

Cassinos on-line

Qualquer empresa ou organização que dependa do fornecimento de serviços on-line

Como funciona um ataque DDoS

Os recursos de rede, como servidores Web, conseguem atender a um limite finito de solicitações si-
multaneamente. Além do limite de capacidade do servidor, o canal que conecta o servidor à Internet
também tem largura de banda/capacidade finita. Sempre que o número de solicitações excede os limi-
tes de capacidade de qualquer componente da infraestrutura, o nível do serviço tende a sofrer de uma
das seguintes maneiras:

A resposta às solicitações é muito mais lenta do que o normal.

Algumas ou todas as solicitações dos usuários podem ser totalmente ignoradas.

Em geral, o objetivo final do invasor é impedir totalmente o funcionamento do recurso da Web, ou seja,
uma "negação de serviço" total. O invasor também pode solicitar um pagamento para interromper o
ataque. Em certos casos, um ataque DDoS pode até ser uma tentativa de desacreditar ou prejudicar
os negócios de um concorrente.

Utilização de "redes zumbi" de botnets para realizar ataques DDoS

Para enviar uma grande quantidade de solicitações ao recurso da vítima, o criminoso virtual em geral
estabelece uma "rede zumbi" de computadores infectados. Como o criminoso controla as ações de
cada computador infectado da rede zumbi, a simples escala do ataque pode sobrecarregar os recursos
da Web da vítima.

WWW.DOMINACONCURSOS.COM.BR 5
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

A natureza dos ataques DDoS atuais

Do início à metade dos anos 2000, esse tipo de atividade criminosa era bem comum. Entretanto, o
número de ataques DDoS bem-sucedidos tem caído. Essa queda nos ataques DDoS pode ser atribuída
ao seguinte:

Investigações policiais que acarretaram a prisão de criminosos no mundo todo

Contramedidas técnicas que deram certo contra os ataques DDoS

Outros artigos e links relacionados a ataques de rede distribuídos/DDoS

Como o malware invade os sistemas

O que é um cavalo de Troia?

Crimes cibernéticos

Vandalismo por computador

Roubos insignificantes

Spam e phishing

Phishing

O que é phishing, exatamente?

O phishing é um dos golpes mais antigos e conhecidos da internet. Podemos definir phishing como
qualquer tipo de fraude por meios de telecomunicação, que usa truques de engenharia social para obter
dados privados das vítimas.

Um ataque de phishing tem três componentes:

O ataque é realizado por meio de comunicações eletrônicas, como e-mail ou por telefone.

O golpista finge ser um indivíduo ou organização de confiança.

O objetivo é obter informações pessoais confidenciais, como credenciais de login ou números de cartão
de crédito.

Por isso phishing recebe seu nome: O cibercriminoso vai “pescar” (em inglês, “fishing”) com uma atra-
ente “isca” para fisgar as vítimas do vasto “oceano” dos usuários da internet. O ph em "phishing" vem
de “phreaking de telefone” que surgiu em meados de 1900, no qual os “phreaks”, ou seja, entusiastas,
faziam experimentos com as redes de telecomunicações para descobrir como elas funcionavam.
Phreaking + fishing = phishing.

Spam x Phishing

Spam ou phish: neste caso, melhor o spam. A principal diferença entre spam e phishing é que os
spammers não querem prejudicar você. Spam é lixo eletrônico: apenas um monte de anúncios indese-
jados. Os golpes de phishing têm como objetivo roubar seus dados e usá-los contra você. Mais adiante
neste artigo, examinaremos exatamente como e o que eles desejam alcançar.

Você pode gostar ou não do spam, mas lembre-se sempre da seguinte rima divertida: O spam é delici-
oso, mas o phish é malicioso.

Como o phishing funciona?

Seja conduzido por e-mail, redes sociais, SMS ou outro vetor, todos os ataques de phishing seguem
os mesmos princípios básicos. O golpista envia um texto direcionado, com o objetivo de convencer a
vítima a clicar em um link, baixar um anexo, enviar as informações solicitadas ou até mesmo concluir
um pagamento real.

WWW.DOMINACONCURSOS.COM.BR 6
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

Quanto aos efeitos do phishing, eles dependem da imaginação e habilidade do phisher. O advento das
redes sociais significa que os phishers têm acesso a mais informações pessoais sobre seus alvos do
que nunca. Com todos esses dados à disposição, os phishers podem adaptar com precisão os ataques
às necessidades, desejos e circunstâncias da vida de seus alvos, o que resulta em uma proposta muito
mais atraente. Nesses casos, as redes sociais alimentam uma engenharia social mais poderosa.

Quais são os efeitos do phishing?

A maioria dos casos phishing pode levar a roubo de identidade ou dinheiro e também é uma técnica
eficaz para espionagem corporativa ou roubo de dados. Alguns hackers chegam ao ponto de criar perfis
falsos nas redes sociais e investir tempo na construção de um relacionamento com possíveis vítimas e
só ativam a armadilha após estabelecer confiança. Qual é o preço de phishing? Preço não se resume
apenas aos danos financeiros, mas nesses casos há também a perda de confiança. Dói ser enga-
nado pela pessoa em que você confiava e a recuperação pode levar muito tempo.

Quais são os tipos de golpes de phishing?

Vamos nos aprofundar um pouco mais: de que se trata o phishing? De onde pode vir um ataque de
phishing e como ele pode ser? É hora de obter algumas respostas.

Vetores de phishing: mais do que e-mail

Phishing por e-mail: De longe, o método mais comum, o phishing por e-mail usa o e-mail para introduzir
a isca de phishing. Esses e-mails geralmente contêm links que levam a sites maliciosos ou anexos que
contêm malware. Posteriormente, vamos mostrar como é um e-mail de phishing, para você saber quais
devem ser evitados.

Phishing nos sites: Os sites de phishing, também conhecidos como sites falsificados, são cópias falsas
de sites reais conhecidos e confiáveis. Os hackers criam esses sites falsificados para fazer você inserir
suas credenciais de login, que podem ser usadas para fazer login nas suas contas reais. Os pop-ups
também são uma fonte comum de phishing nos sites.

Vishing: Abreviação de “phishing de voz”, vishing é a versão em áudio do phishing na internet. O gol-
pista tentará convencer as vítimas por telefone a divulgar informações pessoais que podem ser usadas
posteriormente para roubo de identidade. Muitas chamadas automatizadas são tentativas de vishing.

Smishing: Smishing é phishing via SMS. Você recebe uma mensagem de texto que solicita clicar em
um link ou baixar um aplicativo. Mas, ao fazer isso, você baixará malware no seu telefone, que poderá
roubar suas informações pessoais e enviá-las ao invasor.

Phishing nas redes sociais: Alguns invasores podem acessar contas de redes sociais e forçar as pes-
soas a enviarem links maliciosos para seus amigos. Outros criam perfis falsos e usam esses perfis para
phishing.

Estratégias Comuns de Phishing

Por meio dos vetores primários de phishing listados acima, os hackers podem realizar uma ampla gama
de ataques, que variam de ataques com tecnologia sofisticada, até os bons e antigos truques de confi-
ança. Não deixe nada disso acontecer com você:

Phishing enganoso: Espere um pouco, não estamos falando o tempo todo que todo phishing é enga-
noso? Bem, sim. Phishing quer enganar você. Mas o termo “phishing enganoso” refere-se especifica-
mente à situação quando hackers se disfarçam de empresas ou indivíduos legítimos para ganhar sua
confiança.

Spear phishing: As campanhas de phishing em larga escala são como barcos de pesca industrial que
arrastam redes enormes pelo oceano, tentando prender tudo que encontrar pelo caminho. Por outro
lado, o spear phishing ocorre quando os phishers personalizam seus ataques para atingir indivíduos
específicos. Redes sociais profissionais como o LinkedIn popularizaram o spear phishing para o crime
cibernético corporativo, pois os hackers podem encontrar facilmente todas as suas informações de
emprego em um só lugar.

WWW.DOMINACONCURSOS.COM.BR 7
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

Whaling: E para fechar o conjunto de metáforas náuticas, temos whaling (a caça às baleias), um ataque
de phishing que visa um determinado indivíduo de alto valor. É o mesmo que spear phishing, mas com
metas muito mais ambiciosas. Até os executivos seniores mais importantes estão propensos ao wha-
ling.

Fraude de CEO: Phishers fingem ser o CEO de uma empresa ou outro executivo de alto escalão para
extrair informações de pagamento, ou outras informações privilegiadas dos funcionários. As campa-
nhas de fraude de CEO acompanham frequentemente ataques de whaling, pois o criminoso já obteve
as credenciais de login do CEO.

Pharming: Ataques de Pharming, phishing e farming, usam truques tecnológicos que substituem a ne-
cessidade de atrair você com uma isca. Por exemplo, o envenenamento de cache DNS é uma técnica
de pharming que pode redirecioná-lo automaticamente de um site legítimo para a versão falsificada do
invasor. Se você não prestar atenção, não perceberá o golpe até que seja tarde demais.

Dropbox phishing e Google Docs phishing: Os serviços populares de nuvem são alvos atraentes de
phishing. Os invasores ativam versões falsificadas das telas de login, roubam suas credenciais quando
você as insere e depois têm acesso a todos os seus arquivos e dados.

Clone phishing: Os invasores podem pegar um e-mail legítimo e depois “cloná-lo”, enviando exatamente
o mesmo e-mail para todos os destinatários anteriores com uma alteração crucial: os links foram subs-
tituídos pelos links maliciosos.

Manipulação de links: Os phishers enviam links que parecem estar de um endereço, mas, quando
clicados, levam para outro lugar. Os truques comuns incluem erros ortográficos propositais (por exem-
plo, “lado” x “Lado”; o segundo tem um L maiúsculo) ou escrever o nome de um site confiável como o
texto de exibição do link. Estes também são conhecidos como ataques homográficos.

Scripting entre sites: Phishers sofisticados podem explorar pontos fracos nos scripts de um site para
sequestrar o site para seus próprios fins. Scripting entre sites é difícil de detectar, porque tudo no site
parece ser legítimo, desde o endereço até os certificados de segurança.

Quais são alguns exemplos de ataques de phishing?

A resposta a essa pergunta pode resultar em uma série de livros com vários volumes, mesmo se nos
concentrarmos só nos destaques. Aqui está uma amostra dos melhores hits de phishing:

Frenesi de Phishing na Copa do Mundo de 2018

Durante a preparação para a Copa do Mundo da FIFA 2018 em Moscou, golpes de phishing inundaram
o cenário internacional de futebol. As vítimas foram atraídas com ingressos gratuitos, ofertas de hotéis
de última hora e produtos das equipes.

Ao invadir os bancos de dados de hotéis parceiros associados à Booking.com, um grupo de cibercrimi-

nosos conseguiu fazer smishing dos usuários do site usando WhatsApp e SMS. O phishing em torno
do evento ficou tão intenso que a FTC foi forçada a emitir um aviso oficial.

Operação Phish Phry

Nascida em 2007, a Operação Phish Phry cresceu durante mais de dois anos e se tornou a maior
investigação internacional sobre crimes cibernéticos do FBI na época. A operação teve como objetivo
interromper um grupo de phishing que roubava números de conta, senhas e PINs das vítimas, usando
e-mails e sites falsificados.

No final da investigação, os cibercriminosos haviam conseguido transferir aproximadamente US$ 1,5

milhão de vítimas para contas mantidas nos EUA - mas o FBI e as autoridades egípcias conseguiram
acusar mais de 100 suspeitos nos EUA e no Egito.

Violação de Dados da Target em 2013 (Causada por Phishing)

A Target enfrentou uma reação negativa global após uma violação de dados em 2013 que comprome-
teu 110 milhões de seus clientes. Embora a gigante do varejo ainda não tenha divulgado todos os

WWW.DOMINACONCURSOS.COM.BR 8
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

detalhes do ataque, concluiu-se que tudo começou com um e-mail de phishing enviado a um dos for-
necedores terceirizados da Target.

Dois dias antes da Black Friday, os hackers acessaram os leitores de cartões de ponto de venda da
Target e coletaram 11 GB de informações sobre cartões de crédito e débito. O resultado: a Target
pagou um acordo recorde de US$ 18,5 milhões.

Phishing por e-mail - Noções básicas

A maioria dos ataques de phishing é realizada por e-mail. Quer descobrir como funcionam os e-mails
de phishing? Então vamos lá.

Quais são os e-mails de phishing mais comuns?

A maioria dos e-mails de phishing pode ser classificada em algumas categorias. Estas são as mais
frequentes:

Problema de faturamento/fatura: Você será informado de que algo que você comprou online recente-
mente não pode ser enviado devido a um problema de faturamento. Se você clicar, será direcionado
para uma página falsificada que solicita suas informações financeiras, que são entregues diretamente
aos phishers.

O governo está atrás de você: O sucesso desses e-mails depende de sua vontade de acreditar (e
respeitar) solicitações de figuras de autoridade. Geralmente com um tom assustador, esse e-mail de
phishing ameaça com algum tipo de penalidade, a menos que você forneça os dados pessoais solici-
tados.

O governo quer lhe dar dinheiro: Considere isso o inverso do exemplo acima. Frequente na época de
declaração de impostos, esses e-mails oferecem reembolso de impostos, se você confirmar rapida-
mente seus dados financeiros.

Pedido de ajuda: Os phishers se passam por um amigo ou parente, explicam que estão em algum tipo
de situação terrível e imploram por sua ajuda financeira. Esses golpes são frequentes e, infelizmente,
têm como alvo idosos pelo telefone.

Alerta do banco: Muitos bancos alertam os clientes se detectarem alguma atividade suspeita, ou sobre
o uso do cheque especial. Os phishers aproveitam esses serviços úteis para tentar convencer os alvos
a “confirmarem” as informações da conta bancária.

Você ganhou: Por sorte, justamente você ganhou um prêmio incrível. Tudo que você precisa fazer é
inserir seus dados. Veja o golpe da Copa do Mundo acima para ter mais referências.

Negócio urgente: Os phishers adoram usar a urgência para forçá-lo a tomar decisões erradas. Pouco
importa se eles estão oferecendo um acordo temporário que é bom demais para ser verdade, ou ame-
açando fechar sua conta, a menos que você aja agora, o objetivo deles é assustá-lo para que divulgue
suas informações pessoais o mais rápido possível.

Como é um e-mail de phishing?

Embora venham em várias formas e tamanhos, sim é possível aprender a reconhecer e-mails de
phishing. Segue uma visão geral de seus traços mais comuns. A maior parte da proteção contra
phishing fica por conta das soluções confiáveis de segurança cibernética, mas se observar os seguintes
sinais, você poderá ser a primeira linha de defesa contra phishing.

O e-mail não é endereçado a você: Muitos tipos de phishing, incluindo o “phishing enganoso” padrão,
são como lançar uma rede. Dessa forma, o e-mail não será personalizado com o nome do destinatário,
mas terá um início vago, como “Prezado cliente”, ou talvez até o seu e-mail. Correspondências oficiais
de empresas legítimas usarão seu nome.

Uma oferta irrecusável: Você pode e deve recusá-la. Se surgir uma oferta que parece boa demais para
ser verdade, provavelmente é falsa. Não deixe que os vigaristas atraiam você com ofertas tentadoras.
Seja qual for a oferta, você não precisa dela. As ofertas de phishing nunca são reais.

WWW.DOMINACONCURSOS.COM.BR 9
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

É preciso agir imediatamente: Como já mencionamos, os phishers adoram urgência. Não caia no medo
de perder uma oportunidade, não acredite nas ameaças e, o mais importante, não se deixe abalar.
Nenhuma entidade legítima, governamental, corporativa ou outra, dará a você apenas uma única
chance de agir antes de perder tudo.

Links abreviados: Cuidado com links maliciosos que se escondem atrás dos serviços de abreviação de
links. Sempre passe o mouse sobre todos os links antes de clicar. Como a maioria das interfaces mó-
veis não oferece essa funcionalidade, desconfie ainda mais de links ao verificar e-mails no celular.

Links com erros ortográficos: Os hackers hospedam versões falsas de sites legítimos com endere-
ços quase iguais e incentivam você a clicar nesses links nos e-mails de phishing. Cuidado com erros
de digitação chamados de “typosquatting”. Eles são versões ligeiramente incorretas da URL legítima
que os cibercriminosos usam para enganá-lo ou o uso deliberado de letras e caracteres que parecem
iguais. Leia os links cuidadosamente antes de clicar!

Texto mal escrito: Seu banco não enviaria um e-mail cheio de erros de ortografia e gramática. Um
phisher, por outro lado, pode e frequentemente faz isso. Erros grosseiros como esses são indicação
certa de um e-mail de phishing.

Anexos: Não há nada errado com os anexos em geral, se são esperados e vêm de alguém em quem
você confia. Fora deste contexto, evite anexos desconhecidos. Os golpistas podem ocultar até malware
em arquivos de conteúdo avançado, como PDFs.

Solicitação de informações pessoais: Phishers querem seus dados. Se você recebeu um e-mail solici-
tando a confirmação das informações da sua conta, credenciais de login ou outras informações pesso-
ais, é provável que se trate de phishing.

Você não usa essa empresa ou serviço: Normalmente, os phishers não têm acesso aos bancos de
dados de usuários das empresas que fingem ser, por isso, enviam seus e-mails de phishing para qual-
quer pessoa. Se você recebeu um e-mail do serviço de streaming A, mas é assinante fiel dos serviços
de streaming B e C, ele é um e-mail de phishing.

O e-mail acima é um dos e-mails que eu realmente recebi. Imagino que, se tivesse me enganado e
respondido ao e-mail, seria solicitado que eu fornecesse minhas credenciais de login da conta do Go-
ogle. Observe como ele contém muitos dos sinais de alerta discutidos aqui:

Assunto escrito de maneira informal

Enviado de um endereço de e-mail suspeito

Seu endereço de e-mail real não é o destinatário

E-mail não endereçado ao destinatário

Erros gramaticais e outros no corpo do e-mail

WWW.DOMINACONCURSOS.COM.BR 10
 SPOOFING, FLOOD, DOS, DDOS, PHISHING

Exige ação imediata

Falta o conteúdo da assinatura típico que você esperaria em um e-mail oficial

Como você lida com e-mails de phishing?

É simples: denuncie e exclua! Seu provedor de e-mail deve ter uma opção que permita denunciar gol-
pes de phishing diretamente.

Em seguida, encaminhe os e-mails para a FTC (spam@uce.gov) e para o Grupo de Trabalho Anti-
Phishing (reportphishing@apwg.org) e relate sua experiência de phishing no site de reclamações da
FTC.

Por fim, entre em contato com a empresa que supostamente enviou e-mail, para que eles saibam que
um phisher está usando a marca para tentar enganar as pessoas.

Dicas para se proteger do phishing

A educação abrangente do usuário e o software anti-phishing oferecem uma forte defesa em duas
frentes contra o phishing no nível organizacional. As empresas devem investir em programas educaci-
onais completos para ensinar seus funcionários a reconhecerem o phishing e por que eles devem ser
cautelosos. As equipes de segurança podem reforçar essas diretrizes com medidas eficazes de sof-
tware para bloquear golpes de phishing, independentemente do sucesso desses golpes.

Pessoalmente, veja o que você pode fazer para ajudar a evitar golpes de phishing:

Mantenha-se informado: A boa notícia é que, ao ler este artigo, você já fez esta etapa. Fique um passo
à frente dos phishers e continue se informando sobre os golpes mais recentes.

Desconfie: Tome muito cuidado com os e-mails suspeitos. Antes de clicar em qualquer link ou baixar
qualquer anexo, verifique se há sinais de alerta de phishing mencionados anteriormente neste artigo.
Se algum deles estiver presente no e-mail em questão, denuncie e exclua.

Confirme antes de agir: Empresas reais nunca entrarão em contato com você para solicitar dados pes-
soais por e-mail ou por telefone. Se isso realmente acontecer, use as informações de contato forneci-
das no site legítimo para ligar para a empresa e confirme a veracidade das informações no e-mail ou
na ligação. Não responda diretamente a e-mails suspeitos. Sempre inicie uma nova comunicação pelos
canais oficiais de atendimento da empresa.

Verifique os certificados de segurança: Não envie nenhuma informação pessoal que você não gostaria
que um hacker tivesse, a menos que tenha certeza de que um site é seguro. Verifique se o endereço
começa com HTTPS e procure um ícone de cadeado próximo ao endereço.

Altere as senhas regularmente: Os phishers não podem fazer muito com uma das suas senhas se ela
não for mais válida. Atualize suas senhas com certa frequência, usando um gerenciador de senhas para
criar senhas difíceis de decifrar e para armazená-las com segurança.

Verifique suas contas: Seja aquela pessoa que examina todas as faturas. Caso contrário, uma cobrança
fraudulenta poderia passar despercebida. Bancos e operadoras de cartões de crédito geralmente são
muito bons em detectar fraudes, mas você deve prestar muita atenção também às suas faturas e ex-
tratos.

Use um bloqueador de anúncios: Esta dica poderia ser “não clique em pop-ups”, mas se você usar um
bloqueador de anúncios, ele bloqueará a maioria dos pop-ups antes de você vê-los. Os pop-ups são
vetores de phishing comuns e, se você vir um, nunca clique no próprio anúncio, mesmo se houver um
grande botão com texto “fechar”. Sempre use o pequeno X no canto.

Leia e-mails como texto sem formatação: Esse é um truque bacana para ajudar a detectar golpes de
phishing por e-mail. Converta um e-mail em texto sem formatação e você poderá identificar endereços
de imagens ocultos que não seriam visíveis no modo HTML.

_________________________________________________________________________________

WWW.DOMINACONCURSOS.COM.BR 11