Os ataques de phishing de retorno de chamada estão aumentando. Se você já recebeu um e-mail solicitando a renovação de um serviço ou o pagamento de uma conta por um serviço que nunca comprou, você experimentou o phishing de retorno de chamada em primeira mão.
O que é phishing de retorno de chamada?
Um ataque de phishing de retorno de chamada, às vezes chamado de entrega de ataque orientado por telefone (TOAD), combina dois métodos de phishing. A vítima recebe um e-mail de phishing alertando sobre um problema. Em vez de fornecer mais informações sobre a situação no e-mail, o agente da ameaça inclui um número de contato, esperando um retorno da vítima.
Quando o destinatário liga para o número de telefone mencionado, o agente da ameaça usa técnicas de engenharia social para atrair o vítima para compartilhar dados confidenciais, instalar malware ou realizar qualquer outra ação que possa beneficiar o agente da ameaça.
Como funciona o phishing de retorno de chamada
Primeiro, a vítima recebe um e-mail informando que o pagamento é devido pela assinatura de um serviço. Muitas vezes, não há fatura anexada no correio. A vítima então fica curiosa ou furiosa ao receber a solicitação de pagamento por um serviço que não comprou - então ela liga para o número de telefone mencionado no e-mail.
Um ator de ameaça atende a chamada e engana a vítima para que siga etapas específicas para cancelar o pedido. Quando a vítima segue essas etapas, o malware é instalado em seu PC ou o agente da ameaça recebe informações confidenciais.
O agente da ameaça encerra a chamada assim que a vítima executa a ação que o agente da ameaça deseja que ela execute.
Por que os hackers tentam ataques de phishing de retorno de chamada
Ao realizar um ataque de phishing de retorno de chamada bem-sucedido, um agente de ameaça pode:
- Roube dados confidenciais, credenciais de login ou qualquer outro tipo de dados confidenciais.
- Instale o ransomware no computador da vítima para criptografar os dados e obter o dinheiro do resgate.
- Obtenha as informações do cartão de crédito ou da conta bancária da vítima para roubar dinheiro.
- Instale um software de acesso remoto no computador da vítima para roubar arquivos confidenciais.
Na maioria das campanhas de callback phishing, o objetivo do ataque é roubar dados, dinheiro ou ambos.
Atualmente, a maioria dos indivíduos e empresas emprega soluções anti-phishing ou anti-spam para bloquear um e-mail contendo um arquivo malicioso.
No entanto, os e-mails de phishing de retorno de chamada não incluem anexos ou links maliciosos. Portanto, esses e-mails tendem a ignorar os filtros de e-mail e são entregues nos computadores das vítimas. Além disso, os ataques de phishing de retorno de chamada têm baixo custo por alvo.
Portanto, não é surpresa que cada vez mais agentes de ameaças estejam fazendo tentativas de phishing de retorno de chamada.
Como evitar ataques de phishing de retorno de chamada
Uma campanha de callback phishing bem-sucedida pode causar danos irreparáveis a um indivíduo ou empresa.
Aqui estão algumas maneiras de se proteger contra ataques de phishing de retorno de chamada.
Implementar solução de segurança de e-mail
Embora alguns e-mails de phishing de retorno de chamada cuidadosamente elaborados possam passar despercebidos pelas soluções de segurança de e-mail, implementar uma solução de segurança de e-mail de renome, como um gateway de e-mail, pode ajudar a melhorar a segurança de sua empresa postura de segurança.
Considere como um ataque de comprometimento de e-mail comercial (BEC) pode custar grandes quantias de dinheiro e perda de reputação. A implementação de uma solução robusta de segurança de e-mail pode minimizar o risco de ataques de comprometimento de e-mail comercial. Na maioria dos casos, uma solução de segurança de e-mail detectará e bloqueará falsificação de e-mail, phishing e golpes. Essa solução também pode ajudar a impedir a instalação de malware em seu PC.
Além do mais, uma boa solução de segurança de e-mail pode alertá-lo sobre o comportamento suspeito do usuário. Portanto, certifique-se de ter um dos principais suítes de e-mail para configuração de caixa de entrada segura.
Mesmo que você não trabalhe em um ambiente profissional, ter um bom software antivírus instalado em seu dispositivo pode oferecer uma segurança ideal contra e-mails de phishing e muitas outras ameaças à segurança cibernética.
Verifique os e-mails de perto em busca de sinais óbvios de phishing
Embora os e-mails de phishing de retorno de chamada não tenham anexos ou links maliciosos, eles têm alguns principais sinais de phishing que você deve ficar atento.
É provável que um e-mail seja um e-mail de phishing com um remetente incomum. Por exemplo, o e-mail pode alegar ser de uma empresa legítima, mas não possui um endereço de e-mail de marca. Em vez disso, ele tem um endereço de e-mail genérico como google.com ou yahoo.com.
Você também pode suspeitar de e-mails repletos de erros ortográficos e gramaticais. Nenhuma empresa legítima envia e-mail cheio de erros textuais. Fique atento também às mensagens que fornecem uma janela curta para executar uma tarefa. Por exemplo, um endereço de e-mail fornece algumas horas para fazer um pagamento para manter uma assinatura ativa.
Um e-mail de phishing pode ser sinalizado pelo seu provedor de e-mail. Alguns provedores de e-mail possuem tecnologia anti-spam integrada para alertar os usuários sobre e-mails de phishing e spam.
Agora, os agentes de ameaças combinam várias táticas de engenharia social para induzir as vítimas a chamá-los. Portanto, você deve ter muito cuidado ao tomar ações com base em e-mails que despertem suspeitas.
Desconfie se for sobre dinheiro
Uma maneira infalível de evitar ser vítima de um ataque de phishing de retorno de chamada é verificar novamente se uma mensagem é sobre dinheiro ou credenciais de login.
Se algum e-mail de uma empresa aparentemente legítima criar um senso de urgência e solicitar que você envie dinheiro, desconfie.
Caso o e-mail não tenha informações detalhadas, exceto o número de telefone do representante de atendimento ao cliente, é provável que faça parte de uma campanha de phishing de retorno de chamada.
Organizar programas de treinamento de phishing
O phishing de retorno de chamada, uma parte dos ataques de engenharia social, depende do erro humano e não das vulnerabilidades do sistema.
Portanto, executar regularmente programas de treinamento de conscientização sobre segurança cibernética para funcionários pode minimizar o risco de ataques de phishing de retorno de chamada.
Aqui estão as principais áreas nas quais você deve se concentrar quando construindo um programa de treinamento de conscientização de segurança. Para começar, um programa de treinamento de conscientização de segurança deve oferecer educação sobre várias segurança cibernética ataques, incluindo callback phishing, spam, malware, métodos de engenharia social, ataques baseados em script e muito mais. Deve haver foco suficiente em como identificar e-mails de phishing, URLs maliciosos, sites desonestos, etc.
Os funcionários não devem usar um endereço de e-mail corporativo para baixar ferramentas de tecnologia legítimas e confiáveis de sites falsos ou assinar serviços online aleatórios. Fazer isso é uma maneira segura de convidar e-mails de phishing ou spam. Você deve garantir que seus funcionários sigam as melhores políticas de segurança de senha. Eles também devem usar autenticações multifatoriais para adicionar uma camada de segurança às suas contas.
Seu programa de treinamento também deve ter testes simulados de phishing para avaliar a preparação de seus funcionários para combater campanhas de phishing de retorno de chamada. E certifique-se de que seus funcionários sigam as melhores práticas para proteger contas de e-mail corporativo para evitar fraudes.
Phishing de retorno de chamada explicado
Agora você sabe o que é phishing de retorno de chamada e como pode evitá-lo. Fique atento para evitar ser vítima de um ataque de phishing de retorno de chamada. Além disso, você deve aprender mais para entender como um e-mail de spam detecta esse e-mail rapidamente.
