Spoofing x Phishing: tudo que você precisa saber

Entre os crimes cibernéticos que fazem vítimas todos os dias no país está o Spoofing. A técnica é caracterizada pela cópia e exploração da identidade de endereços eletrônicos confiáveis para invadir sistemas, roubar dados e espalhar malwares.

Oriundo do inglês “spoof” (imitar, fingir), o Spoofing é facilmente confundido com o Phishing, mas o primeiro é conhecido pela sua abordagem mais ampla pois depende da capacidade do hacker fingir que é outra pessoa, entidade ou marca para a vítima expor informações pessoais sensíveis.

Além de disfarçar e-mails, mensagens e telefonemas, os ataques de spoofing também podem chegar a um nível técnico mais profundo no caso do spoofing de DNS ou IP. Para entender melhor todos esses detalhes e aprender como se defender desse tipo de ciberataque, continue a leitura!

Como o Spoofing funciona?

Para cometer um ataque de Spoofing, o hacker finge que é outra pessoa para enganar a vítima. Os contatos podem ser por e-mail, telefone ou mensagens e podem levar ao compartilhamento de informações pessoais, fraudes financeiras e roubo de identidade.

Um exemplo é receber o telefonema de uma pessoa afirmando ser gerente do seu banco e a necessidade de confirmar um código enviado para o celular da vítima. Muitas vezes, eles chegam a utilizar iscas que deixam a pessoa apreensiva como afirmar que tentaram fazer um empréstimo em seu nome ou que o cartão foi clonado. A mesma abordagem pode ser feita por e-mail, com mensagens ‘urgentes’ para acessar links.

Qual é a diferença entre Spoofing e Phishing?

Muitas pessoas acreditam que Spoofing e Phishing são o mesmo tipo de crime cibernético. Phishing é uma alusão ao ato de “pescar” vítimas no meio virtual por meio de iscas – e-mails ou comunicações que parecem ser feitas por organizações reais.

Em geral, a mensagem solicita informações pessoais ou financeiras e bancárias, mas também pode incluir um link para um site suspeito em que estes dados são inseridos. Os criminosos contam com a distração ou falta de conhecimento das vítimas, pois esses canais de comunicação fazem parte do dia a dia da maioria das pessoas.
Parece uma abordagem bastante parecida com o Spoofing, mas há algumas características sutis que diferenciam as técnicas:

• Em ambos, o objetivo do hacker é roubar informações confidenciais da vítima, mas no Phishing não há apropriação da identidade - como acontece no Spoofing;
• No Phishing, o hacker “atrai” as vítimas com uma isca, como e-mails falsos, com o objetivo de fazer com que elas forneçam dados pessoais. Esses dados podem ou não ser utilizados para roubo de identidade. Ou seja, o Spoofing pode fazer parte do Phishing;
• Ao contrário do Phishing, o ataque de Spoofing pode causar danos sem roubar as informações. Isso acontece, por exemplo, quando o foco do hacker é espalhar malwares pela rede.

De forma geral, os golpes de Spoofing e Phishing são similares e, comumente, são utilizados juntos. Especialmente quando os hackers utilizam da engenharia social manipuladora do Spoofing para aperfeiçoar as iscas de Phishing, tornando a aparência da comunicação mais confiável.

Por isso, é preciso ficar atento aos diferentes tipos de Spoofing e investir em formas efetivas de se proteger.

Conheça os tipos de Spoofing

1) Spoofing de e-mail

Spoofing de e-mail é caracterizado pela criação e envio de e-mails de um endereço forjado que as vítimas irão reconhecer, como o do próprio banco ou um fornecedor confiável da empresa em que trabalha.

2) Spoofing de site

Nesse tipo de Spoofing, o criminoso cria um site falso mas que parece confiável. Ao fazer o login, o usuário entrega suas credenciais de acesso.

Isso pode ser feito pelo “typosquatting”, que se aproveita de erros ortográficos comuns ao digitar endereços eletrônicos nos navegadores - com letras trocadas, por exemplo - para a vítima não perceber a diferença na URL.

As falsificações podem ser tão refinadas que cibercriminosos utilizam até mesmo anúncios nos principais navegadores da web para que os sites fraudulentos apareçam no topo da página de pesquisa, por exemplo. Outra técnica para fazer com que as pessoas acessem esses sites falsificados é vincular os links aos e-mails de phishing.

3) Spoofing de IP

O endereço IP é uma cadeia de números que informa qual é aquele dispositivo conectado à Internet. Conforme envia ou recebe informações, a máquina utiliza um pacote de dados que facilita o encontro desse IP.

Para se proteger de ataques, muitas redes são configuradas para serem acessadas por uma lista pré-aprovada de endereços IP. É uma medida importante para evitar o ingresso de dispositivos desconhecidos. Para “burlar” essa proteção, o hacker pode alterar um endereço de IP conhecido da rede para enganar e invadir o sistema.

4) Spoofing de ARP

O Spoofing de ARP permite que o criminoso ingresse em uma LAN ao disfarçar o computador que usa - fazendo com que a rede acredite ser um membro.

5) Spoofing de DNS

Nesse tipo de ataque, as vítimas são desviadas de um site para o outro por meio de um “envenenamento” do cache de DNS. Ao acessar um site legítimo, a pessoa é redirecionada para sites fraudulentos que podem coletar dados pessoais ou contaminar o computador com malware.

6) Spoofing de ID de chamador

Bastante utilizado em telefonemas, o Spoofing de ID do chamador engana as vítimas ao parecer que o remetente é um número confiável ou uma região geográfica específica.

7) Spoofing de GPS

O Spoofing de GPS tem como alvo principal os smartphones ou rastreadores com dados de localização ativos. O ataque busca tem como objetivo fazer com que o dispositivo pareça estar em outro lugar ao falsificar as coordenadas de GPS.

Como se proteger do Spoofing?

Se você chegou até aqui já percebeu que o Spoofing possui diversas abordagens para o hacker conseguir se apropriar de informações sigilosas e consiga invadir redes e dispositivos. Mas, mesmo diante do nível de sofisticação da técnica, a boa notícia é que é possível se proteger tanto do Spoofing como do Phishing com algumas medidas de segurança.

• Tenha atenção com os tipos de spoofing: ao conhecer as formas como os criminosos agem, você terá mais chances de se atentar aos detalhes em qualquer tipo de comunicação que pareça ilegítima;
• Confirme antes de compartilhar qualquer informação pessoal: tenha o hábito de ligar para a pessoa que aparece como remetente ou digitar endereços eletrônicos de forma manual (e também números de telefone) para confirmar o pedido feito por e-mails ou em mensagens;
• Não abra anexos estranhos: se você não estava esperando receber aquele anexo, não abra. Especialmente se o arquivo tiver extensões ou nomes incomuns;
• Esconda o endereço IP: o seu endereço IP deve ser tratado como uma informação confidencial. Então, tenha o hábito de ocultá-lo ao navegar;
• Troque de senha periodicamente: logins e senhas são credenciais de acesso bastante utilizadas em golpes de spoofing. Para evitar ser uma vítima, crie senhas fortes e as troque de forma periódica;
• Não clique antes de verificar o link: sempre leia a URL com atenção (letra por letra) antes de clicar. Confirme novamente o endereço da página antes de colocar login e senha para checar se não houve redirecionamento. Também certifique-se que o site utiliza criptografia HTTPS;
• Informe o remetente se suspeita de uma tentativa de Spoofing: se você notou algo estranho em um site ou e-mail, não hesite em informar o suposto remetente por outra via de contato;
• Use um software antivírus: além da proteção em caso de cliques ou tentativas de invasão, muitos programas contêm recursos integrados que detectam ameaças em tempo real;
• Desconfie de domínios genéricos: empresas normalmente não utilizam endereços de provedores gratuitos de e-mail, por exemplo. Sempre verifique o domínio oficial da organização;
• Solicitação de dados sensíveis: empresas do ramo financeiro já utilizam como regra a não solicitação de informações pessoais dos seus clientes por e-mail ou telefone. Então, sempre desconfie se essa for a motivação da mensagem;
• Erros gramaticais, saudações estranhas e incoerências na mensagem: apesar de possuírem técnicas sofisticadas, os criminosos podem indicar que a tentativa de contato é um golpe pela forma como o e-mail está escrito, por exemplo. Atente-se a saudações estranhas, erros de gramática e incoerências na mensagem;
• Senso de urgência: “sua conta será encerrada”, “você receberá uma multa”, “evite um processo” são alguns exemplos de mensagens que trazem um senso forçado de urgência para apressar o clique do usuário.

DICA BÔNUS: Invista em soluções efetivas de cibersegurança

Estar atento a todas as recomendações citadas acima é fundamental para evitar os golpes de Spoofing. Mas, especialmente no caso de empresas, se torna primordial investir em soluções efetivas de cibersegurança.

Até porque os ataques baseados em e-mails são uma das principais ameaças que as empresas enfrentam. Todos os dias, cibercriminosos enviam bilhões de novos e-mails de phishing e grande parte das tecnologias comumente usadas não são suficientes para acompanhar o volume ou os tipos de ameaças por e-mail.

Em geral, os provedores de e-mail em nuvem oferecem alguns recursos de segurança, mas a engenharia social, imitações internas e de fornecedores e até mesmo a falta de conhecimento dos colaboradores podem causar prejuízos milionários à organização.

Para evitar esse cenário, IRONSCALES, oferecido pela IB Cybersecurity, é uma plataforma de segurança SaaS (Software as a Service) alimentada por IA, aprimorada por milhares de equipes de segurança e criada para detectar e remover ameaças na caixa de entrada dos colaboradores.

A solução é fácil de ser implementada e operada, com ampla capacidade de parar todos os tipos de ameaças por e-mail, incluindo malwares, ransomwares, BEC e outros. Além disso, a IB Cybersecurity oferece ainda uma ampla gama de serviços que impulsionam as empresas de forma proativa frente às ameaças.

Entre eles, relatórios analíticos extraídos do uso dos sistemas, com informações úteis sobre os incidentes de segurança, e laudos periciais assinados por profissionais legalmente habilitados para fornecer documentos com força jurídica.

Clique aqui e veja como a IB Cybersecurity pode auxiliar a sua empresa no combate aos ciberataques!