Phishing: como proteger sua empresa
Não há dúvidas de que o phishing hoje representa uma das maiores ameaças às organizações. Focando no desconhecimento de usuários e colaboradores, os cibercriminosos conseguem espalhar malware, obter ganhos financeiros e ter acesso a credenciais e informações sensíveis. Por isso, neste artigo nós vamos dar dicas essenciais sobre como proteger sua empresa contra phishing.
Principais tópicos deste artigo
O que é phishing e por que ele é tão perigoso
Phishing é um golpe em que cibercriminosos tentam persuadir pessoas a tomar uma determinada ação, como clicar em um link malicioso, fornecer dados confidenciais (como senhas e credenciais de acesso) ou executar alguma transferência financeira. O nome é uma referência à palavra “fishing” (pescar, em inglês), remetendo justamente à ideia de “pescar” informações importantes.
De forma geral, no phishing os criminosos se passam por marcas ou pessoas de confiança, com e-mails e sites muito similares aos verdadeiros. Os golpes massivos e mais comuns normalmente envolvem grandes marcas conhecidas dos usuários, como bancos, companhias telefônicas ou órgãos do governo.
Porém, há também os ataques de phishing direcionados, em que o atacante tenta se passar por alguém do círculo de confiança da vítima. Por exemplo, personificando um diretor da empresa ou um fornecedor com quem a vítima trabalha.
Por ser um golpe que muitas vezes escapa da detecção das ferramentas de segurança tradicionais, o phishing vem se tornando cada vez mais popular e perigoso. Dados do FBI indicam que o volume desse tipo de ataque aumentou 160% entre 2019 e 2023. Da mesma maneira, estima-se que até 90% dos ataques começam com um e-mail de phishing.
Como proteger sua empresa contra golpes de phishing
Nenhuma estratégia de Segurança da Informação está completa se não levar em consideração a ameaça representada pelo phishing. É essencial levar a sério os riscos e adotar medidas para se proteger contra esse tipo de golpe.
Confira abaixo algumas dicas.
1. Invista em ferramentas específicas de antiphishing
Um dos fatores que torna o phishing tão perigoso é que ele não é detectado pelas ferramentas de segurança tradicionais. Isso inclui a proteção nativa dos provedores de e-mail, como o Microsoft 365 e o Google Workspace. A segurança fornecida por esses provedores é eficiente para barrar spam e malware já conhecido, mas falha quando se trata de phishing e de ataques direcionados.
Para bloqueá-los de forma efetiva, é preciso utilizar uma solução antiphishing moderna, com múltiplas camadas de proteção e algoritmos de inteligência artificial.
Uma solução antiphishing deve ser capaz de identificar phishing com base em uma série de indicadores, filtrando e-mails de entrada, de saída e também internos. Alguns dos recursos que ela deve oferecer são filtragem de URL em tempo real, análise comportamental e a possibilidade de derrubar ameaças direto da caixa de entrada do usuário, mesmo após a entrega da mensagem.
Para saber mais sobre solução antiphishing, conheça o MailInspector, da nossa parceira HSC Labs.
2. Treine e conscientize seus usuários
O phishing tem um modus operandi bem claro: ele foca nas pessoas, explorando o elo mais fraco da Segurança da Informação. Se o seu usuário não sabe identificar um phishing ou não adota um comportamento seguro na web, toda a organização pode ser comprometida.
Por isso, uma das formas mais importantes de se proteger é investir em treinamento e conscientização dos usuários. Isso pode ser feito com a ajuda de um software de conscientização em cibersegurança, que promove campanhas de simulação de phishing e fornece conteúdos de aprendizado.
Com um programa de conscientização, os usuários serão capacitados para lidar de forma segura com phishing, aprendendo a reconhecer ameaças e a reportar mensagens suspeitas. Essa é, sem dúvidas, a barreira de segurança mais importante que a sua organização pode ter.
3. Implemente políticas rigorosas de segurança
Golpes de phishing podem ter objetivos variados, como espalhar malware, conseguir acesso a dados confidenciais ou obter pagamentos e transações financeiras em benefício do cibercriminoso. Para evitar que isso ocorra, é importante que a empresa implemente políticas rigorosas de segurança, com diretrizes claras para a equipe de TI e para todos os usuários.
Isso inclui, por exemplo:
- Políticas para manter aplicativos, softwares e sistemas de segurança sempre atualizados;
- Diretrizes sobre o compartilhamento de dados sensíveis por parte de funcionários;
- Regras e processos claros sobre a conclusão de transações financeiras e pagamentos de boletos;
- Recomendações sobre comportamento seguro, com diretrizes para lidar com arquivos, QR Codes e links desconhecidos;
- Orientações indicando o que o usuário deve fazer caso esteja na dúvida sobre a veracidade de uma mensagem;
- Políticas de segurança de senhas, inclusive com monitoramento de credenciais vazadas na deep web.
4. Compartilhe regularmente dicas sobre como reconhecer phishing
Mesmo que a sua empresa adote um programa de conscientização em segurança, é interessante divulgar regularmente dicas rápidas sobre como reconhecer ataques phishing. Essa é uma medida que pode ser incorporada à comunicação interna da empresa, de forma a servir como um lembrete recorrente para os usuários.
Confira algumas dicas para compartilhar com a equipe:
- Quando receber um e-mail, verifique se o remetente é legítimo e se o @ do e-mail está correto. É comum que a diferença entre um e-mail verdadeiro e um e-mail falso seja sutil, como apenas uma letra trocada.
- Erros de ortografia e mensagens urgentes são sinais comuns de phishing. Lembre-se: o atacante usa o senso de urgência para que você não tenha tempo de refletir e aja rapidamente.
- Cuidado com mensagens que solicitam dados e transações sensíveis, como trocar uma senha ou pagar um boleto. Na dúvida, não responda o e-mail e confirme diretamente com o remetente por meio de outra forma de contato.
- Evite escanear QR codes e clicar em links recebidos por mensagem, especialmente se estiverem encurtados.
Conheça as melhores soluções para combater phishing
Garantir proteção contra phishing não é uma tarefa fácil, mas há soluções eficientes para te ajudar nessa missão. A Oblock é a distribuidora oficial da HSC Labs, que conta com uma solução antiphishing e um software de conscientização e treinamento de usuários.
Quer saber mais? Preencha o formulário e agende uma demonstração!
Agende uma POC e teste nossas soluções antiphishing
Veja na prática como as soluções da HSC ajudam a sua empresa a combater phishing.
Solicite o seu free trial e ainda receba suporte técnico especializado desde o primeiro contato.