O melhor isco: Kaspersky revela quais os e-mails de phishing com maior taxa de sucesso

Os dados do simulador de phishing da Kaspersky Security Awareness Platform mostram que os colaboradores tendem a não reparar nas armadilhas escondidas em e-mails relacionados com questões empresariais e notificações de supostos problemas de entrega. Nos modelos de e-mail que simulam ataques de phishing, a Kaspersky revela que quase um em cada 5 funcionários (16% a 18%) clicou no link malicioso.

De acordo com estimativas, 91% de todos os ciberataques começam com um e-mail de phishing, e as técnicas de phishing estão envolvidas em 32% de todas as violações de dados bem-sucedidas.

Para fornecer mais informações sobre esta ameaça, a Kaspersky analisou dados recolhidos a partir de um simulador de phishing, fornecidos voluntariamente pelos utilizadores1. Integrada na Kaspersky Security Awareness Platform, esta ferramenta ajuda as empresas a verificar se as suas equipas conseguem distinguir um email de phishing de um email real sem colocar em risco os dados corporativos. Um administrador escolhe a partir do conjunto de modelos, imitando cenários comuns de phishing, ou cria um modelo personalizado, depois envia-o a grupos de funcionários sem os avisar previamente, acompanhando os resultados. Quando um grande número de utilizadores clica no link há uma indicação clara de que é necessária formação adicional de sensibilização para a cibersegurança.

Segundo as recentes campanhas de simulação de phishing, os cinco tipos mais eficazes de e-mails de phishing têm como assunto/temática:

• Assunto: Tentativa de entrega falhada - Infelizmente, o nosso estafeta não conseguiu entregar o seu artigo. Remetente: Serviço de entrega de correio. Conversão por clique: 18,5%.
• Assunto: E-mails não entregues devido a servidores de correio sobrecarregados. Remetente: A equipa de apoio da Google. Conversão por clique: 18%.
• Assunto: Inquérito online aos funcionários: O que melhoraria no seu trabalho na empresa. Remetente: Departamento de RH. Conversão por clique: 18%.
• Assunto: Lembrete: Novo código de vestuário para toda a empresa. Remetente: Recursos Humanos. Conversão por clique: 17,5%.
• Assunto: Atenção a todos os colaboradores: novo plano de evacuação do edifício. Remetente: Departamento de Segurança. Conversão por clique: 16%.

Entre os outros e-mails de phishing que ganharam um número significativo de cliques estão: confirmações de reserva de um dado serviço (11%); uma notificação sobre uma suposta encomenda (11%), e um anúncio de concurso do IKEA (10%).

Por outro lado, os e-mails que ameaçam o destinatário, ou que oferecem benefícios instantâneos, parecem ser menos "bem-sucedidos". Um modelo com o tema "Eu pirateei o seu computador e conheço o seu histórico de pesquisa" ganhou 2% de cliques, enquanto as ofertas de Netflix grátis e de $1.000 obtiveram apenas 1% dos cliques possíveis.

"Simular ataques de phishing é uma das formas mais simples de avaliar a ciber-resiliência dos funcionários e avaliar a eficiência da sua formação em cibersegurança. No entanto, há aspetos significativos que devem ser considerados na realização desta avaliação para que tenha um impacto real", comenta Elena Molchanova, Chefe de Desenvolvimento de Negócios de Sensibilização para a Segurança da Kaspersky. "Uma vez que os métodos utilizados pelos cibercriminosos estão em constante mudança, a simulação tem de refletir as tendências atuais da engenharia social, a par de cenários comuns de cibercrime. É crucial que os ataques simulados sejam realizados regularmente e complementados com formação adequada – para que os utilizadores desenvolvam uma forte capacidade de vigilância que lhes permita evitar cair em ataques direcionados ou no chamado phishing direcionado".

Para prevenir violações de dados, e quaisquer perdas financeiras e de reputação relacionadas com ataques de phishing, a Kaspersky recomenda o seguinte para as empresas:

• Relembre aos seus funcionários os sinais básicos indicadores de e-mails de phishing. Uma linha de assunto dramática, erros de digitação, endereços de remetente inconsistentes e ligações suspeitas;
• Se houver alguma dúvida sobre o e-mail recebido, verifique o formato dos anexos antes de os abrir e confira atentamente o link antes de clicar. Isto pode ser conseguido passando o cursor sobre estes elementos – certifique-se de que o endereço parece autêntico e que os ficheiros anexados não estão num formato executável;
• Comunicar sempre ataques de phishing. Se detetar um ataque de phishing, informe o seu departamento de segurança informática IT e, se possível, evite abrir o correio eletrónico malicioso. Isto permitirá à sua equipa de segurança cibernética reconfigurar as políticas antispam e evitar um incidente;
• Forneça às suas equipas conhecimentos básicos de cibersegurança. A educação deve ter como objetivo mudar o comportamento dos aprendizes e ensiná-los a lidar com as ameaças. Como grande fornecedor de cibersegurança, a Kaspersky possui uma base relevante de informação sobre ataques reais e complementa continuamente as suas formações de sensibilização para a segurança de acordo com o atual cenário de ameaças; 
• Uma vez que as tentativas de phishing podem ser confusas, e não há garantia de evitar todos os cliques acidentais, proteja os seus dispositivos de trabalho com segurança fiável. Escolha uma solução que forneça capacidades anti-spam, rastreia comportamentos suspeitos, e cria uma cópia de segurança dos seus ficheiros em caso de ataques de ransomware. A proteção antiphishing está incluída em algumas soluções de segurança, mesmo para pequenas e microempresas, tais como Kaspersky Small Office Security.