A Kaspersky descobriu uma evolução sofisticada das
técnicas de phishing utilizadas pelos cibercriminosos para contornar a
autenticação de dois fatores (2FA), uma medida de segurança crucial concebida
para proteger as contas online. Apesar da sua adoção generalizada por muitos websites
e da sua implementação obrigatória por várias organizações, os cibercriminosos desenvolveram
métodos avançados, que combinam técnicas de phishing com a utilização de bots
OTP automatizados, para enganar os utilizadores e obter acesso não autorizado
às suas contas.
A
autenticação de dois fatores é uma funcionalidade de segurança que se tornou
uma prática padrão na segurança online. Exige que os utilizadores verifiquem a
sua identidade através de uma segunda forma de autenticação, normalmente uma password
de uso único (OTP) enviada por mensagem de texto, e-mail ou uma aplicação de
autenticação. Esta camada extra de segurança destina-se a proteger as contas
dos utilizadores, mesmo que as suas passwords sejam comprometidas. No entanto, a
Kaspersky averiguou que os cibercriminosos conseguiram desenvolver novas formas
de enganar os utilizadores e fazer com que estes revelem a OTP, permitindo-lhes
contornar as proteções da 2FA.
Um bot OTP é uma ferramenta utilizada para intercetar uma password de uso único (OTP) através de técnicas de engenharia social. Normalmente, os atacantes tentam obter as credenciais de início de sessão da vítima através de phishing ou de fugas de dados e, em seguida, iniciam sessão na conta da vítima, acionando o envio de uma OTP para o telemóvel da vítima. Depois disso, o bot OTP telefona à vítima, fingindo ser um representante de uma organização de confiança, e utiliza um diálogo pré-escrito para persuadir a vítima a partilhar a OTP. O atacante recebe a OTP através do bot e utiliza-a para obter acesso à conta da vítima.
Website de Phishing que imita o
design da página de login de um banco online
Os
burlões preferem as chamadas telefónicas às mensagens porque as chamadas
aumentam as hipóteses de a vítima responder rapidamente. O bot pode imitar o
tom e a urgência de uma chamada legítima, tornando-a mais convincente.
Outra
vantagem é que são geridos através de painéis online especiais ou de
plataformas de mensagens como o Telegram. Estes bots vêm com várias
funcionalidades e planos de subscrição. Podem ser personalizados para se
fazerem passar por diferentes organizações, usar vários idiomas e até escolher
entre vozes masculinas e femininas. As opções avançadas incluem a falsificação
de números de telefone, fazendo com que o identificador de chamadas pareça vir
de uma organização legítima.
Antes
de utilizar um bot OTP, precisam de ter acesso às credenciais da vítima.
Utilizam frequentemente websites de phishing que parecem páginas de início de
sessão legítimas de bancos, serviços de e-mail ou outras contas online. Quando
a vítima introduz o seu nome de utilizador e password, captam esta informação
em tempo real.
A investigação
da Kaspersky mostra o impacto significativo destes ataques de phishing e de
bots OTP. De 1 de março a 31 de maio de 2024, os produtos da empresa impediram
653.088 tentativas de visita a sites gerados pelos kits de phishing dirigidos
ao setor bancário, cujos dados são frequentemente utilizados em ataques com
bots OTP. Durante o mesmo período, a tecnologia da Kaspersky detetou 4.721
páginas de phishing geradas pelos kits que têm como objetivo contornar a
autenticação de dois fatores em tempo real.
"A engenharia social pode ser
incrivelmente complicada, especialmente com a utilização de bots OTP, que permitem
que o cibercriminoso se faça passar por representantes de serviços legítimos.
Para nos mantermos atentos, é crucial permanecermos vigilantes e seguirmos as
melhores práticas de segurança. Através da investigação e inovação contínuas, a
Kaspersky disponibiliza soluções de segurança de ponta para salvaguardar as
vidas digitais dos seus utilizadores", afirma Olga Svistunova, especialista
em segurança da Kaspersky.
Saiba mais sobre bots OTP em Securelist.com
Embora a autenticação de dois fatores (2FA) seja uma medida de segurança importante, não é infalível. Para se proteger destes esquemas sofisticados, a Kaspersky recomenda:
- Evite abrir ligações que receba em e-mails suspeitos. Se precisar de iniciar sessão na sua conta na organização, escreva o endereço manualmente ou utilize um marcador.
- Certifique-se de que o endereço do website está correto e não contém erros de digitação antes de introduzir as suas credenciais - o Whois verifica o website: se foi registado recentemente, é provável que se trate de um sítio fraudulento.
- Não pronuncie nem introduza o código de utilização única enquanto estiver ao telefone, por muito convincente que seja o interlocutor. Os verdadeiros bancos e outras empresas nunca utilizam este método para verificar a identidade dos seus clientes.
- Opte por soluções da linha de produtos Kaspersky Next que ofereçam proteção em tempo real, visibilidade de ameaças, capacidades de investigação e resposta de EDR e XDR para organizações de qualquer dimensão e indústria. Dependendo das suas necessidades atuais e dos recursos disponíveis, pode escolher o nível de produto mais relevante e migrar facilmente para outro se os seus requisitos de segurança cibernética estiverem a mudar.
- Invista em cursos adicionais de cibersegurança para as suas equipas, de modo a mantê-lo atualizado com os conhecimentos mais recentes. Com a formação Kaspersky Expert, orientada para a prática, os profissionais de InfoSec podem melhorar as suas competências e defender as suas empresas contra ataques sofisticados. Pode escolher o formato mais adequado - cursos online autónomos ou cursos ao vivo orientados por formadores.
Post A Comment:
0 comments: