Apesar de ser um tema muito comentado, os famosos ataques de phishing continuam sendo muito eficientes na hora de obter informação dos usuários descuidados. Essas técnicas de ataque consistem em clonar o site original da instituição bancária que as vítimas acessam, acreditando que estão visitando o site verdadeiro, e sem se dar conta entregam seus dados ao criminoso. Há diferentes métodos para que uma vítima seja enganada, através de técnicas de engenharia social. O caso de phishing a seguir foi direcionado a clientes de um banco brasileiro, reportado por um usuário a nossos laboratórios.
O ataque começa com o envio de um e-mail ao usuário, que é informado sobre uma suposta atualização de um módulo de segurança do banco. No e-mail também se encontra um link que direciona a vítima a outro site:
Uma vez que a vítima acessa o site, automaticamente através de aplicação desenvolvida em Flash, é solicitado que insira os dados de sua conta bancária, CPF e agência:
Todos os dados coletados por essa aplicação são enviados a outro formulário, como se pode ver no decompilador de Flash que utilizamos para analisar o aplicativo:
Se analisarmos o site onde estão armazenados os arquivos de phishing, é possível observar desde um backdoor utilizado para controlar o site, até arquivos para montar um scam para roubo de conversas do Messenger:
É importante que os usuários estejam atentos em não oferecer nenhum tipo de informação pessoal, já que os bancos nunca vão solicitá-los desta maneira. Manter boas práticas para a navegação na Internet e contar com uma solução com detecção proativa, como o ESET NOD32 Antivirus, pode prevenir muitos dos ataques tão habituais que se observam diariamente.
Como um conselho extra, na maioria dos sites em que se solicita informação sensível, como home banking, pagamento de serviços online, compra de produtos, entre outros; pode-se observar na barra de endereços que a URL começa com HTTPS (Hyper Text Transfer Protocol Secure), indicando que a transmissão de dados está sendo codificada.
Claudio Cortés Cid
Especialista de Awareness & Research
