Investigadores da Check Point alertam para o vishing, uma nova forma de ataque destinada a trabalhadores remotos

Através de uma chamada telefónica fraudulenta, os atacantes forjam a identidade de colaboradores de uma dada empresa na tentativa de obter dados de acesso e informações sensíveis 

Investigadores da Check Point® Software Technologies Ltd. (NASDAQ: CHKP), fornecedor líder especializado em soluções de cibersegurança a nível global, alertam para o aumento de ataques de “vishing”, ataques que têm como alvo os colaboradores que se encontram em teletrabalho. O termo vishing corresponde à combinação de “voice” e phishing e trata-se de um esquema via chamada telefónica que visa incitar uma pessoa a partilhar informações pessoais. No decorrer da chamada, os atacantes fazem se passar por representantes de empresas, tipicamente da área de finanças, recursos humanos ou departamentos legais, levando a cabo táticas de engenharia social para fazer com que as suas vítimas partilhem credencias de contas ou informações bancárias. Estes dados são, posteriormente, utilizados pelos atacantes para roubar dinheiro ou instalar malware nos seus equipamentos.

O alerta dos investigadores da Check Point coincide com o aviso enviado em agosto deste ano pela Cybersecurity and Infrastructure Security Agency (CISA) e pelo FBI, alertando para uma onda de ataques de vishing que tinham como alvos empresas do setor privado dos EUA. De acordo com o aviso, os agentes maliciosos ligavam aos colaboradores que estavam em teletrabalho para recolher credenciais de início de sessão em redes corporativas, acessos que eram posteriormente monetizados.

Como se processam os ataques de vishing?

Como consequência da pandemia, o trabalho remoto transformou-se no formato predominante de trabalho por conferir aos colaboradores um ambiente seguro. Esta mudança contribuiu, contudo, para que os dados corporativos e os próprios colaboradores ficassem mais vulneráveis a ataques de falseamento de identidade. Para o sucesso deste tipo de ataques, os atacantes procedem, primeiramente, à recolha de informação relativa à empresa que pretendem atacar, bem como dos perfis dos altos cargos cujas identidades vão forjar. Esta pesquisa é, por norma, conduzida através do LinkedIn. 

Numa segunda fase, ligam para o centro de apoio da empresa alvo, apresentando-se como um colaborador real e pedindo o número telefónico de outros colaboradores da mesma empresa. Além disso, com o objetivo de ganhar a confiança do interlocutor, o ciberatacante pede à vítima para que instale no seu equipamento o programa TeamViewer (software de gestão de trabalho remoto), alegando querer ajudar na busca pela informação de que necessita. Trata-se, na realidade, de uma forma de obter acesso à rede corporativa.

“Ataques de vishing estão entre as maiores ameaças enfrentadas pelos trabalhadores remotos hoje em dia, estabelecendo-se, até, como uma tendência perturbadora de 2020. Nestes ataques, o atacante controla os canais de informação, deixando o utilizador sem qualquer fonte segura de informação. Uma pessoa não consegue dizer o que é real ou falso,” afirma Lotem Finkelsteen, Manager of Threat Intelligence na Check Point. “Estamos a assistir a um número cada vez maior de ataques que incorporam o vishing nas suas cadeias de infeção, por inúmeras de razões. Os trabalhadores remotos de todas as áreas devem aprender a não partilhar e verificar constantemente a autenticidade da pessoa com quem estão a falar via telefone,” conclui Finkelsteen.

Como pode proteger-se?

• Não partilhe em demasia. A não ser que saiba com certezas com quem está a falar, nunca partilhe informação pessoal através do telefone, especialmente detalhes monetários de pagamento.
• Verifique a autenticidade. Se não tem a certeza da identidade da pessoa que lhe está a ligar, peça o seu número, para que lhes possa ligar de volta. Estando ainda ao telefone, procure pelo número que recebeu de forma a verificar a sua autenticidade.
• Não aceite fazer transferências bancárias para desconhecidos. Não consinta com a realização de transferências bancárias ou pagamentos virtuais para pessoas que não conhece.
• Mantenha-se informado. Conhecimento e educação são cruciais. Quanto mais alerta estiver para este tipo de esquemas, menos provável é que caia neles.
• Desligue a chamada. Não é má educação desligar chamadas suspeitas ou não verificadas.
• Denuncie atividades suspeitas. Faça questão de reportar chamadas suspeitas ou tentativas de fraude ao seu banco o mais rápido possível.