Antes de começar, convém dominares: Fontes fidedignas (6º ano do Ensino Fundamental (Anos Finais))
Você recebe um SMS: «Sua encomenda não pôde ser entregue. Clique aqui para confirmar o endereço.» Você nem estava esperando nenhuma encomenda. Um atacante nem sempre precisa «quebrar» um programa: basta que você entregue a ele os seus dados ou o seu dinheiro. Para isso, ele usa a urgência, o medo ou a confiança. Nesta seção você vai aprender a reconhecer esses golpes e a reagir. No fim, voltamos a este SMS.
O que é o phishing e como reconhecê-lo
Pratica★☆☆Por começar
Explique o que é o phishing e o que costuma pedir no fim, quase sempre, uma mensagem de phishing, qualquer que seja a história que conte.
Explique o que é o phishing e o que costuma pedir no fim, quase sempre, uma mensagem de phishing, qualquer que seja a história que conte.
Você recebe este SMS: «A sua encomenda não pôde ser entregue. Pague $\text{R\$}\ 0,99…
Você recebe este SMS: «A sua encomenda não pôde ser entregue. Pague $\text{R\$}\ 0,99$ de despesas alfandegárias aqui: envios-aduana.info». Aponte pelo menos dois detalhes da mensagem que devem despertar suspeitas e explique o que provavelmente aconteceria se você pagasse.
A figura mostra um e-mail que se passa por um banco, com três sinais de fraude já indicados e mais um elemento marcado com um ponto de interrogação. Explique por que…
A figura mostra um e-mail que se passa por um banco, com três sinais de fraude já indicados e mais um elemento marcado com um ponto de interrogação.
Explique por que cada um dos três sinais indicados denuncia a fraude e o que você deveria verificar no elemento marcado com ? antes de clicar em qualquer lugar.
Escreva um exemplo inventado de mensagem de phishing dirigida a adolescentes (o tema que preferir: shows, jogos, bolsas de estudo) e aponte no seu próprio texto as três…
Escreva um exemplo inventado de mensagem de phishing dirigida a adolescentes (o tema que preferir: shows, jogos, bolsas de estudo) e aponte no seu próprio texto as três armadilhas que colocou para enganar o leitor.
Por que imitam marcas conhecidas e como detectar o link falso
Como se lê um link
Um endereço é lido da direita para a esquerda, até a primeira barra. O domínio principal é a parte imediatamente antes da terminação (.com, .br…), lida da direita para a esquerda; tudo o que vem antes (os subdomínios) pode ser inventado pelo atacante. Como regra prática, são quase sempre as duas últimas partes do nome do servidor, mas há terminações com duas partes (como .com.br, em que o domínio principal inclui mais uma parte).
Parte
Exemplo em https://correios.localizar-pacote.com/dados
protocolo
https://
subdomínios
correios. (inventado pelo atacante)
domínio principal
localizar-pacote.com
caminho
/dados
Este link leva a localizar-pacote.com, e não aos Correios.
Cuidado também com domínios parecidos: o atacante troca letras por números ou símbolos (por exemplo, «banc0» com zero em vez de «banco») ou usa o nome da marca dentro de um domínio que não é dela (como banco-exemplo.seguranca-acesso.com, cujo domínio principal é seguranca-acesso.com). Leia sempre letra por letra o domínio principal.
Pratica★☆☆Por começar
Por que as mensagens de phishing imitam quase sempre marcas muito conhecidas (bancos, empresas de entregas, plataformas de vídeo)? Explique o que o atacante consegue ao…
Por que as mensagens de phishing imitam quase sempre marcas muito conhecidas (bancos, empresas de entregas, plataformas de vídeo)? Explique o que o atacante consegue ao se disfarçar de uma marca em que as pessoas já confiam.
Explique a diferença entre e-mail não solicitado (spam publicitário) e phishing, dê um exemplo inventado de cada um e descreva o que convém fazer com cada tipo de…
Explique a diferença entre e-mail não solicitado (spam publicitário) e phishing, dê um exemplo inventado de cada um e descreva o que convém fazer com cada tipo de mensagem.
Engenharia social: jogar com a confiança, não com o código
As técnicas de persuasão se repetem: urgência («você tem que fazer agora»), autoridade («sou do banco / da operadora»), medo («você vai perder a conta») e confiança («sou eu, seu amigo»). Se alguém ligar dizendo ser da operadora de internet e pedir para instalar um programa, desligue e ligue você mesmo para o número oficial; nunca instale nada a pedido de quem ligou.
Uma conta clonada é fabricada em minutos: o atacante copia a foto e o nome e muda um detalhe pequeno (um ponto, um hífen, um «_»). Depois pede aos seus amigos que a aceitem como «conta nova». Três sinais a denunciam: o nome de usuário não é exatamente igual, a conta é muito recente, com poucas publicações, e o pedido é estranho e feito com pressa. No WhatsApp, o golpe é parecido: alguém usa a foto do seu contato em um número novo e pede dinheiro.
Pratica★☆☆Por começar
Em um chat de suporte técnico, um «assistente» pede a você a sua senha «para verificar a sua identidade». Explique por que nenhum serviço legítimo pede a senha por chat,…
Em um chat de suporte técnico, um «assistente» pede a você a sua senha «para verificar a sua identidade». Explique por que nenhum serviço legítimo pede a senha por chat, e-mail ou telefone, e redija a resposta que você daria.
Explique em que consiste uma conta clonada em uma rede social, como se fabrica uma (mesma foto, nome com um ponto ou um hífen a mais) e quais dois sinais denunciam que…
Explique em que consiste uma conta clonada em uma rede social, como se fabrica uma (mesma foto, nome com um ponto ou um hífen a mais) e quais dois sinais denunciam que não é a conta original do seu amigo.
Uma conta com o nome e a foto da sua prima envia uma mensagem para você pedindo dinheiro com urgência devido a um problema. Explique que verificações você faria antes de…
Uma conta com o nome e a foto da sua prima envia uma mensagem para você pedindo dinheiro com urgência devido a um problema. Explique que verificações você faria antes de responder e por que o nome e a foto de uma conta não garantem quem está por trás dela.
Defina o que é a engenharia social e aplique-a a este caso: uma pessoa liga para casa fazendo-se passar por técnico da operadora de internet e pede para instalar um…
Defina o que é a engenharia social e aplique-a a este caso: uma pessoa liga para casa fazendo-se passar por técnico da operadora de internet e pede para instalar um programa «para reparar a conexão». Aponte que técnicas de persuasão ela usa e como a sua família deveria agir.
A sua mãe recebe uma mensagem: «Mãe, perdi o celular, este é o meu número novo. Preciso que você me faça uma transferência urgente». Explique a tática do «filho em…
A sua mãe recebe uma mensagem: «Mãe, perdi o celular, este é o meu número novo. Preciso que você me faça uma transferência urgente». Explique a tática do «filho em apuros», que verificação desfaria o engano no mesmo instante e que regra familiar (por exemplo, uma palavra-código combinada) você proporia.
Sorteios falsos, códigos QR manipulados e outras iscas
Não confunda e-mail não solicitado (spam publicitário) com phishing. O spam é publicidade em massa, por exemplo «Descontos em tênis, só esta semana!»: é chato, mas não quer roubar nada de imediato; ignore-o ou marque-o como spam. O phishing finge ser alguém de confiança, por exemplo «O seu banco bloqueou a conta, clique aqui»: não clique, não responda e apague a mensagem (ou denuncie-a).
Nos «sorteios» das redes sociais cada exigência tem um objetivo: seguir contas (ganhar seguidores), preencher o formulário (coletar dados pessoais) e pagar o frete (ficar com o dinheiro e com os dados do cartão).
Há ainda a chantagem por e-mail: você recebe uma mensagem que parece enviada do seu próprio endereço, dizendo que gravaram você com a câmera e pedindo dinheiro. O remetente de um e-mail é um campo de texto e pode ser falsificado, assim como o nome escrito em um envelope. O golpe joga com o medo e a vergonha. Não pague, não responda e não abra anexos: apague a mensagem e, se sentir medo, converse com um adulto de confiança.
Pratica★★☆Por começar
Um e-mail anuncia que você ganhou um celular em um sorteio do qual não se lembra de ter participado; para "enviá-lo", pedem o seu nome completo, o seu endereço e uma…
Um e-mail anuncia que você ganhou um celular em um sorteio do qual não se lembra de ter participado; para "enviá-lo", pedem o seu nome completo, o seu endereço e uma foto do seu documento de identificação. Analise quais dados estão tentando obter, para que poderiam ser usados mais tarde e o que você deveria fazer com esse e-mail.
Na zona de estacionamento pago da sua cidade, o cartaz oficial tem um código QR para pagar, mas alguém colou por cima um adesivo com outro código, como mostra a figura.…
Na zona de estacionamento pago da sua cidade, o cartaz oficial tem um código QR para pagar, mas alguém colou por cima um adesivo com outro código, como mostra a figura.
Explique que risco existe em pagar escaneando o código assinalado com ?, como você verificaria qual é o sistema de pagamento oficial e que alternativa segura existe para pagar sem usar esse código.
Uma página também pode pedir permissão para enviar notificações do navegador ou para instalar um perfil ou programa «para validar o cupom». Recuse sempre e feche a página. E não encaminhe mensagens que prometam prêmios em troca de compartilhá-las com outros grupos: é assim que o golpe se espalha através de quem confia em você.
Pratica★★☆Por começar
Você recebe um e-mail que parece ter sido enviado do seu próprio endereço: afirma tê-lo gravado com a câmera e pede dinheiro para não divulgar as imagens. Explique como…
Você recebe um e-mail que parece ter sido enviado do seu próprio endereço: afirma tê-lo gravado com a câmera e pede dinheiro para não divulgar as imagens. Explique como é possível falsificar o remetente de um e-mail, por que este golpe se baseia no medo e na vergonha, e o que você deve fazer — e o que não deve fazer — ao recebê-lo.
Um influenciador digital anuncia o «sorteio» de uns fones de ouvido: para participar é preciso seguir várias contas, preencher um formulário com os seus dados e pagar as…
Um influenciador digital anuncia o «sorteio» de uns fones de ouvido: para participar é preciso seguir várias contas, preencher um formulário com os seus dados e pagar as «despesas de envio». Analise que três objetivos distintos o organizador atinge com cada requisito e por que razão o prêmio provavelmente não existe.
No Brasil, esses golpes usam nomes que você conhece: Correios, bancos, Pix, Receita Federal. Um falso SMS do banco, uma falsa taxa dos Correios, o golpe do Pix, a falsa central de atendimento ou o WhatsApp clonado devem ser tratados como suspeitos, assim como uma mensagem dizendo que você tem uma restituição do Imposto de Renda ou uma cobrança por Pix que você não esperava. Diante de qualquer um deles, confirme por um canal oficial (o aplicativo do banco ou o número impresso no cartão). Se você for vítima ou quiser denunciar, fale com um adulto responsável, avise o banco e procure a SaferNet Brasil ou uma delegacia.
Há ainda dois aspectos importantes:
Nenhum antivírus trava a engenharia social. Se o e-mail não tem software malicioso e é você quem faz a transferência, o antivírus não tem nada para detectar. A defesa é você.
O contexto torna o engano mais eficaz. Uma mensagem genérica («você ganhou um vale») engana poucas pessoas; uma mensagem que coincide com o que você está fazendo, em um momento de pressa, engana muitas mais.
Pratica★★☆Por começar
Compare o objetivo final de três golpes: um phishing bancário, um sorteio falso que pede foto do documento de identificação e uma conta clonada que pede dinheiro aos…
Compare o objetivo final de três golpes: um phishing bancário, um sorteio falso que pede foto do documento de identificação e uma conta clonada que pede dinheiro aos seus familiares. O que cada um procura obter e o que os três têm em comum na fase inicial de contato?
O golpe também pode estar nos resultados de uma pesquisa. Um anúncio patrocinado falso (malvertising) pode aparecer em primeiro lugar, com o título do seu banco, mas levar a um site fraudulento. Também há atacantes que fazem páginas falsas subirem nos resultados do buscador. Aparecer primeiro não é garantia de ser verdadeiro: leia o domínio na barra do navegador (por exemplo, banc0nacional.web-seguro.net não é o do banco) e, para acessar o banco, digite você mesmo o endereço ou use um favorito que você salvou.
Voltando ao início: aquele SMS sobre uma encomenda que você não esperava reúne imitação (uma entrega), urgência e um pedido final (clicar e pagar). Você não clica: se estiver mesmo esperando uma encomenda, verifica no site oficial da transportadora, digitando você mesmo o endereço, ou no aplicativo oficial.
Em resumo
Vamos praticar! 8 exercícios de nível médio neste tema