Exercícios: Enganos e ataques às pessoas

Explique o que é o phishing e o que costuma pedir no fim, quase sempre, uma mensagem de phishing, qualquer que seja a história que conte.

Recebes este SMS: «A sua encomenda não pôde ser entregue. Pague $0,99\ \text{€}$ de despesas alfandegárias aqui: envios-aduana.info». Aponta pelo menos dois detalhes da mensagem que devem suscitar suspeitas e explica o que aconteceria provavelmente se pagasses.

A figura mostra um correio eletrónico que suplanta a identidade de um banco, com três sinais de fraude já assinalados e mais um elemento indicado com um ponto de interrogação.

Explique por que razão cada um dos três sinais assinalados denuncia a fraude e o que deveria verificar no elemento assinalado com ? antes de clicar em qualquer sítio.

Por que razão as mensagens de phishing imitam quase sempre marcas muito conhecidas (bancos, empresas de entregas, plataformas de vídeo)? Explique o que consegue o atacante ao disfarçar-se de uma marca em que as pessoas já confiam.

Explique a diferença entre correio não solicitado (spam publicitário) e phishing, dê um exemplo inventado de cada um e descreva o que convém fazer com cada tipo de mensagem.

Escreve um exemplo inventado de mensagem de phishing dirigida a adolescentes (o tema que preferires: concertos, jogos, bolsas de estudo) e aponta no teu próprio texto as três armadilhas que colocaste para enganar o leitor.

Num chat de suporte técnico, um «assistente» pede-lhe a sua palavra-passe «para verificar a sua identidade». Explique por que razão nenhum serviço legítimo alguma vez pede a palavra-passe por chat, correio eletrónico ou telefone, e redija a resposta que daria.

Explique em que consiste uma conta clonada numa rede social, como se fabrica uma (mesma fotografia, nome com um ponto ou um hífen a mais) e que dois sinais denunciam que não é a conta original do seu amigo.

Uma conta com o nome e a foto da sua prima envia-lhe uma mensagem a pedir dinheiro com urgência devido a um problema. Explique que verificações faria antes de responder e por que razão o nome e a foto de uma conta não garantem quem está por trás dela.

Defina o que é a engenharia social e aplique-a a este caso: uma pessoa liga para casa fazendo-se passar por técnico da operadora de Internet e pede para instalar um programa «para reparar a ligação». Aponte que técnicas de persuasão usa e como deveria agir a sua família.

Um correio eletrónico anuncia que ganhou um telemóvel num sorteio em que não se lembra de ter participado; para o «enviarem», pedem o seu nome completo, a sua morada e uma foto do seu documento de identificação. Analise que dados estão a tentar obter, para que poderiam ser usados mais tarde e o que deveria fazer com esse correio eletrónico.

Na zona de estacionamento pago da tua cidade, o cartaz oficial tem um código QR para pagar, mas alguém colou por cima um autocolante com outro código, como se mostra na figura.

Explica que risco existe em pagar digitalizando o código assinalado com ?, como verificarias qual é o sistema de pagamento oficial e que alternativa segura existe para pagar sem usar esse código.

Recebe um correio eletrónico que parece ter sido enviado do seu próprio endereço: afirma tê-lo gravado com a câmara e pede dinheiro para não divulgar as imagens. Explique como é possível falsificar o remetente de um correio eletrónico, por que razão este engano se baseia no medo e na vergonha, e o que deve fazer — e o que não fazer — ao recebê-lo.

Um influenciador digital anuncia o «sorteio» de uns auscultadores: para participar é preciso seguir várias contas, preencher um formulário com os seus dados e pagar as «despesas de envio». Analise que três objetivos distintos atinge o organizador com cada requisito e por que razão o prémio provavelmente não existe.

A sua mãe recebe uma mensagem: «Mãe, perdi o telemóvel, este é o meu número novo. Preciso que me faças uma transferência urgente». Explique a tática do «filho em apuros», que verificação desfaria o engano no mesmo instante e que regra familiar (por exemplo, uma palavra-código combinada) proporia.

Compare o objetivo final de três burlas: um phishing bancário, um sorteio falso que pede uma fotografia do documento de identificação e uma conta clonada que pede dinheiro aos seus familiares. O que procura obter cada uma e o que têm as três em comum na sua fase inicial de contacto?

Numa empresa, o departamento financeiro recebe este e-mail: «Olá, Carlos. Estou numa reunião com clientes e surgiu um pagamento imprevisto a um fornecedor-chave de 4 850,00 €. Transfere-o antes das 14:00 para este IBAN; anexarei a fatura mais tarde. Não me ligues porque não posso atender o telefone. Cumprimentos, Marta (Diretora)». O e-mail provém de 'marta.directora@empresa-pagos.pt' em vez de 'marta@empresa.pt'. Apesar de ter um antivírus atualizado no computador, o Carlos efetua o pagamento.

1. a) Justifica tecnicamente por que motivo nenhum antivírus de cliente conseguiu bloquear este ataque.
2. b) Desenha um protocolo administrativo e técnico de autorização de pagamentos (utilizando verificação fora de banda ou duplo fator) que torne inviável esta burla, garantindo que o Carlos não dependa apenas da sua intuição.

Analisa a seguinte tabela com três ataques sofridos pelo pessoal de uma escola:

1. SMS do remetente 'CTT' a avisar de uma encomenda retida com a ligação 'bit.ly/paq-34'.

2. Chamada de um suposto técnico do Ministério da Educação a pedir por voz o código SMS que acaba de chegar ao telemóvel do diretor para «atualizar a firewall da escola».

3. E-mail de 'soporte@educa-lisboa.pt' (o domínio oficial é 'educa.lisboa.pt') com um anexo 'actualizacion.pdf.exe'.

1. a) Explica que limitação técnica da telefonia tradicional permite falsificar com tanta facilidade o identificador de chamada (CLI) ou o remetente alfanumérico no smishing e no vishing em comparação com o correio eletrónico.
2. b) Prevê o que aconteceria se o diretor entregasse o código no caso 2 e justifica por que motivo o segundo fator de autenticação (2FA) por SMS fica anulado neste ataque de engenharia social.

Observa estas quatro ligações recebidas numa mensagem de mensagens instantâneas:

1. https://banco-santander.seguridad-acceso.com/login

2. https://www.bancosantander.es/es/particulares

3. https://www.banc0santander.es/acceso

4. https://bit.ly/3xK9LqP (ligação encurtada cujo destino real oculto é http://santander.login.ru)

1. a) Decompõe a estrutura da ligação 1 (protocolo, subdomínio, domínio principal e caminho) e demonstra a que servidor real se ligaria a vítima se clicar.
2. b) Explica o procedimento técnico exato para verificar o destino real da ligação 4 sem a abrir, tanto num navegador de computador como num telemóvel.
3. c) Justifica por que motivo a ligação 3 é um exemplo de 'typosquatting' e que risco acrescido apresenta em ecrãs de telemóvel com tipografias comprimidas.

Num grupo de mensagens escolares torna-se viral a seguinte mensagem enviada por um colega: «Estão a oferecer sapatilhas de marca pelo teu aniversário! Entra em www.marca-promocion.com/regalo, responde a 3 perguntas e reencaminha isto para 5 grupos para receberes o teu cupão». A página web solicita a autorização de notificações do navegador e a instalação de um perfil de configuração no telemóvel para «validar o cupão».

1. a) Explica o mecanismo de engenharia social que o atacante aproveita para que sejam as próprias vítimas a distribuir a burla de forma orgânica sem que as suas contas tenham sido comprometidas.
2. b) Prevê tecnicamente que riscos assume um utilizador ao aceitar a instalação de um perfil de configuração desconhecido no seu telemóvel.
3. c) Desenha uma lista de 3 diretrizes técnicas de filtragem que qualquer utilizador deveria aplicar antes de reencaminhar uma ligação recebida num grupo, avaliando o URL, os incentivos e as permissões solicitadas.

Analisa a seguinte cronologia de um incidente de segurança:

• 10:15 h: A vítima recebe um SMS do seu banco («ALERTA: Débito não autorizado de 250,00 €. Se não o reconhece, anule-o com urgência em https://banco.atencion-fraude.com»).

• 10:17 h: Acede à ligação (com cadeado HTTPS e design idêntico ao real) e introduz o seu cartão de cidadão (número de identificação) e a palavra-passe de acesso.

• 10:19 h: O sítio web pede-lhe para introduzir um código de utilização única que acaba de receber por SMS para «cancelar a operação fraudulenta».

1. a) Interpreta tecnicamente o que está o atacante a fazer entre as 10:17 h e as 10:19 h nos sistemas do banco real com os dados que a vítima introduz no sítio falso.
2. b) Justifica por que motivo a presença do cadeado HTTPS não garante de todo que o sítio web pertença ao banco legítimo.
3. c) Desenha o plano de contingência imediato (3 ações ordenadas por prioridade) que a vítima deve executar se se aperceber do engano logo às 10:20 h.

Após uma fuga de dados numa loja de informática, um cliente recebe um e-mail de 'pedidos@tienda-informatica.com' que diz: «Estimado João, relativamente à sua compra do portátil Gamer-X de 12 de março, ocorreu um erro no cálculo do IVA (42,00 €). Descarregue a fatura retificativa em anexo 'Factura_IVA.zip' ou a encomenda será cancelada».

1. a) Justifica por que motivo os filtros antispam baseados em análise heurística de texto não detetam esta mensagem, apesar de o remetente ser falsificado.
2. b) Explica o papel dos registos criptográficos de correio (como SPF, DKIM ou DMARC) para que o servidor de destino identifique se o e-mail provém realmente do servidor autorizado da loja.
3. c) Se o João abrir o ficheiro 'Factura_IVA.zip' e encontrar um ficheiro chamado 'Factura_IVA.pdf.exe', explica a técnica de ocultação utilizada e prevê o que aconteceria se o sistema operativo tiver ativada por defeito a opção «Ocultar as extensões para tipos de ficheiro conhecidos».

Num simulacro de cibersegurança numa empresa de software de 200 funcionários, o departamento técnico envia duas campanhas de phishing simulado:

• E-mail A (Genérico): «Ganhaste um vale de oferta de 100,00 €. Clica aqui para o resgatar». Enviado numa terça-feira às 10:00 h.

• E-mail B (Contextualizado): «Urgente: Erro de sincronização no repositório de código antes da implementação. Confirma as tuas credenciais antes das 18:00 h para não perderes as tuas alterações». Enviado numa sexta-feira às 17:45 h.

Resultados: No e-mail A caiu 2,5 % da equipa; no e-mail B caíram 38,0 %, incluindo engenheiros seniores.

1. a) Interpreta os dados obtidos: que fatores cognitivos, temporais e de contexto explicam a enorme diferença de sucesso entre ambos os e-mails?
2. b) Rebate tecnicamente a afirmação de um gestor que afirma: «Basta formar melhor os funcionários; a culpa é do utilizador que não olha bem para o link».
3. c) Propõe duas medidas técnicas ao nível do sistema (como chaves FIDO2 ou gestores de palavras-passe corporativos) que impeçam o roubo da conta mesmo que o utilizador caia no engano do e-mail B.

Um utilizador escreve num motor de busca «acesso clientes banco nacional». O primeiro resultado patrocinado (anúncio) mostra o título «Banco Nacional - Acesso Clientes», mas ao clicar a barra do navegador mostra: 'https://banc0naci0nal.pt-web.net/login'.

1. a) Explica em que se diferencia este vetor de ataque (malvertising e envenenamento de motores de busca) do phishing tradicional por correio eletrónico e por que razão gera uma taxa de engano muito superior.
2. b) O website fraudulento dispõe de um certificado SSL/TLS válido (mostra o cadeado fechado a verde/cinzento). Justifica a diferença entre a encriptação da ligação e a autenticação da identidade do proprietário do website.
3. c) Desenha dois hábitos técnicos de navegação para serviços críticos (banca, correio institucional) que anulem por completo este vetor de ataque sem depender dos resultados do motor de busca.