O e-mail serve como um canal crítico para a geração de leads B2B e comunicações com clientes, mas é também um dos canais mais visados para ciberataques e esquemas de fraude de e-mail. Os cibercriminosos estão sempre a inovar os seus ataques de modo a roubar mais informação e activos financeiros. À medida que as organizações continuam a lutar com medidas de segurança mais fortes, os cibercriminosos devem constantemente desenvolver as suas tácticas e melhorar as suas técnicas de phishing e de falsificação.
Em 2021, um aumento drástico no uso de aprendizagem de máquinas (ML) e ataques de phishing baseados em inteligência artificial (IA) que não são detectados pelas soluções tradicionais de segurança de correio electrónico foram detectados por investigadores de segurança de todo o mundo. O principal objectivo destes ataques é manipular o comportamento humano e enganar as pessoas para que realizem acções não autorizadas - como a transferência de dinheiro para contas de fraudadores.
Embora a ameaça de ataques e fraudes por correio electrónico esteja sempre a evoluir, não fique para trás. Conheça as tendências de fraude de correio electrónico que terão lugar nos próximos anos em termos de tácticas de fraude, ferramentas, e malware. Através deste post no blog, vou mostrar-lhe como os cibercriminosos estão a desenvolver as suas tácticas, e explicar-lhe como o seu negócio pode impedir que este tipo de ataque de correio electrónico ocorra.
Tipos de esquemas de fraude de e-mail a ter em atenção em 2021
1. Compromisso de Email Empresarial (BEC)
A COVID-19 obrigou as organizações a implementar ambientes de trabalho à distância e a passar à comunicação virtual entre empregados, parceiros e clientes. Embora isto tenha alguns benefícios a enumerar, o lado negativo mais aparente é o aumento alarmante da BEC ao longo do ano passado. BEC é um termo mais amplo utilizado para se referir a ataques de fraude por correio electrónico como a falsificação de correio electrónico e o phishing.
A ideia comum é que um ciberataque utilize o seu nome de domínio para enviar e-mails aos seus parceiros, clientes, ou empregados tentando roubar credenciais empresariais para obter acesso a bens confidenciais ou iniciar transferências electrónicas. BEC afectou mais de 70% das organizações durante o último ano e levou à perda de milhares de milhões de dólares de activos da empresa.
2. Ataques de Phishing por e-mail em evolução
Os ataques de phishing por correio electrónico evoluíram drasticamente nos últimos anos, embora o motivo tenha permanecido o mesmo, é o meio de manipular os seus parceiros, empregados e clientes de confiança para que estes cliquem em links maliciosos encapsulados dentro de um correio electrónico que parece ser enviado por si, a fim de iniciar a instalação de malware ou roubo de credenciais. Os golpistas de e-mail em evolução estão a enviar e-mails de phishing que são difíceis de detectar. Desde escrever linhas de assunto impecáveis e conteúdo sem erros até criar páginas de aterragem falsas com um elevado nível de precisão, o rastreio manual das suas actividades tem vindo a tornar-se cada vez mais difícil em 2021.
3. Man-In-The-Middle
Passaram os dias em que os atacantes enviavam e-mails mal redigidos que até um leigo podia identificar como fraudulentos. Hoje em dia, os agentes de ameaças estão a tirar partido de problemas de segurança SMTP como a utilização de encriptação oportunista nas transacções de correio electrónico entre dois servidores de correio electrónico comunicantes, escutando a conversa depois de ter conseguido reverter a ligação segura para uma não encriptada. Ataques MITM como o downgrade de SMTP e spoofing de DNS têm vindo a ganhar cada vez mais popularidade em 2021.
4. Fraude do CEO
A fraude do CEO refere-se aos esquemas que estão a ser conduzidos que visam executivos de alto nível a fim de obterem acesso a informações confidenciais. Os atacantes fazem-no tomando a identidade de pessoas reais, tais como CEOs ou CFOs, e enviando uma mensagem a pessoas de níveis inferiores dentro da organização, parceiros e clientes, enganando-os a dar informações sensíveis. Este tipo de ataque é também designado por Compromisso de Email Empresarial ou caça à baleia. Num ambiente de negócios, alguns criminosos estão a aventurar-se a criar um correio electrónico mais credível, fazendo-se passar pelos decisores de uma organização. Isto permite-lhes pedir transferências de dinheiro fáceis ou informações sensíveis sobre a empresa.
5. COVID-19 Vaccine Lures
Os investigadores de segurança revelaram que os hackers ainda estão a tentar capitalizar os receios ligados à pandemia da COVID-19. Estudos recentes lançaram luz sobre a mentalidade dos cibercriminosos, revelando um interesse contínuo no estado de pânico em torno da pandemia da COVID-19 e um aumento mensurável dos ataques de phishing e de correio electrónico comercial (BEC), visando os líderes das empresas. O meio para perpetrar estes ataques é uma falsa isca de vacina COVID-19 que instantaneamente desperta o interesse entre os destinatários de correio electrónico.
Como se pode melhorar a segurança do correio electrónico?
- Configure o seu domínio com normas de autenticação de e-mail como SPF, DKIM e DMARC
- Mudança da monitorização do DMARC para a aplicação do DMARC para obter a máxima protecção contra BEC, fraude do CEO e ataques de phishing evoluídos
- Monitorizar de forma consistente o fluxo de correio electrónico e os resultados da autenticação de tempos a tempos
- Tornar a encriptação obrigatória no SMTP com MTA-STS para mitigar os ataques MITM
- Receba notificações regulares sobre problemas de entrega de correio electrónico com detalhes sobre as suas causas de raiz com relatórios SMTP TLS (TLS-RPT)
- Mitigar o SPF permerror, mantendo-se sempre abaixo do limite de 10 DNS
- Ajude os seus destinatários a identificar visualmente a sua marca nas suas caixas de entrada com BIMI
PowerDMARC é a sua plataforma única de autenticação de correio electrónico SaaS que monta todos os protocolos de autenticação de correio electrónico como SPF, DKIM, MTA-STS, TLS-RPT e BIMI num único painel de vidro. Inscreva-se hoje para obter o seu analisador DMARC gratuito!
- O que é o Pharming e como evitá-lo? - 23 de Setembro de 2022
- O que é o Dumpster Diving em Cybersecurity? - 23 de Setembro de 2022
- O que é um registo DNS AAAA? - 22 de Setembro de 2022
