Os 5 principais esquemas evolutivos de fraude de correio eletrónico: Tendências para 2024
por
Tempo de leitura: 4 min
O e-mail serve como um canal crítico para a geração de leads B2B e comunicações com clientes, mas é também um dos canais mais visados para ciberataques e esquemas de fraude de e-mail. Os cibercriminosos estão sempre a inovar os seus ataques de modo a roubar mais informação e activos financeiros. À medida que as organizações continuam a lutar com medidas de segurança mais fortes, os cibercriminosos devem constantemente desenvolver as suas tácticas e melhorar as suas técnicas de phishing e de falsificação.
Em 2024, investigadores de segurança de todo o mundo detectaram um aumento drástico na utilização de ataques de phishing baseados em aprendizagem automática (ML) e inteligência artificial (IA) que não são detectados pelas soluções tradicionais de segurança de correio eletrónico. O principal objetivo destes ataques é manipular o comportamento humano e induzir as pessoas a realizar acções não autorizadas - como transferir dinheiro para contas de fraudadores.
Embora a ameaça de ataques e fraudes por correio electrónico esteja sempre a evoluir, não fique para trás. Conheça as tendências de fraude de correio electrónico que terão lugar nos próximos anos em termos de tácticas de fraude, ferramentas, e malware. Através deste post no blog, vou mostrar-lhe como os cibercriminosos estão a desenvolver as suas tácticas, e explicar-lhe como o seu negócio pode impedir que este tipo de ataque de correio electrónico ocorra.
Tipos de esquemas de fraude de correio eletrónico a ter em conta em 2024
1. Compromisso de Email Empresarial (BEC)
A COVID-19 obrigou as organizações a implementar ambientes de trabalho à distância e a passar à comunicação virtual entre empregados, parceiros e clientes. Embora isto tenha alguns benefícios a enumerar, o lado negativo mais aparente é o aumento alarmante da BEC ao longo do ano passado. BEC é um termo mais amplo utilizado para se referir a ataques de fraude por correio electrónico como a falsificação de correio electrónico e o phishing.
A ideia comum é que um ciberataque utilize o seu nome de domínio para enviar e-mails aos seus parceiros, clientes, ou empregados tentando roubar credenciais empresariais para obter acesso a bens confidenciais ou iniciar transferências electrónicas. BEC afectou mais de 70% das organizações durante o último ano e levou à perda de milhares de milhões de dólares de activos da empresa.
2. Ataques de Phishing por e-mail em evolução
Os ataques de phishing por correio eletrónico evoluíram drasticamente nos últimos anos, embora o motivo permaneça o mesmo: é o meio de manipular os seus parceiros de confiança, empregados e clientes para que cliquem em ligações maliciosas encapsuladas num correio eletrónico que parece ter sido enviado por si, a fim de iniciar a instalação de malware ou o roubo de credenciais. Os burlões de e-mail evoluíram e estão a enviar e-mails de phishing que são difíceis de detetar. Desde escrever linhas de assunto impecáveis e conteúdos sem erros até criar páginas de destino falsas com um elevado nível de precisão, o rastreio manual das suas actividades tornou-se cada vez mais difícil em 2024.
3. Man-In-The-Middle
Longe vão os dias em que os atacantes enviavam mensagens de correio eletrónico mal escritas que até um leigo podia identificar como fraudulentas. Atualmente, os agentes de ameaças tiram partido dos problemas de segurança do SMTP, como a utilização de encriptação oportunista nas transacções de correio eletrónico entre dois servidores de correio eletrónico em comunicação, escutando a conversa depois de reverterem com êxito a ligação segura para uma não encriptada. Os ataques MITM, como o downgrade SMTP e a falsificação de DNS, têm vindo a ganhar cada vez mais popularidade em 2024.
4. Fraude do CEO
A fraude do CEO refere-se aos esquemas que estão a ser conduzidos e que visam executivos de alto nível para obter acesso a informações confidenciais. Os atacantes fazem-no assumindo as identidades de pessoas reais, como CEOs ou CFOs, e enviando uma mensagem a pessoas de níveis inferiores da organização, parceiros e clientes, enganando-os para que forneçam informações confidenciais. Este tipo de ataque é também designado por Business Email Compromise ou whaling. Num ambiente empresarial, alguns criminosos estão a tentar criar um e-mail mais credível, fazendo-se passar pelos decisores de uma organização. Isto permite-lhes pedir transferências de dinheiro fáceis ou informações sensíveis sobre a empresa.
5. COVID-19 Vaccine Lures
Os investigadores de segurança revelaram que os hackers ainda estão a tentar capitalizar os receios ligados à pandemia da COVID-19. Estudos recentes lançaram luz sobre a mentalidade dos cibercriminosos, revelando um interesse contínuo no estado de pânico em torno da pandemia da COVID-19 e um aumento mensurável dos ataques de phishing e de correio electrónico comercial (BEC), visando os líderes das empresas. O meio para perpetrar estes ataques é uma falsa isca de vacina COVID-19 que instantaneamente desperta o interesse entre os destinatários de correio electrónico.
Como se pode melhorar a segurança do correio electrónico?
- Configure o seu domínio com normas de autenticação de e-mail como SPF, DKIM e DMARC
- Passar da monitorização de DMARC para a aplicação de DMARC para obter a máxima proteção contra BEC, fraude de CEO e ataques de phishing evoluídos
- Monitorizar de forma consistente o fluxo de correio electrónico e os resultados da autenticação de tempos a tempos
- Tornar a encriptação obrigatória no SMTP com MTA-STS para mitigar os ataques MITM
- Receba notificações regulares sobre problemas de entrega de correio electrónico com detalhes sobre as suas causas de raiz com relatórios SMTP TLS (TLS-RPT)
- Achate o seu registo SPF para mitigar o permerror do SPF, mantendo-se sempre abaixo do limite de 10 pesquisas de DNS
- Ajude os seus destinatários a identificar visualmente a sua marca nas respectivas caixas de entrada com BIMI
O PowerDMARC é a sua plataforma SaaS de autenticação de e-mail única que reúne todos os protocolos de autenticação de e-mail como SPF, DKIM, MTA-STS, TLS-RPT e BIMI num único painel de vidro. Registe-se hoje para obter o seu analisador DMARC gratuito!
Especialista em segurança de domínios e e-mails da PowerDMARC
Ahona é gerente de marketing da PowerDMARC, com mais de 5 anos de experiência em escrever sobre tópicos de segurança cibernética, especializada em segurança de domínio e e-mail. Ahona possui uma pós-graduação em Jornalismo e Comunicação, solidificando sua carreira no setor de segurança desde 2019.
Últimos posts de Ahona Rudra (ver todos)
- A ascensão de esquemas de pretexto em ataques de phishing reforçados - 15 de janeiro de 2025
- DMARC torna-se obrigatório para a indústria de cartões de pagamento a partir de 2025 - 12 de janeiro de 2025
- Alterações do NCSC Mail Check e o seu impacto na segurança do correio eletrónico do sector público do Reino Unido - 11 de janeiro de 2025
