Todos os anos multiplicam-se os ataques de phishing com as férias de verão como tema central. Como pode proteger a sua empresa desta ameaça sazonal?
Durante os meses de verão, quando os colaboradores e os clientes estão de férias, o ritmo normalmente abranda para as empresas. Mas para os cibercriminosos acontece o contrário, porque estão ocupados a aproveitar os níveis mínimos de pessoal nas empresas durante o período de férias para lançar ataques complexos. A Agência Federal de Cibersegurança e Segurança de Infraestruturas dos EUA (CISA) adverte que o risco de ser atingido por um ciberataque aumenta durante as férias e os ataques de phishing com o tema das férias de verão ganham especial força.
Recentemente, o Centro de Defesa contra o Phishing (PDC) publicou um relatório que destaca uma nova campanha em que os atacantes se fazem passar pelo departamento de Recursos Humanos de uma empresa, enviando mensagens de email enganosas a funcionários insuspeitos para que abram uma hiperligação que imita a submissão de mapas de férias. No entanto, quando abrem a página de phishing, esta pede-lhes que forneçam o seu nome de utilizador e palavra-passe, obtendo assim as suas credenciais. Esta versão de comprometimento de email empresarial (BEC) mostra como evoluíram as campanhas de phishing centradas nas férias e nas viagens.
1. Forneça formação em segurança aos seus funcionários antes das férias: agende cursos para atualizar as políticas de segurança da sua organização, para que estejam familiarizados com as melhores práticas de cibersegurança quando estão fora do escritório. Até porque 55% dos colaboradores admitem confiar exclusivamente nos seus dispositivos móveis enquanto trabalham a partir de destinos de férias durante os seus dias de folga. Para além do phishing, estão expostos a outro risco, o smishing, o que significa que é particularmente importante estabelecer práticas de trabalho móvel seguras.
2. Certifique-se de que os colaboradores sabem como reconhecer tentativas de phishing: Para além de se fazerem passar por RH, os cibercriminosos podem fazer-se passar por alguém fora do escritório. Se os atacantes tiverem acesso ao calendário ou à conta de email de alguém, saberão quando essa pessoa está de férias e podem fazer-se passar por ela, enviando mensagens a outros funcionários com o objetivo de obter acesso privilegiado ao sistema ou extorquir dinheiro. É importante verificar cuidadosamente o destinatário das mensagens de email, procurar palavras que pareçam estranhas e verificar as comunicações com a pessoa que envia a mensagem para se certificar de que não se trata de um embuste.
3. Elaborar planos de contingência: desenvolver planos que sirvam de guia para que se possa reagir de forma rápida e eficiente, limitando os impactos e o alcance de um ataque. Estes planos devem incluir a discriminação de quem deve estar envolvido e as suas responsabilidades, delineando cenários de acordo com as férias dos membros da equipa.
4. Implementar autenticação de múltiplos fatores (MFA): A implementação de uma solução MFA pode impedir que os atacantes entrem na rede da sua organização se um dos membros da sua equipa tiver sido vítima de um ataque de phishing bem-sucedido. Além disso, quando a solução tem em conta o ADN do dispositivo móvel, se os atacantes tentarem clonar o dispositivo de um utilizador para obter acesso ao sistema, serão bloqueados, uma vez que o ADN do dispositivo não coincide.
5. Utilizar segurança para endpoints: dispor de uma solução avançada de deteção e resposta, capaz de monitorizar continuamente os dispositivos e de permitir o bloqueio automático de comportamentos anómalos de utilizadores, máquinas e processos, garante a proteção dos dispositivos de rede no caso de um cibercriminoso obter acesso ao sistema da empresa na sequência de um ataque de phishing bem-sucedido.
Ao ter em conta estas práticas e implementar a tecnologia adequada, as empresas podem ficar tranquilas durante o verão e os seus colaboradores podem desfrutar das suas férias, seguros de que estão protegidos contra o phishing.
António Correia, sales manager da WatchGuard Technologies