Tendência de ameaças para 2024

Por Roberto Chu

O cenário de ameaças para 2024 incorpora alguns velhos conhecidos, como ataques phishing e tentativas de roubo de credenciais, e também novidades, como os riscos trazidos pela inteligência artificial.

Neste artigo, Roberto Chu, especialista em segurança da HSC, detalha melhor as tendências de ameaças para este ano. Confira!

1. Ataques persistentes de fraude de sistemas internos

Os ataques de phishing de credenciais não são uma novidade. Na verdade, eles são o ataque de email de maior volume, responsáveis por 76% de todos os ataques avançados recebidos. No entanto, as falsificações de sistemas internos como tática para roubo de credenciais estão se tornando cada vez mais comuns entre as ameaças.

Nesses ataques, geralmente os criminosos se passam por profissionais de TI da empresa alvo, por um terceirizado contratado ou por sistemas de RH e outras tecnologias internas. Assim, tentam induzir os funcionários a clicarem em links de phishing que imitam os sistemas e aplicativos utilizados pela empresa.

Os sites de phishing fraudulentos costumam ser criados para parecerem idênticos às páginas de login reais, tais como páginas falsas do Office365, páginas falsas de webmail, etc. É quase impossível para os funcionários distinguirem uma página maliciosa de uma página real, tornando esse tipo de ataque uma ameaça desafiadora às empresas.

2. Ataques sem carga do código

Na maior parte das vezes, nesse tipo de ataque os emails não possuem um anexo ou link malicioso.

Em geral, eles possuem instruções de pagamento para contas falsas ou simplesmente induzem a vítima a tomar alguma ação. Por exemplo, o criminoso pode enviar um e-mail reportando um suposto uso indevido do cartão de crédito, instruindo a vítima a ligar para um número de telefone falso.

Ao fazer isso, a vítima é conectada a uma falsa central de atendimento, onde aí sim recebe instruções que vão ajudar a concluir o ataque, como fazer o download de um arquivo contendo malware ou efetuar uma transferência ou PIX supostamente legítima, mas que na verdade vai para o criminoso.

3. Phishing de QR Code

Com a grande difusão de uso de QR code, nada mais natural que o aumento de casos de QR codes falsos, principalmente com a popularização do PIX para pagamentos.

Nos golpes de PIX usando QR code, o criminoso manda um email fingindo ser um fornecedor e inclui no email o QR code para pagamento – só que o QR code em questão é fraudulento, e o favorecido pelo PIX é o que chamamos popularmente de “laranja”.

A detecção de ataques de phishing por código QR pode ser um desafio devido ao conteúdo de texto limitado e à forte dependência de imagens, que nem sempre são analisadas pelas ferramentas de segurança tradicionais.

Quando combinada com táticas de engenharia social, a falta de indicadores tradicionais de comprometimento torna difícil que as soluções legadas de segurança de email identifiquem a ameaça. Assim, acabam permitindo a entrega do email e deixando as vítimas vulneráveis ao acesso a páginas de phishing.

4. BEC (Business Email Compromised) focado em fornecedores

Os ataques de comprometimento de email de fornecedores também tiveram um aumento na frequência no ano passado. Dados anormais relatam que 48% das organizações receberam um ataque BEC somente no primeiro semestre de 2023.

Esses ataques são bem-sucedidos em parte porque utilizam contas de e-mail reais, de pessoas ou instituições com relacionamentos previamente estabelecidos, para tirar vantagem de transações financeiras esperadas.

Por exemplo, para obter informações ou roubar dinheiro de uma grande empresa multinacional, é possível simplesmente comprometer a conta do serviço da empresa que fornece limpeza e segurança física e utilizar o controle dessa conta para obter acesso ao seu alvo maior.

5. Ataques gerados por IA

Uma das tendências de ameaças por email no ano passado foi o surgimento de ataques gerados por inteligência artificial (IA). Tecnologias como o ChatGPT permitiram que os cibercriminosos gerassem conteúdo exclusivo rapidamente e sem erros ortográficos, elevando a sofisticação dos ataques de engenharia social e das ameaças por email.

Para piorar a situação, os agentes de ameaças começaram a criar as suas próprias formas maliciosas de IA generativa (como WormGPT e FraudGPT, entre outras) para implementar ataques avançados.

Em contrapartida, empresas de proteção de e-mail também podem usar a mesma tecnologia (IA) para detecção das novas ameaças, aumentando em muito a detecção de fraudes por email.