Reconhecer phishing na sua webmail

Módulo 2: Ler mensagens · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Depois desta lição, reconhece as características de uma mensagem de phishing, consegue verificar na webmail para onde vão realmente uma ligação e uma resposta, e sabe o que fazer com uma mensagem suspeita e no caso de ter clicado mesmo assim.

Conceitos-chave: phishing, texto da ligação, ligação real, nome de domínio, subdomínio, domínio sósia (lookalike), Responder a, aviso de endereços suspeitos, Denunciar spam, outro canal

O que é phishing

Phishing é uma mensagem que procura levá-lo a fazer algo que ajuda o remetente: iniciar sessão numa página falsificada, efetuar um pagamento, abrir um anexo ou devolver dados. A palavra vem do inglês fishing (pescar): o atacante lança o anzol e espera para ver quem morde.

A maior parte do phishing não visa o seu computador, mas sim o utilizador. Muitas vezes não contém qualquer vírus. A mensagem quer apenas que seja o próprio utilizador a fazer alguma coisa. Por isso, um antivírus ajuda pouco, e o que ajuda de facto é conhecer os truques.

Os ingredientes habituais

Quase todas as mensagens de phishing usam um ou mais destes meios:

• Pressa: "no prazo de 24 horas", "ainda hoje", "último aviso". Quem tem pressa verifica menos.
• Ameaça: a sua caixa de correio vai ser encerrada, o seu domínio vai expirar, há um débito pendente, a sua encomenda vai ser devolvida.
• Recompensa ou curiosidade: um reembolso, um documento partilhado, uma mensagem de voz.
• Um botão ou ligação para uma página que se parece com a do seu banco, do seu fornecedor ou da sua webmail.
• Um remetente ou domínio quase correto.
• Um endereço de resposta diferente, para que a sua resposta chegue ao burlão.

Uma mensagem com pressa e, além disso, uma ligação para uma página de início de sessão merece sempre um segundo olhar, mesmo que pareça cuidada. O bom phishing já não tem erros de ortografia.

Texto da ligação e ligação real

Numa mensagem, o texto que vê e o endereço para onde a ligação leva são duas coisas diferentes. No código-fonte de uma mensagem, isso tem este aspeto:

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.nl
</a>

Vê https://webmail.weboke.nl, mas vai parar a um endereço completamente diferente. Num computador, verifica-se assim: aponte o rato para a ligação ou o botão, sem clicar. Na parte inferior da janela do browser aparece o endereço real. Num telemóvel ou tablet, mantenha o dedo premido sobre a ligação; aparece então um menu com o endereço por cima. Depois disso, não escolha abrir.

Ler um endereço web

É preciso também saber ler bem o endereço real. Observe a parte entre https:// e a primeira barra seguinte. Leia-a da direita para a esquerda: a extensão (.nl, .com, .example) e a palavra que a antecede formam juntas o nome de domínio. Essa é a parte que conta.

• https://webmail.weboke.nl/ : o nome de domínio é weboke.nl. A parte webmail antes dele torna-o um subdomínio; só o proprietário de weboke.nl o pode criar.
• https://login.weboke.nl.account-check.example/inloggen : o nome de domínio é account-check.example. Tudo o que vem antes ("login.weboke.nl") é um subdomínio escolhido pelo próprio atacante. Este é o truque mais conhecido.
• https://weboke-beveiliging.example/ : um domínio sósia (lookalike). Contém um nome conhecido, mas é outro domínio, que qualquer pessoa pode registar.
• https://www.example.com@account-check.example/ : tudo o que está antes do @ é ignorado; vai parar a account-check.example.

Há também domínios que usam truques com letras: o algarismo 0 em vez da letra o, rn em vez de m, ou letras de outro alfabeto com o mesmo aspeto. Se não conseguir ver essa diferença a olho nu, um gestor de palavras-passe ajuda: só preenche a sua palavra-passe no domínio verdadeiro (lição 1.3).

Remetente e Responder a

Na lição 2.2 viu que o nome apresentado não prova nada e que Responder a pode ter um endereço próprio. No phishing, estes dois elementos aparecem muitas vezes juntos. A mensagem diz vir do "Suporte WebOké", o endereço é support@weboke-beveiliging.example e Responder a aponta para um endereço de correio gratuito. Ou a mensagem vem do endereço verdadeiro do seu diretor, mas Responder a aponta para outro domínio. Este último caso é frequente na fraude do CEO: um "pagamento urgente" que o diretor alegadamente pede a meio de uma reunião.

A webmail ajuda um pouco. Se o endereço do remetente contiver caracteres que se parecem com letras normais mas não o são, a webmail mostra por cima da mensagem um aviso de que a mensagem contém endereços de e-mail possivelmente não fidedignos. Se vir esse aviso, trate a mensagem como suspeita. Se não o vir, isso nada significa: a maior parte do phishing usa simplesmente outro domínio.

E lembre-se da lição 2.2: uma mensagem que passa sem problemas nas verificações SPF, DKIM e DMARC pode continuar a ser phishing. Nesse caso, o atacante usa o seu próprio domínio, verdadeiro.

O que fazer com uma mensagem suspeita

1. Não clicar, não responder, não abrir anexos. Nem sequer "só para ver".
2. Ir ao site pelos seus próprios meios. A mensagem fala do seu banco, do seu fornecedor ou de uma encomenda? Abra o site ou a aplicação como faz habitualmente, através de um marcador ou escrevendo o endereço. Se lá não houver nada, a mensagem era falsa.
3. Em caso de dúvida, telefone, para um número que já tinha, e não para um número indicado na mensagem.
4. Denuncie a mensagem. Na webmail da WebOké, com Denunciar spam: a mensagem é enviada para a equipa de spam da WebOké e para a sua pasta Spam. Se a mensagem disser respeito ao seu banco, reencaminhe-a também para o endereço de denúncia desse banco. Pode também denunciar phishing à polícia.
5. Avise os colegas se a mensagem foi enviada a mais pessoas da sua organização.

Clicou ou iniciou sessão mesmo assim?

Pode acontecer a qualquer pessoa. Agir depressa é o que faz mais diferença.

• Altere de imediato a sua palavra-passe, a partir de um dispositivo de confiança, e também em qualquer outro sítio onde usava a mesma palavra-passe.
• Ative a autenticação de dois fatores (lição 8.1).
• Procure vestígios na sua caixa de correio. Os atacantes que entram numa caixa de correio criam muitas vezes um filtro que reencaminha ou esconde mensagens, ou alteram o Responder a na sua identidade. Verifique em Definições > Filtros, Definições > Identidades e em Ausente do Escritório se há algo que não tenha sido criado por si.
• Introduziu dados de pagamento? Telefone imediatamente ao seu banco.
• A sua caixa de correio começou de repente a enviar spam? Comunique-o ao seu fornecedor.

Na prática: assim funciona na webmail

Na webmail, aponte o rato para uma ligação para ver o endereço real na parte inferior do browser. Com Detalhes vê o endereço do remetente, e no ecrã de composição vê para onde vai uma resposta. O botão Denunciar spam encontra-se por cima da mensagem.

Na imagem vê a janela que aparece quando clica em Denunciar spam. O manual do Roundcube descreve-o na secção sobre denunciar spam com Denunciar spam. Noutras webmails, como Gmail ou Outlook.com, funciona de forma semelhante: aí o botão chama-se, por exemplo, Denunciar phishing ou Denunciar.

Resumo

• O phishing funciona com pressa, ameaças, uma ligação para uma página falsificada e um remetente quase correto.
• O texto da ligação e a ligação real são diferentes: aponte com o rato ou mantenha o dedo premido no telemóvel.
• Leia o nome de domínio da direita para a esquerda; tudo o que vem antes é escolhido pelo próprio proprietário desse domínio.
• Um Responder a para outro domínio e o aviso sobre endereços suspeitos são sinais de alerta; uma verificação DMARC bem-sucedida nada prova quanto à fiabilidade.
• Não clicar, ir ao site pelos seus meios, denunciar; se já clicou: alterar a palavra-passe e rever os seus filtros e identidades.

Questionário

Exercício

Exercício A2.4: Analisar uma mensagem suspeita. O material phishing-1.eml encontra-se abaixo deste exercício. Abra-o como texto (por exemplo no Bloco de Notas ou no TextEdit, não no seu programa de correio) e procure os cabeçalhos From e Reply-To e o endereço por trás do botão no conteúdo (o href). Preencha: o domínio real do remetente, o domínio para onde o botão leva realmente, o domínio de Responder a, e indique se confia na mensagem. O programa compara as suas respostas com a chave de respostas e mostra, para cada pergunta, onde a poderia ter encontrado no ficheiro.

Para saber mais

Quando são indicados passos na webmail, aplicam-se à webmail da WebOké; noutras webmails funciona de forma semelhante.

• Roundcube Webmail 11.2: Denunciar spam com Denunciar spam
• Este e-mail é mesmo da WebOké? Como reconhecer phishing e utilizar o código promocional
• Como reconhecer phishing: como ler um link e um remetente
• Caixa de correio comprometida ou envio de spam a partir do seu endereço: saiba como resolver
• Curso gratuito Seguro online para empresários 1.2: Phishing, fraude do CEO e fraude de faturas
• Curso gratuito Seguro online para empresários 3.2: Ler domínios e ligações
• Curso gratuito Seguro online para empresários 3.5: Cliquei: e agora?