A cibersegurança tornou-se um dos tópicos mais importantes no mundo atual, especialmente para as empresas que armazenam grandes quantidades de dados de clientes e os seus próprios activos. Uma das últimas tendências no mundo do cibercrime é Quishing. Embora o phishing já seja uma ameaça há anos, o quishing leva estas técnicas a um novo nível, utilizando códigos QR como ferramenta de ataque. Como é que o quishing funciona exatamente e porque é que é uma ameaça crescente?
Índice:
- Definição de quishing
- Como funciona o quishing?
- Porque é que o quishing está a tornar-se cada vez mais popular?
- Exemplos de ataques de quishing
- Quem é mais vulnerável ao quishing?
- Quais são os riscos da pesca?
- Como é que te proteges do quishing?
- Porque é que as salvaguardas tradicionais não funcionam?
- Quishing nos negócios
- O futuro da pesca
- Perguntas mais frequentes
Definição de quishing
O quishing é uma nova forma de ataque de phishing que utiliza códigos QR para direcionar as vítimas para sites falsos. Trata-se de um cruzamento entre as palavras “QR” e “phishing”. O phishing tradicional envolve o envio de falsos e-mails ou mensagens SMS para que os utilizadores cliquem numa ligação e forneçam os seus dados pessoais ou de login. No caso do quishing, os cibercriminosos incluem códigos QR nos e-mails que, quando lidos pela vítima, redireccionam para sites maliciosos.
O código QR pode parecer uma ferramenta segura e conveniente, uma vez que é normalmente utilizado para digitalizar informações rapidamente, por exemplo, em restaurantes, eventos ou campanhas publicitárias. No entanto, na realidade, a leitura de um código desconhecido pode ser muito arriscada.
Como funciona o quishing?
Tal como nos ataques de phishing tradicionais, o objetivo do quishing é obter acesso não autorizado a dados sensíveis do utilizador, tais do utilizador, tais como detalhes de login, números de cartões de crédito e até palavras-passe de contas bancárias. O processo de ataque pode ser dividido em várias etapas:
- Primeiro passo – enviar uma mensagem de correio eletrónico
Os cibercriminosos enviam mensagens de correio eletrónico falsas que parecem comunicações genuínas de bancos, empresas de tecnologia, serviços em linha ou mesmo de gabinetes governamentais. Em vez das habituais hiperligações, as mensagens contêm um código QR. - Segundo passo – digitaliza o código QR
Quando a vítima digitaliza o código QR com o seu telemóvel, é redireccionada para um site malicioso. Este sítio pode parecer idêntico a uma página de início de sessão genuína ou a outro serviço de confiança, tornando difícil para o utilizador reconhecer a fraude. - Terceira etapa – introdução de dados
A vítima introduz os seus dados de acesso ou outras informações sensíveis, sem se aperceber de que acabaram de ser entregues aos cibercriminosos. Os atacantes podem agora ter acesso total à conta da vítima, o que muitas vezes leva ao roubo de identidade ou financeiro.
Porque é que o quishing está a tornar-se cada vez mais popular?
Uma das principais razões para a crescente popularidade do quishing é que os utilizadores não suspeitam que os códigos QR sejam uma ameaça potencial. Muitas pessoas estão conscientes dos perigos de clicar em ligações suspeitas, mas poucas esperam que um simples código QR possa ser utilizado para fraude.
Os códigos QR tornaram-se comuns na vida quotidiana – são utilizados em tudo, desde menus de restaurantes a campanhas publicitárias. Muitas vezes, as pessoas lêem-nos sem pensar, o que dá aos cibercriminosos a ferramenta perfeita para lançar ataques.
A popularidade do trabalho remoto e o aumento dos dispositivos móveis nas empresas também contribuíram para o aumento dos ataques de quishing. Na sequência da pandemia da COVID-19, muitas empresas mudaram para modelos de trabalho remoto, o que naturalmente aumentou o número de interações digitais e o risco de ataques informáticos.
Exemplos de ataques de quishing
Ataque ao sector bancárioNum exemplo de quishing, os cibercriminosos enviaram e-mails falsos a clientes bancários, alegando que precisavam de verificar as suas contas. O e-mail continha um código QR que, quando digitalizado, conduzia a uma página que parecia ser uma página de início de sessão do banco. Na realidade, tratava-se de uma página falsa e os dados de início de sessão foram interceptados pelos piratas informáticos.- Ataque às empresas tecnológicas
Noutro caso, os funcionários de uma empresa de tecnologia receberam e-mails supostamente do departamento interno de TI, pedindo-lhes para atualizar a palavra-passe da sua conta da empresa. Um código QR contido na mensagem de correio eletrónico conduzia a um site de phishing, permitindo aos cibercriminosos obter acesso aos recursos da empresa. - Ataque aos utilizadores das redes sociais
Os utilizadores de sites populares de redes sociais, como o Facebook e o Instagram, foram atacados através de falsas notificações de verificação de conta. Depois de digitalizarem um código QR, os utilizadores eram levados para uma página de início de sessão falsa, onde introduziam os seus dados, que eram depois roubados pelos cibercriminosos.
Quem é mais vulnerável ao quishing?
O quishing pode afetar qualquer pessoa, mas certos grupos de utilizadores e organizações são mais vulneráveis a este tipo de ataque:
- Empresas do sector financeiro
Os funcionários de bancos, companhias de seguros e instituições financeiras são alvos frequentes dos cibercriminosos, uma vez que têm acesso a dados financeiros e pessoais críticos dos seus clientes. - Empresas de tecnologia
As organizações que têm acesso a tecnologia sofisticada ou que gerem os dados de milhões de utilizadores são alvos atraentes para ataques de quishing. Os piratas informáticos podem utilizar contas desviadas para extrair informações sensíveis ou mesmo roubar propriedade intelectual.
Utilizadores privadosEmbora os ataques de quishing visem frequentemente empresas, os utilizadores individuais também podem ser vítimas destes ataques. Podem ser alvo de notificações falsas de redes sociais, lojas online ou aplicações bancárias.
Quais são os riscos da pesca?
O quishing não é apenas uma ameaça para os dados pessoais, mas também para a segurança financeira e a integridade dos sistemas. Os impactos podem incluir:
- Roubo de identidade: Uma vítima que forneça inadvertidamente os seus dados de acesso pode ser exposta a roubo de identidade, o que pode levar a mais fraudes.
- Perda de fundos: A introdução de dados bancários num site fraudulento pode resultar na perda de dinheiro da tua conta.
- Apoderamento de contas: Os piratas informáticos podem apoderar-se das contas de redes sociais ou de outras contas da vítima, o que pode levar a novos ataques aos amigos e colegas da vítima.
Como é que te proteges da pesca?
Educação dos utilizadores
Um dos passos mais importantes na prevenção de ataques de quishing é a formação dos utilizadores. Os funcionários e os utilizadores finais têm de estar conscientes dos riscos associados a códigos QR desconhecidos. Devem ser informados sobre o aspeto de um ataque de quishing típico e quais os sinais de aviso que podem indicar uma potencial burla.
Proteger os dispositivos móveis
Os dispositivos móveis, que são a principal ferramenta para a leitura de códigos QR, devem ser devidamente protegidos. Para o efeito, vale a pena:
- Utiliza software antivírus.
- Actualiza regularmente o software e as aplicações do sistema.
- Desactiva a abertura automática de sites após a leitura de um código QR.
Software de segurança
As empresas podem implementar software de segurança ao nível da rede que analisa automaticamente o conteúdo dos códigos QR e identifica potenciais ameaças. Também podem ser implementados mecanismos para monitorizar a atividade dos utilizadores e detetar comportamentos invulgares.
Porque é que as salvaguardas tradicionais não funcionam?
Um dos maiores desafios do quishing é o facto de as ferramentas de segurança tradicionais, como os filtros de spam ou o software antivírus, poderem não ser capazes de identificar eficazmente a ameaça. Os códigos QR são mais difíceis de monitorizar e muitos utilizadores não estão conscientes dos riscos de os digitalizar.
Quishing nos negócios
Com o aumento dos ataques de quishing, as empresas precisam de adotar uma abordagem proactiva em relação à cibersegurança. A implementação de uma política de segurança da informação e a formação regular do pessoal podem reduzir significativamente o risco de ataques bem sucedidos. Um pessoal bem formado pode reconhecer melhor as mensagens suspeitas e reagir quando detecta códigos QR perigosos.
Por exemplo, as organizações podem implementar procedimentos que exijam uma verificação adicional quando os códigos QR são digitalizados a partir de fontes desconhecidas. A utilização da autenticação multifactor (MFA) para o acesso ao sistema pode proteger ainda mais os dados da empresa, mesmo que os detalhes de início de sessão sejam interceptados por cibercriminosos.
O futuro da pesca
Devido à crescente popularidade dos códigos QR e à sua integração em várias áreas da vida, prevê-se que o quishing se torne cada vez mais comum. À medida que as tecnologias se desenvolvem e evoluem, os cibercriminosos procuram novas formas de explorar as ferramentas existentes.
A ameaça de quishing pode também contribuir para uma maior regulamentação da utilização dos códigos QR, a fim de aumentar a segurança dos utilizadores. As empresas poderão ser obrigadas a utilizar elementos de segurança ao gerar e partilhar códigos QR e os utilizadores terão de estar mais conscientes dos riscos associados à sua leitura.
Perguntas mais frequentes
1) Quais são os principais sinais de aviso de que um código QR pode ser perigoso?
- Códigos QR incorporados em mensagens de correio eletrónico suspeitas ou desconhecidas.
- Códigos QR afixados em locais públicos que parecem inadequados, como anúncios ou cartazes.
- Pedidos de dados pessoais ou de início de sessão após a leitura de um código QR.
2) Existe alguma forma de verificar a segurança de um código QR antes de o digitalizares?
Sim, existem aplicações que te permitem digitalizar o código QR e mostrar o link antes de o utilizador clicar nele. Isto permite-te ver onde o código te leva antes de decidires abri-lo.
3 O que devo fazer se suspeitar que fui vítima de quishing?
Altera imediatamente as palavras-passe das contas que possam ter sido comprometidas. Comunica o incidente à tua instituição ou serviço financeiro e considera a possibilidade de comunicar o caso à polícia. Monitoriza as tuas contas bancárias e outros serviços em linha para detetar transacções não autorizadas.
4 Que medidas de segurança devem os proprietários de empresas adotar para se protegerem do quishing?
As empresas devem investir na formação regular dos seus empregados em matéria de cibersegurança, implementar procedimentos para a utilização de códigos QR e utilizar mecanismos de verificação multicomponentes para o acesso a sistemas importantes.
