Tipos de fraudes em e-mail

Adquirir competências na área da Cibersegurança e da Proteção de dados que lhes permitam promover e assegurar boas práticas para a segurança da informação não só no âmbito das suas funções como também na sua vida pessoal.

No final deste curso será capaz de:

• Identificar os diferentes tipos de correio fraudulentos;
• Compreender os riscos associados a cada tipo de ataque;
• Detetar e analisar mensagens fraudulentas;
• Proteger-se de mensagens fraudulentas, assegurando a proteção dos dados e dos sistemas.

Neste curso "O Correio Eletrónico: Principais Fraudes e Riscos" serão abordados os seguintes módulos:

Conteúdos programáticos:

• Módulo 1: O correio eletrónico como ferramenta
• Módulo 2: Tipos de fraude no correio eletrónico
• Módulo 3: Deteção de mensagens fraudulentas
• Módulo 4: Outros riscos derivados da sua utilização
• Módulo 5: Referências
• Módulo 6: Avaliação

O curso tem uma carga total de (cerca de) 2 horas, divididos em 6 módulos, incluindo a avaliação.

O correio eletrónico é uma ferramenta de comunicação imprescindível para o funcionamento da universidade. Os seus benefícios são óbvios: acessibilidade, rapidez, possibilidade de enviar anexos, etc., embora quando foi criado, não o tenha sido pensado na sua utilização atual, nem para ser seguro.

Como com qualquer ferramenta de comunicação, é necessário definir a sua utilização correta e segura, uma vez que, para além de abusos e erros involuntários, o correio eletrónico tornou-se num dos meios mais utilizados pelos cibercriminosos para realizar os seus ataques.

É normal que às caixas de correio chegue spam, mensagens com phishing ou endereços de e-mail que se fazem passar por organizações ou pessoas. Estes casos utilizam técnicas de engenharia social (1) para alcançar os seus objetivos maliciosos, por exemplo, infetar o computador ou mesmo toda a rede universitária, roubar credenciais, dados bancários ou informação confidencial.

Num e-mail malicioso, tanto o remetente, como o assunto, o corpo, os anexos ou as ligações incluídas, podem ter sido preparados para enganar o recetor da mensagem.

1. A engenharia social utiliza qualquer reclame para chamar a nossa atenção e levar-nos a agir de uma certa forma.

E como é que eles fazem isso?
Ganham a nossa confiança e, muitas vezes, aproveitam a nossa curiosidade ou morbidez para conhecer e gerir certas informações, como o respeito pela autoridade, a vontade de ser útil, o medo de perder alguma coisa, a futilidade ou a criação de situações de urgência. Assim, eles conseguem manipular-nos e obrigar-nos a agir da forma que querem.

O correio eletrónico é a principal porta de entrada dos cibercriminosos em qualquer organização. Com base em diferentes técnicas de engenharia social, conseguem iludir os utilizadores e roubar informação confidencial ou infetar os equipamentos com malware.

2.1 Phishing

Possivelmente, trata-se de uma das fraudes mais conhecidas e extensivas. Trata-se de um engano baseado, geralmente, na imitação de uma empresa ou organização fiável como um banco, uma rede social ou entidades públicas. O objetivo é conseguir códigos de acesso ou informações confidenciais, tais como dados fiscais ou bancários. O meio através do qual se tenta praticar a fraude é geralmente o correio eletrónico, mas também podem ser usados as SMS ou aplicações de mensagens imediatas como o Whatsapp.

Alguns exemplos reais de avisos de segurança de tipo phishing:

► Deteção da campanha de phishing no PayPal [Ref. - 1]

► Cuidado não piques! Campanha de phishing substituindo a ING [Ref. - 2]

► Nova campanha de correios fraudulentos substituem a Agência Tributária [Ref. - 3]

► Campanha de phishing substituiu devoluções falsas da Endesa [Ref. - 4]

2.2 Scam

Baseia-se num tipo de mensagens que têm como objetivo obter o máximo de informação pessoal que puderem, da empresa ou bancária.

O engodo, neste caso, anda normalmente à volta de prémios falsos de lotaria, heranças milionárias, ofertas de emprego que requerem pagamentos, etc., embora os ciber-criminosos, todos os dias, inventem novas formas de fraude.

Este é um exemplo deste tipo de esquema:

► Histórias reais: um galã esvaziou as contas da minha empresa. [Ref. - 5]

Malware

Neste caso, trata-se de um código nocivo que pode infetar os dispositivos.
As mensagens de correio contêm normalmente algum tipo de arquivo, anexo ou ligações à web de onde uma vez descarregado e executado o ficheiro infetará o equipamento. A infeção também pode fazer-se a partir do clique em anúncios fraudulentos (malvertising) ou aproveitando alguma vulnerabilidade nos navegadores (drive-by-download).
Uma vez instalado no nosso equipamento, poderá ser distribuído através da rede institucional, infetando todo o tipo de equipamentos conectados à mesma, como discos rígidos, mas também outros sistemas da rede, inclusive serviços na nuvem.

Exemplos de alertas de malware:

► Envio de falsas citações em Excel como anexos nocivos [Ref. - 7]

► Detetada uma série de e-mails com notas que irão infetar o equipamento [Ref. - 8]

► Nova série de ransomware afetando vários equipamentos [Ref. - 9]

► Importante série de ransomware afeta bastantes equipamentos [Ref. - 10]

Nota: o ransomware é um tipo de malware que encripta a informação do computador e/ou impede o acesso à mesma, ameaçando o utilizador que a destroi, se este não pagar um resgate (ransom).

Remetentes desconhecidos

Em muitos casos, basta verificar o remetente do correio para saber que a comunicação é fraudulenta, uma vez que não tem nada a ver com a organização supostamente representada. Os cibercriminosos utilizam frequentemente as contas de correio de outros utilizadores que já hackearam para enviar as mensagens fraudulentas.

Se recebemos um e-mail que parece de uma organização bancária, o normal é que a mensagem venha de uma conta conhecida ou contas como contacto@banco.pt, no-reply@banco.pt, etc. Mas, este correio é enviado de um endereço que nada tem a ver com a organização bancária, como por exemplo jose_ramos@carrosemotas.pt.
É importante rever cada caracter, pois as imitações também são frequentes alterando alguma letra ou utilizando um caracter com ortografia semelhante ou igual.

Regra geral, deve suspeitar de mensagens cujo remetente seja desconhecido e verificar por outros meios, como por exemplo, por telefone.

https://lms.nau.edu.pt/courses/course-v1:MetaRed+KIT-04+2022_T1/courseware/c22851f5eeee4c1d9de0543d23c7cc04/8d92ded0464d410b980ee6da423b8ad7/?child=first