Pescando o Phishing

Estive lendo um artigo sobre a "explosão" da prática de phishing.

Mas, antes que você feche esta página e eu perca a minha audiência, deixe eu explicar o que é phishing.

Phishing são e-mails que você recebe como se fossem do seu banco ou de algum lugar onde você tem uma conta (pode ser ebay, Amazon, Lojas Americanas, escola, trabalho, etc.). O e-mail parece legítimo - em geral tem o mesmo layout, cores, elementos gráficos e estilo dos e-mails que você está acostumado a receber daquela empresa.

O e-mail pede para você confirmar seus dados, ou verificar se sua conta está ok, ou usa qualquer outro motivo que faça ter que acessar a sua conta no banco, loja, etc. O e-mail fornece um link para o site (ou então um botão tal como “clique aqui”) e este link parece correto.

Ao clicar no link, você é levado para um site igualzinho ao verdadeiro e, achando que você está nele, você faz o seu login fornecendo seu código de usuário e senha.

O que aconteceu de fato? Várias coisas:

1- O e-mail que você recebeu, mesmo parecendo legítimo, provavelmente não é. A maioria das empresas evita comunicação deste tipo, pois elas sabem dos riscos de fraudes.

2- O link em que você clicou, ainda que pareça correto, não é. Mesmo que esteja escrito, por exemplo, http://www.amazon.com ele na verdade pode levar você para um outro site fictício, com outro endereço, que tenha a mesma aparência do Amazon. O que está escrito no link não tem nada a ver com o endereço do link. O mesmo vale para os botões do tipo “clique aqui para acessar a sua conta”.

3- Quando você fez o login no site, seu nome de usuário e senha foram enviados para os criminosos que podem então fazer roubo da sua identidade (agir como se fossem você) e fazer a festa às suas custas. É comum fazerem compras usando a sua conta e fornecerem como endereço de entrega caixas postais, muitas vezes em países com fracos controles de crimes cibernéticos. Muitas vezes acessam dados pessoais e os usam para emissão de documentos falsos, ou solicitação de segunda via de seus documentos.

Esta e' uma daquelas situações MUITO fáceis de se evitar, apenas seguindo estas regras básicas:

1- Se o e-mail que você recebeu estiver mal escrito (erros de digitação ou de concordância), apague de imediato. É falso. Parece incrível, mas boa parte dos e-mails de phishing são mal escritos e ainda assim as pessoas acreditam...

2- Se o e-mail que você recebeu parece legítimo, ainda assim NÃO clique no link ou botão que ele forneceu. Ao invés disso, abra uma outra ocorrência do seu navegador (browser), entre com o endereço que você normalmente usa para acessar o seu banco ou loja (normalmente está na sua lista de favoritos) e aí sim faca o login e verifique se o que está sendo dito no e-mail é verdade.

Isto vale até mesmo para e-mails que você recebe no seu trabalho ou escola, ou de conhecidos, porque o micro de alguém pode estar infectado sem que a pessoa saiba e estar gerando e-mails falsos.

Em resumo, NÃO clique em link que você recebe por e-mail. Entre você mesmo com o endereço que você está acostumado a usar.

Com isso, phishing deixa de ser efetivo e os criminosos vão ter que procurar outro jeito de explorar a credulidade das pessoas.

PS: Este blog não tem nenhum link pedindo para você entrar na sua conta. Se tiver, foi invadido! :-)