O que é baleação?
A caça às baleias é um ataque em que os fraudadores fingem ser jogadores seniores dentro de uma organização e entram em contato com outros funcionários de alto nível, como CEOs, tentando induzi-los a fornecer dados ou dinheiro desejados. Eles chegam aos funcionários por e-mail ou nas mídias sociais. Relutantes em recusar um pedido de um colega de alto escalão confiável, os destinatários geralmente são vítimas do ataque.
Para ter sucesso, os golpistas se esforçam muito na pesquisa. Eles analisam todos os dados disponíveis publicamente sobre a pessoa ou organização visada. Às vezes, eles se aprofundam ainda mais e tentam obter informações privadas usando engenharia social ou técnicas de hacking. Isso torna essas tentativas mais difíceis de evitar, pois os fraudadores conhecem muitos detalhes internos, o que os ajuda a se disfarçar com sucesso como membros genuínos da equipe.
Por exemplo, um baleeiro pode analisar o perfil de mídia social do CEO da empresa. Eles também podem identificar os colegas relevantes, juntamente com seus cargos e responsabilidades na organização. Em seguida, o golpista escreverá um e-mail casual solicitando o envio de alguns dados confidenciais. Eles incluirão nomes de alguns colegas e podem mencionar uma celebração corporativa recente. Tudo isso convencerá totalmente a vítima a dar tudo o que pedir.
Spear phishing e caça à baleia
À primeira vista, é difícil dizer a diferença entre whaling e spear phishing, outro ataque de phishing direcionado a indivíduos específicos dentro de uma organização. Mas, olhando mais de perto, a caça à baleia tem uma natureza mais personalizada e um escopo estreito. Enquanto os spear phishers não necessariamente alcançam pessoas seniores, os baleeiros visam exclusivamente funcionários de alto nível, os maiores peixes dentro de uma organização. Assim, o alvo pode ser reduzido a uma única pessoa.
Como identificar um ataque baleeiro
Uma mensagem baleeira provavelmente terá um dos seguintes recursos:
- Uma solicitação para compartilhar alguns dados confidenciais ou dinheiro;
- Um endereço de e-mail estranho com nomes ou domínios com erros ortográficos;
- Um senso de urgência. Os golpistas geralmente afirmam que precisam da informação muito rapidamente e que é muito urgente e vital. Dessa forma, eles levam você a agir imediatamente e sem pensar muito.
Como evitar um ataque de baleias
Aqui estão algumas dicas sobre como evitar se tornar uma vítima da caça às baleias:
- Não publique muitas informações relacionadas ao trabalho on-line, especialmente se revelar detalhes internos sobre sua empresa ou colegas. Se você usa redes de mídia social B2B, como o LinkedIn, certifique-se de que apenas suas conexões possam ver seu perfil completo. Também sugerimos que você faça o mesmo com todos os outros perfis de mídia social não B2B. Os fraudadores usam muito os canais sociais para suas pesquisas, pois as pessoas geralmente não os protegem adequadamente, tornando-os fontes de dados pessoais prontamente disponíveis;
- Não forneça nenhum dado corporativo que os baleeiros possam usar. O tipo de dados pode variar de acordo com a empresa e suas atividades. Por exemplo, podem ser os dados pessoais de seus funcionários, a estrutura interna da empresa, as responsabilidades da equipe, etc. Sugerimos fornecer formulários de contato em vez de endereços de e-mail dos funcionários para entrar em contato. Dessa forma, os golpistas podem não usá-los para entrar em contato com seus alvos;
- Não faça amizade com pessoas que você não conhece nas redes sociais. Se alguém parecer suspeito, você sempre pode perguntar por que eles querem se conectar com você;
- Se um e-mail parecer estranho (por exemplo, um domínio é um pouco diferente ou um nome foi digitado incorretamente), é uma bandeira vermelha para um remetente não genuíno;
- Sempre entre em contato com seus colegas usando algum outro meio para esclarecer se eles tentaram entrar em contato com você;
- Habilite a autenticação multifator ao iniciar algumas transações importantes ou manipular dados confidenciais. Nesse caso, todo o processo não dependerá de uma única pessoa;
- Use software anti-phishing, que filtraria e-mails suspeitos;
- Ocasionalmente, verifique as notícias sobre phishing e compartilhe-as com outras pessoas. A conscientização é uma das melhores táticas de prevenção.
