O que é smishing?

Resumo do artigo:

• Smishing é um ataque cibernético perigoso que utiliza SMS e engenharia social para enganar as vítimas e levá-las a revelar informações pessoais ou instalem malware através de mensagens de texto enganosas.
• Para garantir a prevenção de smishing, nunca clique em links suspeitos nem responda a mensagens de texto desconhecidas, em vez disso, entre em contato diretamente com as organizações por meio de canais oficiais para verificar quaisquer alegações urgentes.
• A defesa eficaz contra smishing para organizações inclui a implementação de chaves físicas compatíveis com FIDO2 para autenticação de dois fatores e a adoção de um modelo de segurança Zero Trust, um componente essencial do SASE, para limitar o possível comprometimento de contas.

O que é smishing?

Smishing, ou phishing por SMS, é o uso de mensagens de texto para enganar as pessoas a revelar informações confidenciais ou pessoais. Os golpistas de smishing utilizam métodos manipulativos de engenharia social para coletar dados de suas vítimas.

Telefones celulares e smartphones tendem a aceitar mensagens SMS de qualquer fonte. Isso permite que golpistas enviem mensagens de texto enganosas para quase qualquer pessoa no mundo. Os golpistas de smishing frequentemente fingem ser alguém que a vítima conhece ou em quem confia para enganá-la. Eles também podem usar detalhes pessoais, ameaças ou outras táticas para convencer a vítima da legitimidade de uma mensagem.

O objetivo do smishing é fazer com que a vítima forneça algumas de suas informações pessoais. As vítimas podem fazer isso inserindo seu nome de usuário e senha em uma página falsa, enviando suas informações de identificação para o golpista ou conversando com o golpista por telefone. O golpista pode usar as informações que coleta para assumir o controle das contas e da identidade da vítima, ou pode vendê-las pelo maior lance em mercados clandestinos.

Smishing e phishing

Smishing é um dos vários tipos de phishing. Phishing é o nome dado a qualquer tentativa de manipular ou enganar pessoas para que revelem informações pessoais ou confidenciais. O phishing é mais comum por e-mail, mas também se espalhou para outros canais: mensagens de texto (smishing), chamadas telefônicas (vishing), códigos QR (quishing) e mensagens em redes sociais.

A ampla disponibilidade de serviços de IA generativa (GenAI), como grandes modelos de linguagem (LLMs), deu aos golpistas ferramentas adicionais para tornar suas mensagens de phishing mais realistas. A adoção em larga escala das mídias sociais e a agregação de dados facilitam para os invasores personalizarem seus ataques para seus alvos. Assim, o phishing continua a ser uma forma popular e lucrativa para golpistas roubarem dados confidenciais, mesmo que muitas pessoas hoje estejam mais cautelosas ao entregar seus dados a um estranho.

Como o smishing funciona: as etapas de uma campanha de smishing

O smishing tem como alvo os celulares, especialmente os smartphones, que permitem aos usuários abrir hiperlinks com facilidade. Os ataques de smishing geralmente seguem estas etapas:

1. Escolher um alvo: os invasores podem criar listas de números de telefone ativos de várias maneiras, desde a compra de listas no mercado clandestino até o uso de bots para agregar informações de contato. Algumas campanhas de smishing esboçam uma ampla rede e enviam mensagens de texto para o maior número possível de números de telefone ativos. Outros ataques são altamente direcionados e personalizados, e os invasores realizam um pouco mais de pesquisa sobre os destinatários de suas mensagens.
2. Configurar a infraestrutura: alguns textos de smishing exigem que a vítima clique em um link e, nesses casos, o golpista cria sites ou aplicativos falsos para coletar dados das vítimas. O envio das mensagens requer o uso de números de telefone falsos, gateways de SMS ou celulares comprometidos, para que os atacantes possam disfarçar a origem dos textos e trocar rapidamente de número de telefone caso o deles seja bloqueado.
3. Escrever a mensagem: uma mensagem de smishing pode ser curta ou longa, formal ou pessoal, cada campanha é diferente. Textos de smishing que parecem vir de uma marca confiável provavelmente terão um tom formal, enquanto textos de smishing supostamente de alguém que a vítima conhece podem ter um tom mais informal. Muitas das mensagens de smishing mais eficazes são diretas e objetivas, como "Alerta! Seu horário de trabalho foi atualizado, toque no link para ver as alterações" (um exemplo real de um ataque smishing de 2022). Dependendo das táticas utilizadas, algumas mensagens de smishing são altamente personalizadas para a vítima. Outros são destinados a atrair o maior número possível de pessoas. Os serviços de LLM podem auxiliar os invasores na elaboração de mensagens convincentes.
4. Interagir com o alvo: Às vezes, a interação com a vítima pretendida é tão simples quanto enviar uma mensagem de texto e esperar que a vítima clique em um link ou responda com as informações desejadas. Outras vezes, pode haver uma conversa prolongada por texto ou por telefone com a vítima.
5. Coletar dados: o golpista pode tentar fazer com que as vítimas insiram seus dados em uma página de login ou formulário falsos, ou por meio de um aplicativo malicioso. Eles também podem reunir dados através de conversas com a vítima.
6. Instalação de malware: Isso ocorre apenas em alguns ataques de smishing. Um download de malware pode ser acionado após o usuário carregar a página do invasor ou ao induzi-lo a baixar diretamente um aplicativo malicioso. A instalação de malware pode permitir que os invasores coletem mais dados da vítima, espalhem malware para outras fontes ou simplesmente usem o smartphone infectado em uma botnet.
7. Usar ou vender os dados pessoais coletados: os invasores podem fazer uma ou ambas as coisas com os dados que coletam.

Tipos de smishing

Mensagens de smishing podem assumir várias formas:

• Verificação de conta: nesse golpe de smishing, a vítima recebe uma mensagem de texto que se passa por um serviço de e-mail, aplicativo de rede social ou serviço de streaming que ela utiliza. A mensagem solicita que a vítima "verifique sua conta" clicando em um link e inserindo seu nome de usuário e senha em uma página de login falsa controlada pelo golpista.
• Fraude bancária: os golpistas se passam pelo banco da vítima, afirmam que suas contas tiveram atividades suspeitas e incluem um link para "verificar" sua identidade, semelhante a outros golpes de verificação de conta.
• Suporte técnico: o texto do smishing afirma que há um problema com o dispositivo ou com algum outro serviço que a vítima costuma usar. Os funcionários de uma organização alvo podem receber mensagens informando que suas contas foram bloqueadas, com os invasores fingindo ser da equipe de TI da organização.
• Golpes de recompensa: o texto de smishing informa ao destinatário que ele ganhou uma recompensa, uma loteria ou um sorteio, e que pode reivindicar seu prêmio seguindo o link incluído, onde é solicitado que ele insira informações pessoais.
• Cancelamento de serviço: o texto tenta assustar o destinatário, alegando que sua assinatura de um serviço está prestes a ser cancelada.
• Notificação de entrega: esses textos de smishing fingem ser de um serviço de entrega. Eles podem afirmar que um pacote está a caminho e fornecer um "link de rastreamento" que leva a uma página falsa que coleta dados, ou podem afirmar que um pacote importante não pôde ser entregue.
• Reembolso de imposto: textos de smishing podem afirmar que o destinatário deve dinheiro a uma agência governamental de cobrança de impostos, ou, ao contrário, que ele precisa reivindicar seu reembolso de imposto.
• Mensagem de um executivo: os golpistas de smishing podem se passar pelo CEO ou por algum outro executivo no local de trabalho do destinatário. Esses ataques podem ser parcialmente personalizados (mencionando o nome do destinatário, incluindo seu verdadeiro local de trabalho e usando outras informações pessoais básicas que podem ser encontradas on-line).
• Mensagens falsas exageradas: muitas mensagens de smishing são obviamente falsas para a maioria das pessoas que as recebem (por exemplo, "Sou um príncipe estrangeiro e minhas contas estão congeladas. Se você me enviar US$ 200, eu reembolsarei enviando US$ 100.000 quando puder"). Embora uma pequena porcentagem de pessoas possa cair em tais mensagens, os golpistas também podem usá-las para classificar suas listas de informações de contato entre os crédulos e os menos crédulos.
• Mensagens não assinadas: algumas mensagens de smishing não contêm quase nenhum detalhe e são redigidas como se viessem de alguém que o destinatário conhece (por exemplo, "Você está na cidade?" ou "Você ainda trabalha no mesmo lugar?"). A ideia é que o destinatário possa pensar que conhece o remetente, mas perdeu o número dele, e então responda. Essas mensagens podem tentar atrair a vítima para uma conversa mais longa que termina com um pedido de dados. Ou, os invasores podem estar apenas tentando avaliar sua lista de contatos, para confirmar se o número de telefone da vítima está ativo e se é provável que o destinatário responda a mensagens de números desconhecidos. Depois, eles entram em contato novamente com esquemas mais convincentes de números diferentes. Não é sensato responder, mesmo que seja de forma brincalhona, a essas mensagens.

Táticas de smishing

O smishing utiliza muitas das mesmas táticas que outros tipos de phishing. O processo de coleta de informações de contato e envio de mensagens é um pouco diferente do phishing por e-mail, mas, fora isso, a maioria das campanhas de smishing inclui:

• Engenharia social: os invasores manipulam suas vítimas apelando para emoções como medo ou ganância. As táticas de manipulação incluem criar um senso de urgência, se passar por pessoas ou marcas confiáveis e fingir ser alguém em posição de autoridade.
• Páginas e aplicativos de imitação: invasores de smishing configuram páginas de login e aplicativos falsos, mas convincentes, que coletam informações pessoais de suas vítimas.
• Personalização: as pessoas são mais propensas a responder a mensagens de texto que as chamam pelo nome. Os invasores de smishing podem usar informações pessoais obtidas de fontes públicas, compradas no mercado clandestino ou coletadas em campanhas anteriores de smishing e phishing para tornar suas mensagens mais convincentes.
• Disfarçar a fonte: os atacantes de smishing podem enviar suas mensagens de vários números de telefone que controlam. Eles podem usar gateways de SMS para enviar mensagens diretamente de computadores em vez de depender de telefones. O envio de mensagens e o disfarce de sua verdadeira origem podem ser em grande parte automatizados.
• Acompanhamento em vários canais: o smishing pode fazer parte de uma campanha maior em outros canais de mensagens, como e-mail ou redes sociais.

O que você deve fazer se receber uma possível mensagem de smishing?

Não clique em nenhum link: isso se aplica a quaisquer links em mensagens de texto de um número desconhecido ou de uma fonte inesperada. Esses links podem direcionar para páginas ou aplicativos que coletam dados ou hospedam malware. Em vez disso, acesse o site oficial da fonte separadamente e carregue a página dessa forma: por exemplo, se um texto vier com um aviso sobre cancelamento de serviço, acesse o site do provedor de serviços separadamente e use a página de login, em vez de clicar no link do texto.

Não responda: muitas vezes, os atacantes estão apenas verificando se um número está ativo ou se suas informações pessoais sobre o destinatário estão corretas. Responder, mesmo que não se revele nenhuma informação pessoal, ainda revela demais. Os atacantes provavelmente direcionarão mais recursos para as pessoas que leem e respondem às suas mensagens, assim como um vendedor provavelmente fará o acompanhamento várias vezes com alguém que demonstra interesse passageiro em um produto.

Denuncie o número de telefone: as operadoras de celular normalmente bloqueiam números se um número suficiente de pessoas os denunciar, embora os golpistas de smishing possam simplesmente trocar ou disfarçar seus números.

Relate para TI ou segurança: as equipes de segurança precisam ter o máximo de visibilidade possível sobre os ataques direcionados aos funcionários. Os ataques de smishing podem fazer parte de uma campanha de ameaça maior que visa obter acesso à rede de uma empresa.

Verifique com a fonte separadamente: entre em contato diretamente com a marca ou o provedor de serviços, usando informações de contato oficiais de uma fonte conhecida, para verificar as informações no texto. Informe-os de que, se o texto for smishing, alguém está conduzindo uma campanha de smishing contra seus clientes.

Exclua a mensagem e bloqueie o número: isso elimina qualquer possibilidade de cair no golpe ou de clicar acidentalmente no link.

Não responda e não clique em nenhum link: é importante repetir.

Desative as confirmações de leitura: alguns serviços de mensagens SMS enviam uma notificação à outra parte quando uma mensagem é aberta e lida. Em ataques de smishing, um aviso de leitura permite que o atacante saiba que a vítima pretendida está, pelo menos, lendo as mensagens, mesmo que não esteja caindo nos golpes ou clicando em nenhum link. Desativar as confirmações de leitura por padrão dificulta que invasores obtenham essas informações.

Smishing como parte de campanhas de ataque mais amplas

Em vez de simplesmente visar indivíduos, ameaças persistentes avançadas (APTs) podem empregar uma campanha de múltiplas etapas para comprometer uma organização maior. Eles podem usar smishing para assumir o controle da conta de um funcionário ou prestador de serviços conhecido e, em seguida, avançar para outras contas ou sistemas. Uma vez que tenham esse acesso, eles podem comprometer dados confidenciais, espionar as atividades de uma organização, infectar a organização com ransomware ou prejudicar suas operações comerciais de outras formas. O smishing é, portanto, um vetor de ataque crucial contra o qual as grandes organizações devem se defender.

Como as organizações podem se defender contra campanhas de smishing

• Chaves físicas para autenticação de dois fatores (2FA): uma das defesas mais fortes contra ataques de smishing é usar autenticação de dois fatores, de forma que apenas um conjunto de credenciais de login não seja suficiente para obter acesso a uma conta. Especificamente, o uso de chaves de segurança compatíveis com FIDO2, tokens baseados em hardware que se conectam a portas USB ou usam Bluetooth, reduz a probabilidade de um ataque de smishing bem-sucedido para praticamente zero. (Tokens leves podem ser interceptados.)
• Treinamento de usuários: funcionários e prestadores de serviços devem ser ensinados a reconhecer mensagens de phishing e smishing. Relatar essas mensagens deve ser instantâneo e fácil.
• Segurança Zero Trust: esse é um tipo de modelo de segurança que assume que ameaças podem estar presentes dentro de redes seguras, e que, até mesmo usuários e dispositivos conhecidos, podem ser comprometidos. Uma arquitetura Zero Trust ajuda a restringir os danos se um ataque de smishing for bem-sucedido, usando microssegmentação para evitar movimento lateral e escalonamento de privilégios. A autenticação de dois fatores também é um componente essencial da segurança Zero Trust. Saiba como a Cloudflare mitigou uma campanha sofisticada de smishing com autenticação de dois fatores e segurança Zero Trust.

 

Perguntas frequentes

O que significa smishing?

Smishing é uma forma de ataque cibernético que utiliza mensagens de texto para enganar as pessoas e fazê-las fornecer informações pessoais ou confidenciais. O nome é uma combinação de SMS e phishing. Os atacantes costumam se passar por uma pessoa ou organização confiável para manipular as vítimas e fazê-las revelar suas informações.

Quais são alguns tipos comuns de golpes de smishing?

Os golpes de smishing podem assumir várias formas, como mensagens que alegam ser de um banco sobre atividades suspeitas, um serviço de entrega com um link de rastreamento ou um serviço de e-mail que requer verificação de conta. Outros tipos incluem textos que prometem recompensas, ameaçam cancelar serviços ou se passam por um executivo do local de trabalho da vítima. Alguns golpistas até enviam saudações genéricas ou perguntas como "Oi, tudo bem?" para verificar se um número de telefone está ativo e se o destinatário responderá.

Qual é a diferença entre smishing e phishing?

Smishing é um tipo específico de ataque de phishing que ocorre através de mensagens de texto (SMS). Phishing é um termo mais abrangente para qualquer tentativa de manipular ou enganar pessoas para que revelem informações pessoais ou confidenciais. O phishing é mais comum por e-mail, mas também pode ocorrer por meio de chamadas telefônicas, códigos QR, mensagens em redes sociais e mensagens de texto.

Como posso me proteger de um ataque de smishing?

Se você receber uma mensagem que suspeita ser um ataque de smishing, não clique em nenhum link. Você não deve responder à mensagem também, pois isso confirma para o invasor que seu número está ativo. Você deve excluir a mensagem, bloquear o número e desativar as confirmações de leitura para impedir que os invasores saibam que você abriu a mensagem. Você também pode querer relatar o ataque à equipe de segurança do seu empregador para que eles tenham visibilidade sobre ataques direcionados aos funcionários.

Como uma organização pode se defender de campanhas de smishing?

As organizações podem se proteger contra o smishing treinando funcionários e contratados para identificar e relatar essas mensagens. O uso de chaves físicas para autenticação de dois fatores (2FA) é uma defesa robusta, pois torna quase impossível que um invasor acesse uma conta apenas com credenciais de login roubadas. A adoção de um modelo de segurança Zero Trust também pode ajudar, pois assume que as ameaças já podem estar dentro da rede e limita os danos que um ataque bem-sucedido pode causar.