No dia seguinte, você percebe que transferiu o dinheiro para um fraudador e causou danos financeiros substanciais à sua empresa. Você se tornou vítima de um ataque baleeiro. Aprenda o que é a baleia e como evitá-la abaixo.
O que é a baleia?
Um ataque de baleia ocorre quando os fraudadores visam funcionários específicos de alto escalão em uma empresa. Ao se passar por um executivo sênior, eles tentam extrair informações confidenciais ou dinheiro de suas vítimas. Eles fazem isso enviando e-mails ou tentando entrar em contato com os funcionários de outras maneiras (mídias sociais, mensagens instantâneas, até uma ligação telefônica etc.). Geralmente, eles pedem para enviar algo rapidamente, porque precisam o mais rápido possível. Normalmente, há um senso de urgência nas mensagens baleeiras.
A pesquisa é fundamental para que um ataque de baleias tenha sucesso. Os cibercriminosos examinam as páginas de mídia social da empresa, perfis de funcionários e outras informações publicamente disponíveis para tornar seus e-mails mais genuínos. Eles podem até entrar em contato com os funcionários da empresa apenas para obter o tom de voz e os padrões de comunicação da organização. Devido à sua natureza altamente personalizada, essa técnica de engenharia social é difícil de detectar e pode afetar até usuários muito cautelosos.
Exemplos de baleias
- Em 2016, o departamento de RH da Seagate recebeu um e-mail de um fraudador que representava o CEO da empresa. Eles enviaram os dados solicitados, vazando os detalhes pessoais de cerca de 10.000 funcionários.
- A empresa de aviões FACC perdeu 56 milhões de dólares para os baleeiros em janeiro de 2016. Seu CEO perdeu sua posições como resultado do ataque.
- Em 2016, um funcionário do Snapchat revelou informações da folha de pagamento da equipe a um baleeiro.
Phishing e caça às baleias
Embora use técnicas semelhantes ao phishing , também é significativamente diferente. Phishing é a explosão de e-mails não personalizados para muitas pessoas aleatórias, na esperança de enganar alguns deles. Isso geralmente envolve solicitações genéricas, como pedir para clicar em um link, inserir suas credenciais etc. Os e-mails de phishing são mais fáceis de identificar para o usuário comum, pois não são tão bem pesquisados e cuidadosamente criados quanto as mensagens baleeiras. Os e-mails de phishing têm baixas taxas de sucesso.
Por outro lado, a caça às baleias é um ataque altamente direcionado e bem pesquisado, visando a poucos ou até um único indivíduo. É muito parecido com a técnica de spear-phishing . No entanto, o spear phishing pode ter como alvo funcionários menos específicos de uma empresa em particular e não necessariamente aqueles de nível sênior.
Soluções para a caça à baleia
Para evitar ser vítima de baleia, considere as seguintes ações:
- Entre em contato com a pessoa representada usando outros métodos se você tiver a menor suspeita de que a mensagem seja tentada como baleia. Isso é especialmente importante se uma pessoa solicitar que você divulgue dados confidenciais ou faça uma transferência de dinheiro. Uma empresa pode implementar a verificação dupla como um requisito formal da empresa para procedimentos sensíveis;
- Procure bandeiras vermelhas no email. Verifique cuidadosamente se o endereço de email contém alguma irregularidade. Erros gramaticais ou senso de urgência também podem ser indicadores de um ataque cibernético à baleia;
- Use sistemas de segurança que possam filtrar emails externos suspeitos;
- Eduque-se e seus colegas sobre os perigos e possibilidades de um ataque como esse;
- Oculte os dados dos funcionários , mesmo que pareçam inofensivos (por exemplo, aniversários, datas importantes, relações entre colegas, regras internas, etc.). Além disso, limite a quantidade de dados relacionados ao trabalho que você publica nas mídias sociais e instrua seus colegas a fazer o mesmo. Isso tornará mais difícil a pesquisa dos cibercriminosos;
- Proteja procedimentos confidenciais ou grandes transferências de dinheiro, exigindo que mais de uma pessoa os conclua. Por exemplo, pode exigir a autenticação de outro funcionário sênior.
