Phishing email, para ser bem sucedido, tem que ter o clique do usuário. Mas por que uma precaução tão simples não consegue ser praticada?
A resposta é simples: as pessoas clicam em links maliciosos e caem nos golpes de phishing email por falta de atenção.
Com métodos de falsificação cada vez mais sofisticados, os criminosos criam emails esteticamente idênticos à empresa remetente, porém, há uma diferença (às vezes não tão sutil), que pode ser o alerta que o usuário precisa: o conteúdo da peça.
Ou seja, ofertas com benefícios fora do comum, com chamadas que priorizam muito o gatilho da urgência, entre uma série de outros detalhes são utilizadas com o objetivo de “encantar” o destinatário de phishing email.
Em outras palavras, esse encantamento gera a distração (e a urgência) necessárias para levá-lo ao tão esperado clique no link ou botão que efetiva o golpe.
E aí, não tem jeito: clicou, já era!
Tabela de conteúdos
Como o phishing email prejudica o marketing por email
Além de causar danos para o usuário de emails, o phishing detona o email marketing de qualquer empresa. Esse é mais um motivo pelo qual as medidas de proteção dos filtros antispam são tão criteriosas.
Muita gente acha que comprar listas de emails é mais rápido (e prático) que construir uma base com leads reais.
Este é o típico barato que sai caríssimo porque listas compradas, além de serem ilegais, contêm muitos spams, que por sua vez, são grandes portadores de phishing.
Construir uma base de emails sólida requer tempo, dedicação e verificação de emails. É esse serviço que vai determinar a construção de leads.
Que tal aprender a construir uma lista de emails da maneira correta? Assista ao nosso webinar e aproveite as dicas!
Todos os usuários de emails devem aprender a se prevenir contra esses crimes. Por isso, leia com atenção as dicas a seguir!
Os golpes mais utilizados no phishing email
Restituição do IR
A época da restituição do Imposto de Renda é uma das favoritas dos criminosos. Isso porque as técnicas envolvem o “encantamento” que citamos acima.
Ao receber um email afirmando o recebimento de um valor inesperado, a tendência é que o usuário fique no mínimo, curioso com a revelação.
Essa distração leva ao clique no link falso do site da Receita Federal. Esse tipo de fraude causa danos gravíssimos, visto que as vítimas podem perder seus CPFs e também os dados de suas contas bacárias.
Phishing email e solicitações corporativas
Os hackers usam a criatividade como aliada. Um exemplo são os golpes de emails corporativos, contendo mensagens de pessoas hierarquicamente superiores solicitando transferências de valores para clientes, ou para departamentos específicos. Essas transferências são realizadas para os criminosos.
Confirmação de dados em conta bancária
Você recebe um email do seu banco dizendo que há atividades suspeitas na sua conta. E que, por motivos de segurança, a instituição está solicitando que você insira dados de confirmação. Jamais atenda a uma solicitação como essa.
Cuidado com a autenticação em dois fatores
A autenticação em dois fatores foi criada para proteger as pessoas contra cibercrimes, porém, os hackers podem driblar esse esquema através do envio de um phishing email solicitando justamente que o usuário insira seus dados em outro dispositivo, como o SMS do celular.
Evite isso sabendo reconhecer se o email é autêntico ou não. Veja mais a seguir.
Como reconhecer um email falso
Não existe phishing email perfeito. Sempre haverá um rastro de falsificação, e é nessa hora que a sua habilidade de reconhecê-la deve entrar em cena.
Observe a URL e identifique um phishing email
Ao passar o mouse (sem clicar) sobre a URL, você visualiza a página. Observe se há erros de ortografia. Por exemplo: Netflik no lugar de Netflix.
Consulte a empresa que supostamente enviou o email e veja a URL no Google. Um phishing email costuma criar URLs bem parecidas com as originais, e isso acontece especialmente com sites do governo, que têm a extensão .org.
Por exemplo: capital_sp.gov.br é diferente de capital.sp.gov.br. A segunda opção é a verdadeira. Perceba que o underline é o que diferencia uma URL da outra. Mantenha-se atento!
Usuários do Gmail
Ao abrir a mensagem, localize os 3 pontinhos localizados no lado direito. Clique em “mostrar original”.
Neste local, você encontra o cabeçalho de email, extremamente importante para verificar se um email é autêntico.
Observe o campo “De:” e veja se a origem do email corresponde a quem o remetente afirma ser.
A data do envio também é importante, pois assim, você consegue identificar um phishing email antigo (que geralmente está entre emails em massa).
Veja se há certificações SPF, DKIM e DMARC. Essas certificações existem para provar que o domínio é o real remetente da mensagem, e não alguém tentando se passar por ele.
A ausência dessas certificações revela phishing emails e também assegura ao provedor de email (no caso, o Gmail), que a mensagem é autêntica, ou seja, não é spam.
Veja o que significa cada certificação:
- SPF – Sender Policy Framework: é a lista de todos os servidores que pertencem ao domínio.
- DKIM – DomainKeys Identified Mail: é a assinatura do domínio em cada email enviado por ele.
- DMARC – Domain-based Message Authentication Reporting and Conformance: Se o SPF ou DKIM não atendem às configurações do domínio, o DMARC vai dizer se a mensagem deve entrar em quarentena ou mesmo retornar ao domínio remetente.
Importante: um domínio pode configurar somente uma autenticação SPF, ou somente DKIM, ou as duas juntas. O importante é que haja algum tipo de certificação no cabeçalho do email.
FAQ
Phishing emails contêm uma série de técnicas para encantar e distrair o usuário, por meio de conteúdos cativantes e ofertas miraculosas. Dessa forma, as pessoas se sentem atraídas e acabam clicando em links e botões maliciosos, que fazem com que os golpes se concretizem.
Emails de phishing detonam a reputação de empresas sérias que utilizam o marketing por email como canal de comunicação. Um spam de phishing fere a LGPD, além de levar a lista inteira a bloqueios nos filtros de spam dos provedores. Com a comunicação interrompoida, as empresas têm seus investimentos colapsados.
O falso email de restituição do IR, os corporativos solicitando transferências de valores, os pedidos de atualização de dados bancários e a autenticação em dois fatores. Embora esta seja uma medida de segurança, é preciso que o usuário saiba reconhecer a autenticidade de um email, observando a URL e os cabeçalhos das mensagens.