Investigação ESET: principais táticas usadas por cibercriminosos para roubo de dados e credenciais

Ao falar sobre proteção e prevenção na vida digital, o foco costuma ser dedicado à ameaças como ransomware. Entretanto, de acordo pesquisas da ESET, empresa líder em detecção proativa de ameaças, antes de executar diferentes formas de ataque, os agentes mal intencionados se apropriam de credenciais pessoais.

O chefe do Laboratório de Pesquisa da ESET, Camilo Gutierrez Almaya, explica que ter acesso a essas informações concede ao criminoso acesso a dados confidenciais e importantes para a segurança de sistemas, permitindo a realização de fraudes financeiras, roubo de identidade, e até mesmo, a infiltração em sistemas de corporações, públicas e privadas, para roubo de informações privilegiadas.

"Não é surpresa que o mercado ilegal de credenciais roubadas esteja bem estabelecido, pois, de acordo com um relatório sobre violação de dados de 2023 da Verizon, mais da metade dos crimes de identidade tiveram a mesma origem... Sim, as senhas comprometidas. A variedade de frentes a serem enfrentadas para prevenir infecções e permanecer protegido é vasta: desde a exploração de vulnerabilidades, tanto zero-day quanto as mais antigas, mas ainda não corrigidas; a falta de atualização dos sistemas; até os golpes de engenharia social e phishing que buscam obter nossos dados sensíveis e privados", salienta Camilo.

As principais maneiras pelas quais os cibercriminosos conseguem, ou tentam, obter credenciais (senhas, PIN, respostas a perguntas secretas, etc.) são:

Phishing e engenharia social: os cibercriminosos se fazem passar por amigos, familiares ou organizações públicas em um e-mail ou outros meios de comunicação para induzir os usuários a baixarem um arquivo com malware que rouba informações, ou a fornecer voluntariamente dados em uma página web falsa que eles próprios controlam. É importante sempre verificar a autenticidade da fonte desse tipo de mensagens, especialmente se contiverem uma mensagem carregada de urgência e solicitarem uma ação imediata.

Ataques de força bruta: são técnicas utilizadas por cibercriminosos para testar combinações de senhas e obter as credenciais legítimas da vítima. Por meio do "credential stuffing", os atacantes despejam grandes volumes de combinações de nomes de usuário e senhas que foram previamente vazadas em um software automatizado que as testará em vários sites na esperança de encontrar uma correspondência, por exemplo. Outro tipo de ataque de força bruta semelhante é o "password spraying", um software automatizado que testa senhas de uma lista até encontrar uma legítima. Senhas fracas, fáceis de lembrar ou que são muito comuns facilitam o uso dessas técnicas.

Vazamentos de dados: recentemente, a equipe da ESET analisou numerosos casos de vazamentos de dados, que são outra fonte utilizada pelo cibercrime para obter esses acessos, e o comércio de credenciais em fóruns clandestinos para serem utilizadas em diferentes serviços por outros cibercriminosos.

Malware infostealer: trata-se de um tipo de malware cujo principal objetivo é roubar informações do computador infectado e enviá-las aos cibercriminosos. Embora esteja focado principalmente em roubar credenciais armazenadas no navegador ou em espaços de armazenamento temporário e no histórico, também pode apresentar funções adicionais, como roubo de carteiras de criptomoedas.

Existem vários tipos de malware projetados para roubar informações, sendo que alguns são projetados para registrar as digitações de teclas, como os keyloggers, ou capturar imagens da tela do dispositivo. Os infostealers em atividade são frequentemente distribuídos nos mercados da dark web por um custo relativamente baixo, facilitando assim que outros criminosos usem.

Em 2023, a ESET analisou um caso real que demonstra como um infostealer obteve as credenciais das contas de Instagram, Facebook, Twitter, Hotmail, Twitch, Steam e Spotify da vítima. "A gestão de credenciais deve ser um pilar nessas estratégias de proteção, da mesma forma que manter os dispositivos atualizados, ter uma solução de segurança instalada em todos os dispositivos, ficar atualizado sobre os novos ataques e táticas dos cibercriminosos ou saber como reconhecer uma tentativa de phishing é fundamental para nossa segurança digital", Camilo.

Senhas robustas e armazenadas de forma segura, por exemplo, utilizando gerenciadores de senhas, e a ativação de fatores adicionais de autenticação são práticas vitais para manter as credenciais fora do alcance dos cibercriminosos.

Para saber mais sobre segurança da informação, visite o portal de notícias ESET. A ESET também convida você a conhecer o Conexão Segura, seu podcast para descobrir o que está acontecendo no mundo da segurança da informação. Para ouvir, acesse o link.

Sobre a ESET

Desde 1987, a ESET® desenvolve soluções de segurança que ajudam mais de 100 milhões de usuários a aproveitar a tecnologia com segurança. Seu portfólio de soluções oferece às empresas e consumidores de todo o mundo um equilíbrio perfeito entre desempenho e proteção proativa. A empresa possui uma rede global de vendas que abrange 180 países e possui escritórios em Bratislava, San Diego, Cingapura, Buenos Aires, Cidade do México e São Paulo. Para mais informações, visite nosso site ou siga-nos no LinkedIn, Facebook e Twitter.

Copyright © 1992 - 2023. Todos os direitos reservados. ESET e NOD32 são marcas registradas da ESET. Outros nomes e marcas são marcas registradas de suas respectivas empresas.