Este post, escrito por Audian Paxson, Dir. of Technical Product Marketing na IRONSCALES, é o primeiro de uma série sobre um relatório desenvolvido em parceria com a Osterman Research, intitulado Insights Empresariais – Ataques de Phishing Baseados em Imagens e Códigos QR (que pode ser lido aqui).

Em 2023, a comunidade de cibersegurança (incluindo o autor, Audian Paxson) encontrou-se em uma encruzilhada familiar, enfrentando um cenário de ameaças em evolução que parecia ecoar padrões passados enquanto mapeava novos territórios de risco. Ataques de QRcode, ou “Quishing“, juntamente com o aumento de táticas sofisticadas de phishing baseadas em imagens, tornaram-se temas centrais em diálogos e estratégias dentro da indústria. Foi um desenvolvimento curioso – um que parecia impulsionado tanto pelo foco coletivo dentro da indústria quanto pelo genuíno surgimento dessas ameaças no ambiente selvagem.

Essa observação levou a uma pergunta: estavam os fornecedores e especialistas em cibersegurança amplificando o sinal antes que seu verdadeiro impacto fosse sentido por aqueles que buscam proteger? Parecia um caso clássico de qual veio primeiro, o ovo ou a galinha, o que provocou uma investigação mais aprofundada.

Uma busca pessoal por clareza

Com duas décadas no campo da cibersegurança, Paxson viu sua parcela de ameaças evoluírem de tentativas rudimentares para estratégias altamente sofisticadas. Mas o surgimento do Quishing e o aumento dos ataques baseados em imagens tocaram uma corda diferente. Particularmente alarmante foi um ataque detalhado em uma falsificação de fornecedor, onde os criminosos não apenas se passavam por uma entidade confiável, mas criavam e-mails de phishing como imagens, imitando perfeitamente notificações de documentos seguros. Estas não eram apenas tentativas aleatórias – eram calculadas, visando indústrias arraigadas no uso diário de tais comunicações.

A precisão e a (inteligente) exploração de fluxos de trabalho familiares (pense em DocuSign, Microsoft, Adobe e Google Docs) para enganar e fraudar destinatários destacavam uma eficiência aterrorizante. É compreensível… qualquer pessoa, envolvida em tarefas diárias e bombardeada com uma alimentação contínua de notificações genuínas, poderia facilmente cair nessas decepções.

Não se tratava apenas da novidade desses métodos, mas de seu uso predatório de rotinas e confiança. Audian Paxson queria entender a extensão dessas ameaças além do “risco do mês” anecdótico. Fora de seus próprios dados, eles queriam descobrir o quão pervasivas elas são e se as pilhas de segurança implantadas estavam realmente fazendo seu trabalho.

Iniciando a pesquisa da Osterman

Em parceria com a Osterman Research, Paxson embarcou para descobrir a realidade por trás dessas ameaças emergentes. O que foi descoberto foi uma dicotomia de confiança em segurança que foi surpreendente, até mesmo para alguém tão experiente (ahem…cético) quanto eles mesmos. Os dados revelaram não apenas uma lacuna, mas um abismo entre a eficácia percebida das defesas das organizações e a realidade de seu desempenho contra Quishing e ataques baseados em imagens (mais de 70% acreditavam que sua segurança de e-mail era eficaz, mas apenas 5,5% bloquearam todos os ataques no último ano). Essa revelação foi um momento de humildade, um lembrete de que mesmo no meio de tecnologias avançadas de inteligência artificial e aprendizado de máquina, podemos estar ignorando a imprevisibilidade fundamental do comportamento humano e a inovadora persistência dos atores de ameaças.

Há mais. A pesquisa revelou uma tendência preocupante: apesar das tecnologias avançadas de segurança de e-mail, uma parte significativa desses ataques (75,8% das organizações enfrentaram comprometimentos de phishing baseados em imagens e QRcodes no último ano) estão regularmente rompendo defesas. É um claro sinal de que, como indústria, talvez seja necessário repensar nossa abordagem para o treinamento e conscientização em cibersegurança. O fato de que esses ataques sofisticados são tão comuns, mas a confiança dos líderes de segurança na detecção e prevenção permanece alta, aponta para uma desconexão que merece uma reflexão profunda e uma mudança estratégica.

Olhando para o futuro

Ao compartilhar essas percepções e reflexões, o objetivo não é apenas delinear as vulnerabilidades e desafios que enfrentamos, mas também iniciar um diálogo sobre resiliência, adaptação e a contínua evolução de nosso cenário de cibersegurança. Esta jornada de pesquisa foi ao mesmo tempo esclarecedora e sóbria, reforçando a ideia de que na luta contra as ameaças cibernéticas, nossos ativos mais valiosos não são apenas as tecnologias que empregamos, mas também o conhecimento que compartilhamos e a vigilância coletiva que cultivamos.

Nos próximos posts desta série, a discussão mergulhará nas implicações estratégicas dessas descobertas, examinando como as organizações podem fortalecer suas defesas contra essas ameaças sutis e o que o futuro reserva para a segurança de e-mail em nosso ambiente digital em constante mudança.

Para saber mais sobre Segurança de E-mails, práticas e medidas adotadas para proteger empresas contra ataques phishing, ameaças e vulnerabilidades, acompanhe nosso conteúdo e conte com nossos especialistas.

Quer fazer um teste na sua empresa?  Entre em contato conosco através do seu Account Manager na Nova8 ou por meio dos nossos canais parceiros e marque seu 90 Days Scan Back.

Originalmente Postado por Audian Paxson em Ironscales.com/blog
20 de Março de 2024