Home  >  Segurança

URLs maliciosos agora estão desenfreados

Segundo pesquisa volume de ataques baseados em URL aumentou no último ano

Byron Connolly/CIO USA

11/03/2019 às 14h51

Foto: Shutterstock

URLs maliciosos agora são um problema desenfreado, de acordo com estudo que descobriu que eles estão contidos em uma média de um em cada 61 e-mails.

O mais recente estudo de avaliação de risco de segurança de e-mail da Mimecast apontou que o número de URLs maliciosos em e-mails aumentou em mais de 125% em comparação com os resultados do último trimestre. Quase metade (45%) dos 1.025 entrevistados do estudo disse que o volume desses ataques baseados em URL ou aqueles com anexos perigosos aumentaram no último ano.

O último relatório também descobriu quase 25 milhões de e-mails com spam, 26.713 anexos com malware, 53,753 ataques de disfarce e 23.872 tipos de arquivo perigosos, cujos quase 232 milhões de e-mails inspecionados foram ignorados pelos provedores de soluções de segurança e entregues nas caixas de entrada. Isso colocou indivíduos e organizações em risco, disse a Mimecast.

“E-mail e a web são complementos naturais quando se trata da infiltração de uma organização”, disse Matthew Gardiner, estrategista de segurança cibernética da Mimecast.

“O e-mail oferece conteúdo confiável e URLs facilmente clicáveis, o que pode levar vítimas não intencionais a sites mal-intencionados. As URLs em e-mails são literalmente um ponto de intersecção entre o e-mail e a web. As organizações precisam de visibilidade em ambos os canais para ter a proteção necessária para se manterem no controle das ameaças atuais em constante evolução, e ter um único fornecedor em uma solução integrada pode ajudar.

“Os cibercriminosos estão constantemente procurando novas maneiras de evitar a detecção, recorrendo frequentemente a métodos mais fáceis, como engenharia social, para obter informações sobre uma pessoa ou extrair imagens da internet para ajudar a legitimar suas tentativas de obter credenciais ou informações de usuários desavisados.”

A Mimecast disse que a fraude por falsificação de identidade também continua a crescer, com 41% dos entrevistados relatando que viram um aumento nesse tipo de fraude, em que fornecedores ou parceiros de negócios pedem dinheiro, informações confidenciais ou credenciais. Outros 38 por cento disseram ter visto um aumento na fraude de falsificação de marcas bem conhecidas de internet.

Enquanto isso, a falta de treinamento efetivo em conscientização da segurança cibernética, particularmente quando se trata do quadro de funcionários abrindo inadvertidamente e-mails com phishing, continua sendo um problema.

O principal consultor técnico da Mimecast, Garrett O'Hara, disse recentemente à CIO Austrália que o treinamento orientado pela compliance simplesmente não funciona. No ano passado, a Mimecast adquiriu a Ataata, uma plataforma de treinamento em segurança e gerenciamento de riscos cibernéticos, desenvolvida pela comunidade militar, de aplicação da lei e de inteligência dos EUA, que ajuda as empresas a combater violações causadas por erros de funcionários. A empresa alega que 95% das violações são resultado de erro humano.

“Esses caras [Ataata] foram atrás da geração Netflix e criaram quase como um seriado cômico – três ou quatro minutos de vídeo, divertidos e engraçados e entregam uma mensagem simples... e mapeiam isso de volta aos perfis de risco [da organização] antes de comparar com a indústria da empresa e do mercado vertical”, disse ele.
“Onde realmente fica interessante é que você pode trancá-lo no gateway e, em seguida, pode fazer coisas como ‘enfrentar’ ataques reais e usá-los como maneiras de medir o comportamento dos usuários finais, em vez de apenas executar uma campanha, o que é uma abordagem aceitável.

“Isso é mais sobre ‘o que realmente está acontecendo?’ Não é um e-mail falso que entra em uma organização e está perguntando: “Durante o dia-a-dia, o que os nossos usuários finais realmente fazem quando surgem ataques de engenharia social?” Eu acho que é uma perspectiva interessante e eu realmente não tenho visto essa abordagem. É outro ponto de dados fora das campanhas de phishing padrão”, disse O'Hara.