Audio via YouTube
Audio via Odeo/FileFreak
Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.
Clique aqui para ler o artigo de Amit Klein, no blog da Trusteer sobre a “Hora de Ouro” dos ataques de phishing.
Para ler esse artigo, clique no botão abaixo.
O pesquisador Amit Klein, da Trusteer, publicou na semana passada um artigo no blog da empresa com o resultado de uma pesquisa interessante. Ao avaliar quanto tempo depois do lançamento de um ataque de phishing as vítimas reagem, isto é, caem na armadilha, Klein constatou que 50% dessas vítimas caem na arapuca na primeira hora do ataque. Essa hora inicial está sendo chamada de “Hora de Ouro”, e esse tipo de comportamento por parte das vítimas é o que mais dificulta na resolução do problema do phishing.
O estudo mostra ainda que em 5 horas, 80% das vítimas caem na armadilha, e em 10 horas esse número chega a 90% do total de vítimas. Isso significa que tirar um site de phishing do ar depois de 10 horas (ou mesmo depois de 5) é praticamente irrelevante. O problema se agrava porque é muito raro que se consiga identificar o ataque e tirar o site do ar durante a tal “Hora de Ouro”. Tipicamente mesmo as poucas horas que se passam entre o lançamento do ataque, sua identificação e as providências para tirá-lo do ar são suficientes para que a maior parte do estrago seja feita.
O que mais incomoda nessa história toda é o fato de que os usuários reagem tão rapidamente aos ataques, entregando-se em questão de minutos aos bandidos. Falta um pouco de bom-senso, e um outro tanto de cautela. Esses 50% de vítimas da primeira hora, aposto, não fazem checagem alguma antes de sair clicando em links e dando seus dados. Não se perguntam se o pedido é legitimo, não ligam para a instituição supostamente pedindo os dados, não checam com amigos ou conhecidos para saber se alguém sabe alguma coisa, nada. Não, simplesmente reagem, como se dar a senha do banco fosse a coisa mais normal do mundo.
O caso todo permite mais uma dica para quem fica em dúvida sobre se dá seus dados ou não: como os ataques são tirados do ar após sua identificação, o usuário deve esperar pelo menos 24 horas antes de passar seus dados. É claro que nesse período o usuário deve procurar se informar o quanto puder sobre o pedido. Se depois de 24 horas ainda estiver disposto a se aventurar, deve esperar ainda mais 24 horas, e assim sucessivamente até que desenvolva o bom-senso necessário para perceber que empresas e instituições sérias não pedem dados sigilosos por e-mail ou via site. Pronto: problema resolvido.
Mudando de assunto, faz pouco tempo assumi novas responsabilidades profissionais, e nessa nova etapa não tenho mais a disponibilidade necessária para manter este blog atualizado diariamente. Lutei para chegar ao artigo de número 300 em base diária, e agora que esse objetivo foi atingido, o blog passa a ser atualizado duas vezes por semana: às segundas e às quintas. Assim consigo dar conta de minhas novas responsabilidades, e ao mesmo tempo em que mantenho esse contato com vocês, leitores e ouvintes. O formato continuará o mesmo: artigos em texto e áudio versando sobre segurança para os usuários domésticos.
Obrigado por manterem esse blog vivo durante esse um ano e meio, e até a próxima.
O estudo mostra ainda que em 5 horas, 80% das vítimas caem na armadilha, e em 10 horas esse número chega a 90% do total de vítimas. Isso significa que tirar um site de phishing do ar depois de 10 horas (ou mesmo depois de 5) é praticamente irrelevante. O problema se agrava porque é muito raro que se consiga identificar o ataque e tirar o site do ar durante a tal “Hora de Ouro”. Tipicamente mesmo as poucas horas que se passam entre o lançamento do ataque, sua identificação e as providências para tirá-lo do ar são suficientes para que a maior parte do estrago seja feita.
O que mais incomoda nessa história toda é o fato de que os usuários reagem tão rapidamente aos ataques, entregando-se em questão de minutos aos bandidos. Falta um pouco de bom-senso, e um outro tanto de cautela. Esses 50% de vítimas da primeira hora, aposto, não fazem checagem alguma antes de sair clicando em links e dando seus dados. Não se perguntam se o pedido é legitimo, não ligam para a instituição supostamente pedindo os dados, não checam com amigos ou conhecidos para saber se alguém sabe alguma coisa, nada. Não, simplesmente reagem, como se dar a senha do banco fosse a coisa mais normal do mundo.
O caso todo permite mais uma dica para quem fica em dúvida sobre se dá seus dados ou não: como os ataques são tirados do ar após sua identificação, o usuário deve esperar pelo menos 24 horas antes de passar seus dados. É claro que nesse período o usuário deve procurar se informar o quanto puder sobre o pedido. Se depois de 24 horas ainda estiver disposto a se aventurar, deve esperar ainda mais 24 horas, e assim sucessivamente até que desenvolva o bom-senso necessário para perceber que empresas e instituições sérias não pedem dados sigilosos por e-mail ou via site. Pronto: problema resolvido.
Mudando de assunto, faz pouco tempo assumi novas responsabilidades profissionais, e nessa nova etapa não tenho mais a disponibilidade necessária para manter este blog atualizado diariamente. Lutei para chegar ao artigo de número 300 em base diária, e agora que esse objetivo foi atingido, o blog passa a ser atualizado duas vezes por semana: às segundas e às quintas. Assim consigo dar conta de minhas novas responsabilidades, e ao mesmo tempo em que mantenho esse contato com vocês, leitores e ouvintes. O formato continuará o mesmo: artigos em texto e áudio versando sobre segurança para os usuários domésticos.
Obrigado por manterem esse blog vivo durante esse um ano e meio, e até a próxima.
Seu blog é ótimo. Uma pena não ser mais diário. Faz parte, afinal de contas, tempo é algo relativamente curto para o tanto de obrigações ou necessidades de executar algo que temos.
ResponderExcluirEspero que este blog passe do "tópico" de número mil.
Ouço sempre.
Parabéns pelo ótimo trabalho.
Abraços.
Muito obrigado pelo apoio, Anônimo!
ResponderExcluirVamos continuar por aqui, sim, com um pouco menos de frequência, mas com regularidade, certamente.
Até quinta!
Continuo agradecendo pelas ótimas dicas e, claro, desejo-lhe sucesso na outra empreitada profissional. ;-)
ResponderExcluirAbraços,