A Sophos compartilhou essa semana com o mercado sua mais recente pesquisa, “Phishing Insights, 2021”, que examina a experiência e a compreensão do phishing em organizações em todo o mundo durante 2020.
Os resultados mostram que os ataques de phishing direcionados às organizações aumentaram consideravelmente durante a pandemia, à medida que milhões de funcionários que estão trabalhando em home office se tornaram o principal alvo dos cibercriminosos. A grande maioria (70%) de todas as equipes de TI disse que o número de emails de phishing que atingiram seus funcionários aumentou em 2020. Ligado a esse dado, o estudo aponta outro número relevante: houve um aumento para 82% das equipes de TI em organizações que foram atingidas por ransomware durante o ano.
“O phishing existe há mais de 25 anos e continua sendo uma técnica de ataque cibernético eficaz. Uma das razões de seu sucesso é sua capacidade de evoluir e diversificar continuamente, adaptando os ataques a questões ou preocupações atuais, como a pandemia, e jogando com as emoções e a confiança humanas”, comenta Chester Wisniewski, Principal Cientista Pesquisador da Sophos.
Alguns destaques do Brasil são:
• Das 200 companhias brasileiras que participaram da pesquisa, 73% (145) alegaram terem notado um aumento no número de ataques de phishing desde o início da pandemia. Dessas 145, 55 disseram que houve um grande aumento e 90 apontaram um pequeno aumento;
• Além disso, 18% das empresas brasileiras disseram ter tanto programas de treinamento baseados em máquinas, quanto liderados por humanos, além de simulações de phishing como formas de conscientização sobre segurança cibernética para lidar com esses ataques.
Outras descobertas de destaque da pesquisa incluem:
1) Os profissionais de TI não concordam com uma única definição de phishing. O entendimento mais comum sobre phishing, selecionado por 57% dos entrevistados, é “e-mails que falsamente afirmam ser de uma organização legítima, geralmente combinados com uma ameaça ou solicitação de informações”. 46% consideram os ataques de Compromisso de Email Empresarial (BEC) como phishing, e mais de um terço (36%) pensam que o roubo de linha (quando os invasores se inserem em uma linha de email legítima como parte de um ataque) é phishing;
2) A maioria (90%) das organizações executa programas de conscientização sobre cibersegurança para lidar com o phishing. No entanto, à luz dos resultados da pesquisa, os programas de educação e conscientização sobre phishing precisam considerar a ampla gama de definições de phishing percebidas e incluir treinamento para funcionários não técnicos que explicam as diferentes facetas dos ataques de phishing e e-mail em geral.
“De acordo com o Sophos Rapid Response, os invasores costumam usar e-mails de phishing para induzir os usuários a instalar malware ou compartilhar credenciais que fornecem acesso à rede corporativa. A equipe viu em primeira mão como um e-mail aparentemente inofensivo pode levar a um ataque de ransomware multimilionário. Criptojacking, roubo de dados — e até mesmo financeiro — são resultados potenciais depois que um ataque de phishing abriu uma porta para cibercriminosos”, finaliza Chester Wisniewski.
