Websites legítimos tornam-se plataforma de cibercrime

Os hackers estão sempre à procura de novos métodos para enviar mensagens de spame phishing sem serem apanhados pelos filtros de conteúdos que já existem. Tentam, por isso, que os emails que enviam venham de uma fonte legítima, com uma boa reputação para evitar que os utilizadores os ignorem. Isto também acaba por significar um desafio para as empresas, já que este spam ou conteúdo malicioso, aparentemente enviado no seu nome, poderá comprometer a confiança que os clientes nela depositam ou mesmo levar a falhas de segurança no que diz respeito a dados pessoais. 

Trata-se de um método bastante simples e eficaz. Hoje em dia, quase todas as empresas querem receber comentários por parte dos seus clientes para poderem melhorar a qualidade do serviço que lhes prestam, os níveis de fidelização, bem como a sua reputação. Assim, pedem aos clientes que criem uma conta pessoal, que subscrevam a newsletter ou que comuniquem através de formulários realizados através do websiteda empresa, por exemplo, para enviar perguntas ou deixar sugestões. Estes são precisamente os mesmos mecanismos dos quais os hackers se aproveitam. 

Estes mecanismos requerem que os clientes insiram o seu nome e emailpara poderem receber uma mensagem de confirmação ou uma resposta às suas perguntas. Segundo alguns investigadores da Kaspersky, os hackers incorporam conteúdos de spam e hiperligações de phishing a estes emails. Adicionam simplesmente o emailda vítima no formulário de registo ou de subscrição e escrevem a mensagem no lugar do nome.

Seguidamente, o próprio website envia uma mensagem modificada de confirmação para o emailque foi dado, que vai ter um anúncio ou hiperligação de phishing no início do texto, em vez do nome do destinatário. 

María Vergelis, Especialista em Segurança na Kaspersky, comenta: “A maioria destas mensagens modificadas estão ligadas a questionários online criados para obter dados pessoais. As notificações de uma fonte de confiança iludem, normalmente, com facilidade os filtros dos conteúdos já existentes, uma vez que são mensagens oficiais enviadas por uma empresa de confiança. Esta é a razão pela qual este novo método de email não desejado, aparentemente inocente, é tão eficaz e preocupante.” 

Para evitar que as empresas sofram de possíveis perdas de reputação, a Kaspersky aconselha as seguintes medidas:

• Verificar o funcionamento dos formulários de comentários disponíveis no website;
• Introduzir várias regras de verificação que gerem um erro, no caso de se tentar registar um nome com símbolos inapropriados;
•  Realizar uma análise de vulnerabilidades ao website, nos casos em que a mesma é possível.