Callback phishing: o que é e como essa tática coloca empresas em risco

As táticas de engenharia social continuam evoluindo, combinando diferentes técnicas para tornar os ataques mais convincentes e eficazes. Um exemplo é o callback phishing, também conhecido como “phishing híbrido”, que une e-mails de phishing tradicionais a golpes por voz (vishing) para manipular vítimas e obter acesso não autorizado.

Primeiro, o alvo recebe uma mensagem em seu e-mail corporativo que personifica uma empresa, instituição ou pessoa. Em geral, a entidade personificada é um fornecedor de alguma solução que a empresa já consuma ou que tenha interesse — como ferramentas de cibersegurança, por exemplo. 

As mensagens possuem um tom bastante profissional e podem convencer o colaborador, por exemplo, de que houve um problema com a solução de segurança adotada pela empresa e de que os técnicos responsáveis precisam verificar o problema urgentemente de maneira remota.

Em seguida, vem a etapa telefônica. Para ganhar mais credibilidade e não serem barrados em filtros anti-spam, os golpistas não incluem anexos ou links: eles pedem para que o colaborador ligue imediatamente para uma suposta central de atendimento para obter instruções. 

Caso o funcionário o faça, será atendido por um golpista altamente cordial, que lhe orientará a acessar uma página maliciosa que, além de roubar dados pessoais (incluindo credenciais para sistemas internos), também pode ser usada para espalhar malwares.

Quais danos pode causar?

Na maioria das vezes, o callback phishing é usado para instalar trojans de acesso remoto (remote access trojans ou RATs, em inglês) no computador da vítima, que nada mais são do que vírus projetados para espionar a máquina afetada. Eles costumam ter a habilidade de se replicar por toda a rede corporativa via movimentação lateral, o que significa que, caso um único colaborador tenha sua máquina infectada, é possível que em pouco tempo todo o escritório esteja comprometido, caso não haja uma segmentação adequada na infraestrutura.

Claro, embora os RATs sejam comuns, nada impede que o phishing híbrido seja usado para outras finalidades. Pesquisadores também identificaram o uso de tal tática para distribuir os tão temidos ransomwares. Nesse caso, o único objetivo dos cibercriminosos é ganhar dinheiro rápido criptografando dados importantes e exigindo um resgate imediato, geralmente via criptomoedas.

O que mais tem impressionado a comunidade de segurança é o quão convincentes são as mensagens de callback phishing, diferentemente dos e-mails maliciosos convencionais. De forma direcionada, os golpistas realmente elaboram um comunicado muito bem escrito, em tom altamente formal, usando a identidade visual de empresas famosas e até mesmo argumentando que a equipe de TI da empresa da vítima está ciente do contato.

Técnicas de evasão

Como qualquer outro golpe de engenharia social, a conscientização é a chave para um callback phishing. Ao receber um e-mail suspeito, pense duas vezes antes de tomar qualquer atitude: acione imediatamente a equipe de segurança ou de tecnologia da informação para verificar se a mensagem é real — e se o suposto fornecedor é, de fato, aquele com a qual a sua corporação trabalha, por exemplo.