Notícias da UFSC

A Secretaria de Governança Eletrônica e Tecnologia da Informação e Comunicação  (Setic) da UFSC está promovendo uma campanha de conscientização sobre a necessidade de envolvimento de toda comunidade universitária para aprimorar a segurança digital. As primeiras iniciativas são voltadas a combater a prática do phishing, uma modalidade de fraude digital em que um golpista tenta roubar informações pessoais e institucionais por meio de e-mails ou mensagens falsas que parecem legítimas.

Atualmente, as tentativas de fraude podem chegar via redes sociais, serviços de mensageria (SMS, WhatsApp) e por e-mail. No caso da UFSC, os ataques de phishing chegam principalmente por e-mail. E o desafio de combater a fraude é imenso, pela dimensão do serviço: a UFSC mantém mais de 107 mil contas em domínios próprios, que recebem 415 mil mensagens por dia (151 milhões em 12 meses). Das mensagens recebidas, 83% (ou 125 milhões) são classificadas como spam (mensagem indesejada). Outras 32,5 mil contém vírus. Em média, 300 contas são bloqueadas preventivamente por mês pelo script de proteção.

A Setic investe em soluções técnicas de proteção, como firewalls, antivírus e servidores mais seguros, mas a parte técnica da solução não dá conta do fator humano. A fraude por phishing utiliza primordialmente a engenharia social, que são táticas de persuasão que induzem as pessoas a fornecer voluntariamente, por meio do engano, o acesso a dados e informações pessoais.

A engenharia social do phishing é tentar enganar a pessoa que recebeu o e-mail, fazendo com que a mensagem pareça confiável, de fonte segura, ou dê a ideia de que foi remetida a pedido do destinatário. O objetivo é fazer com que o usuário clique em um link, permitindo a invasão do sistema. “A engenharia social é a porta de entrada mais usada contra instituições federais de ensino, e a que menos depende de falha técnica”, observa Henrique Ribeiro, analista de Tecnologia da Informação da Setic.

A psicologia do golpe

No curso de capacitação “Segurança da Informação e Certificação Digital”, ministrado por servidores da Setic, uma das aulas é dedicada ao tema do phishing e engenharia social. O  tópico relacionado a invasões às instituições traz o dado de que 62% das violações de segurança envolvem o fator humano (phishing, erro ou uso indevido de credenciais).

Ao abordar a psicologia do golpe, o curso aponta os quatro “gatilhos” que fazem o cérebro obedecer antes de pensar: autoridade, urgência, escassez e reciprocidade. E-mail recebido de autoridade desfruta de credibilidade. O sentido de urgência induz a responder antes de avaliar. A escassez trabalha no risco de perder alguma coisa que tem pouca oferta. E a reciprocidade oferece recompensa a quem estiver disposto a fornecer dados pessoais.

Na Cartilha de Segurança da Informação divulgada para toda a Universidade, a Setic vê a comunidade universitária com potencial para aprimorar a segurança digital na Universidade. “O ser humano não é o elo mais fraco, é o elo mais consciente. Um software não desconfia de um e-mail estranho. Você desconfia”.

Formas comuns de phishing na UFSC

“Confirme sua conta”

Golpistas enviam e-mails dizendo que você precisa clicar em um link para confirmar sua conta. A UFSC nunca faz esse tipo de pedido por e-mail. Caso seja necessária alguma troca de senha, o usuário deve acessar https://idufsc.ufsc.br/ e fazer as alterações por lá, conforme orientação da Setic.

“Congestionamento no sistema”

O e-mail informa falsamente uma manutenção ou congestionamento no sistema. Assim, pede que o usuário confirme seu e-mail, clicando em um link. A Setic informa que manutenções de grande impacto ou mudanças nos serviços são publicadas no site oficial (link) e amplamente divulgadas nos canais oficiais da UFSC.

Quando uma conta é comprometida, a Setic toma medidas para bloquear o usuário e impedir o reenvio desse tipo de e-mail a outros e-mails institucionais. No entanto, se o e-mail já foi enviado antes do bloqueio, uma vez que a mensagem já foi entregue, não há como removê-lo automaticamente da caixa dos destinatários. Por isso, é fundamental que os usuários estejam atentos para reconhecer essas tentativas de golpe e marquem o e-mail como spam.

“Comportamento anormal”

Há um spam que tem circulado atualmente que parece uma comunicação oficial. Possui uma assinatura compatível com o padrão de assinaturas utilizado na Setic, indica formas de contatos verídicas e possui links verdadeiros, como o Portal de Chamados e a Cartilha de Segurança.

No entanto, ao posicionar o mouse sobre o link falso, pode-se observar que o endereço exibido na barra inferior do navegador não condiz com o apresentado. Além disso, o remetente está marcado como “Suporte Mail UFSC”, mas o e-mail é enviado por uma conta comprometida. Por vezes, esse e-mail cita um comportamento anormal e a necessidade de acessar um link para continuar utilizando o e-mail.

Para se proteger

* Desconfie de e-mails pedindo para clicar em links, informar senhas ou preencher formulários com dados pessoais.

* Sempre passe o mouse sobre o link sem clicar e veja se o endereço é o mesmo que aparece no texto (geralmente o link correto aparece no canto inferior esquerdo da janela).

* Confira se o aviso de manutenção ou problema foi publicado no site oficial da Setic.

* Em caso de dúvida, ligue para o atendimento da Setic (ramal 6333) ou abra um chamado no Portal de Chamados.

Anatomia de um e-mail malicioso

Alguns cuidados e atenção a pontos de inspeção em um e-mail podem ajudar na hora de evitar um golpe: remetente, link, anexo, tom e pedido.

Remetente: Para descobrir as informações verdadeiras do remetente, passe o mouse por cima, sem clicar. No celular, toque no nome para expandir. Muitas vezes os ataques provêm de remetentes que emulam contas pessoais legítimas, ou seja, “nome.sobrenome” antes do @. Mas ao passar o mouse sem clicar aparece o verdadeiro endereço do remetente.

Link: o que você lê é diferente do local para onde o clique leva. Passe o mouse por cima, sem clicar. O destino real aparece no rodapé do navegador ou do cliente de e-mail. Cuidado com os endereços falsos, como fake-ufsc.br (https://fake-ufsc.br/); mail-ufsc.br (https://mail-ufsc.br/); ufsc.com.br; ufsc-edu.br; ufsc.br.suporte.net. O domínio precisa ser ufsc.br (https://ufsc.br/) ou terminar em .ufsc.br, com o ponto.

Anatomia do e-mail malicioso

Anexo: Fique atento ao formato de arquivo, geralmente identificado por três ou quatro letras após o ponto, no final do nome do arquivo. Enquanto os arquivos .PDF podem ser relativamente seguros, extensões .EXE, .SCR, .BAT, .JS e .VBS requerem atenção máxima. São arquivos executáveis (programas), quase sempre malwares (programa ou código criado para danificar, invadir ou explorar computadores, celulares, servidores e redes). Lembre-se: o que vale é o final do nome. Um arquivo nomeado FOTOS.JPEG.EXE é um arquivo executável.

Tom: quando o tom do texto soa estranho, é um indício de fraude. É preciso atentar para traduções malfeitas (golpes internacionais que passam a circular no Brasil); formalidade acima do tom (excelentíssimo senhor); registro trocado (uso de gírias e abreviações ou excesso de informalidade em suposta comunicação institucional). Com o uso da IA, os golpistas aperfeiçoam cada vez mais a correção e adequação dos textos, o que torna mais difícil a identificação deste fator de alerta.

Pedido: Existe uma classe de pedidos que a UFSC nunca fará por e-mail:

* “Confirme sua senha clicando aqui”;

* “Transfira urgente para esta conta para liberar o pagamento”;

* “Abra o boleto em anexo para regularizar a pendência”;

* “Atualize seus dados cadastrais neste link”.

Caí no golpe, e agora?

A campanha da Setic tem como princípio a educação não-punitiva. O objetivo final é conscientizar as pessoas sobre a necessidade de reportar com rapidez qualquer incidente. Nenhuma ação individual é exposta, comunicada à chefia ou usada para sanção administrativa. Estatísticas e relatórios elaborados usam dados agregados e não casos individuais.

A Setic informa as ações requeridas a quem perceber que caiu no golpe:

1 – Troque a senha, imediatamente, no serviço afetado;

2 – Troque a senha em outros serviços, caso tenha usado a mesma (prática não recomendável);

3 – Reporte à SeTIC, o mais rápido possível, se a conta for institucional. O tempo entre o clique e o reporte determina o tamanho do estrago: reportou em minutos, virou estatística. Escondeu por semanas, virou incidente;

4 – Avise o setor, pois outros provavelmente receberam o mesmo e-mail.

Canais para reportar incidentes:

https://chamados.setic.ufsc.br – Se você tem a senha (nova ou antiga).

https://atendimento.setic.ufsc.br – Se você não consegue autenticar.