A Black Friday é com certeza uma das épocas mais movimentadas para os comerciantes. Os pedidos chegam em massa, as faturas se acumulam e os departamentos financeiros enfrentam uma avalanche de transações e solicitações.
É nesse caos que os cibercriminosos enxergam oportunidades irresistíveis: eles sabem que, durante esse período, contadores e diretores financeiros estão sobrecarregados, focados em processar pagamentos e maximizar os lucros sazonais, sendo mais fácil aplicar golpes de phishing e de comprometimento de e-mail comercial (BEC).
Por que a Black Friday é adorada por criminosos
A Black Friday oferece uma combinação de fatores que facilitam a prática de phishing pelos criminosos. Se de um lado os altos volumes de transações permitem que faturas falsas passem despercebidas, já que os funcionários não têm tempo para examinar cada documento detalhadamente; por outro, a temporada fornece ainda muitas oportunidades de os golpistas criarem comunicações fraudulentas.
Esse é um cenário perfeito para golpes: pessoas ocupadas, sistemas sobrecarregados e um senso geral de urgência.
Como funcionam os sofisticados ataques de phishing na Black Friday
O phishing moderno evoluiu para muito além dos erros pífios de grafia ou links claramente falsos. Os golpistas de hoje combinam engenharia social, coleta de dados e falsificação de domínio para criar mensagens altamente convincentes. Tipicamente, um ataque assim se desenvolve em várias etapas:
1. Reconhecimento
Tudo se inicia com uma boa pesquisa dos alvos. Os golpistas analisam sites de empresas, listas de fornecedores, postagens em redes sociais e até mesmo comunicados à imprensa para saber mais sobre os principais fornecedores e funcionários. Eles podem registrar domínios semelhantes, usando substituições de letras minúsculas ou caracteres extras, para imitar parceiros reais.
2. Infiltração
A seguir, eles entram em contato com a vítima, por meio de um e-mail oportuno que parece vir de um fornecedor conhecido ou de um executivo sênior, solicitando ação imediata. O tom é educado, mas urgente: um pagamento em falta, uma correção nos dados bancários ou uma fatura final de uma campanha da Black Friday.
3. Manipulação
Se o alvo hesitar, os criminosos botam pressão na vítima por meio de mensagens ou ligações de acompanhamento. Eles podem alegar que o problema atrasará remessas, cancelará um contrato importante ou irritará um gerente sênior. O objetivo é forçar o cumprimento rápido (e sem verificação) de suas exigências.
4. Exploração e encobrimento
Assim que o pagamento é efetuado ou as credenciais são roubadas, o golpista age rapidamente. Muitas vezes, ele envia confirmações ou reconhecimentos falsos para atrasar a detecção, o que lhe dá tempo para sacar ou lavar os fundos roubados.
Essa sequência de passos é o que confere maior precisão e refinamento ao golpe, tornando-o mais eficaz e perigoso.
Como a tecnologia pode ajudar
Embora nenhum sistema de segurança ofereça proteção absoluta, usar a combinação certa de mecanismos de defesa pode reduzir significativamente sua exposição. De modo geral, especialistas recomendam:
- Uso de VPN. As redes virtuais privadas (VPN) possibilitam acesso remoto e seguro dos sistemas corporativos, diminuindo a possibilidade de interceptação de dados para o uso em golpes de phishing. Ao aproveitar uma oferta de VPN da Black Friday, então, até mesmo empresas de pequeno porte podem se beneficiar de mais proteção em seus negócios.
- Autenticação de e-mail. Implementar protocolos robustos de verificação de remetentes, como SPF, DKIM e DMARC, ajuda a detectar endereços falsificados e remetentes não autorizados. Como medida adicional, é importante que as organizações coloquem em quarentena ou rejeitem ativamente mensagens suspeitas, em vez de simplesmente sinalizá-las.
- Monitoramento de domínio e marca. Serviços de monitoramento podem detectar quando cibercriminosos registram domínios semelhantes ao de empresas ou fornecedores. A adoção de remoções rápidas impede que golpistas explorem esses domínios semelhantes para phishing ou fraude de faturas.
- Sistemas de validação de pagamento. Controles financeiros internos, tais quais aprovações duplas obrigatórias, ligações para verificação de fornecedores e limites de transações, podem ajudar na detecção de inconsistências antes que o dinheiro seja movimentado. Regras automatizadas que sinalizem mudanças repentinas em dados bancários ou transferências excepcionalmente grandes podem ainda fornecer redes de segurança adicionais.
A solução mais eficaz
A tecnologia pode ser de grande ajuda, mas a defesa mais poderosa contra o phishing continua sendo a conscientização e o ceticismo. Os golpistas prosperam com base na confiança, e a atmosfera agitada da Black Friday torna a confiança muito mais fácil de ser explorada.
Para contrabalancear isso, é essencial que as empresas construam uma cultura de vigilância, de modo a transformar os funcionários em sua melhor linha de defesa. Conseguir isso demanda algumas medidas básicas, como:
- Treinamentos realistas. Exercícios genéricos para “identificar o phishing” não são mais suficientes. É necessário que eles simulem fluxos de trabalho financeiro reais, com faturas falsas, atualizações de fornecedores e mensagens executivas urgentes, para que os funcionários aprendam a questionar ameaças aparentemente autênticas.
- Lembretes curtos e sazonais. Antes de grandes eventos de vendas, como a Black Friday, é fundamental emitir alertas breves lembrando a equipe de que os golpes aumentarão e que quaisquer alterações relacionadas a pagamentos devem ser verificadas pelos canais oficiais.
- Relatórios e direcionamento claros. Os funcionários devem saber exatamente como sinalizar uma mensagem ou solicitação de pagamento suspeita, e devem ser incentivados a fazê-lo imediatamente. Uma ação rápida limita os danos e dá tempo para as equipes de segurança cibernética agirem.
- Simulações de incidentes. Assim como as empresas fazem simulações de evacuação em caso de incêndio, elas devem fazê-lo para incidentes de segurança cibernética. Isso ajuda os funcionários a conhecerem os procedimentos de maneira prática e não entrarem em pânico caso ocorra um problema real.
Com repetição e consistência, os protocolos de segurança se tornam uma segunda natureza para os colaboradores, e os níveis de proteção da companhia se elevam consideravelmente. Em épocas como a Black Friday, em que todos os elementos contribuem para o caos e a desordem, esse preparo dos funcionários pode ser a diferença entre um desastre completo para a empresa ou uma resolução rápida e eficiente da ameaça.
