Kaspersky alerta para o aumento de ataques de spam e phishing utilizando websites das empresas

Segundo a Kaspersky, os hackers continuam a explorar novas formas de envio de spam e links com malware de phishing sem serem apanhados pelos filtros de conteúdos instalados nos sistemas. Para isso utilizam cada vez mais formulários de registo, subscrição ou comentários em websites para os seus ataques. Uma das formas de o conseguir é através do envio de emails que venham de uma fonte legítima, com boa reputação, para chamar a atenção dos utilizadores.

Esse spam e conteúdo malicioso pode revelar-se um desafio para as empresas, já que aparentemente enviado no nome de uma empresa, pode comprometer a confiança dos respetivos clientes, levando mesmo a falhas de segurança no que diz respeito a dados pessoais.

Isto deve-se ao feedback que as empresas procuram angariar para avaliar a satisfação dos clientes, a fim de melhorar a qualidade dos serviços, a fidelização e reputação. Entre as ações pedidas encontra-se a subscrição de newsletter, formulários no website da empresa, assim como mensagens a enviar perguntas e a deixar sugestões. São estes os mecanismos mais apetecíveis aos hackers, já que os clientes inserem um nome e email para receber mensagens de confirmação ou resposta às suas questões. Os hackers aproveitam-se deste sistema para incorporar conteúdos de spam e links de phishing nesses emails.

Segundo afirma a especialista de segurança da empresa, María Vergelis, “a maioria destas mensagens modificadas estão ligadas a questionários online criados para obter dados pessoais. As notificações de uma fonte de confiança iludem, normalmente, com facilidade os filtros dos conteúdos já existentes, uma vez que são mensagens oficiais enviadas por uma empresa de confiança. Esta é a razão pela qual este novo método de email não desejado, aparentemente inocente, é tão eficaz e preocupante.”

A Kaspersky recomenda aos utilizadores verificarem o funcionamento dos formulários de comentários disponíveis no website; a introduzir várias regras de verificação que gerem um erro, no caso de se tentar registar um nome com símbolos inapropriados; e a realizar uma análise de vulnerabilidade ao website, sempre que for possível.