Dicionário de riscos digitais (para empresas e consumidores)

Compra com um clique e e-mail marketing são apenas alguns dos indicativos da nova era de consumo on-line – que inclui também tendências em segurança digital. Hoje, é fato que empresas se esforçam em proteger a jornada de compra do consumidor, removendo obstáculos e perigos. Para dimensionar esse cenário, um bom primeiro passo é entendê-lo e, por isso, elaboramos um dicionário compilando os atuais riscos digitais.

Riscos digitais: por que se preocupar

Um risco digital que afeta marcas e consumidores é algo que gera prejuízos financeiros – que podem ser milionários – e está fora do perímetro de atuação da empresa. Em termos técnicos, isso significa tudo aquilo que acontece do lado “exterior” das proteções de firewall. 

Com isso em mente, cabe então observar três conceitos-chave relacionados a esse significativo campo da segurança digital. Depois, você vai poder entender toda a extensão de 21 ameaças e termos, agrupados em quatro tipos.

Firewall

Dispositivo que avalia a entrada e saída de dados em uma rede de acordo com critérios específicos, dando controle e proteção. Existe em diversos tipos e já se tornou indispensável na gestão de incidentes de segurança.

Digital Risk Protection

Parte de segurança que atua fora do perímetro do firewall, mitigando riscos digitais. É a noção de que a jornada do consumidor pode ser afetada pelos inúmeros cibercriminosos e fraudadores em todas as camadas da internet – o que exige programas de monitoramento e reação.

Compliance digital

O compliance é o gerenciamento de riscos (de todos os tipos) na gestão empresarial. Na forma digital e on-line, deve se atentar majoritariamente a problemas de segurança internos e externos, que são englobados por uma solução de Digital Risk Protection.

Fraudes digitais e captura de dados

Phishing

Site falso e fraudulento enviado com o intuito de capturar dados pessoais, como senhas e números de cartão de crédito.

Spear phishing: forma de envio de phishing direcionada a uma pessoa ou empresa específica.

Malware

Software malicioso criado para alterar, causar danos ou coletar dados de um usuário e/ou sistema.

Command and Control (C&C)

Servidor que controla computadores infectados por malware, roubando dados e disseminando a fraude.

Redirect

URL que redireciona para phishing, malware ou outro artefato malicioso.

Pharming

Manipulação de Domain Name System (DNS) para captura de dados. O nome vem de “phishing” + “farming”. Pode ocorrer de duas formas:

• Rogue DNS: servidor DNS criado com fins maliciosos para encaminhar usuários a um site falso. Normalmente configurado através de um malware ou via ataque externo em um roteador vulnerável;
• DNS Poisoning: envenenamento do DNS que leva muitos usuários a um site falso.

Fake coupon/promo code

Sites que coletam dados e exigem compartilhamentos com outros usuários em troca de “promoções”.

PAC (Proxy Auto-Config)

Alterações de proxy no navegador que levam a um ataque de phishing.

Proxy Scam

Proxy malicioso configurado no navegador ou sistema operacional a partir de um malware.

Usos indevidos ou fraudulentos de marca

Perfis falsos em redes sociais

Páginas que utilizam marcas de forma indevida no nome, usuário e/ou imagens. Divulgam estelionatos, vagas falsas de emprego e phishings.

Nomes de domínio similares

Sites registrados com o uso de cybersquatting e que, pela semelhança com o nome legítimo, podem vir a hospedar conteúdo malicioso.

Aplicativos fraudulentos

Aplicativos de celular que usam a marca em lojas oficiais podem levar a phishings ou malwares. Já lojas não oficiais, que oferecem versões desatualizadas de um aplicativo legítimo, também podem levar a outros furtos de dados por causa das prováveis falhas de segurança.

Estelionato digital

Páginas falsas de empresas financeiras que têm o objetivo de coletar informações pessoais ou enganar possíveis clientes com “tarifas” para liberação do crédito. Pode ocorrer com uso de marca e/ou uso de CNPJ.

Pirataria digital e vendas não autorizadas

Comércio on-line e indevido de produtos, falsos ou de vendedores não oficiais. Predominante em marketplaces (incluindo aqueles de redes sociais) sites de e-commerce.

Vazamentos de dados

Exposição indevida de dados confidenciais, de empresas e consumidores, em ambientes on-line. Ocorre tanto em web superficial quanto em deep e dark web. Os principais dados vazados são:

• Códigos de aplicações
• Cartões de crédito
• Credenciais e senhas
• Informações pessoais
• Informações de executivos
• Documentos

Na proteção contra vazamentos de dados, quatro termos são importantes:

Hash

Resultado da aplicação de uma função matemática em algum conteúdo – como senhas. É feito para evitar o armazenamento em texto claro e direto, criptografando-o e garantindo mais segurança. Assim, quando uma senha é inserida em um site que usa esse tipo de sistema, o dado é transformado em hash e comparado com o que já está previamente armazenado.

BIN

São os seis primeiros dígitos de uma bandeira ou banco em um cartão de crédito, usados para identificação dos dados.

CC

Sigla para credit card, é o número completo da parte da frente do cartão.

CVV ou CVV2

Sigla para Card Verification Value, é o número de três dígitos da parte traseira do cartão. É um código que funciona como senha em transações feitas on-line.

Riscos em deep e dark web

Não acessível via mecanismos de busca e indexação, a deep web é marcada por riscos que são, na maioria, vazamentos de dados. O mesmo cenário acontece na dark web, que é acessada por navegadores específicos como a rede TOR.

Threat Intelligence: é o entendimento estratégico do perfil e do contexto de ameaças a uma organização, tanto internas quanto externas, para poder reagir a ataques e preveni-los. Isso inclui, sobretudo, um monitoramento de deep e dark web.

Para além dos vazamentos de dados, dois riscos de deep e dark web devem receber definições – que podem não ser tão evidentes:

Checker

Plataformas criadas por cibercriminosos para teste em lotes de dados capturados e/ou vazados. É usado, assim, para obter de forma rápida – e sem rastros – senhas e cartões de crédito que estejam funcionando.

Credential stuffing: prática de uso dos checkers em senhas. Parte da noção de que, em geral, um usuário utiliza a mesma senha mais de uma vez. É como testar uma chave em várias portas.

Telas fakes

Páginas falsas que podem dar origem a phishings. São vendidas na forma de pacotes para que o golpista faça a “administração” completa do site. Também conhecidas como phishing kits ou kits de phishing.

Cuidando da relação empresa-cliente

Considerando todos os riscos digitais que você viu aí em cima, é inegável que a jornada do consumidor atual pode estar constantemente ameaçada.

Os produtos de Digital Risk Protection da Axur contam com milhares de BOTs e técnicas de inteligência artificial para fazer a proteção adequada contra tantas ameaças. São soluções úteis para evitar que a relação de confiança construída com seus clientes fique prejudicada. Acesse nosso site e confira aquelas que são mais adequadas para a sua empresa!