Threat Spotlight: Técnicas de phishing a ter em atenção em 2025

Nos últimos meses, os analistas de ameaças da Barracuda relataram várias técnicas avançadas de phishing implementadas por atacantes para evadir os controlos de segurança e fazer com que os e-mails maliciosos pareçam mais convincentes, legítimos e pessoais.

Neste artigo de blog, analisamos como estas e outras técnicas avançadas de phishing provavelmente evoluirão em 2025. As nossas expectativas são que:

• Os kits de Phishing-as-a-service (PhaaS) representarão metade dos ataques de roubo de credenciais no próximo ano, em comparação com 30% hoje, e evoluirão para roubar códigos de autenticação multifator (MFA).
• Os ataques direcionados apresentarão apelos emocionais personalizados baseados numa análise das redes sociais e do histórico de comunicações do destinatário, com um aumento nos ataques de extorsão/extorsão sexual.
• Haverá uma implementação mais ampla de técnicas evasivas, como códigos QR baseados em ASCII, URIs Blob e a transferência do conteúdo de phishing do corpo do e-mail para um anexo.
• Os atacantes procurarão e abusarão de mais plataformas de criação de conteúdo e publicação digital.

Phishing como serviço e roubo de credenciais

Os dados de deteção da Barracuda mostram que, em 2024, mais de 85% dos ataques de phishing direcionados a clientes tinham como objetivo roubar credenciais. Esperamos que este número aumente para 90% ou mais no próximo ano.

O PhaaS prospera neste vetor de ataque. Nos próximos 12 meses, esperamos ver kits de PhaaS mais avançados surgirem, que serão capazes de roubar códigos MFA para ataques de phishing de credenciais.

Estimamos que os ataques de phishing de credenciais baseados em PhaaS atualmente representam cerca de 30% dos ataques de credenciais detectados, e esperamos que este valor ultrapasse metade no próximo ano.

O abuso de serviços legítimos de proteção de URL

Para nós, a descoberta mais surpreendente em 2024 foi que os atacantes de phishing estavam a explorar serviços de proteção de URL confiáveis, incluindo os de fornecedores de segurança líderes, para mascarar links de phishing em ataques concebidos para roubar credenciais. Relatámos esta tática em julho, e ainda está a ser implementada.

QR code e phishing de correio de voz

O phishing por código QR e correio de voz representam atualmente cerca de 20% das deteções gerais de phishing. Em outubro, relatámos o aparecimento de códigos QR criados utilizando blocos de texto ASCII/Unicode, e esperamos que essa tática continue a evoluir. Os códigos QR baseados em ASCII e o uso de links de URI Blob especialmente concebidos são projetados para evitar a deteção, e esperamos que o desenvolvimento e uso destas e outras técnicas de evasão continuem a aumentar até 2025 e além.

Falsificação de identidade de RH

Antecipamos um aumento nos ataques de phishing que imitam o departamento de falsificação de identidade. Esses ataques representam atualmente cerca de 10% dos ataques detetados, mas esperamos que ganhem força durante o próximo ano, especialmente em torno dos principais prazos fiscais.

Uso indevido da plataforma de criação e publicação de conteúdo

Cerca de 10% dos ataques de phishing que vimos em 2024 estão hospedados em CCP (plataforma de criação de conteúdo) ou sites DDP (publicação de documentos digitais). Relatámos isto em setembro e esperamos que a tendência continue à medida que os atacantes encontrem mais sites CCP e DDP para hospedar páginas de phishing.

Anexos maliciosos

O uso de anexos maliciosos continuará a aumentar em popularidade. Já vimos muitas pontuações de e-mails onde o conteúdo de phishing foi incluído num anexo HTML ou PDF, deixando o corpo do e-mail vazio ou com texto muito mínimo. Suspeitamos que este comportamento seja uma tentativa de evadir a análise baseada em aprendizagem automática do corpo do texto, e esperamos que este tipo de ataque aumente em 2025.

Extorsão personalizada

Durante 2024, observámos milhões de ataques de extorsão direcionados a clientes. Em novembro, relatámos como estes ataques evoluíram para ameaçar os clientes usando o Google Street View e fotografias para mostrar a sua casa e rua. Em 2025, esperamos que os ataques de extorsão se tornem ainda mais personalizados e exijam pagamentos mais elevados.

IA com tudo

Os atacantes irão, cada vez mais, utilizar IA, sites legítimos e redirecionamentos para fazer com que os seus ataques de phishing pareçam o mais genuínos possível. Com a ajuda da IA, os atacantes podem criar e-mails de phishing ainda mais convincentes, que se assemelham exatamente a comunicações legítimas. Estes incluirão conteúdo personalizado, gramática precisa e até apelos emocionais semelhantes aos humanos, baseados numa análise das redes sociais e do histórico de comunicação do destinatário.

Proteção contra técnicas em evolução

O phishing continua a ser uma poderosa ciberameaça. É relativamente de baixo custo, requer poucas competências, é rápido e fácil de implementar e oferece elevadas taxas de sucesso potencial. As técnicas de phishing avançaram significativamente durante 2024, e esperamos que os ciberatacantes continuem a refinar os seus métodos para contornar as medidas de segurança tradicionais e mais durante 2025.

Os nossos relatórios durante 2024 mostram como os ataques de phishing estão a tornar-se mais variados, oportunistas e sofisticados. É essencial ter estratégias de defesa ágeis, inovadoras, multicamadas e fomentar uma forte cultura de segurança para se manter à frente desta ameaça em constante evolução.

Saravanan Mohankumar, Gestor de Engenharia de Software (Analista de Ameaças) na Barracuda também contribuiu para a investigação deste artigo de blog.