Whaling, o que é e como se prevenir?

Este golpe virtual é conhecido por ser bem preparado, focado em alvos específicos e bem trabalhado, diferentemente daqueles que são feitos em massa. Estamos falando do whaling. Neste conteúdo vamos explicar tudo sobre whaling, o que é, como ele funciona e o que podemos fazer para nos prevenir e não cair em mais essa cilada virtual.

O que é o ataque de whaling?

Um ataque de whaling, ou whaling attack em inglês, é um tipo de crime virtual onde o criminoso possui uma vítima escolhida, normalmente pessoas com cargos altos em organizações, e finge se passar por outra pessoa que também possui o mesmo nível ou um nível ainda maior dentro de uma companhia.

Ou seja, ele atinge pessoas dentro de empresas que acreditam estar recebendo mensagem de um CEO ou outra pessoa com um alto cargo. Por isso mesmo, ele possui este nome. Whales significa baleias em inglês, assim, o ataque tipo whaling é como se fosse um ataque a um “peixe grande”.

Por ser um phishing mais elaborado, ataques de whaling não são feitos em massa assim como outros golpes. Ele é pensado cuidadosamente.

Assim, utilizando técnicas de engenharia social e fazendo se passar por alguém importante, o cibercriminoso envia mensagens a alguém que também possui uma boa posição, solicitando informações, transferências, ou qualquer outro tipo de dado sigiloso. Como este tipo de ataque é muito bem preparado, a vítima acaba caindo no golpe, pois não consegue perceber que se trata de um ataque.

Como funciona o whaling?

Imagine que um funcionário sênior dentro de uma organização, que trabalha na área financeira por exemplo, recebe um e-mail do CEO solicitando uma transferência de um alto valor imediatamente para algum destino.

O e mail é bem redigido, assinado pelo CEO e traz mensagens que parecem ser verdadeiras, até mesmo citando nomes de pessoas da empresas e outros dados que somente quem está dentro teria acesso. Assim, o funcionário nem pensa duas vezes e realiza a operação financeira solicitada.

Pois trata-se de whaling. O e-mail era falso, a pessoa não era o presidente e o dinheiro já foi transferido. O mesmo pode acontecer solicitando informações sigilosas ou outros dados que podem acabar prejudicando a companhia.

Quem elabora um ataque tipo whaling é alguém bem preparado, que conhece bem o que está fazendo, tem conhecimento de engenharia social e também realiza pesquisa e possui dados que o ajudarão a se fazer passar por outra pessoa.

Qual é o objetivo de um ataque de whaling através de e mails?

Um ataque como este pode ter objetivos distintos, que vão desde roubo de dinheiro, até de informações sigilosas. Vamos a seguir listar alguns dos principais objetivos de um ataque de whaling.

• Obtenção de dados privilegiados – Este é um dos objetivos mais comuns dos ataques de whaling. Os cibercriminosos têm como objetivo aqui a obtenção de dados sigilosos e outras informações privadas. 
• Obtenção de informações para prejudicar a empresa – Neste caso, as informações confidenciais que são obtidas através do whaling são divulgadas justamente para prejudicar a imagem da organização. Entre os exemplos estão a divulgação de folha de pagamento, relatórios financeiros, entre outros. 
• Roubo de dinheiro – O whaling também é utilizado para roubos financeiros, uma vez que o ataque pode visar algum tipo de transferência financeira a pedido de alguém de alto escalão.

Como detectar um ataque de whaling por e mail?

Diferentemente do phishing, que normalmente é feito com envios em massa, o whaling é mais bem preparado e, por isso, pode ser mais difícil detectar. Porém, existem algumas formas e medidas que ajudam a detectar um ataque de whaling.

• Atenção a detalhes do e mail recebido –  Ao receber um e mail, em especial aqueles que contém mensagens solicitando dados privados ou que envolvam transações financeiras, cheque todos os detalhes. Veja se o remetente dos e mails é mesmo que diz ser, leia cuidadosamente a mensagem e nunca realize o pedido sem confirmar que se trata de algo real.
• Links e anexos nos e mails –  Qualquer link ou anexo que esteja presente nos e mails, deve ser bem checado antes de ser aberto. Isso porque links e anexos podem trazer malwares e outros vírus que são programados para roubar informações.
• Mensagens com teor urgente e alarmista – Ataques de whaling normalmente fazem uso de mensagens com teor alarmista e urgente. Ou seja, sempre falarão que a ação que estão pedindo para que a vítima realize seja feita imediatamente. Isso ocorre para que a vítima não tenha muito tempo para checar informações.

Como evitar whaling?

Qualquer um pode estar sujeito a um ataque de whaling. Em uma companhia, áreas como financeiro e recursos humanos são bastante visadas. Por isso, é importante se prevenir e tomar algumas medidas para evitar que os funcionários caiam neste tipo de golpe.

Realize treinamentos com colaboradores

A melhor forma de prevenir algo é conhecer. Realizar treinamentos de segurança cibernética, engenharia social e mostrar aos colaboradores os ataques que costumam ocorrer, é fundamental para a proteção das informações. É importante ressaltar que os criminosos muitas vezes utilizam informações pessoais dos funcionários obtidas através das mídias sociais para ajudar a parecer mais íntimo da vítima durante o golpe. Assim, também é importante que os funcionários se atentem às redes sociais. 

Tenha uma equipe de TI preparada

Uma boa equipe de TI preparada para este tipo de situação pode orientar e criar procedimentos de segurança cibernética em caso de ataques virtuais. Este tipo de ação vai minimizar as possibilidades de que a empresa seja alvo deste ou de outros tipos de golpes. 

Tenha sempre softwares de proteção atualizados

Softwares de proteção como antivírus, soluções de VPN, anti-malwares e outros, são prioridades para garantir privacidade dentro de uma empresa. É fundamental ter sempre os softwares ativos e atualizados em todos os dispositivos utilizados pelos colaboradores. 

Tenha procedimentos de segurança das informações bem definidos na empresa

Dentro de uma empresa, é importante que existam procedimentos de segurança bem definidos para lidar com dados sigilosos e privados, assim como para ter acesso a transações financeiras. Criar níveis de permissão e de acesso pode ajudar a bloquear possíveis ataques virtuais como o whaling. 

Exemplos de Whaling

São muitos os casos que ocorrem. Em alguns casos, eles não são tão divulgados para não prejudicar a reputação da empresa que foi atingida.

Porém, há casos conhecidos como por exemplo um famoso caso com a empresa Mattel que ocorreu em 2015. Neste caso, a empresa de brinquedo caiu em um golpe de whaling onde quase perdeu cerca de US$ 3 milhões. Um executivo financeiro da empresa recebeu um e-mail onde alguém se fazia passar pelo presidente da companhia solicitando a transferência. Neste caso, o prejuízo não se concretizou pois o banco conseguiu interromper a transação a tempo, mas o caso ficou famoso.

Whaling vs Spear Phishing

Apesar de whaling e spear phishing serem golpes virtuais relativamente parecidos, o whaling possui um nível de refinamento maior. Tanto spear phishing como whaling possuem focos bem definidos e não tipos de phishing enviados em massa. Porém, no caso do whaling, ele normalmente tem como alvo pessoas com cargos altos dentro de uma empresa e, para isso, também se fazem passar por outros com o mesmo nível ou ainda maior.

FAQs 

Whaling é ilegal?

Sim, a prática de waling é ilegal e considerada um crime cibernético, uma vez que faz uso de técnicas de phising para se fazer passar por outro e obter vantagens financieroas ou roubo de informações de uma empresa.

O que whaling significa na cibersegurança?

Na cibersegurança, whaling significa um ataque de phishing bem elaborado direcionado a alguém com um bom cargo dentro de uma empresa para obter informações sigilosas ou ganhos financeiros. Ele é um ataque sempre feito para atingir “peixes grandes”.

Quem são os alvos do whaling?

Os ataques de whaling têm como principais alvos executivos que possuem algum bom cargo dentro de uma organização e que tenham poder para realizar transações ou enviar informações.