Um site com HTTPS pode ser considerado legítimo? Claro que não!

O tema da "CiberSegurança" é um dos mais debatidos na atualidade. As ameaças digitais são mais que muitas e nesse sentido é preciso ter algum Know How para que não se caia em alguns esquemas que são cada vez mais perfeitos.

Quando se fala de Phishing, ao nível dos websites, é comum ouvir-se que se o site tiver o cadeado (HTTPS) no URL é seguro! Esta é uma verdade, mas tal não significa que o site seja legítimo.

HTTPS - Sabe validar se um site é seguro ou não?

Nos dias que correm, é importante que todos os dados sensíveis transacionados entre um cliente e um servidor sejam cifrados de modo a que estes não possam ser entendidos por terceiros. Na prática, quando acedemos a um serviço online que nos solicita dados pessoais ou credenciais de acesso (ex. sites de bancos) é importante que toda a informação passada seja cifrada de modo a tornar-se ilegível.

No caso dos servidores Web (entre outros serviços de uma rede), uma das formas de proceder à cifra dos dados é recorrendo ao protocolo SSL. Usar SSL (HTTPs) num site torna-o seguro mas não legítimo!

O que é o Phishing?

O “Phishing” é uma “vigarice” que utiliza SPAM ou mensagens de pop-up para ludibriar pessoas no sentido de revelarem números de cartões de crédito, informação de contas bancárias, números de segurança social, passwords e outro tipo de informação confidencial ou sensível.

Basicamente o utilizador recebe um e-mail supostamente de uma entidade credível, mas que na verdade o reencaminha (através de um URL/link ou) para um site com um design igual mas que, na verdade é apenas uma cópia do original, levando o utilizador a colocar dados pessoais e a ser enganado. O utilizador recebe normalmente uma informação a referir que os dados estão errados, mas na verdade o dados já estão do lado do atacante. Técnicas como DNS Poisoning (manipulação de entradas no DNS) são também bastante usadas neste tipo de ataques.

O mundo do hacking...

O mundo do hacking também evolui e é normal que os "piratas" usem mecanismos que levem a crer que um determinado site é mesmo legítimo.

Se considerava um site legitimo por este ter HTTPs, então é melhor esquecer tal "teoria", pois, segundo um estudo recente, cerca de metade dos sites de Phishing já usam “https://”.

De acordo com um estudo da PhishLabs 49% de todos os sites de Phishing já têm certificados SSL associados e nesse sentido o facto de o site estar disponível em HTTPs não significa que o mesmo seja legítimo.

Para ajudar a verificar se um site faz parte de um esquema de Phishing, podem aceder a phishtank.com e verificar se este se encontra listado.

De referir que este site é mantido por uma comunidade de utilizadores que livremente indicam sites que fazem parte de esquemas de Phishing.

Não é um site de Phishing? Olhe bem...

Considere a imagem do site seguinte! Parece-lhe legítimo? Aparentemente parece, no entanto, se repararem bem no URL verificam que o "i" é estranho. Na verdade, trata-se de um IDN - Internationalized domain name e o endereço real aponta para https://www.xn--bbox-vw5a[.]com/login.

Neste caso o problema está no próprio URL que apesar de parecer legítimo não o é, isto por causa dos caracteres unicode que permitem URLs com caracteres existentes em outros idiomas que são muito parecidos com os que conhecemos. 

Tanto o Chrome como o Firefox apresentam os links com os caracteres unicode e não no formato punycode. Saiba como se proteger aqui.

Além destas "técnicas" existem muitas outras. Nesse sentido, cada vez é mais importante saber onde se clica e quais os sites que visitamos para não virmos a ser vítimas de um site de phishing. Estejam atentos!

Leia também...