Uma mensagem de phishing pode visar uma palavra-passe, uma sessão já iniciada ou as autorizações concedidas a uma aplicação. Estes acessos podem prolongar o ataque para além do primeiro início de sessão. O relatório europeu apresentado pela Proofpoint a 12 de novembro regista um forte aumento das deteções, mas os seus números descrevem observações de um fornecedor, não um levantamento exaustivo da criminalidade.
Um aumento medido, não uma contagem de vítimas
A Proofpoint refere que as suas deteções de phishing aumentaram 4,5 vezes na Europa ao longo de um ano, contra 1,5 vezes à escala mundial. Estes multiplicadores descrevem a evolução das deteções nas observações da empresa, sem medir diretamente o número de vítimas.
Outro número descreve o comportamento perante as mensagens distribuídas: os utilizadores europeus clicaram em 8,3 mensagens maliciosas por cada 100 mensagens de ameaça entregues, contra 2 por cada 100 no mundo. O denominador é aqui o número de mensagens entregues, não o número de habitantes ou de trabalhadores. Não se trata, portanto, de 8,3% dos europeus serem vítimas de pirataria informática. O número esclarece uma possível etapa do ataque, sem indicar, por si só, se um clique levou a uma compromissão.
A Proofpoint indica também que 64% das organizações europeias visadas por ataques de precisão na cloud apresentaram sinais de compromissão. Esta proporção diz respeito às organizações visadas por esta categoria de ataques, e não a todas as empresas europeias. Estes ataques de precisão visam utilizadores ou contas específicos e podem combinar phishing com o sequestro de sessões.
Da conta à sessão, outra porta de entrada
Uma conta é a identidade digital de uma pessoa junto de um serviço. Após a autenticação, o serviço pode iniciar uma sessão: um estado que permite continuar a utilizá-lo sem voltar a pedir a palavra-passe a cada ação. Num navegador, esta sessão assenta muitas vezes num token guardado pela aplicação, por exemplo sob a forma de um cookie. Um atacante que obtenha um token de sessão válido pode, por vezes, aceder ao serviço sem repetir o percurso normal de início de sessão.
Esta diferença explica por que razão a palavra-passe não resume toda a segurança de uma conta. Na documentação do Microsoft Entra, a Microsoft distingue, nomeadamente, os tokens de acesso, os tokens de renovação e os tokens de sessão emitidos por uma aplicação. Um token de acesso autoriza o acesso a um recurso durante o seu período de validade; um token de renovação pode permitir obter outro. As aplicações Web podem, por sua vez, gerir a sua própria sessão. Por isso, o controlo nem sempre se fica pelo fornecedor de identidade que verificou a palavra-passe.
A revogação de um acesso não encerra necessariamente todas as sessões no mesmo instante. A Microsoft esclarece que o prazo depende do tipo de token e da forma como a aplicação aplica as alterações. Uma aplicação poderá ter de reavaliar o acesso ou sincronizar o estado da conta; poderá também manter uma sessão de acordo com as suas próprias regras. Em caso de suspeita de compromissão, a equipa informática deve, por isso, analisar a conta, as sessões ativas e as autorizações em causa, em vez de considerar a alteração da palavra-passe uma resposta universal.
As aplicações ligadas herdam permissões
O mesmo raciocínio aplica-se às aplicações ligadas a um espaço de trabalho. Uma autorização permite que uma ferramenta aceda a determinados recursos: documentos, correio eletrónico ou serviços internos, por exemplo. O comunicado da Proofpoint menciona, nomeadamente, as aplicações ligadas a estes serviços através de OAuth, um mecanismo de autorização. A questão passa então a ser a extensão dos acessos concedidos a cada ferramenta.
Antes de ligar um assistente ou uma aplicação, uma organização pode verificar se as autorizações solicitadas correspondem à tarefa prevista e se os acessos antigos ainda são necessários. Reduzir as permissões desnecessárias limita aquilo que uma ferramenta pode consultar ou fazer se a sua conta, integração ou sessão for desviada. Este controlo não impede, por si só, o phishing: reduz antes as possíveis consequências de um acesso obtido.
O relatório regista também um aumento de 4,6 vezes na proporção de sensores europeus que detetaram ataques dirigidos a tecnologias de inteligência artificial de código aberto entre dois períodos sucessivos de 90 dias. Esta medição incide sobre a proporção de sensores envolvidos nesses períodos, não sobre o volume mundial de ataques contra a IA ao longo de um ano. Também não permite concluir que a IA cause o aumento do phishing. Indica que as infraestruturas ligadas a estas tecnologias também passaram a integrar o âmbito das observações da Proofpoint.
A resposta também se joga depois do início de sessão
Tanto para particulares como para organizações, uma mensagem recebida não deve determinar o caminho até a um serviço. Perante um pedido inesperado, verificar diretamente na aplicação ou no site habitual evita confiar na ligação fornecida. Num contexto profissional, as medidas de resposta devem ter em conta aquilo que poderá ter sido autorizado depois do início de sessão: sessões, tokens e permissões de aplicações, com o apoio da equipa informática.
Um clique e uma compromissão continuam a ser dois acontecimentos distintos. As proteções da conta, as permissões disponíveis e a gestão das sessões também determinam aquilo a que um atacante poderá aceder em seguida. O ponto prático é mais preciso: proteger o acesso inicial continua a ser necessário, mas uma resposta completa deve também analisar aquilo que permanece acessível depois de o utilizador iniciar sessão.
Referências
- Proofpoint, comunicado divulgado pela GlobeNewswire
- Microsoft Learn, revogação de acessos no Microsoft Entra ID
- Clubic, phishing, cloud e IA na Europa
Uma chave física de autenticação, fotografada em 2009. Fotografia ilustrativa: representa a proteção do acesso inicial, distinta da gestão das sessões e das autorizações.
