Segurança online: teste de robustez anti-phishing. Sustentabilidade

Transcrição

1 Segurança online: teste de robustez anti-phishing Sustentabilidade 2012

2 AGENDA ENQUADRAMENTO METODOLOGIA RESULTADOS ANEXOS

3 ENQUADRAMENTO O que é o phishing O phishing baseia-se na utilização de ferramentas para recolher de modo fraudulento informações e dados pessoais, através da Internet, nomeadamente através de s com pedidos de informação acerca de logins e passwords, nºs de cartões de crédito, etc. As situações mais recentes passam pelo envio de s com links para páginas com programas prontos a instalar no computador. Estes programas recolhem toda a informação de utilização da Internet e esta é enviada para que alguém possa fazer uso da mesma. Com a massificação do uso das TIC e o crescente peso da internet na vida das pessoas, o número de phishers e de diversificação das técnicas utilizadas também é crescente. Objetivos deste estudo: I. Testar num ambiente real os conhecimentos dos utilizadores sobre phishing e a exposição ao risco em relação a ataques de phishing; II. Identificar processos e procedimentos que mitiguem a exposição ao risco

4 ENQUADRAMENTO Como evitar o phishing: Não enviar informações pessoais por nº de cartão de crédito, usernames e passwords; Não seguir links de s suspeitos ou preencher quaisquer formulários com pedidos de informação; Procurar sempre identificar os links de entidades antes de os seguir através de pesquisa para verificar a veracidade. Muitas vezes os links encontram-se camuflados para facilmente recolher os dados pretendidos; Em caso de dúvida ligar ou reencaminhar mensagem para o remetente e confirmar o envio da mesma. Os s de phishing podem ser enviados de contactos ou empresas conhecidas; Ter cuidado a aceder a sites que requeiram dados pessoais - em locais públicos.

5 AGENDA ENQUADRAMENTO METODOLOGIA RESULTADOS ANEXOS

6 O UNIVERSO DO ESTUDO PILOTO ABRANGEU TODAS AS ÁREAS DE UMA UNIDADE DE NEGÓCIO DA EMPRESA - PORTAL SAPO Caracterização do universo de 300 colaboradores... 73% 37% 21% 25% 27% 1% 6% 5% 5% Mulheres Homens O estudo piloto anti-phising foi feito em parceria Carnegie Mellon University (CMU).

7 METDOLOGIA IMPLEMENTADA O universo deste teste interno foi dividido em 3 grupos, recebendo os 2 primeiros um de phishing que os encaminhou para um cartoon explicativo/educativo. Todos os 3 grupos receberam depois mais 2 s de phishing a encaminhar para páginas falsas a pedir dados pessoais e passwords de rede ; Depois foi enviado a todos um mail real com um link real para testar se e quais os utilizadores que conseguiam distinguir os mails reais dos falsos; Posteriormente foi enviado um pequeno questionário de avaliação de toda a ação, com vista à recolha de feedback e sugestões de melhoria para futuras ações. O projeto termina com a realização de uma ação de formação sobre o phishing e regras de segurança no uso do , realizada a todos os colaboradores que forneceram os seus dados pessoais no teste realizado Envio de cartoon com formação do phishing Envio de s de phishing Envio de questionário para recolha de avaliação Nova formação ao grupo que forneceu dados

8 AGENDA ENQUADRAMENTO METODOLOGIA RESULTADOS ANEXOS

9 CONCLUSÕES E RESULTADOS Dos 300 colaboradores que participaram no estudo piloto: 41% abriram o cartoon (1.º de phishing). 25% forneceram o seu username e password. A sensibilização e formação recorrente têm revelado ser determinantes na prevenção e minimização dos riscos relacionados com phishing. Taxa de abertura de s de phishing por função % colaboradores 53% 1% 0% 29% 6% 5% 5% 21% 30% 37% 25% 18% 18% Após este piloto, foi dada uma formação mais profunda sobre o phishing e regras de segurança no uso do corporativo aos 25% dos colaboradores que forneceram indevidamente os seus dados pessoais. Envio de phishing Tx de abertura do phishing

10 AGENDA ENQUADRAMENTO METODOLOGIA RESULTADOS ANEXOS

11 CARTOON ENVIADO AOS COLABORADORES