Falsificação de Marca e Phishing: Detecção e Remoção

Falsificação de marca é o uso do nome, do logotipo, do domínio ou da identidade dos executivos da sua empresa para enganar as pessoas e levá-las a confiar em uma mensagem, um site ou um aplicativo que você nunca criou. É o motor por trás da maior parte do phishing moderno: um atacante raramente pede à vítima que confie em um desconhecido, porque é muito mais fácil pegar emprestada uma marca em que a vítima já confia. Quando um cliente vê o seu logotipo em uma página de login ou o nome do seu CEO em um e-mail, a guarda dele baixa, e é exatamente essa confiança emprestada que os ataques de falsificação de marca foram feitos para explorar. Este mergulho a fundo examina as formas que a falsificação assume, como a detecção realmente funciona, como os takedowns são feitos e como se tornar um alvo mais difícil, e faz parte do nosso guia mais amplo sobre proteção de marca.

A verdade incômoda é que a falsificação acontece fora do seu perímetro. Ela vive em domínios que você não possui, em plataformas sociais que você não controla e em caixas de entrada que você não consegue ver. Você não consegue aplicar um patch nela, nem colocá-la atrás de um firewall. O que você pode fazer é vigiá-la continuamente, priorizar as ameaças que são reais e agir rapidamente para que o conteúdo malicioso seja removido. Essa combinação de visibilidade e velocidade é o jogo inteiro.

As muitas formas da falsificação de marca

A falsificação não é um único ataque, mas uma família deles, e adversários experientes combinam vários em uma só campanha.

Lookalike domains e domínios com typosquatting são o ponto de partida clássico. Um atacante registra algo a uma tecla ou um caractere de distância do seu domínio real, acme-support.com em vez de acme.com, ou um erro de digitação comum como acne.com. Domínios com homoglyph vão além, trocando por caracteres que parecem idênticos ao olho humano, um "a" cirílico no lugar de um latino, ou um zero no lugar de um O maiúsculo, de modo que o endereço fica perfeito na barra do navegador embora resolva para um lugar completamente diferente.

Sites falsos são onde esses domínios provam seu valor. Os atacantes clonam o seu site de marketing ou, mais perigosamente, a sua página de login, muitas vezes pixel a pixel, para que a vítima que chega ali veja exatamente o que espera e digite suas credenciais direto nas mãos do atacante. Como boa parte de um site moderno é apenas assets estáticos, clonar é rápido e barato.

E-mail e SMS de phishing carregam a isca. Uma mensagem que aparenta vir da sua marca, com o seu logotipo e o seu tom, empurra a vítima para o site falso com uma história sobre uma conta bloqueada, um pagamento recusado ou uma encomenda retida. Quando chega por mensagem de texto, chama-se smishing, e é especialmente eficaz porque os celulares mostram menos contexto e as pessoas leem os textos com pressa.

A falsificação em redes sociais cria perfis, páginas e contas de suporte falsos que se fazem passar pela sua marca. Uma conta fraudulenta de "suporte ao cliente" que responde às reclamações dos seus clientes reais pode coletar logins e dados de pagamento à vista de todos, e um perfil falso de executivo dá credibilidade a golpes e a fraudes de recrutamento.

A personificação de executivos e o business email compromise (BEC) miram nas suas próprias pessoas, e não nos seus clientes. Um e-mail que aparenta vir de um líder sênior pede ao financeiro que transfira dinheiro ou a um novo contratado que compre gift cards, apostando em autoridade e urgência em vez de um site falso.

Aplicativos móveis falsos aparecem em lojas de aplicativos oficiais e de terceiros usando o seu nome e o seu ícone e, então, roubam credenciais ou empurram malware para qualquer um que os instale. Anúncios maliciosos e SEO poisoning compram ou manipulam seu caminho até o topo dos resultados de busca pela sua marca, de modo que um usuário que procura por você clica em um link pago ou muito bem posicionado que leva ao site falso, muitas vezes acima do seu próprio anúncio legítimo.

Por que a falsificação de marca faz mal

O dano mais imediato é o roubo de credenciais. Uma página de login falsa e convincente captura nomes de usuário e senhas em escala e, como as pessoas reutilizam senhas, uma única credencial colhida pode abrir contas muito além daquela que foi vítima do phishing. Dali é um passo curto até o sequestro de contas, compras fraudulentas e saldos zerados.

O prejuízo financeiro se acumula. A fraude cometida contra os seus clientes frequentemente volta para você na forma de chargebacks, reembolsos e custos de remediação, e cada incidente consome tempo do suporte e da segurança que você havia reservado para outra coisa. Reguladores e parceiros prestam atenção quando dados de clientes são expostos por um canal que carrega o seu nome.

E há a confiança, que é mais lenta de perder e mais lenta de reconstruir. Quando os clientes se queimam com algo que se parecia com você, eles não atribuem cuidadosamente a culpa a um atacante sem rosto; eles associam a perda à sua marca. A falsificação repetida ensina as pessoas a desconfiar das suas comunicações legítimas, o que é corrosivo justamente porque seus e-mails e suas ofertas reais passam a ser ignorados junto com os falsos.

Como a detecção funciona

Você não consegue remover o que não consegue enxergar, então a detecção é a base. A boa notícia é que os atacantes deixam rastros em lugares previsíveis, e monitorar esses lugares transforma a falsificação de uma surpresa em um sinal.

O sinal mais precoce é o registro de domínio. Os atacantes precisam registrar um lookalike domain antes de poder usá-lo, muitas vezes dias ou semanas antes de uma campanha, e domínios recém-registrados que se parecem com a sua marca são um dos indicadores de alerta antecipado mais fortes que você tem. Vigiar os feeds de registro em busca de nomes que façam fuzzy match com a sua marca permite sinalizar uma ameaça enquanto ela ainda está sendo construída.

Os logs de certificate transparency são o segundo sinal precoce. Quase todo site de phishing hoje usa HTTPS para parecer legítimo, e emitir um certificado grava um registro público nos logs de certificate transparency. Monitorar esses logs em busca de certificados emitidos para domínios que contêm ou se parecem com a sua marca detecta sites falsos por volta do momento em que são colocados no ar, frequentemente antes mesmo de o primeiro e-mail de phishing sair.

A detecção de menções à marca e de logotipos amplia o alcance por toda a web aberta, pelas plataformas sociais e pelas lojas de aplicativos. O monitoramento de texto captura o seu nome onde ele não deveria estar, e o reconhecimento de imagem captura o seu logotipo em páginas e perfis que nunca mencionam o seu nome em texto, que é como boa parte da falsificação visual escapa das ferramentas que só olham palavras-chave.

Amarrando tudo isso está o fuzzy matching. A busca por correspondência exata do seu domínio perde todo o sentido, porque a estratégia inteira do atacante é ser quase, mas não exatamente, você. A correspondência aproximada e por similaridade, incluindo a detecção de homoglyphs e de padrões comuns de erro de digitação, é o que revela os quase-acertos, e é a diferença entre um programa de monitoramento que captura lookalikes e um que só encontra as suas próprias propriedades.

Validando e priorizando ameaças reais

O monitoramento amplo produz volume, e volume sem triagem vira apenas ruído que a equipe aprende a ignorar. A etapa que torna a detecção utilizável é a validação: confirmar que um domínio, perfil ou aplicativo sinalizado é genuinamente malicioso e está se passando por você, e não um parceiro, um revendedor, uma página de fãs ou uma coincidência de nomes.

A priorização vem em seguida, porque nem toda ameaça real é igualmente urgente. Um clone ativo da sua página de login, coletando credenciais e já recebendo tráfego, tem prioridade sobre um lookalike domain estacionado, sem nenhum conteúdo. Sinais como se o site está no ar, se está coletando dados ativamente, se mira clientes ou funcionários e se uma campanha já está levando vítimas até ele ajudam você a investir o esforço de takedown onde ele protege o maior número de pessoas. É aqui que boas ferramentas ganham seu lugar, cortando os falsos positivos e classificando o que resta para que os analistas atuem primeiro nas ameaças que importam.

O processo de takedown

Um takedown é o trabalho de conseguir que o conteúdo malicioso seja removido na fonte, e ele segue um padrão repetível.

Começa com a evidência. Antes de qualquer coisa se mover, você captura a prova de que o conteúdo é malicioso e infrator: capturas de tela, a URL e o IP resolvido, o certificado usado, os dados de WHOIS e de hospedagem e uma descrição clara de como o conteúdo se passa pela sua marca e prejudica os usuários. Uma boa evidência é o que transforma um pedido em uma ação que um provedor está disposto a tomar rapidamente.

Em seguida vem a denúncia à parte certa. Dependendo do abuso, ela é o registrar do domínio, o provedor de hospedagem, o provedor de e-mail, a plataforma de rede social, a loja de aplicativos, a rede de anúncios ou uma CDN, e cada um tem seu próprio canal de abuso, sua própria tolerância e seu próprio processo. Enviar uma denúncia de abuso limpa e completa à parte que de fato controla o conteúdo, em vez de a quem for mais fácil de encontrar, é o que traz resultados.

Os prazos variam, e ajuda definir expectativas com honestidade. Uma plataforma social pode remover um perfil falso em horas; um registrar ou um host offshore pode levar dias ou resistir por completo, e o prazo depende muito do provedor, da jurisdição e da qualidade da sua denúncia. É aqui que a persistência importa. Os atacantes trocam de infraestrutura, então um site removido pode reaparecer em um novo host, sob um novo domínio, dentro de um dia. Um programa de takedown trata isso como esperado, monitora o retorno do conteúdo e denuncia novamente sem perder o ritmo, porque o objetivo não é uma única vitória, mas tornar a sua marca consistentemente cara e pouco recompensadora de se falsificar.

Prevenção e higiene

Os takedowns são reativos por natureza, então os programas mais fortes os combinam com prevenção que reduz a superfície de ataque antes que qualquer coisa seja abusada.

A autenticação de e-mail é o controle de maior alavancagem contra a falsificação direta do seu domínio. O SPF diz ao mundo quais servidores podem enviar e-mail em seu nome, o DKIM assina criptograficamente as suas mensagens para que os destinatários possam verificar que elas não foram alteradas, e o DMARC amarra os dois e, configurado com uma política de rejeição, diz aos servidores receptores para descartar o e-mail que falhar, de modo que os atacantes não consigam enviar facilmente um e-mail que aparente vir do seu domínio exato. Publicar os três e mover o DMARC do monitoramento para a imposição fecha uma porta que, de outra forma, fica escancarada.

O registro defensivo de domínios tira do tabuleiro os lookalikes mais óbvios, registrando você mesmo os erros de digitação comuns, os principais top-level domains alternativos e as variantes com homoglyph antes que um atacante o faça. Você nunca vai registrar todas as permutações, e não deve tentar, mas reivindicar as variantes de maior risco é um seguro barato.

A educação dos clientes é o controle silencioso que compensa em todos os canais. Diga aos clientes com clareza como você vai e como não vai contatá-los, que você nunca pedirá uma senha ou um código de uso único, e onde denunciar mensagens suspeitas. Clientes que sabem o que esperar são muito mais difíceis de enganar, e as denúncias deles se tornam um feed extra de detecção para a sua equipe.

Como a Rainforest ajuda

O Digital Risk Protection da Rainforest foi feito exatamente para esse problema: enxergar a falsificação nos canais externos que você não controla e fazer algo a respeito. Ele monitora continuamente domínios recém-registrados, logs de certificate transparency, plataformas sociais, lojas de aplicativos e a web aberta em busca de lookalike domains, sites falsos, perfis falsos e aplicativos falsificados que abusam da sua marca, usando correspondência aproximada e baseada em logotipo para que os quase-acertos não passem despercebidos. Seus recursos de Brand Intelligence validam e priorizam o que surge, para que sua equipe gaste tempo com ameaças ativas e nocivas em vez de fazer a triagem de ruído. E quando algo precisa cair, a Rainforest conduz o takedown de ponta a ponta, reunindo evidências, encaminhando denúncias aos registrars, hosts e plataformas certos e mantendo-se firme ao longo de novos registros. Falsificação e exposição de dados costumam andar juntas, então isso se combina naturalmente com a detecção de vazamento de dados para um retrato mais completo do seu risco externo.

O objetivo é simples: dar a você visibilidade de como a sua marca está sendo abusada e a velocidade para derrubá-la antes que ela chegue aos seus clientes. Se você quiser ver que falsificações da sua marca existem por aí agora mesmo, agende uma demonstração e nós a percorreremos junto com você.