Porque é que partilhar informações sobre phishing é importante: colaboração, normas e confiança

As informações sobre phishing como sinal de defesa coletiva

As informações sobre phishing ganham valor pela rapidez e pelo volume.

Os sinais técnicos envolvidos, incluindo URLs maliciosos, domínios comprometidos, endereços IP ligados à infraestrutura dos atacantes e hashes de ficheiros de anexos maliciosos, são aquilo a que os defensores chamam Indicadores de Comprometimento, ou IoCs. Por si só, ajudam uma equipa a responder a um incidente. Partilhados rapidamente, podem tornar-se um bloqueio proativo para milhares de organizações antes de uma campanha sequer chegar até elas.

A maioria dos indicadores tem uma vida útil curta. Os atacantes rodam URLs e endereços IP com frequência para se manterem à frente das listas de bloqueio. É precisamente por isso que a partilha atempada é importante. Uma deteção numa rede, contribuída para uma plataforma partilhada em minutos, pode proteger organizações que ainda não viram a campanha. Para além dos IoCs individuais, a inteligência partilhada capta também padrões de infraestrutura: como um atacante falsifica endereços de remetente, que ambientes de alojamento prefere ou que kits de phishing reutiliza entre operações.

Colaboração em todo o ecossistema

Nenhum interveniente isolado tem a imagem completa do panorama de phishing.

As pequenas e médias empresas são frequentemente das primeiras a receber sinais de uma nova campanha dirigida ao seu setor. Os CERTs funcionam como centros centrais, agregando relatórios de âmbitos nacionais e setoriais. Os ISPs e os registadores de domínios têm visibilidade sobre a infraestrutura subjacente. Os investigadores de segurança acompanham o comportamento dos atores de ameaça e os padrões das campanhas. As autoridades policiais seguem o rasto do dinheiro.

Cada um destes intervenientes vê uma fatia diferente da mesma ameaça. A colaboração liga essas fatias. Quando uma instituição financeira partilha detalhes de um kit de phishing recentemente identificado, outras organizações podem aplicar imediatamente essas conclusões, sem repetir a análise de raiz. Isto não é apenas um ganho de eficiência; é uma vantagem estrutural. Os atacantes beneficiam da fragmentação dos defensores. A partilha de informações mina diretamente essa vantagem.

A Figura 2 mostra como a colaboração liga estas diferentes perspetivas, transformando sinais isolados de PMEs, CERTs, ISPs e investigadores num modelo de defesa coletiva mais forte.

As normas tornam a inteligência acionável

Listas simples de URLs não são suficientes.

Para que as informações sobre ameaças sejam úteis à escala, têm de ser estruturadas e legíveis por máquina. Sem formatos comuns, as equipas de segurança passam tempo a limpar e converter dados em vez de agirem sobre eles. Três normas formam a base da partilha moderna de informações sobre phishing: MISP, STIX e TAXII.

O MISP, Malware Information Sharing Platform, é uma plataforma de código aberto utilizada em todo o mundo para armazenar, correlacionar e distribuir informações sobre ameaças. Organiza os dados em eventos, que funcionam como contentores para informações ligadas contextualmente, e atributos, que são pontos de dados individuais, como endereços IP ou nomes de domínio. Crucialmente, o motor de correlação do MISP revela automaticamente relações entre incidentes não relacionados, identificando quando a mesma infraestrutura de atacante aparece em diferentes alvos, mesmo quando reportada por organizações diferentes.

O STIX e o TAXII completam o quadro. O STIX, abreviatura de Structured Threat Information eXpression, fornece uma linguagem normalizada para descrever ameaças de uma forma que tanto humanos como máquinas conseguem interpretar. Capta não apenas o indicador em si, mas o seu contexto: motivação do atacante, capacidades e relações com outras ameaças. O TAXII, ou Trusted Automated eXchange of Intelligence Information, define como esses dados formatados em STIX são transmitidos entre partes através de uma API. Em conjunto, garantem que a inteligência produzida por uma plataforma pode ser ingerida e utilizada por outra sem intervenção manual.

A Figura 3 ilustra este processo na prática, mostrando como um URL malicioso pode ser estruturado em STIX, trocado através do TAXII e ingerido no MISP para correlação e ação.

O TLP e a camada de confiança

As normas resolvem o problema técnico da partilha. A confiança resolve o problema humano.

As organizações hesitam frequentemente em partilhar informações sobre incidentes de phishing. O receio de expor vulnerabilidades internas, o risco reputacional ou as complicações legais são barreiras legítimas. O Traffic Light Protocol, ou TLP, aborda isto diretamente. É um quadro simples, codificado por cores, que dá à fonte da informação controlo explícito sobre a amplitude da sua circulação.

• TLP:RED destina-se apenas aos destinatários nomeados. As informações neste nível não devem sair da troca específica em que foram partilhadas.
• TLP:AMBER permite a partilha dentro da organização do destinatário e com clientes que precisem dela para agir sobre a ameaça.
• TLP:GREEN pode ser partilhado numa comunidade ou setor mais amplo, mas não através de canais públicos.
• TLP:CLEAR não tem restrições de partilha e pode ser tornado totalmente público.

Ao aplicar estas marcações, as organizações podem contribuir com dados sensíveis com a confiança de que serão tratados de acordo com as suas regras. Esta camada de confiança é o que torna a colaboração de alta velocidade operacionalmente viável. Sem ela, o incentivo para partilhar desaparece.

As fugas de credenciais como segunda frente

A luta contra o phishing não termina quando uma página maliciosa é retirada.

Remover a infraestrutura evita novas vítimas, mas não faz nada por quem já submeteu as suas credenciais. Se um atacante recolheu com êxito dados de início de sessão, a ameaça mantém-se ativa muito depois de o site ficar offline. De acordo com o Verizon Data Breach Investigations Report, as credenciais roubadas estão entre os pontos de entrada mais comuns para violações, sendo frequentemente exploradas semanas ou meses após a recolha inicial. Essas credenciais podem ficar inativas antes de serem usadas em apropriação de contas, fraude ou comprometimento de e-mail empresarial.

É por isso que as informações sobre fugas de credenciais representam uma segunda frente, igualmente importante. Quando um kit de phishing é analisado e se descobre que exfiltra dados para um determinado recetor, identificar esse recetor permite notificar as partes afetadas antes de as credenciais roubadas serem utilizadas. Uma notificação precoce, como uma reposição forçada da palavra-passe ou um convite para ativar a autenticação multifator, pode neutralizar a ameaça por completo. Em muitos casos, esta resposta proativa tem mais impacto do que a remoção original.

Como a ThreatChase reúne tudo isto

Na ThreatChase, construímos uma plataforma que integra estes conceitos num fluxo de defesa unificado. A nossa abordagem assenta na convicção de que uma proteção eficaz contra phishing tem de ser simultaneamente automatizada e colaborativa.

O Data Collector é o nosso principal ponto de ingestão, reunindo sinais de fontes abertas, contribuições da comunidade e dos nossos próprios rastreadores. Ao centralizar estes dados, procuramos fechar a lacuna de visibilidade, garantindo que os indicadores observados numa parte do ecossistema ficam disponíveis em toda a plataforma.

O Analysis and Detection Module fornece a camada de inteligência. Normaliza os dados recebidos com STIX e correlaciona-os no nosso ambiente MISP. Este módulo não se limita a sinalizar URLs maliciosos. Enriquece-os com contexto, ligando indicadores a kits de phishing conhecidos, aglomerados de infraestrutura e padrões de campanha. Os sinais em bruto tornam-se informações acionáveis.

O Mitigation and Notification Service garante que a inteligência conduz à ação. Os IoCs validados são enviados para os sistemas de segurança dos parceiros via TAXII para bloqueio automatizado. Simultaneamente, o serviço gere notificações de fugas de credenciais, garantindo que as partes afetadas são informadas à velocidade da máquina. As regras de tratamento do TLP regem cada troca, mantendo a partilha segura e fiável.

A figura abaixo reúne estes componentes, mostrando como a ThreatChase liga a recolha, a análise, a mitigação, a notificação e os controlos de confiança num único fluxo de partilha de informações.

Conclusão

O phishing tem sucesso quando os defensores trabalham isolados.

Ao adotar normas estruturadas como MISP e STIX, respeitar quadros de confiança como o TLP e abordar todo o ciclo de vida do ataque, incluindo as fugas de credenciais, as organizações podem passar do bloqueio reativo para uma verdadeira defesa coletiva. O problema de visibilidade que torna o phishing tão persistente tem solução. Mas exige um compromisso com a partilha: a deteção de uma organização torna-se o alerta precoce de outra.

Explore mais informações no blog do projeto ThreatChase, incluindo o nosso guia sobre proteção contra phishing para PMEs e a nossa análise sobre como são construídas as campanhas de phishing.