A empresa PhishLabs divulgou números preocupantes: de acordo com a mais recente análise efetuada pela companhia, pelo menos 58% dos sites maliciosos que se encontram na web já utilizam o protocolo HTTPS e contam com um certificado SSL. Isso significa que, na prática, essas páginas se passam facilmente como confiáveis e são apontadas como “seguras” por navegadores convencionais, o que aumenta muito a chance delas terem sucesso em ludibriar um internauta desavisado.
O HTTPS (Hyper Text Transfer Protocol Secure ou Protocolo Seguro de Transferência de Hiper Texto), para quem não sabe, é uma versão aprimorada do HTTP tradicional, que protege a comunicação entre o cliente e o servidor usando uma camada de criptografia. Essa camada, por sua vez, depende da tecnologia SSL (Secure Sockets Layer), que estabelece a necessidade do servidor possuir um certificado de autenticidade para garantir de que se trata de um “terreno confiável”.
O problema é que, com o mercado transformando o HTTPS/SSL em um padrão minimamente aceitável para qualquer website, tornou-se ridiculamente simples conseguir um certificado — já existem até mesmo autoridades certificadoras gratuitas, como a popular Let’s Encrypt. Por um lado, isso é bom, já que estabelece uma rede de comunicação mais segura para o usuário; do outro, facilita a ação de fraudadores, que agora se apossaram desses recursos para otimizar os seus golpes.
A PhishLabs também percebe que a adoção de HTTPS por parte de sites maliciosos apresentou um crescimento estonteante desde o primeiro trimestre de 2017, quando o protocolo estava presente em apenas 10% das páginas ardilosas. “Mais sites estão usando SSL porque os navegadores avisam os usuários quando ele não é usado, e mais golpes de phishing são hospedados em sites invadidos e legítimos”, explica John LaCour, fundador e CTO da companhia.
A lição aqui é: o fato de um site ser seguro não significa que ele é seguro. Ele pode estar tentando roubar suas credenciais, mas de uma forma segura… Confuso? Pode ser. Podemos resumir com um: não se baseie mais no fato de um site ter um certificado SSL ou não como um fator decisivo para confiar nele. Vale a pena ficar atento a outros detalhes que apontem para uma eventual tentativa de phishing.
- Leia mais notícias sobre Segurança.
Fonte: PhishLabs