Talvez, mas provavelmente não. Este foi um problema muito maior há uma década, por razões que destacarei abaixo, mas o tempo e a experiência resultaram em correções para a maioria das ameaças baseadas no conteúdo de e-mails.

Olá, sou Aaron! Estou em segurança cibernética e tecnologia há mais de duas décadas. Adoro o que faço e adoro compartilhar com todos vocês para que possam estar mais seguros e protegidos. Não há melhor defesa contra ciberataques do que a educação e quero educá-los sobre ameaças.

Neste artigo, vou descrever alguns dos ataques por e-mail que costumavam existir e destacar porque já não são realisticamente eficazes. Vou também tentar antecipar algumas das vossas perguntas sobre isto!

Principais Leilões

• HTML em ataques facilitados por e-mail no final dos anos 90 e início dos anos 2000.
• Desde então, os ataques HTML por e-mail têm sido amplamente mitigados pelos provedores e clientes de serviços de e-mail.
• Há outros ataques mais eficazes e modernos.
• Você pode evitá-los sendo inteligente sobre o seu uso da internet.

Como abrir um e-mail pode ter sido invadido

A internet é construída sobre uma linguagem chamada HyperText Markup Language ou HTML .

O HTML permite a entrega de conteúdo rico em mídia e flexível de forma rápida e eficiente. As necessidades de segurança e multimídia da Web 2.0 trouxeram isso para sua quinta iteração e todos os sites que você visita hoje são entregues via HTML.

O HTML foi introduzido ao e-mail no final dos anos 90, embora não pareça haver uma primeira data canônica de uso ou primeiro adotante. De qualquer forma, e-mails enriquecidos com HTML ainda estão em uso hoje para entregar e-mails visualmente atraentes.

Aqui está um ótimo tutorial do YouTube sobre como desenvolver seus próprios e-mails enriquecidos com HTML.

Uma das grandes coisas que o HTML facilita é a capacidade de carregar conteúdo inline a partir de uma fonte. É como funciona a publicidade dinâmica na página web. É também como um tipo específico de ataque costumava ser implementado através da abertura de um e-mail.

Existem duas variações deste ataque. Uma era abrir uma imagem onde o descodificador de imagem local (o software que permite que a imagem seja exibida num formato visualizável por humanos) no seu computador era responsável pela descodificação da imagem. Esse descodificador executaria o código entregue como parte desse processo de descodificação de imagem.

Se algum desse código fosse malicioso, você seria "hackeado". Certamente, você teria um vírus ou malware.

Outra variante desse ataque era a entrega de código malicioso através da entrega de links. A abertura do e-mail analisaria o arquivo HTML, o que também forçaria a abertura de um link que, por sua vez, entregaria ou executaria código malicioso localmente.

Aqui está uma excelente explicação de como isso funcionou, via Youtube, e todo o canal é excelente para explicações em linguagem simples de conceitos de tecnologia.

Porque é que esses ataques já não funcionam?

Eles não funcionam por causa de como o e-mail é analisado pelos clientes de e-mail modernos. Algumas mudanças foram feitas nesses clientes, incluindo como as imagens são processadas e como o HTML é implementado no e-mail. Ao desativar certos recursos, os clientes de e-mail são capazes de proteger seus usuários de forma fácil e eficaz.

Isso não significa que estás a salvo! Ainda há muitas maneiras de entregar conteúdo malicioso via e-mail. Na verdade, o e-mail é a atual entrada mais eficaz para ataques cibernéticos. Essas mudanças significam simplesmente que você não pode ser "invadido" apenas abrindo um e-mail.

Você pode, por exemplo, abrir um e-mail que o incita a abrir urgentemente um anexo que é supostamente um serviço legal, uma conta atrasada ou outro assunto urgente. Pode também pedir-lhe para clicar num link. Além disso, pode pedir-lhe para enviar dinheiro para um endereço para receber algum benefício maior.

Estes são todos exemplos de ataques de phishing Abrir o anexo ou clicar no link entrega malware (tipicamente um resgate) para o seu computador. Enviar dinheiro para algum lugar garante apenas que você está fora qualquer dinheiro que você enviou.

Existem muitos outros ataques comuns muito mais eficazes do que os ataques de conteúdo HTML e que não podem ser prontamente defendidos pelo seu provedor de e-mail ou cliente.

O meu telefone ou iPhone pode ser invadido abrindo um e-mail?

Não! Pelas mesmas razões acima e por algumas razões adicionais. O cliente de e-mail do seu telefone é apenas isso, um cliente de e-mail. Ele tem as mesmas restrições de análise de HTML que os clientes de e-mail desktop.

Além disso, os dispositivos Android e iOS são um SO diferente dos dispositivos Windows, que a maioria dos malwares são codificados para atacar. A maioria dos malwares tem como alvo o Windows devido à sua prevalência no ambiente corporativo.

Finalmente, os dispositivos Android e iOS particionam e aplicações sandbox, permitindo apenas a comunicação cruzada com permissões. Assim, você pode abrir um e-mail com código malicioso, mas esse código malicioso não se infiltrará e infectará automaticamente outras partes do seu telefone. Ele será isolado, por projeto.

FAQs

Aqui estão algumas respostas a perguntas que você pode ter sobre conteúdo malicioso entregue via e-mail.

Você pode ser invadido apenas abrindo uma mensagem de texto?

Definitivamente, não. As mensagens de texto são normalmente entregues em SMS, ou Short Message/Messaging Service. SMS é texto simples - são apenas as letras no ecrã. Emojis, acredite ou não, são apenas a implementação do Unicode.

É assim que o sistema operacional e o aplicativo de mensagens do telefone traduzem cadeias específicas de texto em uma imagem. Dito isto, o iMessage foi demonstrado para permitir um "hack", abrindo uma mensagem em 2019.

Eu abri acidentalmente um e-mail de spam no meu telefone

Feche-a! Embora não seja realmente uma pergunta, este é um verdadeiro medo para muitos. Se você abrir um e-mail de spam, é incrivelmente improvável que o código malicioso tenha sido baixado para o seu telefone. Apague o e-mail e continue com o seu dia.

Você pode ser invadido abrindo um site?

Sim! Este é um ataque bastante comum onde um ator ameaçador cria um site falso baseado em um erro ortográfico comum de um serviço popular ou seqüestra um site legítimo. HTML pode executar código livremente (se permitido) e se você visitar uma página web onde isso está acontecendo, então você pode ser "hackeado".

Como alguém pode invadir o seu e-mail?

Os profissionais de segurança fizeram carreiras inteiras nesta questão - não serei capaz de fazer esta justiça aqui.

Resposta curta: eles têm ou adivinhem a sua senha de e-mail. É por isso que a maioria dos profissionais de segurança recomendam que você use fortes frases-passe e habilitar autenticação multi-factor Se você se deparar com o assunto de um hack por e-mail, aqui está um ótimo vídeo do YouTube sobre como discernir isso.

Conclusão

A simples abertura de um e-mail poderia tê-lo "hackeado" no final dos anos 90 e início dos anos 2000. Essas vulnerabilidades foram corrigidas e há ataques muito mais simples e eficazes que ainda hoje funcionam. Ser inteligente e esperto são as melhores defesas para esses ataques, que eu discuto longamente aqui .

O que mais você faz para se manter seguro na internet? Deixe suas táticas favoritas nos comentários!