O que leva os usuários a clicarem em links maliciosos?

Arun Vishwanath, professor de comunicação na Universidade de Buffalo, publicou um interessante artigo no The Conversation para explicar a fragilidade humana quando se fala de cibersegurança. O artigo exemplifica principalmente os casos de fraudes do tipo spearphishing, que nada mais é do que um phishing altamente personalizado e eficiente para fisgar os usuários, especialmente em ambientes corporativos.

Este tipo de ataque é particularmente perigoso porque, uma vez que o usuário clica no link ou anúncio recebido, um malware é instalado na máquina e entendido pelo sistema como um agente interno confiável, e nenhum antivírus vai agir contra ele. Assim, os humanos são o alvo do spearphishing, pois,  neste caso, são a única barreira de proteção dos dados.

O professor Vishwanath, ainda, expõe no artigo a pesquisa que desenvolveu com outros colaboradores a respeito do comportamento humano frente às fraudes cibernéticas. O estudo se chama S.C.A.M., abreviação para Suspicion, Cognition, Automacity Model, um título interessante para o tema, uma vez que scam pode ser traduzido para o português como golpe.

Em suma, o estudo visava entender o que leva os usuários a clicarem em links maliciosos. Entre as constatações obtidas, as mais gerais e relevantes podem ser resumidas em:

1) Em primeiro lugar, os usuários aos quais nos referimos são humanos, não bots programados artificialmente.

Os seres humanos naturalmente se baseiam em eficiência cognitiva, ou seja, nós procuramos e preferimos utilizar atalhos mentais para realizar uma ação. Numa situação de spearphishing, ao ver uma promoção conhecida de uma loja frequentada constantemente, o logo do banco em que tem conta, dificilmente uma pessoa pensaria duas vezes antes de clicar, porque a ação imediata é um atalho mental.

Por isso, muitas vezes o ímpeto da eficiência cognitiva acaba por impedir que investiguemos as informações do link ou da promoção antes de clicar neles.

2) Notícias sobre malwares infectando principalmente computadores.

A frequente propagação de notícias de malwares infectando milhares de computadores e levando empresas à falência faz com que as pessoas acreditem errôneamente que sistemas operacionais de dispositivos móveis são mais seguros ou estão imunes a ciber ataques. Com isso em mente, os usuários se sentem mais seguros e confiantes para clicar em qualquer link, abrir qualquer e-mail em seus smartphones. Muitas vezes até baixando aplicativos não oficiais e deixando ativa a função “desenvolvedor” do celular.

Hacker Rangers - Acesse seu trial e gamifique sua conscientização em cibersegurança

3) Crença de que ações online são 100% seguras.

A falsa imagem, muitas vezes propagada pela mídia, de que transações bancárias são mais seguras online, compras virtuais são mais rápidas e fáceis, etc, faz com que as pessoas baixem a guarda, se esforçando pouco para revisar e enviar mensagens e links recebidos ou mesmo de sites em que podem fazer tais transações.

4) O uso constante de mídias sociais, mensagens e e-mails.

Quanto maior o uso de recursos virtuais e onlines, maior a confiança do usuário quanto a sua forma de agir virtualmente. Esta confiança nem sempre é benéfica, pois deixa as pessoas menos conscientes dos perigos constantes.

Possíveis Soluções

Dados os problemas, a grande solução apresentada por Vishwanath é o treinamento e preparo dos usuários para que não caiam no spearphishing ou em qualquer outro tipo de fraude cibernética. O estudo do professor aponta que algumas formas básicas de preparar um treinamento adequado para um determinado ambiente empresarial, que seriam:

1. Detectar quais as principais causas que levam o usuário de tal ambiente a cair na fraude;
2. Detectar quem são os "super detectors", usuários que dificilmente caem  nas fraudes, e identificar suas maneiras de pensar e agir no ambiente online.
   

Ao detectar maneiras de evitar fraudes que pessoas do mesmo ambiente já praticam, fica mais fácil ensinar aos outros como adquirir os mesmo hábitos e práticas de cibersegurança.

Um treinamento de cibersegurança pode ser visto como um tipo de Programação Humana ou Programação Neurolinguística. Esta técnica de treinamento humano, desenvolvida na década de 70, consiste no ensino de ferramentas para substituir comportamentos  que não se adequadam à trajetória de conquista dos seus objetivos. Estas ferramentas, por sua vez, são pensadas levando em conta a maneiro como os seres humanos processam informações e experiência e como usa seus sentidos, instintos e intuição para processar esses dados de mundo.

os humanos são o elo mais fraco da cibersegurança, mas com o treinamento adequado não precisam ser

O Hacker Rangers, software online desenvolvido pela Perallis Security, é uma dessas ferramentas de Programação Humana que pode ajudar seus usuários a se conscientizarem e aprenderem na prática como evitar fraudes virtuais. O Hacker Rangers ainda tem o diferencial de ser um em formato de jogo! Uma forma prática e divertida de se aprender sobre cibersegurança.

Assim, como concluído pelo professor Vishwanath e por mim, sob a ótica da Programação Neurolínguística, os humanos são o elo mais fraco da cibersegurança, mas com o treinamento adequado não precisam ser.

Hacker Rangers - Plataforma Gamificada para conscientização em cibersegurança

Produção: Equipe de Conteúdo Perallis Security