Brain Security · Sensibilização para a cibersegurança e a IA
Catálogo
A competição ciber totalmente personalizável: fluxo à medida, boss fights e classificação pública.
Descobrir→
Máquina
A máquina de arcada de sensibilização ciber. Configurável online, entregue chave na mão.
Descobrir→
Jogo
O desabafo dos CISO: um só gesto, ~2 minutos, e gritar ao microfone multiplica os pontos.
Descobrir→
Competição
A competição de reflexos totalmente configurável: mini-jogos cronometrados, universo ciber, IA ou misto, modo arcada.
Descobrir→
Experiência
A cabine deepfake: autoriza a webcam, vê-se transformado ao vivo por uma IA e nunca mais olha para uma imagem da mesma forma.
Descobrir→
Enciclopédia
A enciclopédia ciber visual gerada por IA: explore cada tema até ao infinito.
Descobrir→
Bot
O bot que sensibiliza na sua mensagem: microlições que chegam sozinhas, assinadas Jack.
Descobrir→
Formação
O percurso de aprendizagem ciber em mapa de progressão: capítulos curtos e um quiz-arcada integrado, sem conta a criar.
Descobrir→
Simulação
O simulador de phishing que treina as suas equipas para os ataques reais, do falso e-mail ao código QR armadilhado, num quadro controlado que nunca captura uma palavra-passe.
Descobrir→
Coming soon
A caixa de ferramentas do CISO, disponível em breve.
O jogo narrativo que ensina a cibersegurança a jogar: dez capítulos, um mapa de níveis, sem instalar nada.
Descobrir→
Descubra como o quishing contorna filtros antispam ao mover o ataque para o telemóvel pessoal, e saiba como proteger as suas equipas.
Imagine o seguinte cenário: a sua organização implementou os gateways de correio eletrónico mais rigorosos do mercado, um EDR moderno em cada posto de trabalho e autenticação multifator sistemática. Contudo, numa segunda-feira de manhã, as credenciais de acesso de um responsável financeiro surgem comprometidas sem que nenhum alerta técnico tenha disparado. O vetor de ataque não foi um anexo executável, nem uma ligação suspeita no corpo da mensagem. Foi apenas um quadrado a preto e branco inserido num ficheiro PDF aparentemente inócuo, a solicitar a renovação de um acesso seguro.
O quishing, contração de QR code e phishing, representa hoje uma rutura operacional relevante para as equipas de cibersegurança. Ao induzir o colaborador a ler um código gráfico através do seu telemóvel pessoal, o atacante quebra o perímetro defensivo delineado pela direção de sistemas de informação e sai deliberadamente do raio de ação das ferramentas corporativas de monitorização.
Em resumo: O quishing utiliza um código QR para ocultar um URL malicioso dentro de uma imagem. Os gateways tradicionais de email analisam frequentemente apenas texto simples, permitindo que o código alcance a caixa de entrada sem ser travado pelo antispam.
Num ataque convencional, o gateway de segurança (Secure Email Gateway) inspeciona as hiperligações no corpo da mensagem, avalia a reputação desses endereços em bases de dados de threat intelligence e processa anexos suspeitos numa sandbox. No caso do quishing, a armadilha torna-se invisível para estes mecanismos primários. O URL não existe sob a forma de texto legível na mensagem: encontra-se codificado graficamente como uma matriz de píxeis, quase sempre incorporado numa imagem PNG ou embutido num ficheiro PDF.
Para intercetar esta ameaça em tempo útil, os sistemas de filtragem precisam de recorrer a reconhecimento ótico de caracteres (OCR) ou descodificar em tempo real qualquer elemento gráfico bidimensional. Este processamento consome elevados recursos de computação e provoca uma latência que muitas infraestruturas empresariais não suportam em grande escala.
Além disso, os atacantes ajustam continuamente os seus métodos de dissimulação: alteram subtilmente o contraste, inserem logótipos no centro do código QR ou aplicam redirecionamentos condicionais que apenas abrem a página maliciosa se o pedido tiver origem num navegador móvel. Perante isto, o gateway valida a mensagem e deixa-a passar legitimamente.
Em resumo: Ao forçar a utilização da câmara fotográfica do telemóvel para ler o código QR, o cibercriminoso contorna o EDR do posto de trabalho e explora um dispositivo pessoal sem filtragem de DNS nem controlos de rede corporativos.
O verdadeiro perigo do quishing reside nesta transição de contexto, classificada tecnicamente como um ataque cross-device. Enquanto o colaborador consulta o email num computador protegido por políticas restritas de segurança, a mensagem recebida convida-o formalmente a usar o telemóvel para validar uma ação: sincronizar uma aplicação autenticadora, atualizar palavras-passe ou resolver uma suposta pendência administrativa interna.
No instante em que o colaborador aponta a câmara do seu smartphone pessoal (BYOD) para o ecrã do computador corporativo:
Importa notar que este vetor não opera apenas dentro das caixas de correio. Os atacantes exploram igualmente o espaço físico. Surgem com frequência códigos QR maliciosos colados em postos de carregamento de veículos elétricos nos parques de estacionamento das empresas, em notificações impressas que simulam comunicados de recursos humanos ou em avisos afixados nas copas que convidam a aceder a uma nova plataforma colaborativa.
| Strategic Dimension | Detailed CISO Recommendation |
|---|---|
| O isolamento do EDR desaparece | o telemóvel pessoal não dispõe habitualmente de agentes de telemetria nem de ferramentas empresariais de filtragem de navegação. (A armadilha do canal cruzado: do computador de trabalho para o…) |
| Definir uma diretriz interna explícita | determinar formalmente nas políticas de segurança que nenhum departamento legítimo da organização (seja TI, Recursos Humanos ou Financeiro)… (Como proteger eficazmente as suas equipas contra o phishing por…) |
| A proteção de rede é neutralizada | a ligação ocorre via rede móvel 4G ou 5G do operador comercial, ultrapassando os proxies corporativos e as políticas de bloqueio de DNS da empresa. (A armadilha do canal cruzado: do computador de trabalho para o…) |
| Implementar controlos em dispositivos móveis… | nos equipamentos distribuídos pela empresa, garantir a configuração de plataformas de gestão de dispositivos (MDM) com inspeção ativa de ligações… (Como proteger eficazmente as suas equipas contra o phishing por…) |
Perante uma ameaça capaz de iludir as barreiras técnicas habituais, a defesa sustentável assenta na vigilância ativa e em rotinas comportamentais consolidadas. Não sendo possível impedir que um colaborador utilize o seu telemóvel, o objetivo passa por transformar a reação imediata num processo crítico de validação prévia.
Para estruturar uma defesa resiliente contra o quishing, devem ser consolidadas várias medidas práticas:
A cibersegurança atual não passa por bloquear unilateralmente tecnologias úteis do quotidiano, mas por dotar cada profissional da capacidade de discernimento necessária para não se tornar a porta de entrada de um incidente à escala de toda a organização.
Pretende avaliar a maturidade das suas defesas perante as novas técnicas de engenharia social? Contacte a nossa equipa para desenharmos uma estratégia de sensibilização alinhada com as exigências operacionais da sua infraestrutura.
