Executando Campanha de Simulação de Phishing

Quando Usar

• Medir a suscetibilidade dos funcionários a ataques de phishing como parte de um programa de conscientização de segurança
• Testar a eficácia dos controles de segurança de e-mail (gateway de e-mail seguro, DMARC, SPF, DKIM)
• Realizar o componente de engenharia social de um exercício de equipe vermelha para obter acesso inicial
• Estabelecer uma linha de base para a suscetibilidade a phishing antes de implantar treinamento de conscientização de segurança
• Validar que os procedimentos de resposta a incidentes funcionam quando os funcionários relatam e-mails suspeitos

Não use sem autorização explícita por escrito da liderança da organização, para roubo real de credenciais além do escopo autorizado, para direcionar indivíduos pessoalmente em vez de profissionalmente, ou para enviar e-mails de phishing que possam causar danos psicológicos ou responsabilidade legal.

Pré-requisitos

• Autorização por escrito da liderança executiva especificando o escopo da campanha, grupos-alvo e procedimentos de escalonamento
• Coordenação com a equipe de TI/segurança para colocar a infraestrutura de envio em lista branca (ou testar se ela contorna os controles, dependendo do escopo)
• GoPhish ou plataforma de phishing equivalente configurada com um domínio de envio, retransmissão SMTP e infraestrutura de página de destino
• Domínio de phishing registrado e configurado com registros SPF, DKIM e DMARC para maximizar a capacidade de entrega
• Lista de e-mails de funcionários do RH, organizada por departamento para campanhas direcionadas
• Equipe de resposta a incidentes informada sobre o cronograma da campanha e os procedimentos de escalonamento

Fluxo de Trabalho

Etapa 1: Planejamento da Campanha e Desenvolvimento de Pretexto

Projete cenários de phishing realistas com base em ameaças relevantes para a organização-alvo:

• Seleção de pretexto: Escolha cenários que espelhem ataques do mundo real:
  • Suporte de TI: Aviso de expiração de senha exigindo ação imediata
  • Departamento de RH: Inscrição de benefícios, reconhecimento de política, documento W-2/imposto
  • Impersonação de executivo: Solicitação urgente do CEO/CFO para revisar um documento
  • Fornecedor/supridor: Fatura exigindo revisão, notificação de entrega
  • Serviços em nuvem: Documento compartilhado do Microsoft 365, acesso ao Google Drive, convite para reunião do Zoom
• Segmentação de destino: Divida os funcionários em grupos por departamento, função ou nível de acesso. Alvos de alto valor (finanças, administrador de TI, executivos) podem receber pretextos mais sofisticados.
• Cronograma: Agende envios durante o horário comercial, preferencialmente de terça a quinta-feira, quando o engajamento por e-mail é maior. Evite feriados, períodos de demissão em massa ou outros momentos sensíveis.
• Métricas de sucesso: Defina o que constitui o sucesso da campanha: taxa de abertura de e-mail, taxa de cliques em links, taxa de envio de credenciais, taxa de relato (funcionários que relatam o phishing para a TI)

Etapa 2: Configuração da Infraestrutura

Configure a infraestrutura de phishing:

• Registro de domínio: Registre um domínio que se assemelhe ao domínio da organização-alvo (typosquatting, homógrafo ou adjacente à marca). Exemplos: target-corp.com, targetcorp-portal.com, targetsupport.net
• Certificado SSL: Obtenha um certificado TLS para o domínio de phishing (Let's Encrypt) para exibir o ícone de cadeado
• Configuração do GoPhish:
  • Configure o servidor GoPhish em um VPS com o domínio de phishing
  • Configure o perfil de envio SMTP com o servidor de e-mail do domínio de phishing
  • Crie o modelo de e-mail com pixel de rastreamento e link para a página de destino
  • Construa a página de destino de coleta de credenciais que espelha o portal de login do alvo
  • Importe a lista de e-mails do alvo e crie grupos de usuários
• Autenticação de e-mail: Configure registros SPF, DKIM e DMARC para o domínio de phishing para passar nas verificações de autenticação de e-mail e melhorar as taxas de entrega
• Teste de entrega: Envie e-mails de teste para uma caixa de entrada controlada para verificar a renderização, o rastreamento de links e a funcionalidade da página de destino

Etapa 3: Execução da Campanha

Lance a campanha de phishing:

• Envie e-mails em lotes para evitar acionar limites de taxa ou filtros de spam (por exemplo, 50 e-mails por hora)
• Monitore o painel do GoPhish em tempo real para falhas de entrega, devoluções e interações iniciais
• Acompanhe as métricas à medida que chegam: e-mails enviados, e-mails abertos (pixel de rastreamento disparado), links clicados, credenciais enviadas
• Se a equipe de segurança de TI ou o SOC detectar a campanha (se isso fizer parte do teste), documente o tempo de detecção e as ações de resposta
• Mantenha um procedimento de parada de emergência: se um funcionário ficar angustiado ou a campanha criar consequências não intencionais, pause imediatamente

…