Dentro da ameaça: Explorando os 6 principais tipos de fraudes de tomada de conta

As técnicas usadas por golpistas estão se tornando cada vez mais complexas, com várias maneiras para criminosos tomarem controle de uma conta. Os tipos de fraudes de tomada de controle de conta escolhidos pelo atacante dependerão de seu objetivo e dos recursos que eles têm disponíveis.

Não perca a chance de explorar as últimas tendências e obter insights práticos essenciais para combater fraudes e proteger seu negócio. Baixe nosso Relatório de Fraude de Identidade 2024 hoje!

A fraude de tomada de controle de conta (ATO) é uma das maiores ameaças que as empresas online enfrentam hoje. Não apenas esse crime pode custar enormes quantias de dinheiro para as empresas, mas também pode sobrecarregar as equipes de TI e de atendimento ao cliente e arruinar a reputação do seu negócio. Não é de admirar que a detecção de fraudes agora seja uma prioridade chave para organizações em todo o mundo.

Para ajudá-lo a se proteger contra a ameaça dessa forma de fraude em rápido crescimento, neste guia, abordaremos os principais tipos de fraudes de tomada de conta e as etapas que você pode seguir para impedir os fraudadores

1. Entendendo a ATO: definição e visão geral

ATO é uma forma de roubo de identidade. Ocorre quando um agente maligno assume o controle de uma conta de usuário sem a permissão dela para cometer fraudes.

O processo de assumir uma conta envolve duas etapas. Primeiro, o fraudador irá roubar ou comprar as credenciais de um usuário na dark web. Eles podem então entrar na conta do usuário.

Durante a segunda etapa do processo, eles farão uma série de alterações não monetárias na conta, como mudar a senha ou alterar as informações pessoalmente identificáveis da vítima.

Uma vez que essas duas etapas estejam completas, o fraudador ganhou controle total da conta e destravou o usuário original. Eles agora farão uma série de transações monetárias ou venderão a conta para outra pessoa.

O fraudador tentará então replicar seu sucesso assumindo o controle de outras contas de um usuário. Isso se torna possível se eles usaram a mesma senha e informações de login para várias contas.

2. Por que é uma ameaça tão grande?

Existem várias razões pelas quais a fraude de tomada de conta é uma das maiores ameaças enfrentadas por empresas hoje em dia. Primeiro, os métodos empregados pelos fraudadores que tentam obter controle de contas estão se tornando cada vez mais sofisticados e difíceis de detectar. Por essa razão, empresas que não levam a ameaça da ATO a sério podem em breve se tornar alvo de fraudadores.

Se um fraudador obtiver acesso à conta de um usuário e usar essa conta para fazer compras, o cliente provavelmente culpará seu negócio pela violação de segurança (mesmo que a falha na segurança tenha sido responsabilidade deles). Por essa razão, um ataque ATO pode prejudicar irreparavelmente o relacionamento entre uma empresa e seus clientes e causar danos à reputação mais amplos.

Mas o custo da fraude por tomada de conta não é apenas reputacional. Afinal, se um criminoso obtiver acesso a detalhes de login roubados por meio de uma tomada de conta, isso pode ter repercussões financeiras significativas para um negócio. A IBM relata que a violação corporativa típica custa perto de $5 milhões. Organizações maiores são particularmente propensas a tentativas de tomada de conta, já que são alvos mais atraentes para criminosos cibernéticos.

Além disso, os ataques ATO impactam quase todos os departamentos de uma empresa. Isso ocorre porque as consequências de uma violação de segurança significam:

• Sua equipe de TI deve investigar quaisquer invasões e a robustez do seu sistema de segurança
• Sua equipe financeira deve lutar contra reversões quando os fraudadores solicitam reembolso de um produto por meios fraudulentos, enquanto retêm o item
• Sua equipe de suporte ao cliente estará sobrecarregada por clientes que estão tentando recuperar suas contas

3. Quem é vulnerável à fraude de tomada de conta?

A fraude de assalto de conta está crescendo o tempo todo por um motivo – quase todos são vulneráveis. Isso ocorre porque os fraudadores podem aplicar as mesmas técnicas em uma variedade de contas diferentes.

Alguns alvos comuns para fraudes de tomada de conta incluem contas de depósito, contas de benefícios governamentais, contas correntes, contas de jogos online, cartões de fidelidade, cartões de crédito e contas de e-mail

Se os fraudadores tiverem sucesso, existem várias maneiras de usar as informações hackeadas. Por exemplo, eles podem solicitar um novo cartão à empresa de cartão de crédito do usuário, usando-o para fazer compras fraudulentas. Talvez eles possam vender as informações verificadas na dark web ou redirecionar quaisquer benefícios recebidos.

Qualquer que seja o uso indevido preciso de uma conta, uma coisa é clara – deve ser interrompido imediatamente.

4. Tipos de tomada de conta

Os tipos de fraudes de tomada de conta escolhidos pelo atacante dependerão de seu objetivo e dos recursos disponíveis.

Os principais tipos de fraudes de tomada de conta incluem:

Credential stuffing

Para realizar um ataque de preenchimento de credenciais, um fraudador geralmente compra uma lista de credenciais vazadas online, frequentemente através de um grande vazamento de dados. Usando essas informações, eles testam combinações de nomes de usuário e senhas em vários sites até conseguirem acessar uma conta.

Infelizmente, credenciais vazadas estão amplamente disponíveis na dark web. Como muitos usuários escolhem senhas fracas ou as reutilizam, esse tipo de fraude de tomada de conta tem uma alta taxa de sucesso.

Troca de SIM

A autenticação de dois fatores oferece benefícios significativos de segurança. Os clientes acessam suas contas não apenas por meio de uma senha, mas também usando um método secundário: utilizando um código de uso único enviado para seu número de telefone, que é uma abordagem comum.

Com um golpe de troca de SIM, os fraudadores buscam contornar essa técnica transferindo o número de telefone de um usuário para outro cartão SIM; eles podem usá-lo para obter códigos de autenticação destinados ao seu número. Eles podem usar isso para acessar suas contas bancárias, contas de mídia social e mais, conforme observa a gigante da tecnologia Microsoft

Os criminosos conseguem isso por meio de várias formas de 'engenharia social': por exemplo, usando redes sociais para coletar dados e informações pessoais (como o nome de solteira da mãe) que podem usar para enganar uma operadora de telefonia a transferir seu número de celular para eles.

Uma vez que esse processo esteja completo, o fraudador pode tentar fazer login no aplicativo bancário do usuário. Se os processos de autenticação do banco incluírem mensagens de texto como um meio de entrega de senhas de uso único, então o fraudador pode acessar a conta do usuário e realizar transações fraudulentas, adicionar beneficiários ou realizar outras operações durante uma sessão bancária.

Golpes de phishing

Phishing é uma praga comum de segurança online que vem em várias formas. Talvez o tipo mais conhecido veja atacantes enviando e-mails – ou uma mensagem de texto ou outro método de comunicação – com links fraudulentos. Esses links podem conter malware perigoso projetado para causar danos aos sistemas

O phishing também pode buscar coletar informações. Se o usuário clicar no link, ele será levado a uma página de login falsa onde será solicitado a inserir suas credenciais de login. Essas informações são então capturadas e podem ser exploradas pelo fraudador. Ataques de phishing podem ser incrivelmente prejudiciais, pois um fraudador pode direcionar milhares de usuários de uma só vez.

Outro perigo é o spear phishing, que é um ataque muito mais direcionado. Criminosos usam engenharia social e investigações de fundo para direcionar um indivíduo específico em vez de milhares de pessoas.

Por exemplo, um criminoso pode usar o endereço de e-mail de um usuário para encontrar uma conta vinculada ao Facebook. Usando as informações desta conta, eles podem descobrir que este usuário tem uma irmã. Em seguida, eles criarão um alias para que o e-mail de spear phishing apareça como uma mensagem genuína da irmã do usuário pedindo informações sensíveis.

Malware

Com um ataque de malware, um fraudador assume o controle de uma conta bancária instalando software malicioso (conhecido como malware) no computador ou telefone móvel da vítima.

Isso acontece quando o usuário baixa um aplicativo, um software ou uma atualização não verificada de uma fonte não confiável. Algumas formas de malware, conhecidas como keyloggers, interceptarão e salvarão tudo que o usuário digitar, incluindo seus dados bancários online.

Ataques man-in-the-middle (MITM)

Durante um ataque MitM, os fraudadores se posicionam entre a instituição financeira e o cliente. Isso permite que eles interceptem, editem, e enviem e recebam comunicações sem aviso.

Os ataques MitM exploram como os dados são compartilhados entre um site e o dispositivo de um usuário – seja seu computador, telefone ou tablet. Eles normalmente configurarão uma rede Wi-Fi pública maliciosa que um usuário acessará sem perceber.

Por exemplo, uma cafeteria pode configurar uma rede Wi-Fi chamada 'Wi-Fi grátis da cafeteria' ou algo similar. Um usuário em busca de aproveitar o Wi-Fi público pode então transferir seus dados de pagamento através da rede, que é controlada pelo ator criminoso.

Fraude em call center

A fraude em call center é comum na indústria bancária. Antes de tentar acessar uma conta bancária, um fraudador entrará em contato com a vítima e pedirá que ela verifique seu PIN, perguntas de segurança e testes de autenticação multifatorial. A vítima então fornece involuntariamente ao fraudador todas as informações que eles precisam para acessar sua conta.

5. Onde sua empresa está em risco?

Fraudadores visam empresas que dependem de sistemas de segurança fracos e medidas de prevenção de fraudes inadequadas. Para prevenir a fraude de tomada de conta, as empresas devem implementar medidas de segurança.

Essas medidas de segurança devem incluir tanto processos internos de segurança quanto processos de segurança voltados para o cliente. Ao seguir as melhores práticas de cibersegurança e proteção de dados, uma empresa pode garantir que não será a causa de uma violação de dados. Esses processos e melhores práticas devem incluir coisas como notificações automáticas quando algo muda na conta de um cliente, verificação multifatorial e ferramentas de detecção.

As empresas devem investir em sistemas que os ajudem a verificar com precisão a identidade dos usuários antes que sejam autorizados a acessar suas contas. Ao reduzir a dependência de senhas estáticas e priorizando identificadores biométricos, uma empresa pode impedir que fraudadores acessem uma conta antes que possam fazer quaisquer alterações.

Da mesma forma, as empresas devem ter sistemas para ajudar a detectar atividades suspeitas caso um fraudador consiga assumir uma conta. Esses sinais suspeitos podem incluir um alto número de tentativas de autenticação em diferentes contas a partir do mesmo endereço IP, solicitações em massa de redefinição de senha e múltiplas alterações em uma conta ao mesmo tempo.

Além disso, as empresas devem garantir que seus clientes mantenham seus dados privados e seguros. Elas devem incentivar seus usuários a:

• Eduque-se sobre como vencer e detectar fraudes de identidade
• Aprender mais sobre as técnicas usadas pelos fraudadores
• Criar senhas únicas para cada uma de suas contas
• Nunca clique em links suspeitos
• Implantar autenticação multifatorial em suas contas
• Nunca forneça seus dados e senhas a outras pessoas

6. Como se recuperar de um ataque de tomada de conta

Para se recuperar de uma tomada de conta, sua organização deve seguir quatro etapas principais.

• Primeiro, proteja todas as contas de clientes afetadas, impedindo que os fraudadores causem mais danos
• Em segundo lugar, as contas devem ser recuperadas e devolvidas aos clientes afetados. Esta etapa exige comunicação direta com os clientes para explicar o que aconteceu; eles devem ser convidados a alterar sua senha e confirmar todas as credenciais associadas.
• Terceiro, conduza uma análise minuciosa que descreva como as tomadas de conta aconteceram e como sua organização respondeu.
• E finalmente, analise como você pode impedir que tal ataque aconteça novamente, aumentando as medidas de segurança e fortalecendo suas capacidades de detecção de fraudes.

A autenticação biométrica facial pode ajudar sua organização a prevenir ATO. Usar as características faciais únicas de um indivíduo para acessar sua conta torna-a mais segura e oferece uma melhor experiência ao usuário.

7. Como a Veriff ajuda?

Na Veriff, estamos orgulhosos de oferecer uma variedade de soluções líderes de classe que podem ajudar você a proteger contas de usuário e impedir agentes malignos. Nossa solução de verificação de identidade e solução AML e KYC podem ajudar você a verificar novos usuários na integração, enquanto nossa solução de autenticação biométrica pode ser usada para autenticar usuários que retornam e prevenir fraudes de tomada de conta

Essa solução é muito mais confiável do que senhas e códigos de uso único e é perfeita para proteger contas de usuários. Ela também permite que você impeça que os fraudadores acessem uma conta antes que possam alterar os detalhes de um cliente ou tentar fazer uma compra.

Não apenas nossa autenticação biométrica é segura, mas também acelera o processo de autenticação do usuário. Utilizando biometria facial (por meio do uso de uma selfie) para corresponder ao usuário que retorna, compara a imagem com nossos dados de sessão existentes e identifica rapidamente o usuário. Como resultado, elimina a fricção e facilita uma experiência do usuário mais suave.

Conduzido por uma automação poderosa, nosso software pode autenticar a identidade de qualquer usuário em apenas um segundo.

8. Fale com os especialistas em prevenção de fraudes da Veriff

Sua empresa deve implementar os processos de detecção corretos para prevenir fraudes. Esses processos e sistemas podem impedir que os fraudadores acessem a conta de um usuário e podem ser usados para resistir a todos os principais tipos de fraudes de tomada de conta.

Se você quiser descobrir mais sobre como nossas soluções líderes de classe podem ajudar um negócio de serviços financeiros como o seu, fale com nossos especialistas em prevenção de fraudes hoje. Adoraríamos fornecer uma demonstração personalizada mostrando exatamente como nossas soluções podem ajudar a manter seu negócio e clientes seguros. Oferecemos uma variedade de planos para ajudar você a construir suas defesas e olhar para o futuro