De acordo com o relatório Spam e phishing da Kaspersky Lab de 2018, as técnicas de spam e phishing ainda são muito utilizadas pelos hackers para atacar as empresas.
Em muitos casos, o email corporativo é o primeiro acesso para infraestruturas das organizações. Para os hackers, enganar os colaboradores com emails de phishing é uma das maneiras mais eficientes de levar a cabo uma violação de dados. Um estudo realizado pela Kaspersky Lab, em 2018, revelou uma tendência no envio de mensagens maliciosas, altamente detalhadas, criadas para imitar uma comunicação autêntica de uma empresa, entidade bancária ou uma empresa financeira. Muitas vezes, estes emails têm um logótipo autêntico, nome e título de um colaborador real, para além de anexos que, normalmente, não são usados por remetentes de spam (como ISO, IQY, PIF e PUB) para evitar as soluções de segurança.
As empresas multinacionais foram as maiores vítimas de phishing em 2018, ocupando Portugal o segundo lugar (22.63%) num ranking mundial dos países mais atacados por spam e phishing. À sua frente está o Brasil com uma percentagem de 28.28%. Do top 10 fazem parte outros como Austrália, Argélia, Ilha da Reunião, Guatemala, Chile, Espanha, Venezuela e Rússia. Dentro de uma ampla gama de diferentes setores, verificou-se que 24% dos ataques foram feitos contra portais da web. As empresas que os hackers mais colocaram nos seus emails de phishing foram a Microsoft, o Facebook e o PayPal.
Os hackers podem obter as credenciais dos utilizadores através deste tipo de phishing e vendê-las ilegalmente. Para além de contas bancárias, as credenciais para aceder a outros serviços na internet são vendidas a preços muito altos no “mercado negro” da internet. Por exemplo, os logins do Facebook quase duplicaram de valor desde 2017.
No segundo trimestre de 2018, quando as empresas estavam preocupadas em adotar o RGPD, houve um aumento no número de emails de spam e phishing conectados à legislação. Os hackers atacaram organizações financeiras através do envio de emails de phishing relacionados com o RGPD para os seus clientes, solicitando que atualizassem as credenciais de login. Quando o utilizador clicava no link era redirecionado para uma página falsa de um banco. No momento em que eles introduziam as credenciais, os hackers recebiam o controlo e conseguiram tirar proveito dessa ação.