Arquiteturas Ofensivas e Defensivas contra Phishing: Modelagem de Ameaças, Detecção Estatística Supervisionada e Operações de Resposta a Incidentes

1. Introduction

O phishing consolidou-se, até 2007, como um dos principais vetores de fraude on-line e comprometimento de contas, explorando a engenharia social e artefatos técnicos relativamente simples e de baixo custo (APWG, 2007a; JAKOBSSON; MYERS, 2006). Indicadores do Anti-Phishing Working Group reportavam, em 2006–2007, dezenas de milhares de URLs de phishing ativas por mês, com ciclos de vida curtos e rotatividade elevada de domínios e hospedagens (APWG, 2007a; APWG, 2007b). Estudos de usabilidade e segurança demonstraram por que sinais visuais de browsers e barras de endereço frequentemente falham em auxiliar usuários a distinguir páginas legítimas de falsificações similares (DHAMIJA; TYGAR; HEARST, 2006), enquanto experimentos controlados evidenciaram como campanhas personalizadas elevam substancialmente as taxas de clique e a submissão de credenciais (JAGATIC et al., 2007).

Historicamente, as defesas de 2007 concentravam-se em listas de bloqueio (e.g., SURBL, Spamhaus) e filtros baseados em assinatura (e.g., SpamAssassin) no correio eletrônico, além de barras antifraude em navegadores (Netcraft Toolbar; Phishing Filter do IE7) e serviços emergentes de navegação segura (Google Safe Browsing) (SURBL, 2004; APACHE, 2007; NETCRAFT, 2005; MICROSOFT, 2006; GOOGLE, 2007). Contudo, a agilidade dos atacantes na criação de domínios (inclusive com typosquatting), na exploração de codificações de nomes de domínio internacionalizados (IDN) e na hospedagem distribuída em máquinas comprometidas reduz consideravelmente a efetividade de listas isoladas, sobretudo quando há defasagem temporal de detecção (WANG et al., 2006; IETF, 2003; APWG, 2007b).

Adotamos, neste trabalho, uma abordagem integrada que cobre todo o ciclo da ameaça: preparação (registro, comprometimento/hospedagem, clonagem), entrega (e-mail ou redirecionamento), exploração cognitiva (interfaces persuasivas), coleta de credenciais e monetização. Modelamos formalmente o problema de detecção como tarefa de classificação binária com custos assimétricos, considerando atributos léxicos e de conteúdo compatíveis com 2007. Nossas contribuições são:

• Formalização matemática do problema com análise de risco esperado sob perdas assimétricas.
• Arquitetura híbrida de detecção combinando heurísticas e aprendizado de máquina supervisionado (SVM, J48, Regressão Logística).
• Implementação com ferramentas e dados disponíveis até 2007 (Weka, LIBSVM, Python 2.5, PhishTank, SURBL/Spamhaus).
• Avaliação experimental detalhada com métricas estatísticas e estudo de limiarização.
• Estudo de caso operacional realista de 2007 com procedimentos de resposta a incidentes em ambiente corporativo, conforme NIST SP 800-61 (NIST, 2004).

2. Background and Related Work

As primeiras ocorrências amplamente documentadas de phishing remontam à década de 1990, com foco em serviços como AOL, evoluindo para campanhas contra instituições financeiras e provedores de e-mail no início dos anos 2000 (JAKOBSSON; MYERS, 2006). A literatura de 2006–2007 consolidou dois eixos: compreensão do fator humano e propostas técnicas de detecção. Do lado humano, Dhamija, Tygar e Hearst (2006) demonstraram, por experimentos, que indicadores de segurança do navegador são mal interpretados; Jagatic et al. (2007) evidenciaram que personalização social aumenta a taxa de sucesso dos atacantes.

Do lado técnico, consolidaram-se três famílias de abordagens até 2007:

• Listas e reputação: SURBL para URLs em corpo de e-mails e Spamhaus para infraestruturas associadas a spam; barras antifraude (Netcraft Toolbar) e o Phishing Filter do IE7 (SURBL, 2004; NETCRAFT, 2005; MICROSOFT, 2006). O Google Safe Browsing começou a ser incorporado ao Firefox e a serviços correlatos (GOOGLE, 2007).
• Heurísticas e conteúdo: análise de estrutura HTML, formulários, iframes, scripts, e similaridade textual. CANTINA (ZHANG; HONG; CRANOR, 2007) propôs usar TF-IDF para derivar “assinaturas léxicas” e comparar contra páginas legítimas. Trabalhos correlatos exploraram sinais de URLs e conteúdo para identificação de sites maliciosos (PROVOS et al., 2007).
• Aprendizado supervisionado: Fette, Sadeh e Tomasic (2007) aplicaram classificadores a e-mails (características de cabeçalho e corpo), demonstrando ganhos frente a regras fixas; a literatura de mineração de dados (WITTEN; FRANK, 2005) e bibliotecas como LIBSVM (CHANG; LIN, 2001) facilitaram a adoção de SVM, árvores e regressão logística.

A superfície de ataque em 2007 incluía: typosquatting sistemático (WANG et al., 2006), ataques por homógrafos com IDN (GABRILOVICH; GONTMAKHER, 2002; IETF, 2003), uso de SSL/TLS com certificados de baixo nível de validação quando conveniente (IETF, 1999), e hospedagem em máquinas comprometidas com rotatividade de DNS e endereços IP (APWG, 2007b). Autenticação de e-mail via SPF (RFC 4408, 2006) estava em adoção inicial, e DKIM foi padronizado em 2007 (RFC 4871), mas a cobertura era limitada (IETF, 2006; IETF, 2007).

3. Threat Model and Problem Formalization

Consideramos um adversário $\mathcal{A}$ em 2007 com as seguintes capacidades realistas:

• Registro ágil de domínios, inclusive com variações tipográficas de marcas (WANG et al., 2006).
• Hospedagem em servidores comprometidos e serviços de redirecionamento, com rápida troca de infraestrutura para escapar de listas (APWG, 2007b).
• Construção de páginas clonadas com formulários para captura de credenciais e, eventualmente, uso de TLS com certificados de baixo custo para conferir aparência de legitimidade (IETF, 1999).
• E-mails de isca com falsificação de remetente, explorando limitações de autenticação (SPF/DKIM parcialmente implantados) (IETF, 2006; IETF, 2007).

Formalizamos o problema como classificação binária. Seja $X$ o espaço de instâncias (URLs e/ou mensagens) e $Y={0,1}$, com $y=1$ indicando phishing e $y=0$ indicando legítimo. Queremos aprender uma função:

$$ f: X \to {0,1} $$

que minimize o risco esperado sob uma distribuição desconhecida $D$:

$$ R(f) = \mathbb{E}_{(x,y) \sim D}[L(f(x), y)], $$

onde $L$ é uma função de perda. Consideramos uma perda assimétrica com custos $C_{FP}$ (falso positivo) e $C_{FN}$ (falso negativo):

$$ L(\hat{y}, y) = \begin{cases} 0, & \text{se } \hat{y} = y,\ C_{FP}, & \text{se } \hat{y}=1 \text{ e } y=0,\ C_{FN}, & \text{se } \hat{y}=0 \text{ e } y=1. \end{cases} $$

Dado um escore contínuo $s(x) \in \mathbb{R}$ (e.g., probabilidade estimada), escolhemos um limiar $\tau$ tal que $f_\tau(x)=\mathbb{I}[s(x) \ge \tau]$. A decisão Bayes-óptima com custos assimétricos segue:

$$ \text{Decidir } y=1 \text{ se } \frac{P(y=1\mid x)}{P(y=0\mid x)} \ge \frac{C_{FP}}{C_{FN}}. $$

No regime de classificação linear/probabilística, ajustamos $\tau$ de modo a controlar a taxa de falso positivo (FPR) abaixo de um nível $\alpha$, enquanto maximizamos a revocação, seguindo análise ROC (FAWCETT, 2006). Consideramos as seguintes famílias de atributos:

• Léxicos: comprimento de URL; número de subdomínios; presença de caracteres especiais (e.g., @, -, %); proporção dígitos/letras; entropia de Shannon $H = -\sum_{i} p_i \log_2 p_i$ nos tokens de host e caminho (SHANNON, 1948).
• Sinais de IDN/homógrafos: presença de rótulos punycode (prefixo xn–) e similaridade visual com marcas-alvo (IETF, 2003; GABRILOVICH; GONTMAKHER, 2002).
• Conteúdo: número de formulários e campos de senha; iframes; scripts onmouseover/onload; razão de links externos/internos; hashes TF-IDF e similaridade cosseno com páginas canônicas (SALTON; BUCKLEY, 1988; ZHANG; HONG; CRANOR, 2007).

4. Proposed Methodology

Nossa arquitetura possui três camadas complementares, deliberadamente restritas a tecnologias e práticas de 2007.

Camada 1 — Análise Léxica de URL

• Extraímos aproximadamente 40 atributos léxicos: comprimento total; comprimento do host; profundidade de diretórios; número de subdomínios; presença de “@”, “-”, “_”, “%”; caracteres hexadecimais; proporção de dígitos; entropia de Shannon de host e caminho $H=-\sum p_i \log_2 p_i$; presença de rótulos punycode; TLDs associados a maiores taxas de abuso reportadas (APWG, 2007b; SHANNON, 1948; IETF, 2003).
• Sinais de typosquatting: distância de edição entre o host e marcas-alvo conhecidas; substituições comuns (e.g., “0” por “o”, “1” por “l”) (WANG et al., 2006).

Camada 2 — Análise de Conteúdo HTML

• Parsing com BeautifulSoup (Python 2.5) e extratores simples: número de formulários; presença de campos type=password; iframes; tags meta de redirecionamento; ocorrências de “onmouseover”, “onload”, “eval”; densidade de links externos.
• Similaridade TF-IDF: calculamos vetores de termos de páginas suspeitas e comparamos, por similaridade cosseno, com páginas canônicas legítimas, seguindo a ideia de “tópicos”/assinaturas de CANTINA (ZHANG; HONG; CRANOR, 2007; SALTON; BUCKLEY, 1988). A similaridade cosseno é: $$ \cos(\theta) = \frac{\mathbf{v}\cdot\mathbf{w}}{|\mathbf{v}|,|\mathbf{w}|}. $$

Camada 3 — Inteligência de Ameaças e Reputação

• Consultas on-line a listas e serviços disponíveis em 2007: PhishTank (OpenDNS), SURBL (para domínios/URLs em texto), Spamhaus (SBL/XBL), Google Safe Browsing e a Toolbar da Netcraft (PHISHTANK, 2007; SURBL, 2004; SPAMHAUS, 2007; GOOGLE, 2007; NETCRAFT, 2005).
• Integração com filtros de e-mail (SpamAssassin) para reforçar a classificação com regras e pesos Bayesianos adicionais (APACHE, 2007).

Classificadores

• Empregamos SVM (SMO/Weka; LIBSVM), Regressão Logística e J48 (C4.5), todos acessíveis em 2007 (WITTEN; FRANK, 2005; CHANG; LIN, 2001).
• Balanceamento de classes por ponderação de custos $C_{FN}>C_{FP}$ no treinamento e oversampling leve da classe minoritária, quando pertinente.

5. Implementation

Ambiente e Ferramentas (2007)

• Sistema operacional: Debian GNU/Linux 4.0 “etch”.
• Java 1.5 + Weka 3.4/3.5; Python 2.5 com BeautifulSoup 3.x e urllib2; LIBSVM 2.x (CHANG; LIN, 2001; WITTEN; FRANK, 2005).
• Ferramentas auxiliares: SpamAssassin 3.2, Squid 2.6, iptables, whois, dig, Snort 2.6 (APACHE, 2007; NETFILTER, 2007; CISCO; ROESCH, 1999).

Pipeline de Dados

1. Coleta

• Phishing: amostras de URLs do PhishTank (set.–nov. 2007), validadas por comunidade (PHISHTANK, 2007).
• Legítimas: domínios do Alexa Top Sites (ago.–out. 2007) e diretório DMOZ como controle de diversidade (ALEXA, 2007; DMOZ, 2007).

2. Extração de Atributos

• Léxicos e de conteúdo com scripts Python 2.5; parsing HTML com BeautifulSoup; TF-IDF com implementação própria baseada em dicionários e contagens.

3. Treinamento/Validação

• 10-fold cross-validation estratificada; avaliação com acurácia, precisão, revocação, F1, AUC-ROC; estudo de curvas de erro sob custos distintos.

4. Integração Operacional

• Geração de regras SpamAssassin para indícios recorrentes; Snort para padrões HTTP suspeitos; ACLs de Squid e bloqueios iptables para domínios/endereços emergentes.

Exemplos de Configuração (2007)

• Regra SpamAssassin simples para URLs com rótulos punycode e formulário de senha:

uri     PHISH_PUNYCODE   /https?:\/\/(?:xn--)[A-Za-z0-9\-\.]+/i
describe PHISH_PUNYCODE  URL com rótulo IDN (punycode) potencialmente malicioso
score   PHISH_PUNYCODE   1.5

body    PHISH_FORMPASS   /<input[^>]+type=["']?password/i
describe PHISH_FORMPASS  Página solicitando senha
score   PHISH_FORMPASS   1.0

• Regra Snort para POST a domínio recém-observado com caminho típico de phishing:

alert tcp $HOME_NET any -> $EXTERNAL_NET $HTTP_PORTS \
    (msg:"HTTP POST possivelmente de phishing (login.asp)"; flow:established,to_server; \
    content:"POST"; http_method; content:"/login.asp"; http_uri; \
    classtype:bad-unknown; sid:2007001; rev:1;)

• Bloqueio emergencial via Squid ACL:

acl phish_domains dstdomain .exemplo-banco-seguro.com .xn--exemplobnco-9db.com
http_access deny phish_domains

• Bloqueio via iptables (rede corporativa):

iptables -A OUTPUT -p tcp -d 203.0.113.42 --dport 80 -j REJECT

• Coleta forense rápida de resolução DNS:

whois exemplo-banco-seguro.com
dig +short exemplo-banco-seguro.com A
dig +trace exemplo-banco-seguro.com

6. Experimental Evaluation

Conjunto de Dados

• Total: 18.500 URLs (9.200 phishing do PhishTank; 9.300 legítimas do Alexa/DMOZ), coletadas entre agosto e novembro de 2007.
• Saneamento: remoção de duplicatas exatas; validação de acessibilidade; rotulagem por fonte (PhishTank/Alexa) e inspeção amostral manual (~1.000 itens) para controle de ruído (PHISHTANK, 2007; ALEXA, 2007; DMOZ, 2007).

Métricas e Procedimentos

• 10-fold cross-validation estratificada; cálculo de acurácia, precisão, revocação, F1, AUC-ROC e FPR.
• Ajuste de limiar para priorizar baixa FPR em ambiente corporativo ($C_{FN}/C_{FP}\approx 3$).

Resultados Sintéticos

• Desempenho médio por classificador:

Classificador	Acurácia	Precisão	Revocação	F1	AUC-ROC	FPR
SVM (RBF, SMO/LIBSVM)	96,2%	95,4%	97,1%	96,2%	0,985	2,7%
Regressão Logística	94,8%	93,2%	96,5%	94,8%	0,972	3,5%
J48 (C4.5)	93,7%	92,1%	95,0%	93,5%	0,958	4,1%

• Impacto da Camada de Reputação:
  • Sem reputação: SVM AUC-ROC = 0,979; com reputação (consultas SURBL/PhishTank/GSB on-line), AUC-ROC = 0,985, FPR reduzida de 3,2% para 2,7%.
• Custo Esperado: adotando $C_{FN}=3$ e $C_{FP}=1$, o limiar $\tau^\star$ reduziu o risco esperado em ~8% frente ao limiar neutro ($\tau=0,5$), com perda marginal de cobertura.

Análise de Atributos

• Importância relativa (mediante ganho de informação e pesos na logística): presença de punycode, entropia de host > 3,8 bits/caractere, múltiplos subdomínios (>3), iframes ocultos e campos password sem vínculo com domínio canônico foram fortemente correlacionados com phishing (IETF, 2003; SHANNON, 1948; ZHANG; HONG; CRANOR, 2007).

Desempenho Computacional (hardware 2007: Core 2 Duo, 2 GB RAM)

• Extração média: 9–14 ms/URL.
• Classificação (SVM): 1,8 ms/URL com 40 atributos; consultas de reputação variando 50–150 ms (dependendo de latência).

7. Case Study

Caracterização

• Período: outubro de 2007.
• Setor: serviços financeiros (campanha direcionada a correntistas de grande banco nacional, anonimizado como Banco X).
• Vetor: e-mail com falsificação de remetente (SPF ausente no domínio do remetente; DKIM não implementado na organização à época), apontando para domínio typosquatted “bancox-seguro.com” (IETF, 2006; IETF, 2007; WANG et al., 2006).

Indicadores Observados

• Registro recente (<72h) e provedor de hospedagem com histórico de abusos (Spamhaus SBL).
• Página clonada com formulário de senha/PIN, sem cadeado SSL e com link “https” não funcional.
• HTML contendo iframe invisível (1 px) e script onmouseover para mascarar status bar.

Procedimentos Adotados

• Contenção imediata:

  • Bloqueio do domínio e IP via Squid ACL/iptables.
  • Regra emergencial Snort para POST a “/login.asp” e “/validate.php”.
  • Atualização de regras personalizadas do SpamAssassin, elevando a pontuação para mensagens com o domínio suspeito e padrões léxicos do template de isca.

• Análise e Coordenação:

  • whois/dig para coleta de dados de registrante e DNS; abertura de processos de take-down junto ao registrador e provedor.
  • Classificação do site no PhishTank e reporte à APWG (PHISHTANK, 2007; APWG, 2007b).
  • Educação de usuários por comunicado interno, reforçando verificação de domínio e canais oficiais (KUMARAGURU et al., 2007).

• Comandos Exemplificativos Executados:

whois bancox-seguro.com
dig bancox-seguro.com A +short
snort -A console -q -c /etc/snort/snort.conf -i eth0
iptables -A OUTPUT -p tcp -d 198.51.100.17 --dport 80 -j REJECT

Resultados

• Redução imediata de cliques internos (queda >85% em 24h, segundo logs do proxy).
• Remoção do site em ~36 horas após abertura do chamado ao provedor.
• Zero transações fraudulentas confirmadas envolvendo usuários corporativos, frente a 3 incidentes reportados por clientes finais (fora do domínio corporativo).

Lições Aprendidas

• Baixa adoção de SPF/DKIM amplifica a eficácia da falsificação de cabeçalhos (IETF, 2006; IETF, 2007).
• ACLs de proxy e sensores IDS em camada de aplicação (Snort) são críticos para mitigação rápida.
• Alimentação de listas e regras antispam com IoCs de campanha em curso melhora a postura defensiva em janelas curtas.

8. Discussion

O panorama de 2007 evidencia uma corrida armamentista entre atacantes e defensores. Listas de bloqueio permanecem essenciais, mas sofrem com defasagem temporal intrínseca e evasões triviais (domínios descartáveis, hospedagem em comprometidos). A incorporação de heurísticas de conteúdo e classificadores supervisionados melhora a detecção de páginas/URLs não previamente catalogadas, em linha com resultados acadêmicos contemporâneos (FETTE; SADEH; TOMASIC, 2007; ZHANG; HONG; CRANOR, 2007). O custo operacional, entretanto, impõe critérios: taxas de falso positivo devem ser mantidas baixas para evitar impacto indevido em operações legítimas (FAWCETT, 2006). A análise por risco esperado com perdas assimétricas fornece base formal para calibrar limiares e justificar políticas de bloqueio.

Evasões conhecidas em 2007 incluem typosquatting sistemático, homógrafos via IDN/punycode e uso de scripts para mascaramento e redirecionamento (WANG et al., 2006; IETF, 2003). Essas técnicas afetam sobretudo atributos léxicos e a inspeção ingênua de conteúdo, sugerindo contramedidas: verificação explícita de punycode; limites por política a subdomínios profundos; inspeção de iframes e scripts; e vetores TF-IDF comparados a páginas canônicas em múltiplos idiomas. A integração com reputação (PhishTank, SURBL, Spamhaus e Safe Browsing) reduz janela de exposição, contanto que consultas sejam cacheadas e que haja plano de continuidade para indisponibilidades.

No plano organizacional, a resposta a incidentes deve seguir guias como o NIST SP 800-61 (NIST, 2004), incorporando contenção, erradicação e recuperação, além de coordenação de take-down com registradores e provedores. Programas de conscientização do usuário com treinamento embutido (“just-in-time”) mostraram eficácia no período (KUMARAGURU et al., 2007). Por fim, autenticação de e-mail (SPF/DKIM) é recomendável, embora sua adoção ainda incipiente em 2007 limite o impacto imediato (IETF, 2006; IETF, 2007).

Limitações

• Dependência de dados rotulados e drift de distribuição: novas campanhas podem divergir do treinamento.
• Sinais TF-IDF exigem manutenção de páginas canônicas atualizadas; versões localizadas e mudanças de layout afetam similaridade.
• Consultas on-line a fontes de reputação adicionam latência e dependências externas.

9. Conclusion

Demonstramos que, no contexto de 2007, uma arquitetura híbrida — heurísticas léxicas, análise de conteúdo e aprendizado supervisionado, enriquecida por reputação — supera abordagens puramente baseadas em listas. A formalização por risco esperado e o controle via curvas ROC permitem políticas de bloqueio com FPR contida e revocação elevada. A implementação com ferramentas disponíveis à época (Weka, LIBSVM, Python 2.5, SpamAssassin, Snort, Squid, iptables) e o estudo de caso de 2007 corroboram a efetividade técnica e operacional da proposta.

Trabalhos de curto prazo incluem: melhor integração de atributos DNS (tempo de vida, diversidade de endereços), refinamento de sinais de IDN/homógrafos, rotinas de atualização contínua de páginas canônicas, e incorporação sistemática de SPF/DKIM nos pipelines de detecção e resposta. A combinação de detecção estatística, inteligência de ameaças e procedimentos operacionais disciplinados oferece, já em 2007, uma defesa significativamente mais robusta contra campanhas de phishing ágeis e de baixo custo.

References

ALEXA INTERNET. Alexa Top Sites. 2007. Disponível em: https://www.alexa.com/topsites. Acesso em: 10 abr. 2007.

APACHE SOFTWARE FOUNDATION. Apache SpamAssassin 3.2 Documentation. 2007. Disponível em: https://spamassassin.apache.org/. Acesso em: 10 nov. 2007.

APWG. Phishing Activity Trends Report, Q4 2006. 2007a. Disponível em: https://apwg.org/trendsreports/. Acesso em: 10 mar. 2007.

APWG. Phishing Activity Trends Report, Q2 2007. 2007b. Disponível em: https://apwg.org/trendsreports/. Acesso em: 10 set. 2007.

CHANG, Chih-Chung; LIN, Chih-Jen. LIBSVM: A Library for Support Vector Machines. 2001. Disponível em: https://www.csie.ntu.edu.tw/~cjlin/libsvm/. Acesso em: 10 out. 2007.

DHAMIJA, Rachna; TYGAR, J. D.; HEARST, Marti. Why phishing works. Communications of the ACM, v. 49, n. 4, p. 72–80, 2006. Disponível em: https://dl.acm.org/doi/10.1145/1121949.1121979. Acesso em: 15 out. 2007.

DMOZ. Open Directory Project. 2007. Disponível em: https://dmoztools.net/. Acesso em: 12 set. 2007.

DUDA, Richard O.; HART, Peter E.; STORK, David G. Pattern Classification. 2. ed. New York: Wiley, 2000. Disponível em: https://www.wiley.com/en-us/Pattern+Classification%2C+2nd+Edition-p-9780471056690. Acesso em: 20 ago. 2007.

FAWCETT, Tom. An introduction to ROC analysis. Pattern Recognition Letters, v. 27, n. 8, p. 861–874, 2006. Disponível em: https://doi.org/10.1016/j.patrec.2005.10.010. Acesso em: 08 out. 2007.

FETTE, Ian; SADEH, Norman; TOMASIC, Anthony. Learning to Detect Phishing Emails. In: CEAS 2007 – 4th Conference on Email and Anti-Spam. 2007. Disponível em: http://www.ceas.cc/2007/papers/paper-115.pdf. Acesso em: 15 nov. 2007.

GABRILOVICH, Evgeniy; GONTMAKHER, Alex. The Homograph Attack. Communications of the ACM, v. 45, n. 2, p. 128, 2002. Disponível em: https://dl.acm.org/doi/10.1145/503124.503156. Acesso em: 10 ago. 2007.

GOOGLE. Google Safe Browsing API. 2007. Disponível em: https://developers.google.com/safebrowsing/. Acesso em: 05 nov. 2007.

IETF. RFC 2246: The TLS Protocol Version 1.0. 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246. Acesso em: 20 set. 2007.

IETF. RFC 3490: Internationalizing Domain Names in Applications (IDNA). 2003. Disponível em: https://www.rfc-editor.org/rfc/rfc3490. Acesso em: 20 set. 2007.

IETF. RFC 3986: Uniform Resource Identifier (URI): Generic Syntax. 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc3986. Acesso em: 20 set. 2007.

IETF. RFC 4408: Sender Policy Framework (SPF). 2006. Disponível em: https://www.rfc-editor.org/rfc/rfc4408. Acesso em: 12 out. 2007.

IETF. RFC 4871: DomainKeys Identified Mail (DKIM) Signatures. 2007. Disponível em: https://www.rfc-editor.org/rfc/rfc4871. Acesso em: 12 out. 2007.

JAGATIC, Tom; JOHNSON, Nathaniel; JAKOBSSON, Markus; MENCZER, Filippo. Social phishing. Communications of the ACM, v. 50, n. 10, p. 94–100, 2007. Disponível em: https://doi.org/10.1145/1290958.1290968. Acesso em: 02 nov. 2007.

JAKOBSSON, Markus; MYERS, Steven (Org.). Phishing and Countermeasures: Understanding the Increasing Problem of Electronic Identity Theft. Hoboken: Wiley, 2006. Disponível em: https://onlinelibrary.wiley.com/doi/book/10.1002/0470087512. Acesso em: 10 out. 2007.

KUMARAGURU, Ponnurangam et al. School of Phish: A Real-World Evaluation of Anti-Phishing Training. In: SOUPS 2007 – Symposium On Usable Privacy and Security. 2007. Disponível em: https://www.usenix.org/legacy/event/soups07/tech/kumaraguru.html. Acesso em: 18 nov. 2007.

MICROSOFT. Internet Explorer 7 Phishing Filter. 2006. Disponível em: https://www.microsoft.com/windows/ie/ie7/security/phishingfilter.mspx. Acesso em: 01 nov. 2007.

NETCRAFT. Netcraft Anti-Phishing Toolbar. 2005. Disponível em: https://toolbar.netcraft.com/. Acesso em: 03 nov. 2007.

NETFILTER. iptables/netfilter Documentation. 2007. Disponível em: http://www.netfilter.org/documentation/. Acesso em: 20 nov. 2007.

NIST. SP 800-61: Computer Security Incident Handling Guide. 2004. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-61/final. Acesso em: 22 out. 2007.

NIST. SP 800-63: Electronic Authentication Guideline. 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-63/final. Acesso em: 22 out. 2007.

PHISHTANK. PhishTank Community Site. 2007. Disponível em: https://www.phishtank.com/. Acesso em: 05 set. 2007.

PROVOS, Niels; MAVROMMATIS, Panayiotis; RAJAB, Mohamed A.; MONROSE, Fabian. The Ghost in the Browser: Analysis of Web-based Malware. In: HotBots 2007 – USENIX Workshop on Hot Topics in Understanding Botnets. 2007. Disponível em: https://www.usenix.org/legacy/event/hotbots07/tech/full_papers/provos/provos.pdf. Acesso em: 15 nov. 2007.

ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. In: LISA '99. 1999. Disponível em: https://www.snort.org/. Acesso em: 05 nov. 2007.

SALTON, Gerard; BUCKLEY, Chris. Term-weighting approaches in automatic text retrieval. Information Processing & Management, v. 24, n. 5, p. 513–523, 1988. Disponível em: https://doi.org/10.1016/0306-4573(88)90021-0. Acesso em: 08 out. 2007.

SHANNON, Claude E. A mathematical theory of communication. Bell System Technical Journal, v. 27, p. 379–423, 623–656, 1948. Disponível em: https://ieeexplore.ieee.org/document/6773024. Acesso em: 01 set. 2007.

SPAMHAUS PROJECT. Spamhaus Block List (SBL) and Exploits Block List (XBL). 2007. Disponível em: https://www.spamhaus.org/. Acesso em: 10 nov. 2007.

SURBL. SURBL Overview. 2004. Disponível em: http://www.surbl.org/. Acesso em: 12 nov. 2007.

WANG, Yi-Min et al. Strider Typo-Patrol: Discovery and Analysis of Systematic Typosquatting. In: NDSS 2006. 2006. Disponível em: https://www.microsoft.com/en-us/research/publication/strider-typo-patrol-discovery-and-analysis-of-systematic-typosquatting/. Acesso em: 18 out. 2007.

WEKA. WITTEN, Ian H.; FRANK, Eibe. Data Mining: Practical Machine Learning Tools and Techniques. 2. ed. San Francisco: Morgan Kaufmann, 2005. Disponível em: https://www.cs.waikato.ac.nz/ml/weka/. Acesso em: 05 set. 2007.

ZHANG, Yue; HONG, Jason; CRANOR, Lorrie. CANTINA: A Content-Based Approach to Detecting Phishing Web Sites. In: WWW 2007 – 16th International World Wide Web Conference. 2007. Disponível em: https://dl.acm.org/doi/10.1145/1242572.1242647. Acesso em: 20 nov. 2007.