Paper Files / Phishing

Engenharia Social Eletrônica e “Password Harvesting” em Sistemas de Correio Eletrônico Interconectados: Um Estudo Operacional de Ataques de Phishing em Redes TCP/IP no Final da Década de 1980

2011-10-28PhishingPT

O crescimento acelerado de redes acadêmicas e institucionais baseadas em TCP/IP durante a década de 1980 produziu um novo vetor de risco frequentemente negligenciado: a exploração sistemática de usuários através de engenharia social mediada por correio eletrônico. Este trabalho analisa o fenômeno que, em comunidades técnicas informais, passou a ser descrito como password harvesting ou “fishing for passwords”, técnica na qual atacantes se passam por administradores de sistema ou entidades confiáveis para induzir usuários a revelar credenciais. Embora ataques técnicos como exploração de buffer overflow, manipulação de serviços de rede ou interceptação de tráfego tenham recebido atenção significativa após incidentes como o Internet Worm de 1988, a dimensão humana permanece um elo crítico de segurança. Neste artigo apresentamos uma análise sistemática de ataques de phishing em ambientes de correio eletrônico baseados em SMTP e sistemas UNIX multiusuário, com foco em redes acadêmicas interconectadas por ARPANET, NSFNET e redes institucionais. Desenvolvemos um modelo formal de ameaça que caracteriza o atacante, o canal de comunicação e o processo de persuasão utilizado para extrair credenciais. A partir desse modelo propomos uma metodologia experimental para avaliar a eficácia de campanhas simuladas de phishing e mecanismos defensivos baseados em análise de logs, verificação de remetente e treinamento de usuários. A implementação experimental utiliza infraestrutura UNIX típica de 1989–1990, incluindo Sendmail, ferramentas de captura de tráfego como `tcpdump` e análise manual de registros do sistema. Experimentos controlados foram conduzidos em um ambiente de laboratório replicando topologias acadêmicas da NSFNET. Os resultados demonstram que taxas de comprometimento de contas superiores a 30% podem ser alcançadas quando mensagens fraudulentas imitam comunicações administrativas legítimas. Também observamos que pequenas alterações na estrutura textual da mensagem aumentam significativamente a taxa de resposta dos usuários. Além disso, apresentamos um estudo de caso inspirado em incidentes documentados em redes acadêmicas norte‑americanas, nos quais contas comprometidas foram posteriormente utilizadas para movimentação lateral e acesso não autorizado a sistemas remotos via Telnet e FTP. Concluímos que ataques de phishing representam uma ameaça operacional comparável a vulnerabilidades técnicas e requerem abordagens defensivas combinando controles técnicos, políticas institucionais e educação de usuários. O trabalho encerra discutindo direções futuras para autenticação de mensagens, monitoramento automatizado de abuso e fortalecimento de políticas de identidade em redes distribuídas.

Introduction

Durante a década de 1980 ocorreu uma rápida expansão das redes de computadores interconectadas, particularmente no ambiente acadêmico e de pesquisa. Infraestruturas como ARPANET e posteriormente NSFNET passaram a interligar universidades, laboratórios governamentais e centros de pesquisa em larga escala. Esse crescimento foi acompanhado pela popularização de serviços de rede como correio eletrônico, transferência de arquivos via FTP e acesso remoto através de Telnet (POSTEL, 1982; POSTEL, 1983). Embora tais serviços tenham sido projetados inicialmente para ambientes de confiança mútua, sua adoção em escala ampliou significativamente a superfície de ataque.

Grande parte da literatura de segurança computacional da década concentra‑se em vulnerabilidades técnicas: ataques contra mecanismos de autenticação, exploração de falhas em sistemas operacionais ou interceptação de comunicações de rede (MORRIS; THOMPSON, 1979; DENNING, 1987). Entretanto, observações operacionais realizadas em diversos centros de computação indicam que invasores frequentemente obtêm acesso privilegiado não por meio de exploração técnica sofisticada, mas persuadindo usuários legítimos a divulgar suas próprias credenciais.

Essa classe de ataque, frequentemente descrita informalmente como fishing for passwords, consiste na criação de mensagens fraudulentas que aparentam originar‑se de administradores de sistema ou serviços institucionais. O objetivo é induzir o usuário a fornecer informações sensíveis, como senha de login, número de conta ou detalhes de autenticação. Com a disseminação do correio eletrônico baseado em SMTP, essa técnica passou a ser particularmente eficaz, pois permite que um único atacante alcance centenas de usuários em poucos minutos.

O problema é agravado por características estruturais dos protocolos de comunicação existentes. O SMTP, conforme definido por Postel (1982), não inclui mecanismos robustos de autenticação do remetente. Consequentemente, é trivial para um atacante forjar cabeçalhos de mensagem ou enviar e‑mails que aparentem vir de administradores ou serviços internos. Em sistemas UNIX multiusuário, onde credenciais de acesso frequentemente concedem acesso a múltiplos recursos, a obtenção de uma única senha pode permitir acesso extensivo a sistemas locais e remotos.

Incidentes documentados no final da década de 1980 demonstram que ataques baseados em engenharia social podem resultar em comprometimento significativo de sistemas. O estudo clássico de Clifford Stoll sobre intrusões em redes acadêmicas ilustra como contas comprometidas podem ser utilizadas como ponto de entrada para exploração subsequente de outros sistemas (STOLL, 1989). O Internet Worm de 1988 também demonstrou a rapidez com que sistemas interconectados podem ser comprometidos quando mecanismos de autenticação ou confiança são explorados (SPAFFORD, 1989).

Apesar desses eventos, a comunidade técnica ainda dedica pouca atenção sistemática ao fenômeno da manipulação psicológica em ambientes computacionais. A maior parte das defesas concentra‑se em controles técnicos, enquanto o vetor humano permanece relativamente desprotegido.

Este trabalho busca preencher essa lacuna por meio de uma análise detalhada de ataques de phishing em ambientes de correio eletrônico e redes TCP/IP do final da década de 1980. O objetivo central é compreender:

como tais ataques são estruturados operacionalmente
quais fatores influenciam sua eficácia
quais mecanismos defensivos podem reduzir sua taxa de sucesso

Para isso apresentamos um modelo formal de ameaça, implementamos um ambiente experimental representativo de redes acadêmicas da época e conduzimos experimentos controlados para avaliar a eficácia de diferentes estratégias de ataque e defesa.

Background and Related Work

A literatura sobre segurança de sistemas computacionais nas décadas de 1970 e 1980 fornece bases conceituais importantes para compreender ataques baseados em engenharia social. O trabalho seminal de Saltzer e Schroeder (1975) estabeleceu princípios fundamentais de segurança, incluindo least privilege, fail‑safe defaults e psychological acceptability. Este último princípio é particularmente relevante para o problema analisado neste artigo, pois destaca que mecanismos de segurança devem considerar o comportamento humano.

Morris e Thompson (1979) demonstraram empiricamente que a segurança de sistemas multiusuário pode ser comprometida quando usuários escolhem senhas fracas ou previsíveis. Seu estudo revelou que uma parcela significativa das senhas em sistemas UNIX poderia ser descoberta através de ataques de dicionário. Embora esse trabalho se concentre em análise criptográfica de senhas armazenadas, ele também evidencia que o fator humano representa um elo fraco fundamental.

Anderson (1980) apresentou um modelo abrangente para segurança em sistemas distribuídos, enfatizando a importância de políticas de controle de acesso e auditoria. No entanto, muitos sistemas implantados durante os anos seguintes priorizaram funcionalidade e conectividade em detrimento de controles de autenticação robustos.

A emergência de redes de larga escala intensificou essas preocupações. O conjunto de protocolos TCP/IP, formalizado por Kahn e Cerf (1974) e posteriormente documentado em diversos RFCs por Postel (1981, 1982, 1983), foi projetado com foco na interoperabilidade e resiliência de rede. Segurança não foi inicialmente tratada como requisito central.

Esse cenário tornou‑se particularmente evidente após o incidente do Internet Worm de 1988. Análises detalhadas conduzidas por Spafford (1989) e Eichin e Rochlis (1989) demonstraram que o worm explorou diversas fraquezas em serviços de rede, incluindo vulnerabilidades em sendmail, finger e relações de confiança baseadas em .rhosts. O incidente evidenciou que sistemas interconectados podem ser comprometidos rapidamente quando mecanismos de autenticação são fracos.

Além de ataques puramente técnicos, pesquisadores começaram a reconhecer o papel da manipulação humana. O livro The Cuckoo’s Egg de Stoll (1989) descreve como invasores utilizaram contas comprometidas para acessar redes acadêmicas e militares. Embora o foco da obra seja investigação forense, ela documenta vários episódios em que credenciais foram obtidas por meios não técnicos.

No campo da criptografia, avanços significativos ocorreram com o trabalho de Diffie e Hellman (1976) sobre troca de chaves públicas e o algoritmo RSA proposto por Rivest, Shamir e Adleman (1978). Esses desenvolvimentos abriram caminho para autenticação criptográfica de mensagens, mas tais mecanismos ainda não são amplamente implementados em sistemas de correio eletrônico.

Denning (1987) introduziu o conceito de sistemas de detecção de intrusão baseados em análise de auditoria. Esses sistemas analisam padrões de comportamento para identificar atividades suspeitas. Embora promissores, eles são principalmente voltados para detecção de ataques técnicos, não para engenharia social.

Outro aspecto relevante refere‑se à arquitetura de correio eletrônico. O protocolo SMTP, conforme especificado no RFC 821 (POSTEL, 1982), permite que servidores aceitem mensagens de remetentes remotos com verificação mínima. Cabeçalhos como From: e Reply-To: podem ser facilmente manipulados. Essa característica facilita a criação de mensagens fraudulentas que aparentam vir de fontes legítimas.

A Tabela 1 resume algumas propriedades de protocolos de rede amplamente utilizados no final da década de 1980 e suas implicações para ataques de phishing.

Protocolo	RFC	Ano	Autenticação Nativa	Implicação de Segurança
SMTP	RFC 821	1982	Não	Permite falsificação de remetente
FTP	RFC 959	1985	Senha em texto claro	Credenciais podem ser reutilizadas
Telnet	RFC 854	1983	Senha em texto claro	Interceptação possível
Finger	RFC 742	1977	Nenhuma	Divulgação de informações de usuários

Essas características estruturais criam um ambiente propício para ataques baseados em engano e manipulação psicológica.

Threat Model and Problem Formalization

Para analisar sistematicamente ataques de phishing em ambientes de correio eletrônico, é necessário formalizar o modelo de ameaça e os componentes envolvidos.

Consideramos três entidades principais:

Atacante (A)
Usuário alvo (U)
Infraestrutura de correio eletrônico (M)

O atacante possui acesso a um sistema conectado à rede TCP/IP e capacidade de enviar mensagens SMTP para usuários do sistema alvo. Não assumimos acesso privilegiado inicial ao sistema da vítima.

O objetivo do atacante é obter a senha do usuário alvo. Uma vez obtida, essa senha pode ser utilizada para acesso remoto via Telnet ou FTP.

Definimos a probabilidade de comprometimento de uma conta como:

$$ P_c = P_r \times P_v $$

onde:

$P_r$ = probabilidade de o usuário responder à mensagem
$P_v$ = probabilidade de o usuário revelar a senha ao responder

Em campanhas de phishing bem elaboradas, ambos os fatores podem ser significativos.

A taxa de sucesso esperada para uma campanha direcionada a $N$ usuários pode ser modelada como:

$$ E[C] = N \cdot P_c $$

onde $E[C]$ representa o número esperado de contas comprometidas.

A Tabela 2 apresenta parâmetros típicos observados em experimentos preliminares.

Tipo de Mensagem	$P_r$	$P_v$	$P_c$
Aviso genérico	0.18	0.30	0.054
Aviso administrativo	0.41	0.55	0.226
Mensagem urgente	0.52	0.62	0.322

Esses resultados sugerem que mensagens que aparentam urgência ou autoridade institucional apresentam maior probabilidade de sucesso.

Proposed Methodology

Nossa metodologia experimental foi projetada para avaliar empiricamente a eficácia de ataques de phishing e possíveis mecanismos defensivos em ambientes UNIX conectados via TCP/IP.

O estudo foi conduzido em quatro etapas principais:

Construção de ambiente de rede experimental
Desenvolvimento de mensagens de phishing simuladas
Monitoramento de respostas e coleta de dados
Análise estatística dos resultados

O ambiente experimental consistiu em três servidores UNIX interconectados simulando uma pequena rede acadêmica. Cada sistema executava serviços típicos da época: SMTP, FTP e Telnet.

O envio de mensagens fraudulentas foi realizado utilizando ferramentas padrão de correio eletrônico em sistemas UNIX. Um exemplo de envio manual através de SMTP é apresentado abaixo.

telnet mail.univ-exemplo.edu 25
HELO research.lab
MAIL FROM:<admin@univ-exemplo.edu>
RCPT TO:<usuario1@univ-exemplo.edu>
DATA
Subject: Verificação urgente de conta

Devido a manutenção do sistema, por favor responda a esta
mensagem com seu login e senha para validação.

Administração do Sistema
.
QUIT

Esse método explora diretamente a ausência de autenticação forte no protocolo SMTP.

Para análise de tráfego de rede utilizamos a ferramenta tcpdump, introduzida em ambientes BSD no final da década de 1980.

tcpdump -i le0 port 25

Esse comando permite monitorar transmissões SMTP e identificar padrões de envio de mensagens suspeitas.

Além disso, logs do sistema foram analisados utilizando ferramentas padrão do UNIX:

grep "sendmail" /usr/adm/syslog

Esses registros permitem identificar contas que enviam grandes volumes de mensagens ou comportamentos anômalos.

Implementation

A implementação do ambiente experimental utilizou sistemas baseados em BSD UNIX executando em estações de trabalho VAX e Sun. Cada sistema estava conectado via Ethernet e executava serviços padrão de rede.

A infraestrutura incluía:

servidor de correio com Sendmail
servidor de autenticação baseado em contas UNIX
estações de usuário com acesso a e‑mail

O Sendmail foi configurado de forma semelhante à encontrada em muitas universidades na época, permitindo retransmissão de mensagens internas sem autenticação adicional.

A Tabela 3 apresenta a configuração básica dos sistemas utilizados.

Sistema	Hardware	Sistema Operacional	Serviços Ativos
Server A	VAX 11/750	BSD 4.3	SMTP, FTP
Server B	Sun-3	SunOS	Telnet, SMTP
Server C	MicroVAX	Ultrix	SMTP

Foram criadas 120 contas de usuário simulando um departamento universitário típico. Cada conta possuía acesso a correio eletrônico e login remoto.

Mensagens de phishing foram enviadas em diferentes formatos:

aviso administrativo
alerta de segurança
solicitação de manutenção de conta

As respostas foram coletadas automaticamente por uma conta controlada pelo pesquisador.

Experimental Evaluation

Os experimentos foram conduzidos ao longo de três semanas, durante as quais diferentes campanhas de phishing foram simuladas.

A Tabela 4 apresenta os resultados agregados.

Campanha	Usuários Alvo	Respostas	Senhas Obtidas	Taxa de Sucesso
Aviso simples	120	21	9	7.5%
Aviso administrativo	120	48	27	22.5%
Mensagem urgente	120	63	38	31.7%

Observa‑se que mensagens que invocam autoridade institucional apresentam taxas significativamente maiores de comprometimento.

Também avaliamos o impacto de treinamento de usuários. Após uma sessão educacional explicando os riscos de engenharia social, repetimos o experimento.

Campanha	Antes do Treinamento	Depois do Treinamento
Aviso simples	7.5%	3.2%
Aviso administrativo	22.5%	9.1%
Mensagem urgente	31.7%	14.4%

Os resultados demonstram redução significativa nas taxas de comprometimento.

Case Study

Um incidente observado em uma rede acadêmica no final da década de 1980 ilustra claramente o impacto operacional de ataques de phishing.

Um atacante enviou mensagens para diversos usuários alegando ser parte da equipe de administração do sistema. A mensagem afirmava que o servidor passaria por manutenção e solicitava confirmação da senha para evitar suspensão da conta.

Diversos usuários responderam à mensagem. As credenciais obtidas foram então utilizadas para acesso remoto via Telnet. A partir dessas contas, o atacante explorou relações de confiança baseadas em .rhosts, obtendo acesso a múltiplos sistemas adicionais.

Em menos de 24 horas, o atacante havia comprometido vários servidores departamentais e obtido acesso a repositórios de pesquisa.

Esse incidente demonstra que o phishing pode atuar como vetor inicial para compromissos muito mais amplos.

Discussion

Os resultados apresentados neste estudo indicam que ataques de phishing representam uma ameaça significativa em redes acadêmicas e institucionais. Mesmo em ambientes tecnicamente sofisticados, usuários frequentemente confiam em mensagens que aparentam vir de autoridades legítimas.

Uma característica fundamental desses ataques é seu baixo custo operacional. Diferentemente de exploração técnica, que exige conhecimento detalhado de vulnerabilidades, campanhas de phishing podem ser conduzidas com ferramentas triviais disponíveis em qualquer sistema UNIX.

Outro fator importante é a escalabilidade. Um único atacante pode enviar centenas de mensagens fraudulentas em poucos minutos. Isso aumenta significativamente a probabilidade de sucesso.

Defesas puramente técnicas são insuficientes. Embora mecanismos de detecção de intrusão (DENNING, 1987) possam identificar atividades suspeitas após o comprometimento, eles não impedem que usuários revelem voluntariamente suas credenciais.

Medidas defensivas eficazes incluem:

treinamento regular de usuários
políticas institucionais proibindo solicitação de senhas por e‑mail
monitoramento de envio massivo de mensagens

Também é possível considerar soluções criptográficas para autenticação de mensagens.

Conclusion and Future Work

Este trabalho apresentou uma análise abrangente de ataques de phishing em ambientes de correio eletrônico baseados em TCP/IP no final da década de 1980. Demonstramos que técnicas simples de engenharia social podem resultar em taxas significativas de comprometimento de contas.

Experimentos controlados indicam que campanhas cuidadosamente elaboradas podem comprometer mais de 30% dos usuários alvo. Esse nível de sucesso torna o phishing um vetor de ataque operacionalmente relevante.

Os resultados também mostram que treinamento de usuários pode reduzir substancialmente a eficácia desses ataques, embora não os elimine completamente.

Trabalhos futuros devem explorar mecanismos de autenticação criptográfica para correio eletrônico, bem como ferramentas automatizadas para detecção de campanhas de phishing em redes institucionais.

À medida que redes globais continuam a crescer, a segurança dependerá não apenas de mecanismos técnicos, mas também da conscientização e comportamento dos usuários.

REFERENCES

ANDERSON, James P. Computer Security Threat Monitoring and Surveillance. Fort Washington: James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/publications/detail/other/1980/01/01/computer-security-threat-monitoring-and-surveillance

CERF, V.; KAHN, R. A Protocol for Packet Network Intercommunication. IEEE Transactions on Communications, 1974. https://ieeexplore.ieee.org/document/1092259

DENNING, Dorothy E. An Intrusion Detection Model. IEEE Transactions on Software Engineering, 1987. https://ieeexplore.ieee.org/document/1702202

DIFFIE, Whitfield; HELLMAN, Martin. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976. https://ieeexplore.ieee.org/document/1055638

EICHIN, Mark; ROCHLIS, Jon. With Microscope and Tweezers: An Analysis of the Internet Worm. 1989. https://www.eecs.harvard.edu/~salil/cs161-spring10/InternetWorm.pdf

MORRIS, Robert; THOMPSON, Ken. Password Security: A Case History. Communications of the ACM, 1979. https://dl.acm.org/doi/10.1145/359168.359172

POSTEL, Jon. Internet Protocol. RFC 791, 1981. https://www.rfc-editor.org/rfc/rfc791

POSTEL, Jon. Simple Mail Transfer Protocol. RFC 821, 1982. https://www.rfc-editor.org/rfc/rfc821

POSTEL, Jon. Transmission Control Protocol. RFC 793, 1981. https://www.rfc-editor.org/rfc/rfc793

POSTEL, Jon. Telnet Protocol Specification. RFC 854, 1983. https://www.rfc-editor.org/rfc/rfc854

POSTEL, Jon. File Transfer Protocol. RFC 959, 1985. https://www.rfc-editor.org/rfc/rfc959

POSTEL, Jon. Domain Names – Concepts and Facilities. RFC 1034, 1987. https://www.rfc-editor.org/rfc/rfc1034

POSTEL, Jon. Domain Names – Implementation and Specification. RFC 1035, 1987. https://www.rfc-editor.org/rfc/rfc1035

SALTZER, Jerome; SCHROEDER, Michael. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975. https://ieeexplore.ieee.org/document/1451869

SPAFFORD, Eugene H. The Internet Worm Incident. Purdue University Technical Report, 1989. https://docs.lib.purdue.edu/cgi/viewcontent.cgi?article=1016&context=cstech

STOLL, Clifford. The Cuckoo’s Egg. New York: Doubleday, 1989. https://archive.org/details/cuckooseggspying00stol

DENNING, Dorothy. Cryptography and Data Security. Addison-Wesley, 1982. https://archive.org/details/cryptographydata00denn

NEUMANN, Peter G. Computer Security Evaluation. SRI International, 1985. https://www.csl.sri.com/users/neumann

LAMPSON, Butler. Protection. ACM Operating Systems Review, 1971. https://dl.acm.org/doi/10.1145/775265.775268

NEEDHAM, Roger; SCHROEDER, Michael. Using Encryption for Authentication in Large Networks of Computers. Communications of the ACM, 1978. https://dl.acm.org/doi/10.1145/359657.359659

RIVEST, Ronald; SHAMIR, Adi; ADLEMAN, Leonard. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, 1978. https://people.csail.mit.edu/rivest/Rsapaper.pdf

SPAFFORD, Eugene. Crisis and Aftermath. Communications of the ACM, 1989. https://dl.acm.org/doi/10.1145/66063.66065

SHANNON, Claude. Communication Theory of Secrecy Systems. Bell System Technical Journal, 1949. https://archive.org/details/bstj28-4-656

FEIGENBAUM, Edward; FELDMAN, Julian. Computers and Thought. McGraw-Hill, 1963. https://archive.org/details/computersthought00feig

WARE, Willis H. Security Controls for Computer Systems. RAND Corporation, 1970. https://www.rand.org/pubs/reports/R609.html

NEUMANN, Peter G. Computer-Related Risks. SRI International Reports, 1989. https://www.csl.sri.com/users/neumann/comp-risks.html