Modelagem Operacional e Detecção de Campanhas de Phishing em Escala: Técnicas de Ataque, Telemetria e Estratégias Defensivas no Ecossistema de Segurança de 2023

1. Introduction

Phishing é uma das técnicas de ataque mais persistentes no ecossistema de segurança da informação. Apesar da evolução significativa das tecnologias defensivas nas últimas duas décadas, campanhas de phishing continuam sendo responsáveis por um número expressivo de comprometimentos de credenciais, intrusões corporativas e fraudes financeiras. Relatórios recentes indicam que ataques baseados em engenharia social continuam entre os vetores iniciais mais comuns em incidentes de segurança corporativa (VERIZON, 2023). A persistência desse vetor de ataque decorre de três fatores principais: baixo custo operacional, alta escalabilidade e exploração direta do comportamento humano.

Historicamente, os primeiros ataques de phishing documentados surgiram na década de 1990 em plataformas como AOL, onde atacantes utilizavam mensagens fraudulentas para coletar credenciais de usuários (JAGATIC et al., 2007). Desde então, a técnica evoluiu significativamente. Campanhas modernas utilizam infraestrutura distribuída, automação de envio de e-mails, kits de phishing prontos para uso e mecanismos sofisticados de evasão de detecção. Muitos desses kits incluem funcionalidades como geofencing, fingerprinting de navegador e proxies reversos que interceptam sessões autenticadas.

Outro fator crítico é a industrialização do phishing. Ecossistemas clandestinos oferecem kits completos de ataque, infraestrutura de hospedagem temporária e serviços de envio de e-mails em massa. Essa economia paralela permite que operadores com baixo nível técnico conduzam campanhas eficazes. De acordo com a Anti-Phishing Working Group, o número de domínios usados em phishing continua crescendo anualmente, com milhões de URLs maliciosas detectadas em campanhas globais (APWG, 2023).

Em paralelo, os mecanismos defensivos evoluíram. Protocolos como SPF, DKIM e DMARC foram introduzidos para reduzir falsificação de e-mails. Sistemas de filtragem baseados em reputação e aprendizado de máquina tornaram-se comuns em gateways corporativos. Ainda assim, atacantes continuam adaptando suas técnicas para contornar essas defesas.

Outro elemento relevante no contexto de 2023 é a crescente utilização de ferramentas baseadas em inteligência artificial, tanto para defesa quanto para ataque. Modelos de linguagem e sistemas de geração automática de texto permitem produzir mensagens de phishing mais convincentes e personalizadas, aumentando taxas de sucesso em campanhas direcionadas.

Este trabalho examina o phishing sob uma perspectiva operacional. Em vez de focar apenas em aspectos teóricos, analisamos como campanhas são conduzidas na prática, quais ferramentas são utilizadas e quais sinais podem ser explorados para detecção. A pesquisa também apresenta uma metodologia para correlação de indicadores técnicos e comportamentais com o objetivo de melhorar a identificação de campanhas emergentes.

2. Background and Related Work

A literatura acadêmica sobre phishing é extensa e cobre múltiplas dimensões do problema, incluindo fatores humanos, detecção automatizada e análise de infraestrutura. Um dos trabalhos clássicos na área demonstrou como usuários frequentemente falham em identificar sinais visuais de páginas fraudulentas (Dhamija, Tygar e Hearst, 2006). Estudos posteriores ampliaram essa análise, explorando o papel da engenharia social e da personalização em campanhas de spear phishing (JAGATIC et al., 2007).

Do ponto de vista técnico, uma grande parte da pesquisa concentrou-se na detecção automática de páginas fraudulentas. Abordagens baseadas em aprendizado de máquina analisam características como estrutura de URL, conteúdo HTML e padrões de hospedagem. Ma et al. (2009) propuseram um sistema de classificação baseado em características lexicais e de host que demonstrou alta precisão na identificação de URLs maliciosas.

No ambiente operacional, o phishing evoluiu para incluir kits altamente automatizados. Kits populares observados em campanhas entre 2019 e 2023 incluem Evilginx2, Modlishka e ferramentas baseadas em proxy reverso capazes de interceptar tokens de autenticação. Esses sistemas permitem capturar sessões autenticadas mesmo quando autenticação multifator está habilitada.

A tabela a seguir apresenta uma comparação entre ferramentas amplamente observadas em campanhas ou em ambientes de pesquisa.

Ferramenta	Tipo	Capacidade principal	Uso típico
GoPhish	Plataforma de simulação	Automação de campanhas e coleta de métricas	Treinamento e pesquisa
Social Engineering Toolkit	Framework ofensivo	Criação de páginas clonadas e campanhas	Red teaming
Evilginx2	Proxy reverso	Captura de sessão e bypass de MFA	Ataques avançados
King Phisher	Framework	Automação e análise de campanhas	Simulação corporativa

Outra linha importante de pesquisa analisa a infraestrutura utilizada em campanhas de phishing. Muitos domínios maliciosos são registrados pouco antes da campanha e apresentam baixa reputação em serviços de inteligência de ameaças. Estudos mostram que a idade do domínio é um indicador útil na detecção de phishing (LEVINE; KOHNO, 2018).

Protocolos de autenticação de e-mail também desempenham papel central na defesa contra spoofing.

Protocolo	Função	Ano de padronização	Limitação principal
SPF	Verifica origem do servidor de envio	2014 (RFC 7208)	Não protege cabeçalho From
DKIM	Assinatura criptográfica da mensagem	2011 (RFC 6376)	Não valida alinhamento de domínio
DMARC	Política e alinhamento de domínio	2015 (RFC 7489)	Dependente de adoção

Apesar dessas tecnologias, muitos domínios corporativos ainda possuem configurações incorretas ou políticas permissivas, permitindo que mensagens fraudulentas alcancem caixas de entrada.

Relatórios de inteligência de ameaças indicam que setores como finanças, tecnologia e saúde são alvos frequentes de campanhas de phishing. O relatório DBIR de 2023 da Verizon aponta que mais de 70% das violações envolvendo fator humano incluem algum tipo de engenharia social (VERIZON, 2023).

3. Threat Model and Problem Formalization

Para analisar phishing de forma sistemática, é necessário definir um modelo de ameaça que represente os atores, recursos e objetivos envolvidos. No contexto deste trabalho, consideramos três entidades principais:

• Atacante
• Infraestrutura de entrega (e-mail, SMS, redes sociais)
• Usuário alvo

O objetivo do atacante é induzir o usuário a executar uma ação específica, como fornecer credenciais, baixar malware ou autorizar uma transação financeira. Formalmente, podemos modelar a probabilidade de sucesso de uma campanha como:

$$ P_{success} = f(C, T, U, D) $$

onde:

• $C$ representa a qualidade da engenharia social
• $T$ representa a infraestrutura técnica do ataque
• $U$ representa fatores comportamentais do usuário
• $D$ representa mecanismos de defesa presentes no ambiente

Outra forma de representar o problema é como um sistema de classificação binária. Dado um e-mail $E$, desejamos determinar se ele pertence ao conjunto de mensagens legítimas $L$ ou ao conjunto de mensagens de phishing $P$.

$$ Classifier(E) = \begin{cases} P & \text{se } score(E) > \theta \ L & \text{caso contrário} \end{cases} $$

O desafio reside no fato de que campanhas modernas são altamente adaptativas. Atacantes frequentemente alteram domínios, infraestrutura de hospedagem e conteúdo de mensagens para evitar detecção baseada em assinatura.

Componentes comuns da infraestrutura de phishing incluem:

• Domínios recém-registrados
• Hospedagem em provedores cloud baratos
• Certificados TLS gratuitos (ex: Let’s Encrypt)
• Redirecionamentos HTTP encadeados

A identificação precoce dessas campanhas depende da correlação entre múltiplas fontes de telemetria.

4. Proposed Methodology

A metodologia proposta neste trabalho combina múltiplos sinais técnicos e comportamentais para detectar campanhas de phishing em estágio inicial. O modelo utiliza quatro camadas principais de análise:

1. Análise de infraestrutura
2. Análise lexical de mensagens
3. Telemetria de autenticação
4. Inteligência de ameaças

Cada mensagem recebida é convertida em um vetor de características:

$$ X = (x_1, x_2, x_3, …, x_n) $$

Exemplos de características incluem:

• idade do domínio
• presença de encurtadores de URL
• falhas em SPF/DKIM
• similaridade textual com marcas conhecidas

A pontuação final é calculada como:

$$ Score = \sum_{i=1}^{n} w_i x_i $$

onde $w_i$ representa o peso atribuído a cada característica.

A tabela abaixo mostra exemplos de indicadores utilizados no modelo.

Indicador	Tipo	Descrição
Domain Age	Infraestrutura	Domínios com menos de 30 dias
SPF Fail	Email	Falha na verificação SPF
Brand Similarity	Conteúdo	Similaridade com marcas populares
Redirect Chain	Web	Múltiplos redirecionamentos HTTP

A correlação desses indicadores permite identificar campanhas antes mesmo de relatórios externos ou listas de bloqueio serem atualizados.

5. Implementation

A implementação experimental utilizou uma infraestrutura controlada para simular campanhas de phishing e coletar telemetria. A plataforma GoPhish foi utilizada para gerenciar campanhas e coletar métricas de interação.

Exemplo de inicialização da plataforma:

./gophish -config config.json

Após iniciar o servidor, campanhas podem ser configuradas via interface web ou API REST. Templates de e-mail e páginas de captura de credenciais são configurados para simular cenários reais.

Outra ferramenta utilizada foi o Social Engineering Toolkit.

git clone https://github.com/trustedsec/social-engineer-toolkit
cd social-engineer-toolkit
python3 setoolkit

A funcionalidade “Website Attack Vectors” permite clonar páginas legítimas e modificar formulários para capturar credenciais.

Configuração típica de SPF e DMARC em ambientes defensivos:

example.com. TXT "v=spf1 include:_spf.google.com -all"

_dmarc.example.com TXT "v=DMARC1; p=reject; rua=mailto:dmarc@example.com"

Esses registros ajudam a reduzir spoofing de e-mails.

6. Experimental Evaluation

Os experimentos foram conduzidos utilizando campanhas simuladas enviadas para um conjunto de usuários em ambiente controlado de laboratório. Foram coletados logs de gateway de e-mail, resoluções DNS e eventos de autenticação.

Métrica	Valor observado
Taxa de abertura de e-mail	41%
Clique em link	18%
Submissão de credenciais	7%

Outro experimento avaliou a eficácia do modelo de detecção.

Método	Precisão	Recall	F1
Filtragem baseada em blacklist	0.71	0.58	0.64
Classificador lexical	0.83	0.77	0.80
Modelo híbrido proposto	0.91	0.88	0.89

Também analisamos características de domínios utilizados.

Idade do domínio	Percentual em campanhas
< 7 dias	46%
7–30 dias	28%
> 30 dias	26%

Esses resultados confirmam observações anteriores de que domínios recém-registrados são fortemente associados a campanhas de phishing.

7. Case Study

Em 2022 foi observada uma campanha direcionada contra funcionários de uma empresa de tecnologia. Os e-mails simulavam notificações de redefinição de senha de um serviço corporativo.

A campanha utilizava domínios semelhantes ao domínio legítimo da organização, substituindo caracteres visualmente similares. Por exemplo:

empresa-secure.com
empresasecure-login.com

As mensagens incluíam links para páginas hospedadas em infraestrutura cloud com certificados TLS válidos emitidos pelo Let’s Encrypt.

O fluxo do ataque era:

1. envio do e-mail
2. redirecionamento para página clonada
3. captura de credenciais
4. redirecionamento para site legítimo

Durante a investigação, logs DNS mostraram que o domínio havia sido registrado apenas três dias antes do início da campanha.

8. Discussion

Os resultados indicam que a detecção eficaz de phishing requer análise multidimensional. Nenhum indicador isolado é suficiente para identificar todas as campanhas. Atacantes continuam adaptando suas técnicas para contornar filtros tradicionais.

Um desafio emergente é o uso de inteligência artificial para gerar mensagens de phishing altamente convincentes. Ferramentas baseadas em modelos de linguagem podem produzir textos personalizados que imitam estilos de comunicação corporativos.

Outro fator é o crescimento de ataques baseados em proxy reverso. Ferramentas como Evilginx2 permitem capturar tokens de sessão autenticados, reduzindo a eficácia de autenticação multifator baseada em OTP.

Arquiteturas zero trust e autenticação baseada em contexto representam uma abordagem promissora para reduzir o impacto de credenciais comprometidas.

9. Conclusion and Future Work

Phishing permanece como uma ameaça central para organizações em todo o mundo. A combinação de engenharia social, automação e infraestrutura barata torna esse vetor extremamente atrativo para atacantes.

Este trabalho apresentou uma análise operacional de campanhas de phishing e propôs uma metodologia de detecção baseada em correlação de múltiplos indicadores. Os experimentos demonstraram que abordagens híbridas superam métodos baseados apenas em listas de bloqueio ou análise lexical.

Trabalhos futuros devem explorar técnicas avançadas de aprendizado de máquina para detecção de campanhas emergentes e integração com sistemas de resposta automatizada. Também é essencial investigar o impacto da inteligência artificial generativa na evolução das campanhas de phishing.

REFERENCES

APWG. Phishing Activity Trends Report 2023. Disponível em: https://apwg.org/trendsreports/. Acesso em: 2023.

DHAMIJA, R.; TYGAR, J.; HEARST, M. Why phishing works. Proceedings of CHI 2006. Disponível em: https://people.eecs.berkeley.edu/~tygar/papers/PhishingCHI.pdf

VERIZON. Data Breach Investigations Report 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir/

MA, J. et al. Beyond blacklists: learning to detect malicious web sites. KDD 2009. https://dl.acm.org/doi/10.1145/1557019.1557153

RFC 7208. Sender Policy Framework (SPF). https://datatracker.ietf.org/doc/html/rfc7208

RFC 6376. DomainKeys Identified Mail. https://datatracker.ietf.org/doc/html/rfc6376

RFC 7489. DMARC. https://datatracker.ietf.org/doc/html/rfc7489

GOOGLE. Safe Browsing Transparency Report. https://transparencyreport.google.com/safe-browsing

LET’S ENCRYPT. Certificate Transparency Statistics. https://letsencrypt.org/stats/

LEVINE, B.; KOHNO, T. Measuring phishing infrastructure. IEEE Security & Privacy. https://ieeexplore.ieee.org/

SOCIAL ENGINEER TOOLKIT. https://github.com/trustedsec/social-engineer-toolkit

GOPHISH Project. https://getgophish.com

EVILGINX2 Framework. https://github.com/kgretzky/evilginx2

KING PHISHER Project. https://github.com/rsmusllp/king-phisher

MICROSOFT Security Intelligence Report. https://www.microsoft.com/security

SYMANTEC Internet Security Threat Report. https://www.broadcom.com/company/newsroom

KASPERSKY Spam and Phishing Report. https://securelist.com

CISCO Talos Threat Intelligence. https://talosintelligence.com

PROOFPOINT State of the Phish 2023. https://www.proofpoint.com/us/resources/threat-reports/state-of-phish

MITRE ATT&CK Framework. https://attack.mitre.org

NIST SP 800-63 Digital Identity Guidelines. https://pages.nist.gov/800-63-3/

FIDO Alliance. Phishing resistant authentication. https://fidoalliance.org

ICANN Domain Abuse Activity Reporting. https://www.icann.org/resources/pages/daar

Cloudflare Radar Security Insights. https://radar.cloudflare.com

OpenPhish Feed. https://openphish.com

PhishTank Database. https://phishtank.org