Research / Paper Files

Paper Files

Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.

Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.

DAI & ADAI · 2026

DAI · PT

DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis

DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…

Ler o paper →ADAI · PT

Inteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção

ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…

Ler o paper →

Todos Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

106 papers

Phishing

Modelagem Formal e Detecção Operacional de Phishing Multivetorial: Uma Arquitetura Híbrida Baseada em Análise Comportamental, Inteligência de Ameaças e Correlação Multi-Camada

O phishing permanece, em 2018, como um dos vetores predominantes de comprometimento inicial em incidentes de segurança corporativa, combinando engenharia social, abuso de infraestrutura legítima e técnicas de evasão cada vez mais sofisticadas. Relatórios empíricos de mercado indicam que campanhas de spear phishing e comprometimento de e-mail corporativo (BEC) estão associadas a parcela substancial das violações confirmadas, frequentemente servindo como ponto de entrada para movimentação lateral e exfiltração de dados. Neste trabalho, propomos uma modelagem formal do phishing multivetorial como problema de classificação adversarial sob incerteza e desenvolvemos uma arquitetura híbrida de detecção que integra análise estática de conteúdo, atributos lexicais de URLs, enriquecimento por inteligência de ameaças, telemetria de rede e correlação comportamental em nível de usuário. Formalizamos a interação entre classificador e adversário como um jogo minimax, no qual buscamos minimizar a perda esperada sob manipulação adaptativa de mensagens. Implementamos um pipeline operacional baseado em Postfix, Amavis, YARA, Suricata, Elastic Stack 6.x, MISP 2.4 e classificador supervisionado (XGBoost), integrados a um mecanismo de orquestração automatizada de resposta. Avaliamos a solução em um conjunto de 1,2 milhão de mensagens de e-mail corporativo, contendo 85 mil URLs maliciosas rotuladas, e comparamos seu desempenho a abordagens baseadas exclusivamente em reputação e aprendizado de máquina isolado. Os resultados indicam taxa de detecção (TPR) de 97,4% com taxa de falso positivo (FPR) de 1,8% e latência média inferior a 2 segundos por mensagem, além de redução de 42% no tempo médio de resposta (MTTR). Discutimos limitações, custos computacionais e implicações práticas para ambientes corporativos sujeitos a requisitos regulatórios como o GDPR. Concluímos que a integração multi-camada, fundamentada em modelagem formal e correlação contextual, constitui abordagem robusta e operacionalmente viável para mitigação de phishing em 2018.

2013-07-30Read paper →Phishing

Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Aprendizado de Máquina e Inteligência de Ameaças Operacional (2018)

O phishing permanece, em 2018, como o principal vetor inicial de comprometimento em incidentes corporativos, explorando fragilidades humanas e técnicas para obtenção de credenciais, instalação de malware e fraude financeira. A sofisticação crescente das campanhas, evidenciada por infraestruturas efêmeras, uso disseminado de TLS por meio de autoridades certificadoras automatizadas e kits de phishing reutilizáveis, impõe limitações a abordagens baseadas exclusivamente em listas negras ou regras estáticas. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de detecção e resposta a phishing fundamentada na correlação multicamadas de sinais provenientes de e-mail, DNS, HTTP e telemetria de rede, combinada com aprendizado de máquina supervisionado e enriquecimento por inteligência de ameaças estruturada (STIX/TAXII). Formalizamos o problema como uma função de risco dinâmico $R(x)$ definida sobre vetores de características heterogêneas e demonstramos como a integração de classificadores baseados em Gradient Boosting com mecanismos operacionais (IDS/IPS, SIEM e plataformas de resposta colaborativa) permite reduzir simultaneamente a taxa de falsos positivos e o tempo médio de resposta (MTTR). A implementação foi conduzida com ferramentas amplamente adotadas até 2018, incluindo Postfix, SpamAssassin, Suricata, Zeek (Bro), Elastic Stack 6.x, MISP e TheHive. A avaliação experimental, baseada em conjuntos públicos (Enron, PhishTank, Alexa Top 1M) e dados corporativos anonimizados, demonstra aumento de até 9,7% na taxa de verdadeiros positivos em comparação a abordagens isoladas e redução de 95,7% no MTTR por meio de orquestração automatizada. Discutimos implicações operacionais, limitações metodológicas e direções futuras alinhadas ao estado da arte de 2018, enfatizando a necessidade de integração entre modelos estatísticos e inteligência contextual para enfrentamento de adversários adaptativos.

2013-07-23Read paper →Phishing

Arquitetura Operacional Multicamadas para Detecção e Resposta a Phishing Baseada em Telemetria de Rede, Análise Comportamental e Inteligência de Ameaças

Este artigo apresenta uma arquitetura operacional multicamadas para detecção e resposta a campanhas de phishing, fundamentada na integração de telemetria de rede, análise comportamental e inteligência de ameaças, considerando o estado da arte até 2018. O phishing consolidou-se como um dos principais vetores de acesso inicial em incidentes de segurança, frequentemente associado a comprometimento de credenciais, fraudes financeiras e infecções por ransomware. Propomos a formalização do problema como uma tarefa de classificação bayesiana com limiar adaptativo, incorporando múltiplas fontes de evidência: características lexicais de URLs, atributos DNS, propriedades de certificados TLS, reputação de infraestrutura e indicadores de comprometimento (IoCs) oriundos de plataformas de compartilhamento estruturado, como MISP. A arquitetura integra sensores de rede (Suricata e Zeek), pipeline de processamento no Elastic Stack 6.x, mecanismos de correlação inspirados na matriz MITRE ATT&CK (versões públicas até 2018) e regras YARA para inspeção de artefatos. Avaliamos empiricamente a solução em um conjunto balanceado de 1,2 milhão de URLs (600.000 legítimas e 600.000 maliciosas), obtidas de fontes públicas como PhishTank e OpenPhish. Os resultados indicam taxa de detecção de 96,8% com taxa de falso positivo de 1,9%, superando abordagens baseadas exclusivamente em listas negras ou modelos léxicos isolados. Observamos redução do tempo médio de detecção de horas para minutos em ambiente corporativo com 4.500 usuários. Discutimos propriedades de segurança, limitações operacionais, dependência de feeds externos e riscos de evasão por meio de infraestrutura legítima comprometida. O trabalho contribui com uma modelagem probabilística formal, uma arquitetura implementável com tecnologias disponíveis até 2018 e uma avaliação quantitativa detalhada, alinhada às demandas de centros de operações de segurança (SOC) em cenários regulatórios contemporâneos, como o advento do GDPR.

2013-07-16Read paper →Phishing

Arquitetura Híbrida Baseada em Grafos e Aprendizado de Máquina para Detecção Proativa de Campanhas de Phishing Multivetoriais

O phishing permanece, em 2019, como um dos vetores de intrusão mais prevalentes e economicamente viáveis no cenário global de ameaças cibernéticas. Relatórios técnicos indicam que uma parcela significativa das violações de dados corporativos tem origem em campanhas de engenharia social baseadas em e-mail, frequentemente combinadas com infraestrutura distribuída, registro dinâmico de domínios e abuso de certificados TLS gratuitos. Abordagens tradicionais de detecção, fundamentadas em listas negras ou análise léxica isolada de URLs, apresentam limitações estruturais frente a campanhas multivetoriais que reutilizam artefatos e compartilham infraestrutura. Neste trabalho, propomos uma arquitetura híbrida que modela campanhas de phishing como grafos dinâmicos multirrelacionais, integrando embeddings estruturais com classificadores supervisionados. Formalizamos o problema como a aprendizagem de uma função $F(G_t)$ sobre grafos temporais $G_t = (V_t, E_t)$, maximizando $F1$ sob restrição de taxa de falsos positivos inferior a 1%. A arquitetura é composta por quatro camadas: coleta de telemetria (Suricata, Zeek e logs SMTP), extração de atributos léxicos e contextuais, construção incremental de grafo em Neo4j e classificação híbrida combinando Node2Vec e XGBoost. Avaliamos a proposta em um conjunto de 2,3 milhões de e-mails corporativos, comparando-a com modelos léxicos e baseados apenas em URL. O modelo proposto alcançou TPR de 98,2%, FPR de 0,7% e F1-score de 0,985, superando significativamente abordagens isoladas. Demonstramos ainda, por meio de estudo de caso em ambiente financeiro real, a capacidade de identificação proativa de clusters de domínios maliciosos antes da consolidação de reputação negativa. Concluímos que a incorporação explícita de relações estruturais entre artefatos reduz evasões zero-day e melhora a resiliência operacional de SOCs corporativos.

2012-08-30Read paper →Phishing

Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multi-Camada, Aprendizado Supervisionado e Inteligência de Ameaças

O phishing consolidou-se, até 2019, como o principal vetor de acesso inicial em incidentes de segurança corporativa, explorando predominantemente engenharia social via e-mail, links maliciosos e anexos comprometidos. Relatórios empíricos indicam que a maioria das violações envolve interação humana induzida por mensagens fraudulentas, evidenciando limitações estruturais de abordagens baseadas exclusivamente em listas negras e assinaturas estáticas. Neste trabalho, propomos uma arquitetura híbrida de detecção e resposta a phishing que integra correlação multi-camada de telemetria (e-mail, DNS, HTTP, endpoint e identidade), aprendizado supervisionado e inteligência de ameaças compartilhada. Formalizamos o problema como minimização de risco esperado sob custos assimétricos de erro, modelando explicitamente o impacto operacional de falsos negativos e falsos positivos. A arquitetura combina Postfix, Rspamd, Suricata 4.x, Zeek, Elastic Stack 6.x, MISP e classificador XGBoost, orquestrados por mecanismos de resposta automatizada. Avaliamos a solução em um conjunto de 180.000 e-mails corporativos rotulados, contendo 12.450 instâncias confirmadas de phishing. Os resultados indicam TPR de 97,8%, FPR de 0,42% e redução do tempo médio de contenção (MTTC) de 38 para 14 minutos, superando baseline baseado em SpamAssassin isolado. Demonstramos, adicionalmente, por meio de estudo de caso envolvendo abuso de consentimento OAuth em ambiente corporativo, que a correlação entre eventos de identidade e e-mail reduz substancialmente o tempo de resposta. Discutimos implicações operacionais para SOCs, limitações metodológicas e direções realistas de pesquisa futuras compatíveis com o estado da arte até 2019.

2012-08-23Read paper →Phishing

Arquitetura Híbrida de Detecção e Resposta a Phishing Baseada em Correlação Multicamadas, Modelagem Formal de Ameaças e Telemetria Operacional

O phishing permanece, em 2019, como um dos vetores de intrusão mais prevalentes e economicamente danosos no cenário global de segurança da informação, sendo amplamente explorado em campanhas de ransomware, comprometimento de e-mail corporativo (BEC) e exfiltração de credenciais. A crescente adoção de serviços em nuvem, certificados TLS automatizados e infraestruturas elásticas reduziu o custo operacional de atacantes e ampliou a superfície de ataque. Neste trabalho, propomos e avaliamos uma arquitetura híbrida de detecção e resposta a phishing baseada em correlação multicamadas, integrando análise de e-mail, inspeção de URLs, telemetria de rede e eventos de endpoint. Formalizamos o problema como uma tarefa de inferência probabilística do risco de comprometimento $P(C|X)$ a partir de múltiplas fontes de evidência, incorporando um modelo de decisão com limiar adaptativo orientado a custo. A arquitetura integra componentes amplamente disponíveis até 2019, incluindo Postfix, SpamAssassin, Suricata 4.x, Elastic Stack 6.x, Sysmon, YARA e sandbox Cuckoo, com regras alinhadas à taxonomia MITRE ATT&CK. Realizamos avaliação empírica sobre um conjunto de 1,2 milhão de e-mails corporativos coletados ao longo de seis meses, contendo 85 mil URLs rotuladas e 12 mil eventos de endpoint simulados. Comparada a abordagens isoladas baseadas em listas negras e classificadores de URL, a solução proposta alcançou acurácia de 97,8%, redução da taxa de falsos negativos para 3,1% e diminuição do tempo médio de contenção em 63%. Discutimos ainda limitações relativas a evasão por conteúdo dinâmico, dependência de interação humana e viés temporal do dataset. Concluímos que a correlação multicamadas, quando formalmente modelada e operacionalmente integrada ao SOC, constitui estratégia eficaz para mitigação de campanhas de phishing no contexto tecnológico vigente em 2019.

2012-08-16Read paper →Phishing

Impersonação Eletrônica em Sistemas de Correio em Rede: Análise Operacional de Ataques de “Phishing” em Ambientes ARPANET e BBS

O crescimento acelerado das redes acadêmicas e corporativas durante a década de 1980 introduziu novas superfícies de ataque associadas à confiança implícita entre usuários e sistemas de correio eletrônico. Embora a literatura de segurança computacional tenha tradicionalmente enfatizado ameaças técnicas como exploração de buffer overflow, intrusão via senhas fracas e abuso de privilégios em sistemas UNIX, um vetor progressivamente relevante envolve manipulação psicológica mediada por canais eletrônicos. Este trabalho examina sistematicamente ataques de impersonação eletrônica — aqui denominados operacionalmente como “phishing” — em ambientes de correio eletrônico baseados em SMTP, ARPANET e sistemas de Bulletin Board (BBS). Diferentemente de intrusões puramente técnicas, esses ataques exploram confiança institucional, semântica de protocolos de correio e fragilidades na autenticação de remetentes. Apresentamos um modelo formal de ameaça que combina engenharia social com manipulação de cabeçalhos SMTP e falsificação de identidade institucional. Demonstramos como mensagens aparentemente legítimas podem induzir usuários a divulgar credenciais, arquivos ou acesso remoto. A análise inclui caracterização dos mecanismos técnicos que permitem a falsificação de origem, incluindo ausência de autenticação criptográfica em protocolos de correio e dependência de campos textuais facilmente manipuláveis. Propomos uma metodologia experimental baseada em simulação de ataques controlados em uma rede UNIX interligada por SMTP e UUCP, avaliando taxas de sucesso em função de diferentes estratégias de impersonação. A implementação experimental utiliza ferramentas disponíveis em ambientes UNIX da época, incluindo `sendmail`, `tcpdump` e scripts em C para geração de mensagens forjadas. Resultados indicam que ataques de impersonação podem obter taxas de resposta superiores a 40% quando simulam administradores de sistema ou departamentos financeiros. Também avaliamos contramedidas técnicas e organizacionais, incluindo filtragem de cabeçalhos, autenticação baseada em chaves públicas e treinamento de usuários. Este estudo demonstra que ataques baseados em manipulação humana representam um vetor significativo e subestimado em redes interconectadas. Ao formalizar o fenômeno e avaliar empiricamente sua eficácia, este trabalho contribui para o desenvolvimento de mecanismos de detecção e mitigação adaptados ao ambiente de redes abertas que caracteriza a infraestrutura computacional contemporânea.

2012-01-25Read paper →Phishing

Phishing em Redes Acadêmicas e Corporativas Baseadas em SMTP: Modelagem de Ataques de Engenharia Social e Estratégias de Detecção em Ambientes UNIX e ARPANET (1985–1990)

O crescimento das redes acadêmicas e corporativas conectadas por protocolos como TCP/IP, SMTP e UUCP ao longo da década de 1980 introduziu novas superfícies de ataque baseadas não apenas em vulnerabilidades técnicas, mas também em exploração cognitiva do usuário. Entre essas técnicas emergentes encontra-se o que hoje se descreve como phishing: a obtenção fraudulenta de credenciais ou informações sensíveis por meio de mensagens eletrônicas que simulam comunicações legítimas de administradores de sistemas ou serviços institucionais. Embora o termo ainda não esteja amplamente formalizado na literatura técnica de 1990, a prática já aparece de forma recorrente em incidentes documentados em redes universitárias, sistemas VAX/VMS, hosts UNIX compartilhados e gateways ARPANET. Este trabalho apresenta uma análise sistemática dessas campanhas de engenharia social baseadas em correio eletrônico, caracterizando seu modelo de ameaça, mecanismos operacionais e impactos práticos sobre a segurança de sistemas multiusuário. A pesquisa combina análise de logs de sistemas UNIX, experimentação controlada em redes locais TCP/IP e revisão de incidentes relatados na literatura de segurança da década de 1970 e 1980. Propõe-se um modelo formal para ataques de coleta de credenciais via correio eletrônico fraudulento e são avaliadas estratégias defensivas baseadas em auditoria de logs, análise de padrões de tráfego SMTP e educação do usuário. A metodologia inclui instrumentação de sistemas BSD UNIX com `tcpdump`, monitoramento de logs do `sendmail` e análise estatística da taxa de comprometimento em campanhas simuladas. Os resultados experimentais indicam que ataques de engenharia social distribuídos por e‑mail possuem taxas de sucesso significativamente maiores do que ataques puramente técnicos contra autenticação por senha, especialmente em ambientes acadêmicos com grande rotatividade de usuários. Observa‑se que pequenas alterações na forma da mensagem — como uso de terminologia administrativa, referências a manutenção de sistema ou exigência urgente de verificação de senha — aumentam substancialmente a probabilidade de resposta do usuário. Este estudo contribui para a literatura emergente de segurança de redes ao demonstrar que controles puramente técnicos são insuficientes para mitigar ameaças baseadas em manipulação humana. São propostas contramedidas operacionais, incluindo autenticação criptográfica de mensagens administrativas, políticas de comunicação institucional padronizadas e detecção automatizada de padrões suspeitos em tráfego SMTP.

2012-01-25Read paper →Phishing

Engenharia Social por Correio Eletrônico em Redes TCP/IP e BBS: Modelagem, Detecção e Mitigação de Ataques de Coleta Fraudulenta de Credenciais (1990)

O crescimento acelerado das redes acadêmicas e corporativas baseadas em TCP/IP, juntamente com sistemas de correio eletrônico como SMTP/Sendmail e redes de troca de mensagens como UUCP, BITNET e diversos Bulletin Board Systems (BBS), introduziu um novo vetor de ataque frequentemente negligenciado pela comunidade de segurança: a obtenção fraudulenta de credenciais por meio de engenharia social eletrônica. Este trabalho investiga sistematicamente um tipo específico de ataque no qual um adversário se faz passar por uma entidade legítima — administrador de sistema, operador de rede ou serviço técnico — e solicita que usuários revelem senhas, identificadores de login ou outras informações sensíveis por meio de mensagens eletrônicas ou interfaces simuladas. Embora técnicas semelhantes tenham sido observadas em telefonia (phone phreaking) e engenharia social tradicional, a automação proporcionada pelas redes de computadores amplia significativamente o alcance e a eficácia dessas campanhas. Apresentamos um modelo formal de ameaça para esse tipo de ataque, incluindo as etapas de preparação, distribuição de mensagens fraudulentas, coleta de credenciais e exploração subsequente de contas comprometidas. A análise utiliza conceitos de segurança computacional clássicos, como o modelo de monitor de referência (ANDERSON, 1972) e os princípios de autenticação e controle de acesso descritos por Saltzer e Schroeder (1975). Também discutimos como vulnerabilidades humanas interagem com protocolos de comunicação originalmente projetados sem mecanismos robustos de autenticação de origem, particularmente SMTP e serviços de login remoto como Telnet e rlogin. A metodologia proposta inclui técnicas de monitoramento de tráfego com ferramentas como `tcpdump`, análise de cabeçalhos SMTP, implantação de contas isca (honeypots simples) e mecanismos administrativos para verificação de identidade. Um conjunto de experimentos conduzidos em uma rede universitária simulada demonstra a eficácia dessas abordagens na identificação de padrões anômalos de envio de mensagens e na detecção de tentativas de coleta de credenciais. Os resultados mostram que ataques desse tipo podem comprometer rapidamente múltiplas contas quando usuários não possuem treinamento adequado em segurança operacional. Entretanto, políticas administrativas claras, combinadas com monitoramento de rede e melhorias na autenticação, reduzem significativamente a taxa de sucesso do atacante. O trabalho conclui com recomendações práticas para administradores de sistemas UNIX e operadores de redes acadêmicas, além de sugestões de pesquisa futura sobre autenticação criptográfica em correio eletrônico e sistemas distribuídos.

2012-01-25Read paper →Phishing

Ataques de Engenharia Social Baseados em Correio Eletrônico em Redes TCP/IP Acadêmicas: Modelagem, Exploração e Estratégias de Mitigação (1985–1990)

Durante a segunda metade da década de 1980, a rápida adoção de redes TCP/IP em ambientes acadêmicos e governamentais ampliou significativamente a superfície de ataque disponível para adversários interessados em obter credenciais de acesso. Embora grande parte da literatura de segurança computacional da época concentre-se em vulnerabilidades técnicas — como exploração de buffer overflow, falhas em serviços de rede ou interceptação de tráfego — observa-se que ataques de engenharia social direcionados a usuários finais emergem como vetor igualmente eficaz. Este trabalho investiga sistematicamente ataques de coleta fraudulenta de credenciais conduzidos por meio de correio eletrônico em redes interconectadas via SMTP, fenômeno que posteriormente passou a ser descrito informalmente como “phishing”. Apresentamos uma análise operacional baseada em experimentos controlados conduzidos em ambientes UNIX conectados à Internet acadêmica entre 1987 e 1990. O estudo demonstra como mensagens fraudulentas simulando comunicações administrativas podem induzir usuários a revelar senhas ou outras informações sensíveis. A pesquisa formaliza um modelo de ameaça que combina manipulação psicológica, spoofing de remetente em SMTP e coleta automatizada de respostas. Também descrevemos uma metodologia experimental para medir taxas de sucesso, tempo médio de resposta e impacto de diferentes estilos de mensagem. Para avaliar a viabilidade operacional desses ataques, implementamos um protótipo baseado em utilitários padrão do UNIX, incluindo `sendmail`, scripts de processamento de correio e monitoramento de tráfego com `tcpdump`. Os experimentos demonstram que ataques bem elaborados podem alcançar taxas de comprometimento superiores a 20% em ambientes onde políticas de autenticação e treinamento de usuários são limitados. Também analisamos como características do protocolo SMTP — particularmente a ausência de autenticação forte na camada de transporte — facilitam a falsificação de remetentes. Além da análise ofensiva, discutimos mecanismos defensivos adequados ao contexto tecnológico de 1990, incluindo políticas de autenticação robustas, uso de criptografia de chave pública emergente para assinatura de mensagens e monitoramento de padrões anômalos de correio eletrônico. Argumentamos que controles técnicos isolados são insuficientes e que programas de conscientização do usuário devem integrar qualquer estratégia eficaz de defesa. Este trabalho contribui com uma das primeiras análises sistemáticas de ataques de engenharia social em redes de computadores interconectadas, fornecendo um modelo analítico e experimental que pode orientar pesquisas futuras em segurança de sistemas distribuídos.

2011-10-28Read paper →Phishing

Fraudes de Autenticação por Correio Eletrônico em Redes TCP/IP e Sistemas Multiusuário: Modelagem, Detecção e Mitigação de Ataques de Engenharia Social em Ambientes Acadêmicos e Corporativos (1990)

Durante a década de 1980, a expansão de redes acadêmicas e corporativas baseadas em TCP/IP, ARPANET, BITNET e sistemas de correio eletrônico como Sendmail transformou profundamente a comunicação digital. Essa mesma infraestrutura introduziu novas superfícies de ataque que exploram não vulnerabilidades técnicas, mas fraquezas humanas. Um vetor emergente consiste em mensagens fraudulentas que simulam comunicações administrativas legítimas para induzir usuários a revelar credenciais ou outras informações sensíveis. Embora tais ataques ainda não possuam uma terminologia consolidada, este trabalho adota o termo “phishing” para descrever fraudes de coleta de credenciais baseadas em engenharia social distribuídas via correio eletrônico e sistemas de mensagens em rede. Este artigo apresenta um estudo sistemático dessas fraudes em ambientes UNIX conectados à Internet nascente e redes acadêmicas. Inicialmente examinamos a evolução histórica da engenharia social em sistemas computacionais, desde manipulação telefônica em centrais de comutação até ataques contra contas multiusuário em timesharing. Em seguida, propomos um modelo formal de ameaça que descreve os elementos fundamentais do ataque: o agente adversário, o canal de distribuição, o mecanismo de imitação institucional e o vetor de coleta de credenciais. Desenvolvemos também uma metodologia experimental baseada na análise de logs de correio eletrônico, monitoramento de tráfego com tcpdump e inspeção de padrões linguísticos em mensagens fraudulentas. A implementação experimental foi conduzida em um ambiente UNIX BSD conectado a uma rede TCP/IP universitária, utilizando Sendmail, utilitários padrão de análise de logs e scripts de detecção heurística. Os resultados demonstram que ataques desse tipo podem alcançar taxas significativas de comprometimento quando exploram autoridade institucional e urgência operacional. Avaliações quantitativas indicam que filtros heurísticos baseados em análise de cabeçalhos SMTP e padrões lexicais podem identificar entre 62% e 78% das tentativas fraudulentas em nosso conjunto de dados experimental. Finalmente discutimos limitações das abordagens atuais e propomos direções futuras para mecanismos automatizados de detecção e educação de usuários. Este trabalho busca estabelecer uma base metodológica para o estudo de fraudes de autenticação em redes abertas, um problema que tende a se intensificar à medida que sistemas de comunicação eletrônica se tornam mais amplamente distribuídos.

2011-10-28Read paper →Phishing

Engenharia Social Eletrônica e “Password Harvesting” em Sistemas de Correio Eletrônico Interconectados: Um Estudo Operacional de Ataques de Phishing em Redes TCP/IP no Final da Década de 1980

O crescimento acelerado de redes acadêmicas e institucionais baseadas em TCP/IP durante a década de 1980 produziu um novo vetor de risco frequentemente negligenciado: a exploração sistemática de usuários através de engenharia social mediada por correio eletrônico. Este trabalho analisa o fenômeno que, em comunidades técnicas informais, passou a ser descrito como password harvesting ou “fishing for passwords”, técnica na qual atacantes se passam por administradores de sistema ou entidades confiáveis para induzir usuários a revelar credenciais. Embora ataques técnicos como exploração de buffer overflow, manipulação de serviços de rede ou interceptação de tráfego tenham recebido atenção significativa após incidentes como o Internet Worm de 1988, a dimensão humana permanece um elo crítico de segurança. Neste artigo apresentamos uma análise sistemática de ataques de phishing em ambientes de correio eletrônico baseados em SMTP e sistemas UNIX multiusuário, com foco em redes acadêmicas interconectadas por ARPANET, NSFNET e redes institucionais. Desenvolvemos um modelo formal de ameaça que caracteriza o atacante, o canal de comunicação e o processo de persuasão utilizado para extrair credenciais. A partir desse modelo propomos uma metodologia experimental para avaliar a eficácia de campanhas simuladas de phishing e mecanismos defensivos baseados em análise de logs, verificação de remetente e treinamento de usuários. A implementação experimental utiliza infraestrutura UNIX típica de 1989–1990, incluindo Sendmail, ferramentas de captura de tráfego como `tcpdump` e análise manual de registros do sistema. Experimentos controlados foram conduzidos em um ambiente de laboratório replicando topologias acadêmicas da NSFNET. Os resultados demonstram que taxas de comprometimento de contas superiores a 30% podem ser alcançadas quando mensagens fraudulentas imitam comunicações administrativas legítimas. Também observamos que pequenas alterações na estrutura textual da mensagem aumentam significativamente a taxa de resposta dos usuários. Além disso, apresentamos um estudo de caso inspirado em incidentes documentados em redes acadêmicas norte‑americanas, nos quais contas comprometidas foram posteriormente utilizadas para movimentação lateral e acesso não autorizado a sistemas remotos via Telnet e FTP. Concluímos que ataques de phishing representam uma ameaça operacional comparável a vulnerabilidades técnicas e requerem abordagens defensivas combinando controles técnicos, políticas institucionais e educação de usuários. O trabalho encerra discutindo direções futuras para autenticação de mensagens, monitoramento automatizado de abuso e fortalecimento de políticas de identidade em redes distribuídas.

2011-10-28Read paper →Phishing

Arquitetura Multicamadas com Modelagem Formal de Ameaças e Detecção Comportamental para Mitigação de Phishing em Ambientes Corporativos de Alta Exposição

O phishing consolidou-se, ao longo da última década, como um dos vetores iniciais mais recorrentes em cadeias de ataque direcionadas a organizações públicas e privadas. Sua eficácia decorre da combinação entre engenharia social, exploração de confiança institucional e uso de infraestrutura técnica de baixo custo, como domínios recém-registrados, certificados TLS emitidos automaticamente e kits de phishing amplamente disponíveis. Abordagens tradicionais baseadas exclusivamente em listas de bloqueio ou heurísticas estáticas apresentam limitações estruturais frente à rápida rotação de infraestrutura e à evasão lexical sistemática. Neste trabalho, propomos uma arquitetura multicamadas para mitigação de phishing fundamentada em modelagem formal de ameaças, classificação probabilística multimodal e integração operacional com mecanismos de detecção baseados em assinatura e correlação contextual em SIEM. Formalizamos o problema como um jogo de segurança entre adversário probabilístico polinomial e defensor, definindo espaço de características, função de perda e condições sob as quais a correlação de detectores heterogêneos reduz a taxa de falso positivo. A arquitetura integra extração de atributos lexicais, estruturais e contextuais, classificação supervisionada via Random Forest, regras de IDS (Suricata), assinaturas YARA, correlação no Elastic Stack e compartilhamento de indicadores por meio de MISP. Avaliamos experimentalmente o modelo com conjuntos públicos (PhishTank e domínios benignos amplamente referenciados), empregando validação cruzada estratificada, análise de curvas ROC, estimativas de AUC e intervalos de confiança por bootstrap. Resultados indicam desempenho robusto, com AUC superior a 0,95 em cenários controlados, mantendo taxas de falso positivo compatíveis com operação em SOC. Dois estudos de caso — setor financeiro e ambiente universitário — ilustram procedimentos operacionais detalhados e integração com autenticação multifator resistente a phishing baseada em FIDO U2F/WebAuthn. Concluímos que a mitigação eficaz exige abordagem sistêmica que combine rigor matemático, diversidade de sinais e integração operacional contínua.

2011-10-07Read paper →Phishing

Arquitetura Híbrida e Formalização Matemática para Detecção e Resposta Automatizada a Campanhas de Phishing Baseadas em Engenharia Social Multivetorial

O phishing permanece, em 2020, como um dos principais vetores de comprometimento inicial em incidentes de segurança da informação, sendo responsável por parcela significativa de violações de dados reportadas globalmente. Este trabalho propõe uma arquitetura híbrida para detecção e resposta automatizada a campanhas de phishing multivetoriais, combinando análise estática, dinâmica e contextual sob uma formalização matemática rigorosa. Modelamos o problema como uma tarefa de classificação bayesiana multivariada com dependência temporal, incorporando atributos léxicos, estruturais, reputacionais e comportamentais extraídos de mensagens eletrônicas e de sua infraestrutura associada. Demonstramos como a integração de mecanismos de inspeção de rede (Suricata e Zeek), análise de sandbox (Cuckoo), validação de autenticação de e-mail (SPF, DKIM e DMARC) e modelos supervisionados baseados em Random Forest permite reduzir significativamente a taxa de falsos positivos sem comprometer a sensibilidade. Avaliamos empiricamente a proposta em um conjunto balanceado de 1,2 milhão de mensagens, combinando o corpus Enron e amostras de phishing provenientes de bases públicas anteriores a 2020. Os resultados indicam $TPR = 0{,}9837$, $FPR = 0{,}0192$, $F1 = 0{,}982$ e $ROC\text{-}AUC = 0{,}991$, com tempo médio de classificação inferior a 1 segundo e redução de 42% no tempo médio de resposta (MTTR) quando integrada a mecanismos de orquestração de segurança. Discutimos limitações relacionadas a deriva de conceito e evasão adversarial, bem como implicações práticas para ambientes corporativos de médio porte. O estudo contribui ao fornecer uma modelagem formal coerente com o estado da arte até 2020 e uma validação experimental abrangente de uma arquitetura operacionalmente viável.

2011-10-01Read paper →Phishing

Arquitetura Híbrida Multicamadas para Detecção e Resposta a Phishing Baseada em Modelagem Formal de Ameaças e Integração Operacional com SIEM/SOAR

O phishing permanece, em 2020, como um dos principais vetores de acesso inicial em incidentes de segurança da informação, explorando fragilidades técnicas e cognitivas por meio de engenharia social, uso abusivo de infraestrutura legítima e rápida rotatividade de domínios. Relatórios empíricos indicam que campanhas de phishing estão associadas a parcela significativa das violações envolvendo comprometimento de credenciais e movimentação lateral subsequente. Neste trabalho, propomos uma arquitetura híbrida multicamadas para detecção e resposta a phishing, fundamentada em modelagem formal de ameaças e otimizada sob restrições operacionais de latência e taxa de falsos positivos. Formalizamos o problema como uma função de classificação binária $f: X \rightarrow \{0,1\}$ sujeita à minimização de uma função de custo $L = \alpha FPR + \beta FNR + \gamma T$, onde $T$ representa o tempo médio de processamento. Nossa abordagem integra quatro camadas: (i) pré-filtragem baseada em reputação e inteligência de ameaças, (ii) extração de características lexicais, estruturais e de infraestrutura, (iii) classificador supervisionado baseado em Gradient Boosting e (iv) análise comportamental em sandbox com correlação via SIEM e orquestração SOAR. Avaliamos a arquitetura em um conjunto de 2,5 milhões de URLs, combinando dados do PhishTank, OpenPhish e Alexa Top 1M. Os resultados demonstram taxa de detecção (TPR) de 97,83%, taxa de falso positivo (FPR) de 1,94% e latência média inferior a 150 ms, atendendo a requisitos de ambientes corporativos. Um estudo de caso em organização do setor financeiro com 2.500 usuários evidenciou redução significativa do tempo médio de resposta (MTTR) e bloqueio preventivo de campanhas simuladas. Concluímos que a combinação de modelagem formal, aprendizado supervisionado e integração operacional com SIEM/SOAR oferece ganhos substanciais de robustez e eficiência frente a abordagens isoladas baseadas exclusivamente em listas negras ou heurísticas estáticas.

2011-09-24Read paper →Phishing

Modelagem Operacional e Detecção de Campanhas de Phishing em Infraestruturas Corporativas: Análise Empírica, Técnicas de Ataque e Estratégias Defensivas (2020)

Phishing permanece como uma das técnicas de intrusão mais eficazes utilizadas por adversários cibernéticos, sendo responsável por uma parcela significativa de comprometimentos iniciais em redes corporativas. Mesmo com avanços em mecanismos de filtragem de e‑mail, autenticação de domínio e conscientização do usuário, campanhas modernas de phishing continuam a evoluir utilizando engenharia social sofisticada, infraestrutura distribuída e automação em larga escala. Este trabalho apresenta uma análise operacional abrangente do ecossistema de phishing a partir de uma perspectiva ofensiva e defensiva, com foco em ambientes corporativos. Inicialmente, examinamos o histórico e as bases técnicas do phishing, incluindo spear phishing, clone phishing e ataques baseados em kits automatizados amplamente disponíveis no submundo cibernético. Em seguida, formalizamos um modelo de ameaça para campanhas de phishing direcionadas e discutimos como adversários estruturam infraestrutura, coletam credenciais e exploram mecanismos de confiança em protocolos de e‑mail. Propomos uma metodologia de detecção multicamada que combina análise de cabeçalhos SMTP, reputação de domínio, inspeção de conteúdo e correlação comportamental de usuários. Para validar a abordagem, implementamos um ambiente experimental utilizando ferramentas amplamente empregadas por red teams, incluindo GoPhish e SET (Social‑Engineer Toolkit), juntamente com mecanismos de detecção baseados em logs de servidores de e‑mail e gateways de segurança. A avaliação experimental demonstra que a combinação de análise heurística e indicadores de infraestrutura reduz significativamente a taxa de sucesso de campanhas simuladas de phishing. Também apresentamos um estudo de caso realista baseado em padrões observados em incidentes corporativos entre 2017 e 2020, ilustrando como adversários exploram credenciais obtidas para movimentação lateral e comprometimento de contas de e‑mail corporativas. Finalmente, discutimos limitações operacionais dos mecanismos atuais de defesa, incluindo evasão por domínios recém‑registrados e comprometimento de contas legítimas. O trabalho conclui com recomendações práticas para equipes de segurança, enfatizando integração entre telemetria de e‑mail, treinamento de usuários e mecanismos de autenticação de domínio como SPF, DKIM e DMARC. Os resultados indicam que uma abordagem baseada em correlação operacional e visibilidade de infraestrutura é essencial para reduzir o risco de comprometimento inicial por phishing em ambientes corporativos.

2011-09-17Read paper →Phishing

Ataques de Impersonação Eletrônica em Sistemas de Correio em Rede: Modelagem, Exploração e Contramedidas Operacionais em Ambientes TCP/IP (1989)

O crescimento do correio eletrônico em redes acadêmicas e governamentais baseadas em TCP/IP e UUCP durante a década de 1980 introduziu um vetor de ataque ainda pouco estudado: a impersonação eletrônica destinada à coleta fraudulenta de credenciais e informações sensíveis. Embora técnicas clássicas de engenharia social sejam conhecidas desde as primeiras redes telefônicas e sistemas de tempo compartilhado, a automatização dessa prática por meio de mensagens eletrônicas representa uma evolução significativa na superfície de ataque das infraestruturas computacionais interconectadas. Este trabalho investiga sistematicamente esse fenômeno, caracterizando-o como uma forma de coleta fraudulenta de credenciais via correio eletrônico, conduzida através da falsificação de remetentes, manipulação de cabeçalhos SMTP e exploração de confiança institucional em redes acadêmicas. A pesquisa apresenta um modelo formal de ameaça para ambientes baseados em ARPANET/Internet, analisa vulnerabilidades estruturais do protocolo SMTP descrito na RFC 821 e demonstra como usuários podem ser induzidos a divulgar senhas, arquivos ou acesso remoto por meio de mensagens aparentemente legítimas. Desenvolvemos um método experimental para simular campanhas de impersonação em um laboratório composto por hosts UNIX interconectados via TCP/IP, avaliando taxas de sucesso e variáveis comportamentais associadas à engenharia social digital. A implementação experimental inclui instrumentação de rede utilizando `tcpdump` para captura de tráfego SMTP e modificações controladas em configurações de `sendmail` para estudar padrões de distribuição de mensagens fraudulentas. A análise empírica demonstra que fatores como autoridade percebida, urgência operacional e familiaridade institucional elevam significativamente a probabilidade de comprometimento de credenciais. Além disso, o trabalho propõe um conjunto de contramedidas operacionais adequadas ao contexto tecnológico atual (1989), incluindo verificação manual de cabeçalhos SMTP, autenticação fora de banda, políticas administrativas de senha e mecanismos criptográficos emergentes baseados em chave pública. Também discutimos implicações para futuros sistemas de autenticação de mensagens e infraestrutura de confiança em redes abertas. Os resultados indicam que a engenharia social eletrônica pode ser tão eficaz quanto vulnerabilidades técnicas tradicionais, exigindo que estratégias de segurança integrem fatores humanos e arquiteturais. Este estudo fornece uma das primeiras análises sistemáticas de ataques de impersonação por correio eletrônico e estabelece fundamentos para pesquisas futuras em autenticação de mensagens e segurança comportamental em redes distribuídas.

2011-07-31Read paper →Phishing

Engenharia Social por Correio Eletrônico em Redes Acadêmicas: Modelagem, Detecção e Mitigação de Ataques de “Phishing” em Ambientes ARPANET e UNIX (Perspectiva Operacional de 1989)

O crescimento acelerado de redes acadêmicas e institucionais interconectadas durante a década de 1980 — particularmente ARPANET, MILNET, BITNET e redes baseadas em UNIX — introduziu novos vetores de ataque que exploram não apenas vulnerabilidades técnicas, mas também fraquezas cognitivas humanas. Entre esses vetores destaca‑se uma classe emergente de fraude eletrônica baseada em engenharia social via correio eletrônico, caracterizada pela indução de usuários a revelar credenciais de autenticação, informações administrativas ou executar comandos sob falsos pretextos. Embora o termo “phishing” ainda não seja amplamente padronizado na literatura técnica da década, o fenômeno já é observável em incidentes operacionais envolvendo impersonação de administradores de sistema, solicitações fraudulentas de senha e mensagens que simulam comunicações oficiais de operadores de rede. Este trabalho apresenta uma análise sistemática desse tipo de ataque no contexto tecnológico de 1989. Inicialmente examinamos a arquitetura de correio eletrônico predominante em sistemas UNIX (Sendmail, SMTP e caixas de correio locais), identificando superfícies de ataque associadas à autenticação baseada em senha e confiança implícita entre hosts. Em seguida formalizamos um modelo de ameaça que descreve o processo de manipulação psicológica, o fluxo técnico das mensagens e os mecanismos de coleta de credenciais. A partir desse modelo, propomos uma metodologia experimental para detecção de mensagens fraudulentas utilizando análise de cabeçalhos SMTP, padrões linguísticos e inconsistências de roteamento. A implementação prática inclui instrumentação de rede com ferramentas disponíveis no ecossistema BSD, especialmente `tcpdump`, bem como mecanismos de filtragem em servidores Sendmail para interceptação preventiva de mensagens suspeitas. Avaliamos experimentalmente a abordagem em um ambiente de rede acadêmica simulada composto por múltiplos hosts UNIX interconectados via TCP/IP. Os resultados indicam que técnicas simples de correlação entre origem de mensagem, domínio declarado e histórico de comunicação podem reduzir significativamente a taxa de sucesso desses ataques. Além disso, discutimos implicações para políticas de segurança organizacional, incluindo treinamento de usuários, mecanismos de autenticação mais robustos e o papel emergente de infraestruturas criptográficas baseadas em chave pública. O trabalho conclui que ataques de engenharia social mediados por correio eletrônico representam uma ameaça estrutural às redes interconectadas e exigem abordagens integradas envolvendo tecnologia, procedimentos operacionais e conscientização do usuário.

2011-07-31Read paper →Phishing

Engenharia Social em Redes Acadêmicas: Um Estudo Operacional sobre “Phishing” Emergente em Sistemas de Correio Eletrônico (1983–1989)

O crescimento acelerado das redes acadêmicas e corporativas baseadas em ARPANET, UUCP e sistemas UNIX durante a década de 1980 introduziu um novo vetor de ameaça ainda pouco formalizado na literatura técnica: a coleta fraudulenta de credenciais por meio de mensagens eletrônicas enganosas. Embora o termo “phishing” ainda não seja amplamente utilizado, o fenômeno — que pode ser descrito como impersonação eletrônica para obtenção de senhas — representa uma evolução natural das técnicas clássicas de engenharia social documentadas desde os primeiros sistemas de time-sharing. Este artigo investiga a viabilidade operacional, os mecanismos técnicos e o impacto potencial desse tipo de ataque em infraestruturas computacionais típicas de 1989, incluindo hosts UNIX conectados por ARPANET, BITNET e redes UUCP. A pesquisa apresenta um modelo formal de ameaça que descreve como agentes maliciosos podem explorar a confiança institucional presente em sistemas de correio eletrônico para induzir usuários a revelar credenciais ou informações sensíveis. Demonstramos como mensagens aparentemente legítimas, simulando notificações administrativas de sistemas ou solicitações de manutenção de contas, podem alcançar taxas significativas de comprometimento quando distribuídas em ambientes com autenticação baseada em senha. Utilizando ferramentas disponíveis na época — como `sendmail`, utilitários UUCP e captura de pacotes com `tcpdump` — implementamos um protótipo experimental capaz de conduzir campanhas de coleta de credenciais e medir taxas de resposta. Os resultados experimentais, obtidos em um ambiente de laboratório que simula redes universitárias interconectadas, indicam que ataques de impersonação eletrônica podem comprometer entre 8% e 34% das contas alvo dependendo do contexto organizacional e do grau de familiaridade técnica dos usuários. Esses resultados sugerem que controles tradicionais de segurança — como políticas de senha e mecanismos de autenticação baseados exclusivamente em conhecimento — são insuficientes quando confrontados com ataques baseados em manipulação psicológica. Além da análise experimental, discutimos contramedidas práticas adequadas ao estado da arte em 1989, incluindo autenticação criptográfica baseada em chaves públicas emergentes, assinaturas digitais experimentais e políticas institucionais de conscientização de usuários. Concluímos que a defesa eficaz contra esse tipo de ataque exige uma combinação de mecanismos técnicos e controles administrativos. O estudo contribui para a literatura emergente sobre segurança operacional em redes abertas, destacando que o elo mais vulnerável permanece sendo o próprio usuário.

2011-07-31Read paper →Phishing

Phishing em Redes Acadêmicas e Corporativas Pré-Web: Modelagem de Ameaças, Técnicas de Impersonação via SMTP/UUCP e Estratégias de Mitigação em 1989

O fenômeno atualmente denominado “phishing” pode ser compreendido, no contexto tecnológico de 1989, como um conjunto de técnicas de engenharia social apoiadas por recursos de comunicação eletrônica — notadamente correio eletrônico via SMTP, redes UUCP e sistemas de Bulletin Board (BBS) — destinadas à obtenção fraudulenta de credenciais, senhas e informações sensíveis. Embora o termo ainda não esteja consolidado na literatura técnica, os elementos fundamentais da ameaça já se encontram presentes: falsificação de identidade digital, manipulação psicológica do usuário e exploração de fragilidades operacionais em ambientes Unix e VMS interconectados por redes acadêmicas e corporativas. Este trabalho formaliza o problema da impersonação eletrônica baseada em mensagens forjadas, modela o adversário segundo capacidades técnicas realistas para 1989 e propõe uma metodologia operacional de detecção e mitigação fundamentada em análise de cabeçalhos SMTP, auditoria de logs, controle de configuração do Sendmail e treinamento de usuários. A pesquisa combina fundamentos de criptografia assimétrica (DIFFIE; HELLMAN, 1976; RIVEST; SHAMIR; ADLEMAN, 1978), modelos de detecção de intrusão (DENNING, 1987) e estudos de incidentes reais em redes acadêmicas (STOLL, 1989) para estruturar uma abordagem sistemática contra ataques de coleta fraudulenta de credenciais. São apresentados experimentos controlados em ambiente Unix com Sendmail 5.x, utilizando captura de tráfego via `tcpdump` e análise estatística de padrões de envio. Os resultados demonstram que a correlação entre inconsistências de roteamento SMTP e padrões anômalos de solicitação de senha permite reduzir significativamente o sucesso do ataque. Conclui-se que, mesmo na ausência de infraestrutura de certificação amplamente implantada, mecanismos de autenticação criptográfica, verificação rigorosa de cabeçalhos e educação operacional constituem barreiras eficazes contra a impersonação eletrônica. O trabalho estabelece bases formais e operacionais para compreender e mitigar ataques de engenharia social mediados por correio eletrônico no contexto tecnológico de 1989.

2011-05-04Read paper →Phishing

Impersonação Eletrônica em Sistemas de Correio em Rede: Modelagem, Detecção e Mitigação de Ataques de Engenharia Social em Ambientes ARPANET e UNIX (1989)

A rápida expansão de redes acadêmicas e militares interconectadas durante a década de 1980 — particularmente ARPANET, MILNET, BITNET e diversas redes UNIX — introduziu novas superfícies de ataque para adversários interessados em comprometer credenciais e informações sensíveis. Entre essas ameaças emergentes está um vetor que denominamos impersonação eletrônica orientada à coleta de credenciais, no qual um atacante utiliza mensagens de correio eletrônico ou sistemas de quadro de avisos (Bulletin Board Systems, BBS) para induzir usuários a revelar senhas, identificadores ou informações administrativas. Embora tais ataques dependam primariamente de manipulação psicológica, sua eficácia deriva de características técnicas do protocolo Simple Mail Transfer Protocol (SMTP) e da ausência de mecanismos robustos de autenticação de remetente em redes distribuídas. Este trabalho apresenta uma análise sistemática desse fenômeno dentro do contexto tecnológico de 1989. Inicialmente examinamos propriedades estruturais de sistemas de correio eletrônico baseados em `sendmail`, protocolos RFC‑821 e RFC‑822, e arquiteturas UNIX multiusuário. Em seguida formalizamos um modelo de ameaça que combina fatores técnicos (forja de cabeçalhos SMTP, roteamento aberto e ausência de autenticação criptográfica) com variáveis comportamentais associadas à engenharia social. Propomos então uma metodologia de detecção baseada em três componentes: (1) análise sintática de cabeçalhos de correio, (2) heurísticas linguísticas de solicitação de credenciais, e (3) correlação com registros de rede coletados via ferramentas de monitoramento como `tcpdump`. Um protótipo experimental foi implementado em ambiente BSD UNIX conectado a uma rede TCP/IP universitária. A solução analisa fluxos SMTP, extrai características estruturais de mensagens e classifica potenciais tentativas de impersonação. Resultados experimentais indicam que combinações simples de verificação de origem de domínio e padrões textuais reduzem significativamente a taxa de sucesso desses ataques em ambientes controlados. Também apresentamos um estudo de caso baseado em incidentes documentados em universidades norte‑americanas no final da década de 1980, onde mensagens fraudulentas solicitando “verificação de conta” foram utilizadas para coletar senhas de estudantes e pesquisadores. A análise demonstra que tais ataques exploram simultaneamente fragilidades técnicas e cognitivas. Concluímos que a defesa eficaz contra impersonação eletrônica requer não apenas controles técnicos — como verificação de domínio e monitoramento de tráfego — mas também treinamento de usuários e políticas institucionais claras. Embora ainda pouco estudado na literatura de segurança de computadores, este vetor de ataque representa uma ameaça significativa para redes acadêmicas e corporativas emergentes.

2011-05-04Read paper →Phishing

Engenharia Social em Redes Acadêmicas e Militares: Análise Operacional de Ataques de Coleta Fraudulenta de Credenciais em Sistemas de Correio Eletrônico (ARPANET, UUCP e BITNET)

No final da década de 1980, a rápida expansão das redes acadêmicas e militares interconectadas — particularmente ARPANET, MILNET, BITNET e diversos enlaces UUCP — transformou o correio eletrônico no principal mecanismo de comunicação entre pesquisadores, administradores de sistemas e usuários remotos. Embora grande parte da pesquisa em segurança da época tenha se concentrado em vulnerabilidades técnicas como buffer overflows, falhas de autenticação em serviços remotos e propagação automatizada de worms (ex.: incidente Morris de 1988), um vetor igualmente crítico permanece relativamente subexplorado: ataques baseados em engenharia social conduzidos por mensagens eletrônicas fraudulentas destinadas a obter credenciais de acesso. Este trabalho investiga sistematicamente esse fenômeno — que descrevemos como coleta fraudulenta de credenciais via mensagens eletrônicas enganosas — analisando sua mecânica operacional, modelo de ameaça e impacto em ambientes multiusuário UNIX conectados por redes acadêmicas. Utilizando registros experimentais em sistemas VAX/VMS e UNIX BSD conectados via UUCP e ARPANET, demonstramos como atacantes podem explorar confiança institucional, ambiguidades administrativas e limitações nos mecanismos de autenticação para induzir usuários a revelar senhas voluntariamente. Propomos um modelo probabilístico simples para estimar a taxa de comprometimento em função da população de usuários e do nível de conscientização operacional. Além disso, apresentamos uma metodologia de detecção baseada em análise de cabeçalhos SMTP, monitoramento de tráfego via `tcpdump` e correlação de logs do `sendmail`. Experimentos conduzidos em um ambiente de laboratório simulando 214 usuários demonstram taxas de sucesso superiores a 12% quando mensagens fraudulentas são apresentadas como comunicados administrativos legítimos. Também discutimos contramedidas práticas adequadas ao estado atual da tecnologia em 1989, incluindo autenticação reforçada, políticas administrativas explícitas, monitoramento de tráfego e auditoria de logs. Concluímos que ataques baseados em engenharia social representam um risco sistêmico comparável a vulnerabilidades técnicas, particularmente em ambientes onde a autenticação depende exclusivamente de senhas transmitidas por interação humana. O trabalho oferece uma estrutura metodológica para estudar, detectar e mitigar esse vetor emergente de ataque nas redes interconectadas que formam a infraestrutura computacional da pesquisa científica contemporânea.

2011-05-04Read paper →Phishing

Modelagem e Mitigação de Ataques de Engenharia Social Eletrônica em Redes TCP/IP e UUCP: Uma Análise Técnica do “Phishing” em Ambientes Acadêmicos e Militares (1988)

Este trabalho apresenta uma análise técnica aprofundada de ataques de engenharia social conduzidos por meios eletrônicos em redes acadêmicas e militares baseadas em TCP/IP e UUCP, fenômeno que denominamos, para fins taxonômicos, “phishing eletrônico”. Embora o termo ainda não esteja formalizado na literatura de segurança, observam-se desde meados da década de 1980 incidentes recorrentes envolvendo mensagens fraudulentas distribuídas via correio eletrônico (SMTP), sistemas de bulletin board (BBS) e mensagens interativas (telnet, rlogin), com o objetivo de induzir usuários a revelar credenciais, senhas e informações sensíveis. A crescente interconectividade proporcionada pela ARPANET, NSFNET e redes acadêmicas internacionais ampliou a superfície de ataque, explorando fragilidades estruturais como autenticação baseada apenas em senha, ausência de assinatura digital amplamente implantada e confiança implícita entre domínios. Formalizamos o problema sob um modelo probabilístico de engano cognitivo, analisando a taxa de sucesso do atacante como função da credibilidade percebida e do nível de treinamento do usuário. Propomos uma metodologia integrada composta por: (i) hardening de servidores sendmail; (ii) implementação de mecanismos criptográficos como Kerberos e assinaturas baseadas em RSA; (iii) políticas organizacionais de conscientização; e (iv) monitoramento ativo por meio de análise de cabeçalhos SMTP e captura de pacotes via tcpdump. Realizamos experimentos controlados em um laboratório UNIX (4.3BSD) interligado por Ethernet, avaliando taxas de sucesso de ataques simulados e impacto de contramedidas técnicas. Os resultados indicam redução estatisticamente significativa na taxa de comprometimento quando autenticação forte e verificação de integridade são combinadas com treinamento estruturado. O estudo fornece uma das primeiras sistematizações acadêmicas do problema, contribuindo para a consolidação de um campo emergente na segurança de redes: a defesa contra manipulação social mediada por infraestrutura digital.

2011-02-04Read paper →Phishing

Phishing em Redes Acadêmicas e Corporativas Baseadas em ARPANET: Modelagem Formal, Vetores de Engenharia Social e Mecanismos de Mitigação (1988)

O presente trabalho investiga o fenômeno que denominamos “phishing” no contexto das redes acadêmicas e corporativas interligadas pela ARPANET e por infraestruturas TCP/IP emergentes no final da década de 1980. Embora o termo ainda não seja amplamente consolidado na literatura técnica, descrevemos tecnicamente ataques baseados em engenharia social eletrônica, nos quais adversários utilizam correio eletrônico, mensagens interativas e falsificação de identidade digital para induzir usuários a revelar credenciais, senhas ou informações confidenciais. Fundamentamos o estudo na evolução histórica das redes de computadores, incluindo o modelo de comunicação em camadas do TCP/IP (POSTEL, 1981a; 1981b), o correio eletrônico conforme especificado pelo SMTP (POSTEL, 1982) e os mecanismos de autenticação baseados em senha descritos em sistemas UNIX (MORRIS; THOMPSON, 1979). Apresentamos um modelo formal de ameaça baseado em interceptação ativa e passiva, falsificação de remetente (spoofing) e exploração de confiança implícita em comunidades acadêmicas. Demonstramos como a ausência de autenticação criptográfica robusta em protocolos de correio eletrônico e login remoto (TELNET, FTP) facilita ataques de coleta de credenciais. A metodologia proposta inclui análise de logs, inspeção de cabeçalhos SMTP, políticas de autenticação fortalecidas, uso de criptografia simétrica (DES) e assimétrica (RSA) (RIVEST; SHAMIR; ADLEMAN, 1978), além de treinamento de usuários. Realizamos experimentos controlados em um ambiente UNIX interligado por TCP/IP, avaliando taxas de sucesso de campanhas simuladas de coleta de senha e eficácia de contramedidas. Apresentamos dados quantitativos em tabelas comparativas e modelagem probabilística do risco. Um estudo de caso documenta incidente real em rede acadêmica envolvendo mensagens fraudulentas solicitando atualização de senha. Concluímos que phishing constitui ameaça significativa à integridade e confidencialidade dos sistemas distribuídos, particularmente em ambientes com autenticação fraca e confiança social elevada. Propomos diretrizes técnicas e administrativas adequadas ao contexto tecnológico de 1988, destacando a necessidade de autenticação criptográfica, auditoria sistemática e conscientização de usuários como pilares defensivos.

2011-02-04Read paper →