Pescaria

São vários e cada vez mais frequentes os crimes realizados através de meios eletrônicos. Os mais comuns são aqueles em que o bandido busca algum tipo de benefício financeiro, até porque demonstrar conhecimento invadindo e pichando um website, por exemplo, não é mais tão interessante. O interesse é realmente em ganhar dinheiro. E como os controles de proteção estão cada vez mais eficientes, a maneira mais fácil é atacar o elo mais fraco.

Dentre diversas ações, os estelionatários costumam enviar e-mails falsos forjando a identidade de instituições confiáveis, tais como bancos, operadoras de telecom, empresas de cartão de crédito, órgãos governamentais, militares etc. A intenção é de "pescar" informações confidenciais do usuário. Geralmente os e-mails vêm com link que leva o usuário a um site falso, sendo induzido a instalar um malware (trojan, vírus, ...) capaz de coletar dados sigilosos. Estamos falando do phishing.

O fato é que as pessoas estão cada vez mais conectadas, cada vez mais na rede e EM rede! Dessa forma, o phishing passou a ser bastante praticado via recados de orkut (e outras redes sociais), programas de mensagens instantaneas (MSN, por exemplo) e até via SMS, o que é um problema grave, já que os aparelhos de celular (smartphones - cada vez mais populares) são verdadeiros computadores, onde pode-se armazenar muita informação.

Outra modalidade de phishing via SMS ocorre quando o atacante envia mensagens ao celular da vítima dizendo, por exemplo: "Seu cartão de crédito foi clonado. Ligue para o número XXXX-ABCD. 'Seu Banco'." A vítima, então, liga para o telefone falso indicado e uma URA (atendimento automático) pede para que seja digitado os dados do cartão e demais informações pessoais. Os dados são capturados e o prejuízo vem depois.

O phishing mais antigo parece ser aquele feito oralmente (via telefone ou não), onde alguém tenta coletar informações confidenciais se passando por outra pessoa confiável. Mas com o tempo, as pessoas acabam aprendendo com seus erros e, além disso, controles de segurança vão surgindo para evitar que um desavisado caia em armadilha. Além dos anti-vírus mais inteligentes e automatizados, os navegadores possuem recursos anti-phishing que conseguem informar o usuário se o site que ele está acessando é suspeito e pode ser instrumento de um golpe (através de uma base de dados com a reputação da URL).

Mas a mente humana, criativa e maliciosa, é sempre inovadora! A sofisticação das artimanhas não param por aí. A bola da vez é o "web phishing" (se é que podemos chamar assim): O usuário acessa um site LEGÍTIMO de uma instituição confiável, como por exemplo, o portal de um provedor de internet e, ao tentar executar alguma atividade nesse portal, esse usuário é forçado a baixar um malware que se encarregará de coletar os dados sigilosos. Fazendo uso de um site verdadeiro, ninguém (e nem o navegador com seu recurso anti-phishing) vai desconfiar de algo. O que acontece é que o atacante invade e implanta arquivos maliciosos para serem distribuídos aos usuários (a partir do site verdadeiro, sem criar site falso e gerar desconfiança).

Um ataque muito similar e bastante comum é o apelidado de GUMBLAR que também consiste na exploração de vulnerabilidades em websites de empresas legítimas para embutir os malwares. A diferença é que os malwares embutidos redirecionam o usuário, através de cross-site scripting, para websites maliciosos. Como há um site forjado, a detecção disso não é tão complicada. A coisa fica mais difícil quando se usa somente o site realmente legítimo (como no "web phishing").

Fazer uso de sites legítimos não é uma técnica nova, o que assusta é que ela vem sendo usada massivamente com muita frequencia. Muitas vezes, a invasão nem é feita diretamente no servidor e sim através de computadores infectados dos administradores que fazem uploads de códigos maliciosos mascarados em meio aos códigos legítimos.

Segundo a ScanSafe , cerca de 2000 websites legítimos com baixa segurança já foram comprometidos nos últimos meses por esse tipo de ataque. Os estelionatários dificilmente possuem conhecimento técnico para isso e não trabalham sozinhos. Eles contratam grupos hackers que fazem parte do trabalho sujo de execução do ataque e preparação das armadilhas, pagando uma quantidade bastante inferior ao montante que conseguirão arecadar acessando as contas correntes das vítimas e tranferindo valores para contas de laranjas.

O Gartner estimou em 2007 que 3,6 milhões de pessoas adultas perderam cerca de US$ 3,2 bilhões através de phishing e esse número só tem aumentado. Mas por que o phishing funciona tão bem? Pincipalmente pelos 3 motivos abaixo:

1) Os atacantes fazem uso da confiança dos usuários nas instuições confiáveis e populares;

2) A Falta de conhecimento dos usuários em segurança;

3) Displicência quanto a questões de proteção.

Conclusão: Fique ligado, o grande alvo é você e seu dinheiro!

set [a lot of changes coming] mode on

Minha lista de assuntos para escrever no "to-do.txt" só aumenta. Mas tenho uma justificativa: a vida está uma correria só e o tempo livre está curto e só me deixa fazer posts... também curtos: http://twitter.com/cassio_menezes.
Muitas mudanças pela frente. E a melhor de todas é a relacionada a imagem aí em embaixo. É só o tipo de presente que tenho ganhado ultimamente e estou muito feliz por isso.

Sim, vou ser papai!

See ya!

P.S.: Oh Minas Gerais! Sentirei muitas saudades das tuas lindas montanhas e geladas cascatas, da tua boa acolhida e do teu povo gentil. Quanta falta farão os amigos que fiz diante do teu Belo Horizonte!

Biometria X Privacidade

Já pararam para pensar como os controles de segurança e a privacidade podem estar "inversamente proporcionais"? Sim, é claro que a segurança nos traz a privacidade! Mas em muitos casos, ela pode tirar.

Imagine um sistema de controle de acesso biométrico capaz de verificar padrões cerebrais para identificar o usuário. Na Europa, já existe algo sendo desenvolvido nesse sentido. Já existem testes em controles biométricos capazes de efetuar uma autenticação através de monitoramento humano, usando indicadores biodinâmicos e análises comportamentais. Dessa maneira, difícil alguém furar o sistema, não é mesmo!?

De fato, a tendência é que os controles biométricos se tornem cada vez mais assertivos, diminuindo eventos de falso-positivo e falso-negativo e dando maior garantia de segurança. Muito justo! Mas até que ponto essas implementações podem se tornar algo intrusivo ao ser humano? Não sou médico, psiquiatra ou algo do gênero, mas imagino que através de verificações de padrões cerebrais e análises comportamentais, uma série de características sobre um ser humano podem ser deduzidas. Características que podem ir além de uma simples identificação e autenticação. É aí que surgem os questionamentos: Como esses dados são coletados? Eles são armazenados? Se sim, como (apenas um hash criptografado)? Quem tem acesso a isso?

Alguns sistemas biométricos mais comuns, como a verificação digital, não armazenam dados. Nesse caso, especificamente, apenas uma representação da digital fica registrada no sistema. Pelo menos é assim que deve ser, até por causa de implicações legais. Sobre a verificação da retina, por exemplo, que checa os padrões dos vasos sanguíneos no fundo dos olhos, existem algumas constatações que afirmam ser possível identificar algumas doenças através desse tipo de biometria ou até inferir se uma mulher está grávida.

A utilização de sistemas biométricos como fatores adicionais de autenticação, realmente trazem uma segurança a mais. Para a implantação desses sistemas, alguns pontos são extremamente avaliados: a ASSERTIVIDADE, o NÍVEL DE CONFORTO, a ACEITAÇÃO e o CUSTO. Mas eu diria que um ponto pouco lembrado nessas avaliações é a questão da PRIVACIDADE ou o quão intrusivo é o sistema de biometria.

É comum se pensar em segurança, mas olhar apenas para o próprio umbigo. Uma visão holística, de toda a cadeia é essencial para que todos os pontos necessários sejam devidamente endereçados.

Puxa o cabo!!!

(1)

Nessa semana, a mídia informou que o FBI e o US Marshalls foram acometidos por ataques de vírus (ainda desconhecido). Sabe qual foi a contramedida adotada para conter e remediar o problema? As agências se desconectarem da internet! Isso aí... "Puxaram o cabo!"

Já vimos vários casos com outros órgãos governamentais, como por exemplo, o caso do Pentágono que teve sua rede invadida e informações sigilosas foram comprometidas.

----

(2)

Semana passada, o zelador do meu prédio comentou comigo que tomou um susto tremendo ao abrir um powerpoint que recebeu por e-mail. O slide inicial pedia que ele procurasse pontos amarelos em diversas lindas imagens que apareceriam a seguir. Ele, prontamente, topou a brincadeira e foi avançando, avançando, avançando... até que, abruptamente, quem aparece? A menina do filme "Exorcista" (com aquele gritão: Uuuuááááá!!!!!)! O coitado se tremeu todo, ficou com tanto medo e adivinhe o que ele fez? Desligou o computador imediatamente. Isso aí... "Puxou o cabo!"

No dia seguinte, se deparou com o website do seu banco pedindo dados do cartão de crédito, senhas, números do cartão-token logo na página inicial. Acho que nem preciso terminar a história...

----

- Conclusão 1:

Do Pentágono ao Sr. Juquinha, ninguém está imune!

- Conclusão 2:
Nem sempre "puxar o cabo" resolve.

Por falar em pandemia...

Agora não é força de expressão e nem estou utilizando a palavra no sentido conotativo! Segundo a Organização Mundial da Saúde estamos perto de uma Pandemia, já que a epidemia de Influenza A (Gripe Suína) iniciada no México já se encontra no nível de gravidade 5. O próximo nível caracteriza a pandemia.

Para entender mais sobre os níveis de gravidade definidos pela OMS e saber mais sobre a gripe suína acesse: http://g1.globo.com/Noticias/Ciencia/0,,MUL1101145-5603,00-TIRE+SUAS+DUVIDAS+SOBRE+O+RISCO+E+A+PREVENCAO+DA+GRIPE+SUINA.html

Mapeando o assunto para o mundo corporativo, podemos afirmar que doenças que se proliferam absurdamente com grande velocidade de contaminação, podem afetar seriamente a continuidade dos negócios devido ao absenteísmo em massa. Porém, não vejo motivo para entrar em pânico no caso da gripe suína. Acredito que realmente é uma ameaça que pode se tornar grave, porém vejo muito exagero e sensacionalismo da mídia em torno deste assunto.

O fato é que as organizações precisam se preparar para evitar problemas inesperados como o caso de uma real pandemia e o momento atual nos dá a oportunidade de lembrarmos e reforçamos o que precisamos fazer em situações como essa.

A análise de impacto aos negócios é uma ação essencial para definir uma série de questões como: Qual mão-de-obra é vital para a organização? Que áreas são sustentáveis em uma situação de absenteísmo generalizado? Qual o downtime máximo para a inatividade das áreas? Tenho pessoas treinadas e aptas para substituir as infectadas? Tenho planos de exames, de testes, de isolamento e de remediação para conter a proliferação entre os colaboradores? E por aí vai... A partir disso, considerar esses inputs no momento de traçar os planos estratégicos e de continuidade de negócios é uma boa pedida.

É bom lembrarmos que toda e qualquer ação não será bem sucedida se não houver um plano de comunicação e de conscientização bem elaborado e executado de forma que todos os colaboradores da organização se envolvam, conheçam e entendam os planos para gerir uma crise como essa, além de ser fundamental que todos pratiquem as recomendações dos órgãos de saúde para prevenir a infecção.

Mudando um pouco o "rumo da prosa", já notaram como é incrível a rapidez dos "espertinhos" que se aproveitam do grande interesse da sociedade por um determinado assunto e tentam ludibriar os mais desavisados? Refiro-me principalmente a grande quantidade de spams sobre a gripe suína que temos recebido diariamente em nossas caixas.

Inicialmente, era muito comum apenas emails com links para sites de remédios, de propagandas com aqueles zilhões de pop-ups e coisas do tipo. Atualmente, os simples spams tornaram-se phishings e ameaças mais graves a dados financeiros e roubo de informações sensíveis do seu PC. Em muitos casos, os spammers se passam por órgãos legais que "solicitam" dados pessoais para um suposto cadastro de infectados ou não-infectados (ou algo do tipo) com o objetivo real de ter acesso a informações pessoais e confidenciais. Outros desses falsos emails trazem links para vídeos e fotos de pacientes em fase terminal com a gripe suína e na verdade são atalhos para worms, como, por exemplo, o velho e conhecido "banker" (que rouba dados bancários).

Enfim, cuide-se para que nem você e nem suas informações sejam afetadas pela gripe suína.

Saúde!