Hacker invadindo sites? A história se repete.

Você não se lembra da historinha dos três porquinhos? 

Pois é, é o mesmo que estamos vendo acontecer com as invasões de poderosos sites. O problema não está no Lobo mau, este segue seu instinto. O que precisamos estar atentos é como proteger de forma correta os valores que cada site guarda. São as informações sensíveis, dados de clientes, comprovantes de transações etc.

Está clara a situação: estão construindo os muros de proteção de maneira errada, com material impróprio.   E como  as duas primeiras casas dos  porquinhos,  as barreiras de segurança dos sites são destruídas com um sofro. Simples assim. Para os hackers não há nenhum esforço para transpor a barreira de segurança desses sites.

E no caso dessas invasões, os hackes deixam clara a fragilidade dos sistemas e dão alertas sobre a falta de segurança a que os usuários dos sites estão expostos em função das falhas nos projetos de segurança.

Os hackers, que expões essas falhas de segurança, na verdade prestam um valioso serviço aos proprietários dos sites e à população, porque eles expõem a fragilidade a que a empresa e seus clientes estão sujeitos. No entanto, outros podem estar utilizando as mesmas brechas de segurança para capturar dados de forma ilícita. Essas mesmas informações acessadas com facilidade podem estar sendo utilizadas não para ridicularizar a empresa ou instituição, mas para ações criminosas para obtenção de benefícios financeiros etc.

Os projetos de segurança tem muitos aspectos a serem considerados, são complexos e precisam ser realizados por pessoas experientes e capacitadas para isso.  Não dá para improvisar nesse setor ou utilizar profissionais sem capacitação.

Esses projetos por vezes acabam falhando também na seleção dos fornecedores. Muitas vezes as empresas delegam a seleção dos insumos à área de compras que não faz a menor ideia do que esta comprando.

Os certificados digitais SSL, aquele que identifica e protege os dados das informações trafegadas nos sites é um dos importantes itens de segurança da informação. Neste item em especial, estamos acompanhando o surgimento de novas autoridades certificadoras  que emitem os certificados e muitos revendedores de um lado e do outro compradores que não tem conhecimento do que é um certificado digital.

Na busca de preços mais acessíveis e por falta de conhecimento técnico sobre o que é um SSL, trocam o certo pelo duvidoso. Não, não, não: Trocam o forte pelo fraco e expõe suas empresas e clientes.

Os novatos do mundo eletrônico então, são os alvos mais fáceis dos emergentes fornecedores de segurança. 

Não conhecem o histórico das empresas e estão mais voltados para as possibilidades de comunicação com seus públicos, cuidam muito de SEO, dos indicadores, das  campanhas de remarmkt etc, etc etc e a infraestrura fica relegada ao segundo plano. Os sistemas de segurança vendidos em caixinhas, aparentemente são seguros, simples e baratos e ai.... vem os hackers e brincam com essas marcas. Marcas dos fornecedores e de quem compra o gato por lebre.

Conclusão: O mundo eletrônico é fascinante.  Facilita a nossa vida, oferece mil oportunidades, muitas formas de interação com os clientes e comunidades específicas, mas existem regras que precisam ser respeitadas. A segurança da informação é a mais importante delas. Atenção!

Recomendação de leitura para a semana: o livro “ O Lobo mau e dos três porquinhos”.

É remediando que se aprende. Hackers invadem Twitter da Bovespa

Regina Tupinambá

A invasão no Twitter da Bovespa hoje, dia 24 de fevereiro, foi uma ação que poderíamos chamar de "institucional" do grupo Anonymous, que ganhou notoriedade após iniciar uma “guerra” em defesa do Wikileaks. 

Grave seria se tivessem divulgado informações que influenciassem tendências em aplicações financeiras. O caminho dos hackers para a publicação de falsas notícias seria o mesmo.

Trabalho com TI, mais precisamente em segurança da informação há muitos anos e nunca divulguei terror para vender segurança, mas fato é que os frequentes vazamentos de informações e "pichações" em sites  e em páginas de redes sociais de organizações consagradas não nos faz mais terroristas em causa própria. 

A realidade esta ai estampada todos os dias nas páginas da grande rede.  Já é hora das organizações entenderem que se precisam aderir à Internet, que façam corretamente.

Já dizia minha bisavó, é melhor prevenir do que remediar.

Assim como as empresas colocam trancas em seus portões, seguranças armados, sistema de filmagens, sensores de presença em seus corredores  etc. Na WEB precisam se cercar de mecanismos adequados. Tecnologias já existentes, comprovadas e disponíveis.

Eu me admiro até hoje com a ousadia de empresas de grande porte, muitas empresas de grande porte, diga-se de passagem, que sequer utilizam corretamente os certificados para servidores, os chamados certificados SSL ( Secure Sockets Layer). Aquele cadeadinho que aparece na barra inferior ou superior dos navegadores.

Esses certificados digitais têm basicamente duas finalidades: identificar o site de forma inequívoca  e proteger com a criptografia os dados trafegados entre os usuários do site e os servidores web da organização.

Utilizar no site da organização um certificado digital emitido para a empresa que produz o site é um total desrespeito aos visitantes deste site por que essa prática impede a verificação da autenticidade e a identidade do site visitado. 

Isso parece básico, mas este procedimento é utilizado até hoje a exemplo de uma das líderes mundiais do seguimento de refrigerantes. Incrível, investe fortunas em sua imagem nos meios de comunicação e não sabe utilizar adequadamente a Internet. Sim, porque ai não se trata de economia, mas de total falta de conhecimentos das boas práticas de segurança e o protocolo de conduta ética no meio eletrônico, entre eles a Internet.

De forma alguma faço apologia aos hackers, mas se nós da indústria de segurança da informação não conseguimos chamar atenção para os riscos de se colocar um site no ar ou uma página nas redes sociais, trafegar documentos eletrônicos sem criptografia,  eles, os hackers, estão ai para ensinar. Sendo assim, é “remediando” que se aprende. 

No caso específico do episódio da Bovespa não se trata de desconhecimento porque a Bovespa é uma das  instituiçôes que melhor cuida dos aspectos de segurança e confiabilidade na internet. O Twitter é que não está preparado para o uso corporativo, pois deveria ter a possibilidade das empresas controlarem melhor suas publicações com certificados digitais e não com frágeis senhas .

Regina Tupinambá 

Artigos escritos por mim expressam, exclusivamente, minha opinião pessoal sem vínculo a nenhuma organização 

 

Leia:@rtupinamba @g1seguranca Hackers invadem Twitter da Bovespa... linkedin.com

Hackers montam rede para comercializar cartões e dados bancários

De acordo com relatório divulgado pela Panda, os criminosos vendem informações de cartões de crédito roubados a partir de US$ 2 na internet..

Em 2010, os cibercriminosos sofisticaram sua atuação, de acordo com um relatório emitido pela PandaLabs, laboratório da fabricante de soluções para segurança Panda Security. 


O documento informa que os hackers comandam hoje uma rede mundial com mais de 50 estabelecimentos online, voltados à distribuição de dados bancários e números de cartões de crédito roubados.

Os serviços oferecidos pelos criminosos incluem ainda a comercialização de senhas para acesso ao sistema bancário, máquinas para clonagem e até ATMs (caixas eletrônicos) falsos.

Segundo a investigação conduzida pelo PandaLabs, os hackers – que são acessados por meio de fóruns e chats – comercializam hoje dados de cartão de crédito a partir de apenas US$ 2. 

As ofertas da rede de cibercriminosos incluem também a clonagem de cartões, a partir de US$ 180, máquinas para clonagem de cartões, por US$ 200, e caixas eletrônicos falsos, por US$ 3,5 mil.

O estudo aponta que uma oferta que impressiona é o serviço desenvolvimento de lojas online falsas para obter dados bancários e dinheiro dos usuários. Além da criação dos ambientes falsos, os cibercriminosos oferecem serviços para posicionar as lojas nos principais mecanismos de buscas na internet.

Tabela de preços praticados pelos cibercriminosos*

Produto	Preço
Dados de cartões de crédito	De US$ 2 a US$ 90
Cartões de crédito físicos	A partir de US$ 180
Máquina para clonagem de cartões	De US$ 200 a US$ 1.000
Caixas eletrônicos falsos	A partir de US$ 3.500
Credenciais bancárias	De US$ 80 a US$ 700
Credenciais de lojas online/plataformas de pagamento	De US$ 10 a US$ 1.500
Design e publicação de lojas online falsas	De acordo com o projeto
Aluguel de envio de spam	A partir de US$ 15
Aluguel SMTP	De US$ 20 (mensal) a US$ 40 (trimestral)
Aluguel VPN	US$ 20 por 3 meses de uso

* Fonte: PandaLabs/ Olhar Digital

Cuidado: sua organização pode ir parar no WikiLeaks!

O título completo deste comentário é: Cuidado: a informação da sua organização pode ser enviada para o WikiLeaks!

Sim, você leu correto. Diferentemente do que a maioria das pessoas pensam, não é o WikiLeaks que vai buscar a informação da sua organização. O WikiLeaks não tenta retirar e nem retira informação confidencial da sua organização.

As informações confidenciais é que vão para o WikiLeaks! Mas como isto acontece? Mágica? Calma, não existe nenhuma mágica!

As informações das organizações vão para o grande repositório público de dados, chamado WikiLeaks, enviadas por usuários dessas organizações e autorizados a acessar as informações das mesmas. O WikiLeaks garante o anonimato desses usuários. É uma espécie de “disque denúncia”. Seria um “disque informação e jogue no ventilador da Internet”.

O WikiLeaks se propõe a ser um divulgador de informações de empresas e governos no que tange a corrupção, a abusos organizacionais, ações que prejudiquem a humanidade ou grupos que controlam a humanidade e outras informações que mereceriam (segundo seus editores) ser de conhecimento de todos.

O WikiLeaks ganhou dois prêmios importantes, da revista Economist e da Anistia Internacional, e começou a incomodar os EUA quando neste ano de 2010 revelou abusos do exército americano no Iraque e no Afeganistão. Evidentemente existe uma linha muito tênue no julgamento do que deveria ser de conhecimento da população do mundo e do que não deveria ser divulgado para não colocar vida de pessoas em perigo.

Mas, o formato do WikiLeaks está divulgado e outros serviços equivalentes poderão ser criados em todo o mundo, e alguns podem ser voltados exclusivamente para organizações como a sua ou na qual você trabalha.

Enfim, sua organização pode ter informações disponibilizadas no WikiLeaks (ou similar) desde que usuários autorizados entendam que sua empresa não está agindo corretamente e podem divulgar para todos os internautas.

Baseando-se nas informações disponibilizadas, fica bem claro que um dos problemas principais é a falta de avaliação constante nos controles existentes. No caso das informações do governo americano, o vazamento foi feito por dois soldados que tinham acesso às correspondências (telegramas) dos diplomatas americanos.

Aparentemente esses soldados não precisariam ter acesso sempre a todas as correspondências/comentários de diplomatas americanos em todos os países do mundo. É muita abertura! Neste sistema, existem (ou existiam na época dos vazamentos) dois milhões e quinhentos mil usuários autorizados a acessarem estes “telegramas” diplomáticos. Isso parece ser uma quantidade exagerada de usuários que vêem tudo desse sistema, mesmo para os padrões norte americanos.

Mas, voltando para a sua organização, o que fazer? Em um dos meus livros já publicados, eu tenho um capítulo que dedico ao tema: “Alguém autorizado vai acessar!”. Onde indico que em um processo de segurança da informação, pessoas terão acesso às informações confidenciais e secretas. A questão é que não precisa ser todos os usuários!

O controle de acesso à informação deve garantir que apenas aqueles usuários que realmente necessitam da informação para o desempenho profissional na organização, é quem deve ter este acesso. Sem choro nem vela! E sem levar para o lado pessoal! Não precisa ter acesso: não tem acesso! Pode ser o presidente da empresa.

Se o presidente de um banco não tem como responsabilidade funcional fazer transferências de dinheiro entre bancos, ele não terá acesso à transação de transferência de dinheiro entre bancos. Não é uma questão de hierarquia. É uma questão de tratamento profissional para a proteção da informação.

Quando se discute acessos à informação nos deparamos com o mito: é somente leitura. Pois leitura por pessoas que não devem ter acesso pode fazer tanto mal quanto uma alteração indevida.

Sendo pragmático, verifique se na sua organização existem acessos autorizados de usuários que já saíram da organização ou que mudaram de função profissional. Estes acessos devem ser cortados imediatamente.

Faça uma revisão periódica dos acessos à informação. Uma revisão a cada seis meses é uma boa recomendação.

Registre todos os acessos realizados, mesmo os acessos de somente leitura.

Conscientize seus usuários sobre a responsabilidade deles em relação ao sigilo da informação.

Crie um canal onde o usuário possa (com garantia de anonimato, se ele quiser) denunciar abusos, ações incorretas e outras situações que o incomodam. Que tal criar um WikiLeaks interno? Se criar, me mande um email pois gostaria de saber.

Principalmente: tenha um processo de segurança contínuo, permanente e com profissionais habilitados. Isto custa dinheiro? Claro que sim! Custa dinheiro!. E custa mais do que dinheiro, custa recurso como o tempo e a atenção da direção da organização. Mas, é infinitamente menor do que o impacto financeiro ou de imagem, em não ter este processo de segurança da informação.

E finalmente, tenha as melhores pessoas trabalhando para você. Sempre haverá alguém que terá (e precisa ter) acesso às informações confidenciais e secretas. Por isso invista nas pessoas e mantenha os controles.

Não sei detalhes, mas entendo que as pessoas que sabem a fórmula da Coca-Cola são consideradas totalmente confiáveis por esta companhia. Mas, reza a lenda de que nenhuma delas sabe a fórmula sozinha. Não se brinca com os segredos da organização.

Não se esqueça do ditado popular: “Um olho na missa e outro no padre!”

Abraços,

Edison Fontes, CISM, CISA

Núcleo Consultoria em Segurança

edison@pobox.com 

Leia Também: Que Hacker resiste a tanta facilidade?

Hackers podem sequestrar seus dados e exigir resgate; saiba como - Segurança - IDG Now!

Por PC World US

Publicada em 30 de novembro de 2010 às 09h00

Um ataque ransomware utiliza um cavalo de Tróia para criptografar todos os seus dados, e então exige um resgate para devolvê-los.

Malware é, essencialmente, para roubar dinheiro. Enquanto os programas spyware secretamente capturam teclas e dados sensíveis do usuário, os ataques de phishing tentam enganar o internauta para que ele entregue essas informações voluntariamente. Já o golpe ransomware utiliza uma tática muito menos sutil para exigir dinheiro diretamente em troca do retorno seguro de dados sequestrados.

Um ataque ransomware utiliza um cavalo de Tróia para criptografar seus dados, e então exige um resgate para devolvê-los. Um post no blog SecureList explica que 'este tipo de malware é muito perigoso, porque as chances de ter seus dados de volta são muito baixas. É quase o mesmo que apagá-los para sempre de seu HD.'

O ataque mais recente desse tipo parece ser uma variante do Trojan Gpcode que fez reaparece todo ano para extorquir dinheiro. Um sistema comprometido por ele exibe um pop-up do Bloco de Notas, ou muda o fundo da tela para exibir uma mensagem que diz: 'Atenção! Todos os seus arquivos pessoais foram criptografados com um forte algoritmo RSA-1024 e você não pode obter acesso a eles sem fazer o que queremos!' Este aviso é seguido por mais instruções para ler um arquivo de texto que explica que um resgate de US$ 120 é necessário para obter a chave de descriptografia.

Antes, esse tipo de ataque criava uma cópia criptografada do arquivo, mas deixava intacto o original. Esta última versão, no entanto, criptografa o arquivo original - tornando os esforços de recuperação significativamente mais difíceis, senão impossíveis.

Ao ver um aviso desse tipo, o usuário deve desligar o PC imediatamente, inclusive puxando o plug elétrico da tomada, se necessário. Como o malware trabalha em segundo plano - você pode ser capaz de salvar alguns dos dados.

Dependendo dos dados que estão sendo mantidos reféns, os US$ 120 podem parecer um resgate razoável. Se você considerar a quantidade de esforço necessário para tentar salvar os dados, ou a tentativa de quebrar o algoritmo de criptografia, essa quantia pode até ser um troco.

Por isso, lembre-se sempre: seus dados devem ser salvos em uma mídia externa. Se você fazer backup regularmente, você pode simplesmente eliminar o Trojan do sistema comprometido e restaurar tudo com a partir das cópias.

Tony Bradley
Fonte: IDGNOW