maio 31, 2026

Posts que nunca foram escritos

Periodicamente eu faço uma pequena limpeza nos meus rascunhos aqui no blog. E eu achei umas coisas antigas que estavam esquecidas aqui nos meus rascunhos :(

Normalmente, eu demoro alguns dias escrevendo os posts, que ficam como rascunho. Ou, tenho uma idéia sobre algum assunto que possa ser legal compartilhar aqui no blog, e começo ele como um rascunho. Eu tenho algumas dezenas de posts que ainda são rascunhos, inclusive alguns bem longos, que vou escrevendo aos poucos. Mas nem sempre esses rascunhos tem a oportunidade de ser publicados.

Como saber se foi invadido?
  • A good article on top IOCs was recently published on Dark Reading, comprised of 15 solid indicators of malicious activity and/or data breaches in enterprise environments.  Top 15 Indicators Of Compromise

Papo sobre senhas:
  • Quais são os principais erros das pessoas na hora de criar senhas?
    • Antes de mais nada, acho importante destacar que as senhas são a principal proteção de segurança para nosso acesso em todos os serviços online e aplicativos. E estão presentes até na hora que você passa o seu cartão de crédito no posto de gasolina. Infelizmente, em muitas ocasiões elas são nossa única proteção, então, de posse da nossa senha, um fraudador consegue acessar coisas importantes em nosso nome (como nossas redes sociais, aplicativos, etc). Aqui na Apura, nós identificamos 72 milhões de senhas vazadas de brasileiros somente em 2022, uma média de 6 milhões de credenciais por mês. Agora, em 2023, este número já subiu para mas de 10 milhões de senhas vazadas por mês. Somente em Abril deste ano, identificamos o vazamento de 10.260.915 credenciais. Isso inclui todo tipo de senha, incluindo informações de login em sites e aplicativos de celular, acesso a redes sociais e e-mails (pessoais e corporativos), e até mesmo credenciais de acesso a diversos sistemas corporativos, de empresas brasileiras. O que reparamos, na prática, é que as pessoas cometem 3 erros principais ao escolher as suas senhas: usam senhas simples, fáceis de serem adivinhadas, usam uma mesma senha para vários sites ou serviços e compartilham ela sem cuidado. Essas erros facilitam muito a ação dos ciber criminosos. Por exemplo, hoje em dia quando um ladrão rouba o seu celular, seu principal objetivo não é revender seu aparelho, mas sim acessar seus apps bancários. Para isso, a primeira coisa que ele vai fazer é buscar pela palavra senha no seu histórico de mensagens no Whatsapp, e provavelmente vai encontras algumas senhas. Ele vai testar essas senhas nos seus apps bancários, e se não der certo, vai testar combinações triviais e muito usadas, como 123456, abc123, data de nascimento, etc. Seria como se alguém roubasse sua carteira com todos os seus cartões de crédito, todos eles como a mesma senha numérica e, num deles, você anotou a senha no verso. Dá para imaginar o tamanho do estrago que pode acontecer?
  • Em geral, como os criminosos conseguem ter acesso a elas?
    • Os vazamentos de senhas acontecem, principalmente, graças a vírus especializados no roubo de senha em seus computadores e celulares (chamamos eles, tecnicamente, de "stealers") e ao vazamento de dados de empresas. Nesse último caso, está cada vez mais comum descobrirmos bases de dados expostas na Internet, em servidores em nuvem, com dados cadastrais de clientes. Ou o hacker simplesmente invade os sistemas da empresa e rouba essa base de dados. No caso dos malwares do tipo "steller", eles são plantados em nossos computadores e celulares (normalmente depois que o usuário clica em alguma mensagem falsa, de "phishing", e baixa o arquivo malicioso para seu aparelho) e monitoram todo o nosso uso de aplicativos e acesso a sites. Toda vez que acessamos uma tela de login, o "steller" copia as informações de nome de usuário e senha e envia para um computador central, controlado pelo criminoso. No final do dia, esse criminoso tem uma base de dados gigante com todas as nossas senhas usadas no dia-a-dia.
  • Pensando no ponto de vista do usuário final, a forma mais comum de ter suas senhas roubadas é quando anotamos ou compartilhamos elas, como quando você passa sua senha para um familiar por WhatsApp, ou naquele bloquinho de notas no seu celular aonde você anota suas senhas. Nesses casos, se o criminoso tiver acesso ao seu aparelho, ele descobre todas as suas senhas.
  • Quais práticas contribuem com a ação dos cibercriminosos? O que podemos deixar de fazer para dificultar a ação deles?
    • Além da falta de cuidado com as senhas, como dito na 1a pergunta, outro descuido muito comum que facilita as ações dos hackers é que muitas vítimas acabam acreditando em mensagens falsas, chamadas "phishing" (do inglês;ês "pescaria", pois o criminoso está pescando senhas na Internet), que os direcionam para sites com vírus ou sites falsos, imitando sites conhecidos. Os vírus podem roubar nossas senhas, e ao acessar um site falso, a vítima pode digitar sua senha, pensando que está no site do banco ou do seu e-commerce preferido. Os principais cuidados que devemos ter incluem o uso de senhas fortes (que sejam difíceis de serem adivinhadas), ativar o segundo fator de autenticação sempre que esse recurso existir, usar senhas únicas e, ao invés de anotar suas senhas em um bloquinho de notas, utilize um desses softwares especializados para guarda de senhas, pois eles usam criptografia para salvar nossas senhas.
      Pense na sua senha como se fosse sua escova de dentes: você não a compartilha com ninguém, troca periodicamente e não deixa jogada em qualquer lugar.
      No segmento corporativo, é importante monitorar os vazamentos de senhas e agir proativamente, bloqueando o acesso de um usuário que teve sua senha exposta. Para isso, existem ferramentas de Cyber Threat Intelligence, que monitoram os fóruns criminosos em busca desses vazamentos.
  • E o que podemos fazer? Como criar senhas fortes e, por exemplo, onde anotá-las e guardá-las em segurança?
    • A principal proteção que podemos usar é o chamado "segundo fator de autenticação", quando o site ou aplicativo usa uma segunda senha para liberar o nosso acesso, e essa senha é gerada por um aplicativo especializado ou encaminhada para você por e-mail ou SMS. Assim, mesmo quando o criminoso consegue descobrir a sua senha, ele não vai conseguir o acesso pois não terá essa segunda senha. Além disso, como todos nós temos que decorar centenas de senhas, o ideal é usar uma ferramenta especializada para guardar essas senhas de forma segura, que chamamos de "gerenciadores de senha". Há ótimas ferramentas gratuitas no mercado.
  • Para garantir uma senha forte, "blindada contra cibercriminosos", a minha sugestão mais prática é que você pegue a sua senha favorita, aquela que você já está acostumado, e troque alguma letra maiúscula por minúscula, inclua no meio dela alguns números e dois ou três caracteres especiais (como o ponto, hífen ou vírgula, por exemplo). Assim, você consegue criar uma senha muito mais difícil de ser descoberta, mas não perde tanto a facilidade de lembrá-la.
  • Para refletir: essa tendência de mais invasões aos nossos sistemas através de exploraçào de senhas já era esperada diante da digitalização do país? Ou se deve mesmo à falta de atenção e cuidado dos usuários?
    • Sim, o crime cibernético acompanha a evolução das tecnologias e se adapta rapidamente. A digitalização do nosso país, que já era uma tendência natural, foi muito acelerada no período da pandemia, quando muitas pessoas foram obrigadas a usar serviços online pela primeira vez de forma rotineira. Em muitos casos, eram pessoas que não estavam acostumadas com as malícias do mundo digitaram que acreditavam em qualquer mensagem que recebessem e clicavam em qualquer link indiscriminadamente. E o crime acompanhou essa tendência, com um crescimento significativo nesse período para, justamente, tentar pegar esses novos usuários. A própria Febraban noticiou um aumento de 80% nos golpes de phishing durante a pandemia. Por isso mesmo, é muito importante sempre fazermos ações para educar e conscientizar o cidadão comum sobre os riscos online. Navegar na Internet é como andar numa rua no centro de São Paulo: você pode sair duma loja, dobrar uma esquina e cair numa rua perigosa, com risco de ser assaltado.
Sobre o mercado de vulnerabilidades e bug bounty (informações de 2017):
Segue uma pequena coletânea de notícias de 2018 e 2019 que exemplificam o grau de sofisticação e diversidade do ciber crime brasileiro, aonde qualquer empresa de qualquer setor pode ser uma vítima:
Postado por em

Nenhum comentário:

Postar um comentário

Assinar: Postar comentários (Atom)
Creative Commons License
Disclaimer: The views expressed on this blog are my own and do not necessarily reflect the views of my employee.