[Segurança] Novo ataque do momento: Fadiga de MFA

A recente invasão da Uber trouxe à tona uma tática de ataque contra usuários finais que tem se popularizado, o chamado...

MFA Fatigue

A "fadiga de MFA" (ou, como é conhecido em inglês, "MFA Fatigue"). é um ataque de engenharia social criado para burlar os controles de segunda autenticação (ou múltiplos fatores de autenticação) que estão cada vez mais comuns nas empresas. Nesse ataque, o criminoso já sabe o usuário e senha, mas tem que passar pelo controle do MFA (qualquer que seja a ferramenta de Multi-Factor Authentication usada na empresa). Então, o atacante tenta fazer login repetidamente com a credencial comprometida, gerando um grande volume de solicitações de autenticação por MFA - que é enviado para o dispositivo móvel do proprietário da conta. Isso é muito fácil de fazer se a vítimas possui o MFA com o app Authenticator da Microsoft e a autenticação é feita via push no app. O objetivo é enviar um volume grande de solicitações de autenticação até que o usuário final acabe clicando na opção de aprovar o login fraudulento ou, como no caso da Uber, seja contatado pelo fraudador fazendo se passar pelo suporte técnico da empresa, afirmando que há um problema na plataforma.

Esse vídeo curto, da empresa Reformed IT e compartilhado pelo portal CISO Advisor e pela Bleeping Computer ilustra como o ataque funciona:

O caso da Uber foi emblemático... Em Setembro deste ano a Uber descobriu que sua rede de computadores foi invadida, levando a empresa a colocar vários de seus sistemas internos de comunicação e engenharia offline enquanto investigava a extensão do ciber ataque.

A pessoa que assumiu publicamente a responsabilidade pelo ataque, possivelmente um integrante do grupo Lapsus$, enviou imagens de e-mail, armazenamento em nuvem e repositórios de código da empresa.

Segundo relatos, a invasão aconteceu graças ao envio de uma mensagem de texto para um funcionário do Uber alegando ser um profissional de tecnologia da informação corporativa. Assim, o trabalhador foi persuadido a entregar uma senha que permitiu ao atacante ter acesso aos sistemas da Uber. Após comprometer a conta o funcionário, o hacker utilizou o aplicativo de mensagens Slack para enviar uma mensagem aos funcionários da empresa anunciando a invasão e acessou a conta da empresa no portal da HackerOne para anunciar publicamente a invasão, nos relatórios de vulnerabilidades existentes.

Detalhe: o atacante fez o sistema gerar varias solicitações de MFA durante uma hora, até encher a paciência do usuário, e então ligou para ele se identificando como membro do time de IT e avisando que ele precisaria aceitar a solicitação de autenticação.

Em um ataque recente a Dropbox, mais uma vez o segundo fator de autenticação foi comprometido. O atacante conseguiu acessar os repositórios depois de enviar e-mails de Phishing aos funcionários do DropBox, supostamente originários da plataforma de desenvolvimento de software CircleCl. Os e-mails direcionavam os desenvolvedores para uma página de login maliciosa que imitava uma página de login legítima do CircleCl. A página solicitava as credenciais do GitHub, incluindo a senha única gerada usando uma chave de autenticação por hardware.

Para saber mais:

• MFA Fatigue | Já ouviu falar nisso?
• MFA Fatigue: nova tática é usada em violações de alto perfil
• MFA Fatigue: Hackers’ new favorite tactic in high-profile breaches
• Uber hacked, internal systems breached and vulnerability reports stolen
• Dropbox Data Breach Another Multifactor Fail
• Aqui no Blog: O grupo Lapsus$

[Segurança] O dia em que o segundo fator de autenticação salvou o Marcelo Tas

Recentemente, no dia 04 de Março, o Marcelo Tas publicou um tweet contando que sofreu uma tentativa de invasão na sua conta no Twitter, mas que foi evitada graças ao uso de segundo fator de autenticação:

Coincidência, ou não, outras pessoas públicas também relataram que foram vítimas de tentativas de invasão de suas contas, como no caso do jornalista Guga Chacra:

Isso pode ser mais do que uma coincidência. Pode ser uma forma de protesto político ou tentativa de calar os opositores ao atual governo.

Do ponto de vista da segurança da informação, é importante destacar que, segundo o Tas, a tentativa de acesso indevido na sua conta foi evitado graças ao uso do segundo fator de autenticação, um recurso de segurança bem conhecido, em que o Twitter exige uma senha adicional, temporária, para concluir o processo de login. Essa segunda senha deve ser obtida através do envio da senha por SMS, com o uso de um aplicativo de autenticação (como o Google Authenticator) ou por tokens físicos de autenticação.

O Twitter tem um artigo na sua Central de Ajuda que explica como ativar o segundo fator, passo-a-passo: Como usar a autenticação em duas etapas. Se você ainda não ativou esse recurso, vá no seu Twitter, Gmail, Facebook, Instagram e principais redes sociais e habilite esse recurso. É a nossa melhor defesa contra tentativas de invasão de contas.

[Segurança] World Password Day

A primeira quinta-feira de maio é considerada o "Dia Mundial da Senha" ("World Password Day"), criado para relembrar as pessoas da necessidade de criarmos senhas seguras e protegermos nossas informações.

O uso das senhas garantem a nossa autenticação no acesso a sites, aplicativos e serviços, e assim são nossa principal medida para proteger a segurança e a confidencialidade dos nossos dados. Por isso mesmo é tão importante garantir que as senhas sejam usadas de forma correta e segura.

E usar uma senha segura não é tão difícil quanto possa parecer, como mostra muito bem essas 3 dicas simples do site Naked Security:

• Escolha as senhas adequadas, difíceis de serem adivinhadas;
• Use um aplicativo gerenciador de senhas;
• Ative a autenticação de dois fatores (2FA) em seus sites e aplicativos.

Infelizmente até hoje muitos usuários cometem os dois erros mais básicos com suas senhas: usam a mesma senha e vários serviços e utilizam senhas triviais, fáceis de serem descobertas.

Veja o que o XKCD fala sobre "password reuse":

E essa tirinha, sobre como escolher uma senha forte de forma simples, é clássica e até inspirou um gerador de senha online:

Para saber mais:

• Artigo interessante: "World Password Day: is this the last one?"
• xkcd Password Generator
• 5 alarming facts in honor of World Password Day
• World Password Day 2019: The 6 Worst Password Fails
• Veja um infográfico simpático: "How strong is your password?"
• Alguns posts aqui no blog:
• Como criar a senha perfeita
• As senhas mais usadas de todos os tempos
• As piores senhas de 2018
• Perfil da senha do brasileiro

[Segurança] Fraudes em programas de milhagens aéreas

Engana-se quem acha que o ciber crime é um problema restrito aos bancos. Na verdade, os ciber criminosos tentam explorar e fraudar qualquer tipo de serviço online em que eles possam obter algum tipo de vantagem financeira.

Até mesmo os programas de milhagem aérea (que permitem trocar pontos por passagens aéreas ou até mesmo por mercadorias) podem ser explorados por ciber criminosos. Uma reportagem publicada recentemente no jornal australiano The Age descreve o caso de um cliente da compania aérea Quantas que teve as suas milhas utilizadas por fraudadores – um prejuízo que só não foi maior pois a compania aérea agiu a tempo.

O roubo de pontos de programas de milhagens aéreas é uma fraude que pode atingir milhões de usuários (a Quantas, por exemplo, possui cerca de 11,5 milhões de clientes utilizando seu programa de milhagem) e permite aos fraudadores emitirem – e revenderem – passagens sem custo, utilizando a pontuação da vítima. A vítima, por outro lado, só vai perceber quando tentar resgatar os seus pontos (para emitir suas passagens ou conseguir um upgrade).

Normalmente os ciber criminosos consequem acesso as contas de programas de milhagem utilizando mensagens de Phishing ou malwares que roubam credenciais. Veja abaixo um caso de phishing prometendo 10.000 pontos para clientes do programa TudoAzul (exemplo retirado do Catálogo de Fraudes da RNP). Engenharia social também pode ser facilmente utilizada. a reportagem lembra que ao publicar uma foto nas redes sociais de seu cartão de embarque ou da identificação de sua mala, você estará fornecendo alguns dados que podem ser utilizados por um fraudador para tentar passar por você e acessar seu programa de milhagem.

A favor dos ciber criminosos conta o fato de que os clientes de companias aéreas não tem consciência deste tipo de fraude, tomam poucas medidas de proteção (normalmente utilizam senhas óbvias) e, além disso, a maioria dos clientes raramente conferem seu saldo e utilizam seus pontos com pouca frequência, dificultando a identificação e bloqueio da fraude. Mesmo do ponto de vista das companias aéreas, muitas delas utilizam uma política de senhas bem simples em seus sistemas. Algumas, por exemplo, exigem senhas numéricas de 6 dígitos – uma combinação que pode ser adivinhada de forma fácil e rápida.

Ainda segundo a reportagem do The Age, a compania aérea Quantas está realizando um projeto piloto para aumentar a segurança no acesso de seus clientes ao portal do programa de milhagens através do uso de tecnologia de segundo fator de autenticação, aonde uma senha de acesso temporária é enviada via SMS para o celular dos clientes.