[Segurança] Invadiram a minha conta! E agora?

A Polícia Civil do Distrito Federal (PCDF) possui uma cartilha bem objetiva e didática para orientar as pessoas que perderam o acesso às suas contas em redes sociais.

A cartilha "Invadiram a minha conta! E agora?" está disponível para download gratuitamente, em PDF. Ela traz orientações gerais e quais os passos de recuperação caso sua conta seja hackeada no Instagram, Facebook e Whatsapp, orientando como entrar em contato com o suporte dessas plataformas.

Para se proteger, a cartilha recomenda o uso de senhas fortes, que habilite a autenticação em duas etapas e ficar atento a atividades suspeitas.

[Segurança] Os memes da treta do X

A menos que você viva numa caverna, você está sabendo que a rede social X, o antigo Twitter, foi bloqueado no Brasil por ordem judicial, emitida pelo STF. Além disso, ficou proibido acessar a rede X, mesmo com o uso de VPN ou qualquer outra ferramenta, sob pena de multa de R$ 50 mil.

O meu objetivo aqui não é discutir sobre o assunto, pois envolve também polêmicas e posições políticas, e quando entramos nessa discussão, acaba a seriedade e a objetividade.

Então... vamos falar sobre memes... rs... desde os primeiros momentos, eles já surgiram e pipocaram nos grupos de WhatsApp:

• Os usuários ficaram em dúvida:

• O bloqueio de uso de VPN também gerou muita treta:

• Os golpes sobre o assunto já começaram a surgir, em mensagens do Musk pedindo ajuda para pagar as multas e, mais recente, mensagens falsas cobrando a multa por acessar o Twitter (será que alguém realmente caiu nisso? kkkkkkkk):

• Já surgiram iniciativas de protesto, como a galera de outros países acessando o X só para gerar tráfego e aumentar a dificuldade de monitoração. E um perfil para, supostamente, desmascaras o ministro Alexandre de Moraes:

Algumas das notícias relacionadas:

• Elon Musk encerra operação do X/Twitter no Brasil e demite funcionários
• Alexandre de Moraes determina suspensão do X (Twitter) no Brasil
• X, o ex-Twitter, sai do ar em todo país após decisão de Moraes
• Bloqueio do X reduz posts a um terço da média, mas não zera atividade de brasileiros
• STF aprova, por unanimidade, manutenção do bloqueio do X (Twitter) no Brasil
• Uso VPN no trabalho e entrei no X/Twitter. Vou ter que pagar multa?
• Threads começa a sentir mais a presença de “tuiteiros” com X bloqueado no Brasil
• Concorrente do X, Bluesky teve um milhão de novos usuários em três dias
• X (Twitter) também enfrenta bloqueio e restrições em outros países; veja quais
• Hackers atacam Anatel em retaliação ao bloqueio do X
• STF, Anatel e PF relatam que foram alvo de ataque hacker nos últimos dias
• Ataque hacker afeta PF e escritório de família de Moraes após bloqueio do X
• PF investiga ataque hacker contra a corporação; STF e Anatel também foram afetados
• Hacker que atacou Venezuela lançou DDoS contra STF
• STJ é alvo de novo incidente cibernético contra administração pública
• STJ sofre ataque hacker; tribunal diz que não houve prejuízos
• Rádios e sistemas da PMDF ficam fora do ar em “possível” ataque hacker
• Hacker afirma ter derrubado hoje aplicações “gov.br”
• Sites do governo federal ficam fora do ar; Serpro apura causas
• PF apura exposição em massa de dados pessoais para intimidar delegados
• GOV.br foi alvo de ataques DDoS e sites deixaram de funcionar

PS: Post atualizado em 13/09, pois estou aproveitando este post para registrar as notícias relacionadas aos ciberataques realizados contra o governo para protestar contra o bloqueio do X no Brasil. 

[Segurança] Mais um influenciador hackeado para aplicar golpes

Recentemente o influenciador Raphael Vicente (@raphaelvicente), que tem mais de 1 milhão de seguidores no Instagram, publicou alguns stories em seu perfil promovendo um jogo online e um suposto esquema de “investimento“ que, na verdade, é um golpe já bem conhecido, que promete retornar dinheiro com transações via Pix - conhecido como "Robô do PIX" ou "Urubu do Pix".

  

Os posts no story eram bem feitos, usando imagens do próprio influenciador. Provavelmente por conta de reclamação dos seus seguidores, também foi feita uma publicação no perfil confirmando a "veracidade" dos stories suspeitos.

Para quem está mais atento, era muito óbvio que a conta dele no Instagram havia sido invadida para publicar essas chamadas promovendo golpes. Foram publicados dois conjuntos de posts:

• Alguns stories faziam propaganda de um jogo online que, supostamente, retornava dinheiro na medida em que a vítima jogava. Nesse tipo de golpe, os criminosos pedem que a vítima faça depósitos em dinheiro no jogo, prometendo que ela receberá muito dinheiro rapidamente. A vítima acumula créditos no jogo, mas o resgate do dinheiro nunca acontece;
• Um story com um suposto investimento em PIX, em que a pessoa faz uma transação (ex, de R$ 300) e receberia imediatamente uma quantia maior (R$ 1.000, por exemplo). Para dar credibilidade ao golpe, o post dava a entender que o ganho de dinheir era fruto de transação com criptomoedas pela Binance (que, obviamente, não é verdade).

   

No dia seguinte, 01/12, o Raphael recuperou o seu Insta e publicou um vídeo em seu story explicando o ocorrido. Os stories anteriores promovendo os “investimentos” fraudulentos sumiram, o post de esclarecimento foi apagado e a descrição da Bio dele voltou ao normal (no dia do golpe a bio apresentava com um link para o site do suposto jogo). No dia d incidente ele avisou no Twitter (x) que sua conta no insta tinha sido invadida.

Segundo as explicações do próprio Raphael divulgadas em seu story, alguém consegui clonar a sua linha telefônica (provavelmente através do golpe do SIM Swap ou da portabilidade), e assim obteve acesso ao seu Whatsapp e sua conta no Instagram. Além dos golpes aplicados pelo Instagram, ele disse que tentaram pedir dinheiro emprestado para seus conhecidos, via Whatsapp.

Não é a primeira vez que esse tipo de golpe acontece. É muito comum, na verdade, criminosos invadirem contas em redes sociais com muito seguidores para promover golpes disfarçados de falsos esquemas de investimento. 

Infelizmente, por ganância, muita gente ainda cai nesses golpes. Não existe forma de ganhar dinheiro fácil, nenhum investimento milagroso pode retornar altos lucros imediatamente.

Além do incidente em si, que provavelmente fez muitas vítimas devido a reputação do Raphael Vicente, é lamentável o longo tempo que as empresas de telefonia e redes sociais geralmente demoram para atender o cliente e recuperar seu acesso quando suas contas são comprometidas.

[Segurança] Olha o golpe do falso investidor

Uma reportagem recente do portal 6 Minutos falou sobre o caso que aconteceu com o influenciador financeiro Murilo Duarte, dono do canal Favelado Investidor: um fraudador entrou em contato com seus seguidores oferecendo para investir dinheiro para eles.

O fraudador, inicialmente, criou um perfil fake no YouTube para se passar pelo dono do canal, usando o mesmo nome e mesma foto do perfil real. Com essa conta, o fraudador passou a comentar os vídeos do canal e entrava em contato direto com os demais usuários, passando um número de WhatsApp aonde ela pedia para transferir dinheiro que ele (o fraudador) iria realizar investimentos para ela.

Para evitar esse golpe, a primeira coisa é sempre desconfiar. Desconfie de promessas de ganho de dinheiro fácil. Ao ser contactado por alguém, tente verificar se é a pessoa real, se o perfil não é fake. 

PS: Eu procurei alguma informação sobre esse golpe no perfil do Favelado Investidor no Twitter e no seu canal do YouTube, mas não encontrei. Mas, na minha busca, achei essa notícia de janeiro do ano passado em que um perfil falso no Instagram, em nome do Mercado Bitcoin, tentava aplicar golpes nos clientes da empresa, oferecendo lucros de 30% para depósitos em Bitcoin. Achei interessante citar isso para lembrar que esses golpes não são novidade.

[Carreira] Como turbinar o seu perfil no LinkedIn

O perfil dos DevCansados no Twitter publicou uma sequência bem legal com algumas dicas de como melhorar o seu perfil no LinkedIn e, assim, ajudar na busca por oportunidades de carreira. Afinal, o LinkedIn é uma rede social profissional muito utilizada no mercado de tecnologia, e que serve tanto para se conectar com colegas como para você se destacar no mercado. Ele é a sua "vitrine profissional", e deve transmitir seriedade na medida certa (mas também não precisa ser super formal).

Sem exageros, podemos dizer que atualmente o LinkedIn já substituiu o tradicional "Curriculum vitae" (CV).

Veja abaixo uma transcrição das dicas deles, com alguns comentários extras meus:

• Nome: Coloque seu nome e sobrenome reais, com a primeira letra em maiúscula, por favor. Não coloque nomes zoeira, nem apelidos. Certo: Devs Cansados Errado: devscansados / Sommelier de Bugs;
• É "cafona" colocar suas certificações ao lado do nome. Não seja esse tipo de pessoa - a menos que você tenha feito um doutorado ou PHD foda, em uma Universidade mega-foda. Mesmo assim, não faria mal mostrar humildade;
• Foto: Coloque uma foto de perfil legal, mas que pareça mais sério, sem efeitos. Não precisa ser uma foto de terno e gravata, basta uma foto normal, com aspecto neutro, e de preferência, centralizada. Bem iluminada, sério ou levemente descontraído;
• Perfil: Esse é o coração do que deve destacar em seu perfil. É muito importante oferecer o máximo de informações relevantes sobre a sua carreira e educação. Cuide direitinho da sessão "Experiência Profissional", a mais importante de todas!! Aqui, você vai colocar todas as suas experiências profissionais relevantes - aqui o DevCansados sugere incluir "mesmo que tenha alguma que não seja na área", mas isso fica a seu critério. Eu só incluiria se fosse para demostrar que tenho mais tempo de experiência profissional além do tempo que atuo na área, ou se for algo que complemente ou valorize a minha experiência atual. É importante detalhar toda a experiência sua, colocando ferramentas, linguagens, metodologias usadas e etc… Dessa forma, por exemplo, se você for um dev Java, você evita uma oferta de QA, por exemplo, e ajuda os recrutadores de cada área;
• Educação: Nessa seção, coloque somente educação de nível técnico para cima. Cursos e certificações possuem outra sessão. Se você passou por diferentes áreas (ex: biomedicina e TI), não coloque o curso de biomedicina, pois é uma informação irrelevante para vagas de TI;
• Competências: Coloque todas relevantes para sua profissão, e 3 das mais fortes para ficar em destaque. Elas vão ser exibidas em todas as visitas do seu perfil. Coloque apenas as competências de sua área. Se você é dev, não faz sentido colocar “cozinheiro”. Você também pode conquistar uma medalha do Linkedin dessa competência. Na nossa área, tem diversas medalhas, java, node, agile… É uma prova de 15 questões, e se você passar, esse emblema é mostrado no seu perfil. Se vc errar, não mostra e você pode tentar novamente;
• Licenças e Certificações: Aqui é sua hora de brilhar! Coloque todos os cursos e certificações relevantes que tiver. Se tiver credencial, se tiver link, coloca também. São suas informações complementares, mas também são oportunidade para se destacar!
• Idiomas: Fala mais de uma língua? Você pode adicionar essa informação na sessão de conquistas, além de poder criar seu perfil do Linkedin nessa língua também. Ou seja, se você configurou em Português e Inglês, um recrutador com o Linkedin em Inglês, vai ver seu perfil em Inglês;
• Escrever o perfil em Português ou Inglês? Na verdade, use a língua que você domina. Preferencialmente, escreva sua bio e suas informações em inglês (se você domina a língua), assim mais gente vai poder visualizar o seu perfil. Mas, se você não é fluente, tudo bem em deixar tudo em Português. O importante é que não tenha erros gramaticais!
• URL do perfil: pode configurar a URL também, para não ficar aquela URL gigante e você mesmo pode criar uma personalizada. É uma boa dica;
• Recomendações: É bom ter algumas recomendações de colegas e antigos gestores em seu perfil, mas sem exageros. Peça recomendação somente para pessoas com quem você trabalhou e teve uma experiência positiva. É melhor ter poucas recomendações sinceras do que muitas que não dizem nada com nada;
• Participação em eventos: Se você assistiu um evento, não coloque, pois isso não é relevante. Na minha opinião, esse é um erro muito comum. Só inclua informações sobre isso se você palestrou ou organizou um evento;
• Aproveite para publicar posts e, até mesmo, artigos em seu perfil no LinkedIn. Compartilhe informações relevantes, que mostrem seus conhecimentos e que você está antenado no mercado.

Mesmo sendo uma rede social profissional, o mais importante é que seu perfil reflita quem você é e também a sua personalidade. Não deixe isso escapar por conta de regras ditadas por outras pessoas.

[Segurança] Golpes bancários mais comuns

Recentemente eu escrevi aqui no blog sobre os golpes financeiros mais comuns na pandemia. Como estamos na Semana de Segurança Digital organizada pela Febraban, eu quero aproveitar para lembrar esse assunto. As vezes, por mais óbvios que os golpes pareçam ser,  a quantidade de pessoas que caem como vítimas é impressionante.

Alguns dos golpes financeiros mais comuns contra os usuários finais são bem conhecidos de todos nós:

• Mensagens de phishing, para tentar obter credenciais de acesso através de links ou anexos maliciosos;
• Golpe do WhatsApp, solicitando empréstimo em dinheiro para parentes e amigos
• Perfis falsos nas redes sociais, que oferecem falsas promoções ou tentam contactar os clientes de bancos ou empresas para obter suas informações ou conseguir sequestrar o WhatsApp;
  
  
  
  
  
• Falso atendente do banco, que liga para o cliente e usa engenharia social para tentar obter as senhas bancárias (veja mais aqui);
• Golpe do falso motoboy, quando o falso atendente liga para o cliente, diz que o cartão foi clorado ou sofreu fraude. Por isso, diz que bloqueou o cartão de crédito ou débito atual e oferece para enviar um motoboy para retirar o cartão. Na verdade, o motoboy é um criminoso e a vítima entrega o cartão para ele! (veja mais aqui)
• Boletos falsos: Atualmente, graças aos bancos digitais, é muito fácil para qualquer cliente criar boletos. Os criminosos aproveitam essa facilidade para criar um boleto para receber dinheiro em sua conta (normalmente uma conta criada em nome de laranja ou com documentos falsos) e cria uma imagem para que o boleto pareça uma cobrança real de alguma empresa conhecida (os mais comuns são as contas de telefone e Internet). Por isso, sempre valide um boleto antes de pagar;
  
  
  
  
  
• Falsas promoções nas redes sociais - os criminosos criam perfis falsos nas redes sociais para expalhar falsas promoções das mais diversas formas!

Nessa live realizada recentemente pelo Dr. Walter Capanema com o Professor Juliano Madalena, da Fundação Escola do Ministério Público, eu gostei da forma que ele, didaticamente, classificou os ciber crimes (logo no início da live) em 2 tipos:

• Crimes de baixa complexidade: aqueles crimes que não exigem um grande conhecimento técnico para serem realizados pelo criminoso, tais como os crimes contra a honra (ex: bullying), crimes ódio ou preconceito, de ameaça (ex: sextorsion), as fake news, etc. Eles não demandem um conhecimento tecnológico e são muito simples de serem realizados por qualquer pessoa, mas há um grande desafio de analisar esses crimes frente ao argumento da liberdade da expressão;
• Crimes de alta complexidade: são os crimes que exigem um conhecimento técnico mínimo para serem praticados, desde a capacidade de criar um site falso, ou até mesmo criar um trojan bancário direcionado a um banco específico. Assim, os criminosos precisam ter conhecimento técnico ou contratar alguém que forneça os meios técnicos para realizar a fraude. É comum, nesses casos, existir um grupo de pessoas (uma quadrilha organizada) com divisão clara de tarefas (alguns deles cuidada da parte técnica, outros da criação de contas bancárias em nome de laranjas, alguém cuidando da lavagem de dinheiro, e alguém financia o grupo e fica com boa parte do lucro).

Infelizmente, praticamente todos os golpes que a galera pratica hoje em dia são muito simples, engenharia social pura e simples. E, mesmo assim, conseguem fraudar milhões de reais enganando as vítimas. É triste ver que estamos em 2020 e a galera ainda clica em phishing, não usa segundo fator de autenticação e ainda cai no golpe do WhatsApp.

Lembre-se: nunca forneça seus dados pessoais, nem dados bancários e muito menos suas senhas para estranhos.

Caso seja vítima de uma tentativa ou identifique que sofreu uma fraude, faça o seguinte:

• Entre em contato com o seu banco imediatamente, por meio dos canais oficiais de atendimento, como a central de atendimento ou o aplicativo bancário;
• Em caso do golpe do Whatsapp, informe ao banco sobre a conta utilizada pelo criminoso para receber as transferências. Os bancos podem bloquear essas contas, para evitar que o criminoso continue usando ela em novos golpes;
• Em caso de fraudes. solicite a contestação das transações indevidas. Além disso, faça um boletim de ocorrência (B.O.).
• Sempre anote todos os protocolos de atendimento (número do protocolo, dia, hora, e nome do atendente) e guarde uma cópia de todos os documentos que podem ser usados como prova da fraude.

Se o banco se negar a devolver os valores roubados de sua conta ou de compras feitas com cartão de crédito, o site do IDEC sugere que registre uma reclamação no Reclame Aqui, no Procon e/ ou no site www.consumidor.gov.br, do Ministério da Justiça.

Para saber mais:

• FEBRABAN alerta para aumento de golpes durante a pandemia
• Conheça as tentativas de golpes financeiros mais comuns na pandemia e saiba como evitá-los
• FEBRABAN lança campanha de orientação sobre golpes financeiros contra idosos MAIS NOTÍCIAS
• Golpes bancários: cuidado para não cair neles
• Quadrilha fatura mais de R$ 3 milhões com golpes e dados de cartões de crédito
• Aqui no blog: Os golpes financeiros mais comuns na pandemia
• Criminosos personificam marcas no Instagram para sequestrar perfis no WhatsApp
• Live - O Panorama dos Crimes Digitais

#SegurançaDigital  #SemanadaSegurançaDigital  #CompartilheSegurançaDigital

PS: Post atualizado em 23/11/2020.

[Cyber Cultura] Comentando sobre o Dilema das Redes

Na semana passada eu participei de um Meetup junto com o Nelson Novaes Neto para discutir sobre o documentário O Dilema das Redes (The Social Dilema), da Netflix.

Eu comentei sobre esse filme aqui no blog, mas devido a relevância do tema, achei legal compartilhar abaixo o vídeo do bate-papo e também compartilhar alguns comentários adicionais.

Para nós que trabalhamos com tecnologia, o documentário não traz grandes novidades. Nós conhecemos o mercado e sabemos do modelo de negócio das redes sociais, baseado em reter a atenção e obter o máximo de informações da maior quantidade de pessoas possível. Estamos conscientes de todo esse jogo de interesses e da disputa pela audiência e pelo tempo de vida dos internautas que o documentário mostra.

A vantagem, entretando, é que o documentário é bem didático e direcionado para o público leigo. Ele mostra o problema do uso das redes sociais de forma bem clara, com uma linguagem simples e lúdica, fundamentado com depoimentos de profissionais da indústria. Também traz exemplos baseados na dramatização do que acontece nas empresas e o impacto nos usuários em consequência do uso diário das redes sociais. Por isso, eu recomendo a todos os profissionais que assistam o filme ao lado de parentes e amigos que não trabalham na área. Assim podemos ver. reação deles e também ajudar nessa discussão sobre o impacto das redes sociais e aplicativos de comunicação na nossa vida, do vício que eles causam, e como eles afetam a nossa capacidade de interação com outras pessoas.

Um ponto interessante a discutir é como o isolamento social, imposto pela pandemia do novo Coronavírus, tem aumentado a nossa dependência das redes sociais e aplicativos de comunicação instantânea. Com a quarentena e o isolamento social, as redes sociais e aplicativos de comunicação se tornaram nossa única forma de comunicação com parentes, amigos e colegas de trabalho. Festas de aniversário e happy hours começaram a ser realizados por videoconferência, por exemplo. Consequentemente, o uso aumentou estratosfericamente e a nossa dependência das redes sociais também aumentou, e muito. Praticamente trocamos todas as interações pessoais e sociais do mundo físico para o mundo virtual.

Até pouco tempo atrás, antes da pandemia, era comum discutirmos  criticarmos quando víamos os jovens conectados por muito temp passando horas pendurados nos celulares, em aplicativos de mensagens e jogos online. Agora eu tenho impressão que esse criticismo sumiu, pois afinal, estamos todos na mesma situação (adultos analógicos e jovens digitais), com os nossos rostos colados nas telas dos celulares.

Nesse cenário de crescente dependência, a discussão sobre o vício no uso das redes sociais se torna mais urgente do que nunca.

[Cyber Cultura] O Dilema das Redes

Você consulta as redes sociais de manhã, antes de levantar da cama para ir ao banheiro ou enquanto está no banheiro?

Essa é uma das perguntas feitas durante o documentário O Dilema das Redes (The Social Dilemma) (na Wikipedia), produzido pela Netflix, que aborda como as redes sociais são construídas para capturar e monopolizar nossa atenção. E mostra como elas conseguiram isso, infelizmente!

Vale a pena assistir  e refletir o quanto você está viciado nas redes. Para quem já trabalha com tecnologia, o documentário provavelmente não trará nenhuma novidade, mas mesmo assim, convida para a reflexão. O documentário intercala depoimentos de vários profissionais de tecnologia com uma dramatização feita por autores, mostrando como as redes sociais influenciam no dia-a-dia de uma família moderna. Dentre os profissionais entrevistados, o documentário é centralizado principalmente no Tristan Harris, que trabalhou no Google como "design ethicist" - ou seja, ele era responsável por desenhar os algoritmos do Google para que eles manipulassem as pessoas de forma "ética". Em um determinado momento, um ex-executivo do Pinterest admite que, em determinado momento, ele mesmo estava viciado em utilizar seu app.

Na minha opinião, o documentário é tão bom que logo no início do filme já me deu vontade de compartilhar sobre ele nas... redes sociais! E, convenhamos, ao compartilhar sobre o documentário, estou fazendo parte do sistema: estou alimentando o vício nas redes sociais e estimulando as pessoas a acessarem o conteúdo pago da Netflix. Esse é um pequeno exemplo do círculo vicioso que tornou as nossas vidas atualmente, centrada nas redes sociais e no compartilhamento online de conteúdo :(

O que podemos fazer? Algumas ações mais simples ou mais radicais estão bem aqui nas nossas mãos:

• "Desintoxicar" das redes sociais: apague seu perfil em todas as redes sociais que não sejam realmente importantes para você. Foque em pouquíssimas redes sociais;
• Desative as notificações do seu celular, assim você não fica tentado a utilizar as redes o tempo todo. Deixe ativo somente as notificações mais importantes, como as mensagens dos parentes mais próximos. Ignore as atualizações e comentários feitos por sua rede de relacionamento;
• Seja crítico com o conteúdo que consome. Sempre valide a qualidade desse conteúdo e somente compartilhe o que você acha que é realmente relevante e que tenha certeza que não seja fake news;
• Acompanhe pessoas e grupos com opiniões diferentes da sua, e abrace a diversidade de opinões, aceite o debate de idéias;
• Valorize e tome controle da sua atenção e do seu tempo! Estabeleça horários para usar as redes sociais, e horários para não usar!
• Quando estiver na companhia de parentes e amigos, deixe o celular de lado e aproveite a proximidade física com outros seres humanos.

Se você ainda não assistiu O Dilema das Redes (The Social Dilemma), veja o trailer:

Aproveite também para assistir a palestra do Tristan Harris no TED 2017, Como um grupo de empresas de tecnologia controla bilhões de mentes todos os dias, que é um resumão do documentário.

[Segurança] Golpe dos perfis falsos no Instagram

Um dos golpes mais comuns hoje em dia está acontecendo através de perfis falsos nas redes sociais, em especial no Instagram.

Nesse golpe, os ciber criminosos criam perfis falsos nas redes sociais que tentam se passar pelo por empresas ou por funcionários dessas empresas. Com esse perfil, eles entram em contato com clientes através de mensagens diretas (o tal do "direct") e trocam mensagens para tentar obter seus dados pessoais ou conseguir acesso ao WhatsApp das vítimas (eles pedem o código de ativação que é enviado quando tentam acessar o Whats da vítima no celular do fraudador). Com essas informações em mãos, eles conseguirão fazer fraudes financeiras.

Tudo indica que esse golpe está muito disseminado no país, como mostra essa reportagem de um jornal em Salvador (BA) sobre este assunto, relatando que ciber criminosos tem criado perfis falsos no Instagram em nome de restaurantes locais (e motéis também! #piadapronta). Segundo a reportagem....

"O golpe funciona assim: usando um perfil falso com a mesma foto e informações do perfil verdadeiro, os criminosos buscam por seguidores e enviam mensagens. Eles oferecem descontos ou cupons e pedem, para isso, que o cliente faça um cadastro com nome e número de telefone. De posse do número que o cliente usa no aplicativo de troca de mensagens WhatsApp, os criminosos roubam os dados e pedem dinheiro a pessoas da lista telefônica."

Outro golpe realizado no Instagram é a oferta de vouchers de desconto falsos, como descrito abaixo pela proprietária de um restaurante em Salvador:

"Há uma semana, a proprietária do Preta Restaurante, na Ilha dos Frades, foi informada de que havia outra página no Instagram com o nome do estabelecimento oferecendo uma promoção: a pessoa pagava R$ 100 para consumir R$ 150."

Recentemente, quando abri o meu app do McDonnalds para comprar um Big Mac com desconto, eu vi esse aviso na tela inicial do App:

Ou seja, os ciber criminosos não perdoam nem o Mc !!! #McFraude #McFake

Por isso, é importante sempre ficar atento e somente entrar em contato com as empresas pelos canais de atendimento oficiais ou, se for por redes sociais, através do perfil oficial da empresa. Verifique se o perfil na rede social tem o selo indicando que foi verificado, e também veja se parece autêntico: tem grande quantidade de seguidores, conteúdo postado frequentemente e se existe a bastante tempo (se for um perfil criado recentemente, é muito grande a chance de ser fake). Desconfie também de ofertas muito vantajosas!

Para saber mais:

• Bandidos criam páginas falsas de restaurantes pra dar golpes em clientes
• 12 mil brasileiros são vítimas de clonagem de WhatsApp por dia
• Criminosos personificam marcas no Instagram para sequestrar perfis no WhatsApp
• Post no blog da Tempest sobre esse golpe: Atendente Impostor: estudo da Tempest mostra que golpe virtual vêm aumentando e pode ser ainda mais explorado no período do Dias das Mães

PS: Post atualizado em 23/11/2020 e 12/05/2021.

[Cidadania] Vivemos na era da pós-verdade?

Essa já virou uma das minhas TED talks favoritas!

A palestra "Vivemos na era da pós-verdade?", do TEDx da UFPR em Outubro de 2019, foi apresentada pelos fundadores e apresentadores do canal Meteoro Brasil, que fala desde cultura pop até ciência e filosofia. Os palestrantes, identificados como "Cara Mais Simples e Mulher Mais Sábia", discutem de forma criativa sobre a importância de tratarmos fontes numerosas e variadas de informação, e como diferenciar o que é verdade.

O tema da palestra, "pós-verdade", é um substantivo que "denota circunstâncias nas quais fatos objetivos têm menos influência em moldar a opinião pública do que apelos à emoção e a crenças pessoais". Ou seja, e o cenário que vemos diariamente nas redes sociais, aonde palpites e opiniões são mais valorizados do que fatos científicos e estudos estatísticos.

Esse fenômeno, recente, é alimentado pelo chamado "efeito bolha", muito explorado nas redes sociais: os algoritmos de compartilhamento de informação valorizam, para cada pessoa, o conjunto de posts e notícias que estejam em acordo com suas opiniões. Isso reforça as crenças de cada pessoa e desencoraja a discussão e análise dos fatos. Nas redes sociais, quanto mais simples, polêmico e/ou em acordo com a opinião de uma determinada pessoa, maior a chance da informação ser compartilhada e, portanto, maior a chance dela "viralizar".

Um conceito muito interessante que eles expõe é da "Esfera pública de comunicação", aquele pequeno conjunto de assuntos que podem ser discutidas simultaneamente pela sociedade. Como esse é um espaço limitado, um pequeno conjunto de Assunto que conseguimos discutir ao mesmo tempo, acaba surgindo uma priorização das mensagens que conseguem ganhar essa competição pelo interesse público. A visibilidade que os meios de comunicação de massa dão para um determinado tema dependem da capacidade desse tema de gerar debate, de causar "ressonância". O mais interessante é que essa atenção toda é fruto da legitimidade da notícia. MAs a legitimidade não quer dizer que a notícia seja verdadeira - mas sim, se a pessoa que a lê a considera válida ou não. Ou seja, a veracidade não depende da ciência nem da realidade! Por causa desse fenômeno, hoje em dia vemos a mentira ganhar cada vez mais espaço!

[Segurança] Não exponha seus dados pessoais nas redes sociais!

Poderia muito bem ser uma notícia de 1o de abril, mas o fato aconteceu no dia 31/03.

Contente por ter recebido o resultado negativo para o exame do COVID-19, o General Augusto Heleno (Chefe do Gabinete de Segurança Institucional da Presidência da República) postou o resultado do seu exame no Twitter. Mas a imagem tinha seus dados pessoais: nome completo, data de nascimento, RG e CPF !!! Posteriormente, ele percebeu o erro, apagou o tweet original e repostou a notícia, desta vez com seus dados borrados:

Mas já era tarde! A Internet, que não perdoa, foi abaixo, e rapidamente algumas pessoas usaram os dados do general para fazer críticas e algumas zoeiras.

Um dos primeiros posts que circulou nas redes sociais foi de uma pessoa que usou os dados pessoais do general para fazer uma adastro na Globo Play.

Ele criou um e-mail fake, e depois que postou, começou a receber nesse e-mail confirmações de pedidos que outras pessoas fizeram - usando os dados do general Heleno e o e-mail fake criado.

Além disso, também postaram no twitter outras zoeiras, como cadastrar o general como mesário e filiá-lo ao PT.

Moral da história? Sempre tome muito cuidado com os seus dados pessoais. Nunca poste nas redes sociais fotos de documentos, cartões de crédito, etc. Nada que possua seus dados.

Ah, prepare-se. A partir de agora esse tweet do General Heleno será utilizado em 10 a cada 10 apresentações de empresas que vendem solução de DLP, consultorias de LGPD, etc.

[Cyber Cultura] O ódio na Internet

O pessoal do site de notícias 6 Minutos publicou há pouco tempo um artigo muito bom sobre o fenômeno do ódio na internet, baseado em um estudo de uma antropóloga da Unicamp, Adriana Abreu Magalhães Dias (ela estuda esse fenômeno desde 2002). O artigo também contou com informações da Safernet.

Segue um rápido resumo dos principais pontos do artigo:

• As comunidades de ódio, não são um fenômenos recente nem estão restrito apenas nas "profundezas da web". Desde o início dos anos 2000 o discurso de ódio já estava presente em comunidades de sites de relacionamento como o Orkut;
• Os grupos de ódio são um fenômeno global, arma da extrema-direita em todo mundo;
• “O ódio é uma substância na vida do ser humano que é cultivada. Cultivada tanto no sentido de planta, que a gente cultiva e alimenta, quanto no sentido de ser cultuada”, diz.
• “É impossível remover o ódio enquanto você não civilizar essas pessoas. A Alemanha, por exemplo, teve de se ‘desnazificar’, e isso envolveu um processo de educação.”
• O processo da cultura do ódio é complexo porque o ódio oferece conforto e pode ser estruturado a partir de três fatores: o alimento da masculinidade (a partir da ideia da luta, de guerras, de duelos, de uma sociedade de cultura de estupro, de ódio ao gay, à mulher), a meritocracia (que define que alguns são melhores que outros) e a construção de um “outro conveniente”, que é quando as minorias (como judeus, ciganos, nordestino, índios,a mulher ou o gay, por exemplo) são associadas a entraves aos objetivos de determinados grupos privilegiados (essa minoria é acusada de causar atraso, problemas ou, por exemplo, "roubar um direito”);
• A sociedade construiu uma ideia de "normalidade", segundo a qual o “normal” é seguir um padrão como ser branco, de classe media, falar inglês, ser hetero, casado, com filho. Dentro dessa normalidade as pessoas se sentem seguras, mas quando outra minoria destoa e tenta brigar por espaço, ela se sente ameaçada;
• Esses grupos online não são investigados, identificados e punidos por conta de algumas dificuldades, principalmente o anonimato e porque esses grupos adotam táticas para despistar as autoridades, como escolher provedores de sites que não colaboram com as autoridades;
• Há casos de crimes de ódio que são anunciados nos fóruns online e praticados na vida real, contra vítimas, com requintes de crueldade.

Para saber mais:

• O que explica tantos fóruns de ódio na internet? Anonimato é só parte da resposta
• Tese de Doutorado (Unicamp): "Observando o ódio : entre uma etnografia do neonazismo e a biografia de David Lane"
• Artigo de 2007: "O neonazismo na sociedade contemporânea. Entrevista especial com Adriana Abreu Magalhães Dias"
• Revista Galileu: "Ódio nazista se espalha pela internet brasileira"
• Um mergulho no universo neonazista
• Blog Escreva Lola Escreva

[Segurança] Os hackers russos do Moro (com memes)

Nesta semana fomos surpreendidos pelo anúncio da Operação Spoofing da Polícia Federal (PF), que prendeu quatro pessoas suspeitas de terem invadido o celular do ministro Sérgio Moro e de outras autoridades do Governo, supostamente associado ao vazamento para o site The Intercept das conversas do ministro no Telegram durante a Operação Lava Jato.

Um artigo do Altieres Rohr e do Thiago Lavado no G1 detalha o resultado da investigação da PF sobre que técnicas foram usadas para invadir as contas do Telegram.

O texto da decisão do juiz que autorizou a prisão temporária dos suspeitos descreve como foram as investigações que apontaram como eles acessaram o Telegram do Moro e outras vítimas através da interface Web do Telegram. Embora o acesso web ao Telegram exija uma autorização do usuário original, os suspeitos conseguiram obter o código de autenticação enviado pelo Telegram para o celular das vítimas de uma maneira bem simples: eles solicitaram a senha via chamada telefônica ao mesmo tempo em que fizeram diversas ligações para o telefone das vítimas para que a linha ficasse ocupada. Assim, a ligação automática do Telegram foi direcionada para a caixa postal do celular, e fazendo spoofing do número telefônico via um provedor de Voz sobre IP (VoIP) eles acessaram a caixa postal para recuperar o código.

Veja uma transcrição da decisão judicial, com um ótimo resumo do que a PF apurou:

De acordo com as investigações, os criminosos usaram o serviço de VoIP da empresa BRVoz para ligar para os celulares das vítimas utilizando o número telefônico da própria vítima. Assim conseguiram cair na caixa postal e escutar o código de acesso ao Telegram. O criminoso, então, ouviu a mensagem gravada com o código de acesso e conseguiu ativar o Telegram via Web.

Antes do anúncio da Operação Spoofing, muito se especulou sobre como foi feita a invasão na conta do Sérgio Moro e demais autoridades. Foi especulado que o ataque tinha sido realizado por hackers no Brasil, em especial em Santa Catarina, e no exterior, com o suposto envolvimento de agentes na Rússia e até em Dubai, nos Emirados Árabes.

Mas, segundo as notícias recentes, os supostos hackers russos calharam de ser, na realidade, quatro estelionatários (três homens e uma mulher) que vivem no interior de São Paulo, nas cidades de Araraquara e Ribeirão Preto. Foram cumpridas 11 ordens judiciais, das quais 7 de busca e apreensão e 4 de prisão temporária. Desnecessário dizer que isso virou piada, né?

Rapidamente alguns deles assumiram a autoria dos crimes.

Moral da história: nada de ciber ataques sofisticados de hackers russos! Os criminosos utilizaram um método incrivelmente simples para acessar o Telegram.

E a pior parte dessa história é que qualquer pessoa pode ser vítima desse método de ataque descrito pela PF.

Resumindo: desabilite a caixa postal do seu celular ou configure uma senha nela!

As caixas postais das linhas de celulares vem com uma senha padrão para cada empresa de telefonia, que é de conhecimento público. Além disso, ao ligar para a caixa postal do próprio número telefônico, ela não pede senha. Todas as operadoras brasileiras (Vivo, Claro, TIM, Oi e Nextel) permitem, por padrão, que você acesse sua caixa postal ao ligar para o seu próprio número, sem precisar informar a senha. Assim, fica fácil para um criminoso acessar a caixa postal de uma vítima!

Recentemente especialistas de segurança demonstraram na CCC e na Defcon que é possível realizar um ataque para adivinhar essas senhas das caixas postais de telefonia. É possível ver, no Youtube, a versão resumida e a versão completa da palestra "Compromising Online Accounts by Cracking Voicemail Systems", que o pesquisador espanhol Martin Vigo apresentou na Defcon 26.

Veja também um vídeo curtinho que ilustra esse ataque:

Adicionado em 29/07: A polícia rastreou como os criminosos tiveram acesso aos dados das autoridades. Segundo depoimento do Walter Delgatti Neto, atualmente sob custódia da Polícia Federal, começou invadindo o celular de um promotor local, que tinha acusado ele de tráfico de drogas. Assim, a partir da agenda dele no Telegram, o Walter Delgatti foi indo de autoridade em autoridade, até chegar no ministro Sérgio Moro.

Para saber mais:

• PF prende quatro suspeitos de hackear celulares de Moro e Deltan
• G1: "'Spoofing': como foi a invasão do celular de Sérgio Moro, segundo a decisão judicial que mandou prender 4 suspeitos"
• "Vermelho" confessa ter hackeado Moro, Deltan, delegados da PF e juízes
• Artigo curto e objetivo da The Hack: "Invasão ao Telegram de Moro pode ter sido bem mais simples do que imaginávamos"
• Uma análise crítica do Boot Santos sobre a possibilidade de ataque de spoofing para acessar a caixa postal e pegar o código do Telegram: "Hacker Russo de Araraquara?"
• Uma análise interessante: "Linha do tempo revela falhas na narrativa que atribui vazamentos da Lava Jato a hackers paulistas"
• Como mudar a senha da caixa postal [Vivo, TIM, Claro, Oi e Nextel]
• Hacker conta em depoimento como chegou a arquivos de Deltan Dallagnol e os repassou a Glenn Greenwald e diz que não recebeu dinheiro pelo material

OBS: Post atualizado em 29/07 para incluir mais alguns memes e o infográfico mostrando como foi a sequencia de invasões.