[Segurança] Os maiores vazamentos de dados de 2015

O ano ainda nem acabou, mas o portal CSO Online já publicou uma matéria com os maiores vazamentos de dados de 2015. Então eu aproveitei e criei a lista abaixo, com mais alguns casos que não constavam na matéria original do CSO Online:

• Eleitores americanos: No final de Dezembro foi encontrada uma base de dados exposta na Internet, sem nenhum controle de acesso, com dados de 191 milhões de eleitores americanos;
• Anthem: Dados pessoais de mais de 80 milhões de clientes dessa empresa do setor de saúde;
• Ashley Madison: Em Julho deste ano, o grupo Impact Team divulgou dados e senhas de 37 milhões de usuários desse site de "relacionamentos", causando muito "bafafá" por aí...
• Office of Personnel Management (EUA): Vazaram os dados pessoais de 22 milhões de empregados do governo Americano. Foi utilizado um malware para implantar um backdoor através de credenciais roubadas de um terceiro;
• Experian: Foram acessados os dados pessoais de 15 milhões de clientes da T-Mobile, que estavam armazenados na Experian;
• MacKeeper: Foram roubados dados sensíveis referentes as contas de 13 milhoões de usuários do software MacKeeper;
• Premera: dados pessoais (nome, data de nascimento. endereço, números telefônicos, informações médicas e financeiras, etc) de 11 milhões de clientes;
• VTech Learning Lodge: Este fabricante de brinquedos tecnológicos foi hackeada e foram roubados dados de seus clientes: 5 milhões de adultos e 200.000 crianças, que entre outras coisas tiveram suas fotos divulgadas;
• Scottrade: Roubo de dados de 4,6 milhões de clientes;
• TalkTalk: Um adolescente de 15 anos de idade conseguiu roubar os dados pessoais e bancários de 4 milhões de clientes;
• Sanrio: Uma base de dados MongoDB da empresa japonesa, exposta na Internet, continha os dados de 3,3 milhões de fans da Hello Kitty, incluindo os dados de 186 mil crianças;
• Alliance Health: Uma base de dados mal configurada da empresa expôs na Internet 1.6 milhões de registros médicos de 1.5 milhões de clientes;
• CareFirst: Atacantes acessaram uma base de dados com registros pessoais de 1,1 milhões de clientes dessa empresa americana de plano de saúde e seguro médico;
• Seguro Social de Costa Rica: foram roubados os dados de 530.000 usuários;
• mSpy: Vazaram dados pessoais de 400.000 clientes desse fabricante de spyware, incluindo screenshots, dados de geolocalização, logs de bate-papo, etc;
• IRS: Registros de 330.000 contribuintes do Imposto de Renda americano;
• Hacking Team: Foram roubados 400 GB de dados internos, incluindo e-mails de executivos, lista de clientes, ferramentas e informações de zero days e exploits que a compania comercializava.

Desde o início de 2014 assistimos a "era dos mega roubos de dados", com invasões a diversos varejistas (lojas, supermercados) e restaurantes amercanos. Talvez o maior destaque na lista acima é que empresas do setor de Saúde começaram a se tornar alvo neste ano, como as americanas Anthem, Premera e CareFirst. Pior ainda, suspeita-se de que os ataques a Anthem e Premera foram realizados pelo mesmo grupo, o grupo Chinês de ciber espionagem conhecido como Deep Panda.

Em tempo: o portal CSO Online também criou uma lista com os 15 piores roubos de dados do século !!!

OBS:
Post atualizado em 21/12/2015, e 29/12.

[Geek] Tem um cabo de rede fora do lugar?

Quem nunca passou por isso?

Eu já tive a oportunidade de trabalhar em uma empresa aonde o data center era totalmente zoneado. Havia uma cascata de cabos de rede atrás de cada rack, e era impossível identificar quais cabos conectava o que aonde.

O resultado? Qualquer manutenção nos equipamentos era uma dor de cabeça. Quando um equipamento era desligado, a sua ponta do cabo era desconectada, mas muitas vezes a outra ponta permanecia lá, aumentando a bagunça. Diversas paradas aconteciam no ambiente e qualquer tentativa de consertar demorava horas.

Certa vez, todo um prédio do call center ficou sem trabalhar durante o dia inteiro porque alguém conectou um cabo de rede em loop e toda a rede parou. Demoramos o dia inteiro para achar o problema e identificar o maldito cabo. Imagina o prejuízo de uma empresa que fica um dia inteiro sem os sistemas do call center :(

Manter um ambiente de TI organizado e documentado é um esforço constante:

• todos os equipamentos tem que ser identificados e documentados;
• todos os cabos (de rede e de força) devem seguir o padrão e normas específicas, além de serem identificados e posicionados dentro das devidas canaletas;
• o diagrama de rede tem que ser atualizado a cada mudança.

Acredite, é muito menos trabalhoso manter o ambiente organizado a cada mudança do que tentar arrumar tudo depois.

[Geek] Drones

A Aeronáutica publicou recentemente novas regras para regulamentar o voo de drones no Brasil (também chamados de vants - sigla para "veículos aéreos não tripulados" e de "Aeronaves Pilotadas Remotamente"- que vira RPA, na sigla em inglês). O termo “drone” é apenas um nome genérico originado nos EUA, que vem se difundindo para caracterizar todo e qualquer objeto voador não tripulado. Ou seja, embora seja um termo aceito, não tem amparo técnico ou definição nas legislações existentes.

Estas regras aplicam-se ao uso profissional (é liberado o uso comercial dos drones), institucional e governamental, independente do tamanho do equipamento. A operação aérea de vants como lazer, hobby ou esporte se enquadra em regras voltadas ao aeromodelismo (definidas na Portaria DAC nº 207/STE). Ou seja, o governo considera o propósito do voo, independente do equipamento utilizado.

O registro do aparelho deve ser feito junto à Agência Nacional da Aviação Civil (Anac), e os pedidos para saírem do chão (decolagem) são de responsabilidade do Departamento de Controle do Espaço Aéreo (Decea), ligado ao Comando da Aeronáutica. Uma das premissas básicas das regras é que o voo de uma RPA não deve colocar em risco pessoas e/ou propriedades (no ar ou no solo), mesmo que de forma não intencional. As regras fixam altura mínima de 30 metros para que drones se manterem distantes de pessoas e edificações. A velocidade máxima pode ser de 55 km/h a 110 km/h, dependendo do peso da aeronave, sendo proibidos voos noturnos e acrobacias.

Os voos no interior de prédios e construções fechadas, mesmo que parcialmente (como ginásios, estádios e arenas a céu aberto - até o limite vertical da estrutura lateral) são de total responsabilidade do proprietário e deverão estar autorizados por estes, já que não são considerados “espaços aéreos” sob a responsabilidade do DECEA. Ainda assim, esse tipo de operação deve observar as regulamentações da ANAC e as responsabilidades civis em vigor. Não será autorizado o emprego de RPAs sobre áreas povoadas ou aglomeração de pessoas.

O site Defesanet detalhou bastante a nova regulamentação. O pessoal do G1, por sua vez, fez um infográfico resumindo as novas regras:

Enquanto isso, nos EUA, a Amazon divulgou a versão atual dos drones que ela planeja utilizar para fazer entregas, com o serviço batizado de "Amazon Prime Air".

[Segurança] Fatso, o responsável por responder a incidentes

Em Abril deste ano eu comentei sobre a dificuldade que muitas empresas tem em conhecer o seu ambiente e, consequentemente, em responder a incidentes. Na época eu comparei tais empresas com o urso Fatso, do desenho do Pica-Pau.

Felizmente eu vi um gif animado dele no Facebook, e resolvi fazer este post simplesmente para compartilhar ele ;)

Devemos agradecer a recente modinha do pessoal colocar gifs animados em seus posts no Facebook.

[Cyber Cultura] Vamos compartilhar nudes (dos outros)?

O Tribunal de Justiça de São Paulo (TJ/SP) decidiu que quem compartilha "nudes" (ou seja, email com fotos íntimas de outra pessoa) também deve pagar dano moral - independente de ter sido o responsável pelo vazamento original das imagens. Ou seja: a justiça entendeu que basta repassar as imagens para contribuir com a invasão de privacidade e com os danos morais causados a vítima.

Segundo a decisão do desembargador Walter Barone, “Ainda que o réu não tenha sido o criador das obscenas fotografias, como afirma, e mesmo que não tenha agido com dolo específico, a retransmissão das imagens a terceiros configura, por si só, a conduta lesiva, revelando culpa, porquanto patente no mínimo a sua imprudência ao contribuir para a difusão da ofensa”.

A decisão veio da 7ª Câmara de Direito Privado do TJ/SP como resultado de uma série de 45 ações propostas pela mesma vítima, que teve suas fotos de sexo explícito expostas ne Internet em 2009. A autora resolveu processar todo os envolvidos em uma corrente de e-mails que foram repassados entre várias pessoas. O título do email dava o nome da vítima e o banco onde trabalhava.

Segundo o Dr. Renato Opice Blum, mesmo quem apenas compartilha tais mensagens agravam o dano moral da vítima e tem responsabilidade sobre isso. O artigo 186 do Código Civil, diz claramente que...

"Aquele que, por ação ou omissão voluntária, negligência ou imprudência, violar direito e causar dano a outrem, ainda que exclusivamente moral, comete ato ilícito".

Esta decisão pode abrir precedentes para a culpabilidade não apenas de quem causou a invasão de privacidade e deliberadamente divulgou imagens íntimas de outra pessoa, mas também de quem as passa adiante. Espero que isso ajude a diminuir a grande quantidade de casos de pessoas que tem sua privacidade exposta na Internet.

[Segurança] Bletchley Park

Bletchley Park é conhecido por ser o local aonde trabalharam os principais criptoanalistas britânicos durante a Segunda Guerra Mundial. Atualmente, a maioria de suas instalações estão abertas ao público e o local funciona como um museu.

O local, que fica a 80 kilômetros de Londres (cerca de 40 minutos de trem), foi mantido em segredo por muitos de anos e chegou a ter cerca de 9.000 pessoas trabalhando durante a Segunda Guerra, em três turnos. Como era uma instalação super secreta do governo Britânico, as pessoas que trabalhavam lá eram proibidas de comentar qualquer coisa sobre o que faziam - nem mesmo com seus familiares mais próximos.

Um dos fatos que tornaram Bletchley Park conhecido é que foi lá aonde Alan Turing, o "pai da computação", trabalhou na quebra da máquina Enigma, o que permitiu aos aliados interceptarem e lerem as mensagens dos nazistas. Além do Alan Turing ser um personagem muito popular hoje em dia, o mais importante é que especialistas estimam que o trabalho realizado pelos criptoanalistas de Bletchley Park decifrando as mensagens nazistas conseguiu antecipar o final da Segunda Guerra na Europa em cerca de 2 anos.

Mas dois outros fatos, menos conhecidos, tornam este lugar muito especial para a história da computação moderna:

• Lá, a criptoanálise deixou de ser um processo artesanal e passou a ser um processo industrial. Antes o criptoanalista recebia uma mensagem criptografada e ele, sozinho, fazia seus cálculos malucos para desencriptar aquela mensagem estecífica, validar o texto resultante, traduzí-lo para seu idopma e eventualmente ainda tinah que selecionar que partes da mensagem eram as mais importantes e deviam ser comunicadas. Em Bletchley Park foi criada toda uma estrutura e cadeia de processos aonde diversos times eram responsável por cada etapa na quebra de uma mensagem - desde os testes para descobrir a chave (no caso, a configuração da máquina Enigma que foi utilizada), passando para outro time responsável pela validação da mensagem, outro pela tradução e outro que iria encaminhar a mensagem para os demais órgãos de inte;igência. Como curiosidade, ninguém mais sabia que as mensagens estavam sendo interceptadas e desencriptadas, e para ocultar isso, os relatórios de inteligência eram escritos de forma a indicar que as informações tinahm sido obtidas por espiões aliados;
• Bletchley Park construiu e hospedou o primeiro computador da história, o Colossus. Embora o ENIAC, nos EUA, tenha recebido a fama, o Colossus foi construído antes, mas sua existência foi mantida em segredo por muitos anos. A cada dia as máquinas Enigma utilizavam uma configuração diferente (dependendo dos rotores que utilizava, das posições iniciais dos rotores e dos fios em seu painel frontal, que configuravam algumas permutas de letras). Assim que uma primeira mensagem era capturada, os criptoanalistas descobriam a configuração da máquina Enigma fazendo testes automatizados através de máquinas batizadas de "Bomb" ("Bomba", pois elas faziam um barulho que parecia o tic-tac de uma bomba). A partir deste momento, todas as mensagens daquelas máquinas enigmas enviadas naquele dia poderiam ser decifradas, e essa tarefa ficava a cargo do Colossus.

Os fois fatos acima deram a equipe de Bletchley Park uma capacidade de decifrar mensagens sem precedência na história. Estima-se que eles conseguiram decifrar mais da metade das 3 milhões de mensagens que receberam durante a 2a Guerra.

Atualmente, Bletchley Park é um grande museu a céu aberto, aonde várias de suas instalações podem ser vistas pelo público. Além disso, o local hospeda o "The National Museum of Computing", um museu da computação que, entre outras exibições interessantes, possui uma réplica do Colossus em funcionamento.

[Cyber Cultura] Patinho Feio

Na década de 1970, professores e alunos do Instituto Politécnico da USP (Poli) criaram o primeiro mini computador nacional, batizado de "Patinho Feio". Seu desenvolvimento foi crucial para o surgimento da indústria de informática brasileira.

O Patinho Feio foi desenvolvido nos anos 1971 e 1972 pelo pessoal do Laboratório de Sistemas Digitais (LSD) da Poli, e contava com:

• Um microcomputador de 8 bits
• Memória principal de 4 KBytes
• Interfaces através de fita de papel perfurado, impressora, terminal de vídeo e plotter
• Programado através da linguagem Assembly

O Patinho Feio ficou pronto em julho de 1972. Ele tinha um metro de comprimento, um metro de altura, 80 centímetros de largura, pesando mais de 100 quilos. Ele possuía 450 pastilhas de circuitos integrados, formando três mil blocos lógicos, distribuídos em 45 placas de circuito impresso.

O Patinho Feio era programado em Assembly, e o programa era carregado no hardware através de fitas de papel perfurado. Os programadores eram obrigados a usar técnicas de programação específicas para conseguir utilizar o pouco poder de processamento e memória disponíveis, e alguns softwares foram desenvolvidos para auxiliar os programadores a criar seus programas para o Patinho Feio.

O nome "Patinho Feio" foi escolhido como uma sátira a um projeto similar, batizado de "Cisne Branco", que estava sendo desenvolvido pela Unicamp a pedido da Marinha, que queria criar um computador nacional. Ao contrário do Patinho Feio, o projeto da Unicamp não foi concluído.

Atualização (07/12)

O Felipe "Juca" Sanches, do Garoa, desenvolveu um emulador para o Patinho Feio utilizando o MAME, após visitar a Poli e conversar com alguns professores que participaram do projeto. Ele, inclusive, já conseguiu recuperar um pequeno peograma que estava gravado em fita de papel e o executou no emulador. 

Ele disponibilizou alguns materiais sobre o projeto:

• Código fonte sendo desenvolvido
• As ROMs (imagens de fita perfurada) estão sendo gradualmente adicionadas em um repositório
• A documentação (escrita em 1977) do montador Assembly foi escaneada e publicada online

Atualização (05/02/2025)

Esse episódio do podcast "Camada 8" do NIC.br é uma entrevista com a Dra. Edith Ranzini, que conta a história do Patinho Feio:

[Segurança] Privacidade em aplicativos de mensagens instantâneas

Os recentes atentados em Paris trouxeram a tona, novamente, a discussão sobre o direito a privacidade na comunicação online versus a necessidade dos governos em monitorarem as comunicações de grupos criminosos e terroristas.

Embora esse debate provavelmente não tenha fim, o fato é que os recursos de criptografia e privacidade em aplicativos de e-mail e de comunicação instantânea (tanto em computadores e celulares) são benéficos para os cidadãos de bem e para os ativistas que, em algum momento, possam ser ameaçados por governos e organizações.

Mas há muito tempo especula-se que organizações criminosas e terroristas também usam diversas técnicas e ferramentas para esconder suas comunicações, desde ferramentas de criptografia até mesmo o eventual uso de comunicação através de meios não muito convencionais, como a PSN (algo que, no caso dos atentados de Paris, não foi comprovado). Especula-se que o Estado Islâmico (ISIS), em particular, tem orientado seus membros a utilizarem ferramentas mais seguras para comunicação - além de utilizar Bitcoin para esconder suas movimentações financeiras.

Do ponto de vista da privacidade dos aplicativos de mensagens instantâneas que utilizamos em nossos celulares e Smartphones, a Electronic Frontier Foundation (EFF) fez um trabalho muito interessante criando um levantamento dos principais recursos de privacidade dos aplicativos mais utilizados, que foi resumido em um "score card".

Segundo o jornal americano The Wall Street Journal (WSJ), o Estado Islâmico também se preocupa com a criptografia nos aplicativos de comunicação instantânea e fizeram o seu próprio levantamento de quais aplicativos são mais ou menos seguros contra a vigilância de governos.

[Segurança] Fraudes e Riscos na Black Friday

A Black Friday já representa o dia em que o comércio Brasileiro (e o e-commerce) realiza mais vendas em todo o ano. Segundo a WebShoppers, as compras de Natal em 2014 (no período de 40 dias entre 15 de novembro e 24 de dezembro) renderam ao comércio eletrônico R$ 5,9 bilhões, enquanto a Black Friday teve faturamento, em um único dia, de R$ 1,16 bilhão.

Mas isso não acontece só aqui. Na Inglaterra, por exemplo, o comércio espera faturar mais de 1 bilhão de libras na Black Friday deste ano, contra £810 milhões em 2014.

A Black Friday acontece na sexta-feira logo após o feriado de Ação de Graças (um dos mais importantes feriados para os Americanos), que é a 4° quinta-feira do mês de Novembro. Ela surgiu nos EUA em 1961 como uma forma do comércio americano desovar os estoques e se preparar para o período de compras natalinas. E, nos EUA, os decontos durante a Black Friday são, realmente, muito agressivos, atraindo milhares de clientes.

No Brasil, o comércio começou a utilizar esta data em 2010, como uma forma de promover descontos para atrair clientes e aumentar as vendas. Infelizmente, algumas lojas começaram a "maquiar os preços" e fazer falsas promoções (o chamado "tudo pela metade do dobro do preço" - ou seja, algumas lojas aumentavam artificialmente o preço antes da Black Friday para criar um falso desconto). Por isso, logo nos primeiros anos em que a Black Friday aconteceu no Brasil, ela passou a ser apelidada de "Black Fraude". Em 2014 a Black Friday gerou pelo menos 12 mil reclamações de consumidores, segundo as queixas recebidas pelo site especial criado pelo Reclame Aqui.

O e-commerce normalmente já é alvo de muitas ameaças e fraudes online durante o ano todo, tanto para roubo de dados de clientes (Phishing e ataques a bases de dados para obter informações cadastrais e dados de pagamento, principalmente números de cartões de crédito) quanto para realizar o "cash out" (materializar uma fraude) através de compras fraudulentas com dados de pagamento de terceiros (vítimas), recebimento de mercadorias para posterior revenda. Mas, durante as datas mais importantes para o varejo (como a Black Friday), os ciber criminosos podem aplicar golpes específicos, tais como:

• Mensagens de Phishing e sites falsos específicos para divulgar promoções com o tema da Black Friday, aproveitando que os consumidores online estão interessados e mais susceptíveis a clicar neste tipo de mensagen neste período;
• Ataques DDoS para derrubar os sites dos logistas e causar prejuízo - ou extorsão, exigindo pagamento em troca de parar o ataque;
• Criação de Aplicativos (Apps) falsos em nome de lojas e promoções, com o objetivo real de infectar o celular e roubar dados da vítima;
• Ataques aos sites e lojas para obtenção de dados de clientes (aproveitando o maior volume de clientes transacionando). Não custa lembrar que o ataque a Target, em 2013, aconteceu no período da Black Friday. Podem acontecer desde ataques ao site e ao banco de dados, até mesmo o uso de malwares especalizados em roubas dados de cartão dos terminais de ponto de venda (PoS).

Do ponto de vista do consumidor final, os cuidados também são muitos:

• Cuidado redobrado com golpes de Phishing, que chegam através de mensagens de promoções específicas para este período, normalmente anunciando enormes descontos e preços muito atraentes;
• Dê preferência para comprar em lojas conhecidas e mais confiáveis, para evitar comprar um Smartphone e receber um tijolo em casa. Verifique a reputação da loja em sites como o Reclame Aqui;
• Verifique a URL do site e o certificado digital para ter certeza de que está comprando no site verdadeiro;
• Cuidado com pagamentos por boleto bancário, pois no Brasil existem malwares especializados em alterar os dados de pagamento do boleto, redirecionando o valor para a conta dos fraudadores;
• Pesquisar previamente o preço das mercadorias que deseja comprar, para evitar cair nos descontos falsos. Decida com antecedência o que você deseja coprar na Black Friday e pesquise o preço em várias lojas nas semanas anteriores. Assim você poderá avaliar se o preço ofertado por uma loja está com desconto real ou maquiado;
• Pesquise os preços promocionais antes de comprar, para ter certeza que estão realmente competitivos. Uma boa opção é utilizar sites de comparação de preços, como o BondFaro.

Neste ano a Black Friday cai no próximo dia 27 de Novembro. Fique atento !!!

Atualização em 04/12:
Algumas coisas que eu citei acima se tornaram realizade:

• Foi encontrado um site falso imitando as Lojas Americanas que aplicava golpe oferecendo a venda de iPhones com 60% de desconto. Os clientes preenchiam um cadastro, para terem seus dados roubados, e recebiam um boleto para pagar;
• O Procon autuou o Submarino e o Hotel Urbano por maquiagem de preços
• As vendas na Black Friday brasileira cresceram 128,95% em comparação com o ano passado, movimentando R$ 785 milhões em um único dia (segundo dados recolhidos as 16h);

Atualização em 07/12:

• Segundo dados da consultoria e-Bit, o faturamento do e-commerce na Black Friday atingiu a casa de R$ 1,6 bilhão (crescimento de 38% em relação a 2014). 1,64 milhão de consumidores online fizeram pelo menos uma compra nas 24 horas da sexta-feira, com 2,77 milhões de pedidos no total (24% maior que o ano passado) e ticket médio de R$ 580 (alta de 11%);
• No que diz respeito as fraudes na Black Friday, a ClearSale informa que foram evitados quase R$ 5 milhões em perdas (R$ 4.998.990) - contra R$ 3.058.936 em 2014.

[Cidadania] #primeiroassédio

O pessoal da GNT publicou um vídeo curto, porém muito emocionante, com relatos de casos de assédio contra as mulheres.

O vídeo foi motivado pela campanha nas redes sociais contra o abuso de mulheres, através da hashtag #primeiroassédio. Esta campanha surgiu no final de Outubro como reação ao triste fato de que uma das competidoras do MasterChef Júnior, de apenas 12 anos, começou a ser alvo de assédio sexual e comentários machistas na Internet.

Através da hashtag #primeiroassédio, as mulheres contaram seus casos reais de abusos sexuais sofridos na infância e juventude. Como disse o Marcelo Tas, "A onda de desabafos e relatos escancarou o quanto a violência é real contra meninas".

Até mesmo a Paola Carosella, jurada do MasterChef Brasil, contou que sofreu violência sexual quando era estudante:

"Tinha 11 ou 12 anos e estava num ônibus na Argentina indo para a escola. Um homem colou em mim e começou a se masturbar. Tentei achar um espaço para fugir, mas ele bloqueava todos os meus movimentos com o corpo."

Para quem acha que isso é exagero, a idade média do primeiro assédio sexual é 9,7 anos.

Além da repercussão na mídia e nas redes sociais, os apresentadores masculinos do programa da GNT "Papo de Segunda" (Marcelo Tas, João Vicente, Leo Jaime e Xico Sá) leram alguns dos relatos de #primeiroassédio que circularam na Internet. O objetivo foi chamar a atenção de toda a sociedade, e principalmente dos homens, para a o problema do abuso contra as mulheres e contra garotas.

Mas a desgraça não para por aí: até mesmo um dos garotos que compete no MasterChef Júnior foi alvo de comentários de conotação sexual :(