[Segurança] Pare&Pense: Pode ser golpe!

A Febraban está iniciando uma nova campanha para a sociedade, de conscientização sobre os principais golpes financeiros que assolam os brasileiros.

Você já viu um anúncio de leilão oferecendo produtos por preços muito baixos? Já emitiu um boleto para pagamento em um site que não parecia muito confiável?O banco ligou pedindo a senha da sua conta? Um parente ou conhecido te chamou no WhatsApp pedindo dinheiro emprestado? Já recebeu um e-mail ou SMS do banco pedindo para você clicar e atualizar os seus dados bancários?

Com o tema "Pare&Pense: #podesergolpe", a campanha doca nas principais dicas de prevenção contra os golpes mais frequentes. Além de posts em redes sociais e do conteúdo disponível na página antifraudes.febraban.org.br, a campanha da Febraban também deve passar na TV aberta.

O site da Febraban listam os principais golpes abaixo:

• Golpe da falsa central de atendimento
• Golpe do falso motoboy
• Golpe do falso leilão
• Golpe do Whatsapp
• Golpe da troca de cartão
• Cuidado com as senhas
• Golpe do link falso

E a Febraban também sugere 10 dicas para evitar cair nesses golpes:

1. Cuidado com as suas senhas: Não compartilhe sua senha com amigos e parentes ou encaminhe senhas por aplicativos de mensagens, e-mails ou SMS. Nunca utilize dados pessoais como senha (ex. data de aniversário, placa de carro etc.) nem números repetidos ou sequenciais (ex. 111111 ou 123456) nem anote senhas em papel, no celular ou no computador.
2. Nunca clique em links desconhecidos: Sempre confira a origem das mensagens ao receber promoções e e-mails que se dizem do banco. Nunca clique em links de promoções muito vantajosas ou que peçam sincronização, atualização, manutenção de token, app ou cadastro. O banco nunca envia e-mails informando que sua conta foi invadida e pede para enviar os seus dados.
3. Cuidado em compras online: Dê preferência a sites conhecidos e confira sempre se o endereço do site é o verdadeiro. Para garantir, não clique em links, digite o endereço no navegador. Sempre use o cartão virtual para realizar compras na internet.
4. Cuidado com o que compartilha nas redes sociais: Um simples post pode dar muitas informações sobre você para golpistas.O que você compartilha pode ajudar bandidos a conhecer seu perfil e comportamento.
5. Cuidados com seu cartão: Nunca entregue seu cartão a conhecidos ou ao banco. Os bancos não pedem os cartões de volta, mesmo se houver a possibilidade de fraude ou defeito. Eles também não mandam um portador buscar seu cartão.
6. Ative duplo fator de autenticação: Sempre ative a função de segurança “duplo fator de autenticação” em suas contas na internet que oferecem essa opção: e-mail, redes sociais, aplicativos, sistemas operacionais etc.
7. Confira seu cartão após uma compra: Ao terminar de realizar uma compra na maquininha, verifique o nome no cartão para ter certeza de que realmente é o seu. Sempre confira o valor na maquininha antes de digitar a sua senha. E proteja o código de segurança.
8. Cuidado nas operações bancárias: Sempre confira o nome do recebedor ao pagar um boleto, realizar transferências ou Pix.
9. Não fotografe ou filme a tela do caixa eletrônico ao usá-lo: Nunca envie fotos, vídeos ou capturas de tela pelo celular. Se precisar de auxílio no caixa eletrônico, peça ajuda a um funcionário do banco devidamente identificado.
10. Atenção com ligações: Se receber contato em nome do banco solicitando para ligar para sua Central de Atendimento, ligue a partir de outro aparelho, assim evita que o golpista “prenda” a sua linha telefônica e nunca informe suas senhas.

Para saber mais:

• FEBRABAN lança campanha nacional antifraudes
• Semana da Segurança Digital orienta população sobre golpes
• Veja os vídeos da campanha: "Pare! Pode ser golpe" e "Pare & Pense - Golpe no Zap".

PS: Post atualizado em 21/10 e 16/11.

#podesergolpe

[Segurança] Chegou a 8.8 no Brasil !!!

Está chegando no Brasil a 8.8, um evento de segurança que nasceu no Chile e já tem várias edições em toda a América Latina e uma edição em Las Vegas, realizada na mesma semana da Defcon com palestrantes só da América Latina. A primeira edição da 8.8 foi realizada no Chile em 2011, um ano após o grande terremoto que atingiu o país em 2010, e que acabou inspirando o nome do evento.

A 8.8 Brasil vai acontecer no dia 06 de Outubro, das 10h as 19h. Devido a pandemia, o evento será online e gratuito. Além de excelentes palestrantes, a 8.8 Brasil terá como Keynote speakers o Chema Alonso e o Cesar Cerrudo.

A 8.8 Computer Security Conference é um evento sobre segurança cibernética, 100% técnico, cujo principal objetivo é compartilhar informações, democratizar o conhecimento e fomentar a comunidade. É uma conferência com palestrantes internacionais e nacionais, escolhidos entre grandes especialistas na área. A 8.8 se diferencia por ser uma conferência que busca a integrar a comunidade de pesquisa em segurança com os profissionais e executivos de mercado. O público é formado por profissionais experientes em segurança e executivos, CSOs e CISOs, junto com grandes palestrantes internacionais apresentando conteúdo de altíssima qualidade, com temas técnicos e avançados.

Como comparação, a 8.8 tem uma qualidade parecida com a nossa You Sh0t the Sheriff (YSTS), no Brasil, tanto em termos de infra-estrutura como programação e pela excelente qualidade das palestras. A maior diferença, nesse caso, é que a YSTS é um evento restrito somente para convidados, enquanto a 8.8 é um evento aberto ao público. No canal da 8.8 no YouTube é possível assistir diversas palestras que já foram realizadas.

A conferência se destaca por sempre usar uma linguagem visual colorida e com referências a cultura pop. O tema desse ano é "Enteka", a palavra em grego para "11", que foi adotada para representar o nosso primeiro passo em uma nova década.

Este ano estamos realizando a primeira edição no Brasil, e esperamos reunir muitos interessados ​​para um evento com palestrantes locais e internacionais em uma programação muito interessante e divertida, um dia inteiro de palestras das 10h as 19h. Montamos uma agenda com diversos palestrantes brasileiros, dois argentinos, uma canadense e um palestrante espanhol, o Chema Alonso - um dos maiores especialistas de segurança atualmente, Chief Digital Consumer Officer da Telefonica e conhecido por ter fundado a ElevenPaths. O Chema será o keynote speaker do evento, e esta será a primeira vez que ele palestra em um evento público no Brasil.

Devido a pandemia do novo Coronavírus, a 8.8 Brasil vai ser realizada online e gratuita. A 8.8 costuma ser realizada presencialmente, normalmente em um teatro, com uma trilha de palestras, competição de CTF e área de expositores, alem de intervalo e happy hour com cerveja grátis para os participantes. Nesse modelo tradicional, presencial, o evento é pago, com uma pequena taxa de inscrição. Mas, devido a pandemia, desde o ano passado o evento migrou para o mundo online, e assim, passou a não cobrar inscrições.

Para participar da edição brasileira da 8.8, online e gratuita, basta se inscrever nessa página de inscrições.

A 8.8 também está presente no México, Bolívia e Peru, além de três regiões do Chile e algumas edições temáticas - como uma edição para as forças armadas e a 8.8 Lovelace, realizada em Julho deste ano para apoiar as mulheres na área. Do ponto de vista global, o evento já recebeu mais de 240 palestrantes especialistas internacionais e nacionais em segurança da informação e mais de 9.000 participantes em todos os países.

A 8.8 Brasil é organizada pelo time da 8.8 Chile em parceria com os mesmos organizadores da Security BSides São Paulo: eu, o Thiago Bordini e o Ranieri Romera.

Além dos patrocinadores "globais", que suportam todas as edições do evento, a 8.8 Brasil vai contar com algumas empresas locais que também estão patrocinando essa primeira edição: a Axur, CrowdStrike, ForcePoint, Securiti e a Trend Micro Brasil já estão confirmadas!

Para saber mais:

• Site da 8.8
• twitter: @8dot8
• perfil no Linkedin
• canal no YouTube
• 8.8 Brasil
• página de inscrições
• twitter: @8dot8Brasil
• perfil no Linkedin

PS: Veja também uma versão deste post no meu perfil do Linkedin.

PS/2 (Adicionado em 03 e 05/10): A grade de palestras do evento está disponível, com vários palestrantes brasileiros e internacionais. O Chema Alonso será o keynote speaker, iniciando o evento as 10 da manhã, mas também teremos vários palestrantes nacionais: o Filipi Pires, o Fabio Assolini falando sobre o malware Ghost Hand junto com o Fabio Marengue, o Noilson Caio, a Rob Robert, e também um painel sobre Threat Intel com o o Thiago Bordini, a Cris Barbosa e o delegado Emerson Wendt. Veja a agenda e se inscreva pelo site: https://www.8dot8.org/8-8-brasil/

PS 3 (adicionado em 05/10): Veja também algumas matérias que saíram sobre o evento:

• A conferência 8.8 chega ao Brasil
• Hackeo de satélites: la nueva ciberamenaza que se abordará en 8.8 Brasil
• Cesar Cerrudo devela amenazas satelitales en primera edición de 8.8 Brasil

[Segurança] H2HC 2021 cancelada :(

A H2HC (@h2hconference) é, sem dúvida, o maior, mais antigo e mais importante evento brasileiro de pesquisa em segurança, além de um dos mais importantes da América Latina.

A H2HC não foi realizada no ano passado por causa da pandemia, mas estava prevista para acontecer nos dias 23 e 24/10 deste ano. Infelizmente, a coordenação anunciou que decidiu cancelar o evento este ano, novamente por causa do risco e dos impactos relacionados a pandemia do novo Coronavírus.

Em uma carta publicada no site do evento, os organizadores explicam que, além da preocupação com a saúde dos participantes, um fator decisivo foi a indisponibilidade de local: os dois hotéis em que foi realizada pelas últimas vezes estão fechados. Além disso, segundo eles, muitos dos palestrantes internacionais que foram consultados não tem interesse em arriscar uma viagem para participar do evento.

Assim como o You Sh0t the Sheriff (YSTS) e a Security BSides São Paulo, os organizadores da H2HC não se interessaram em realizar uma edição online pois também acreditam que o principal valor do evento é permitir a interação pessoal entre os participantes, algo que só é possível nos eventos presenciais.

Estamos próximos de completar 600 mil mortes no Brasil, relacionadas ao COVID-19, e as estatísticas sobre a pandemia mostram que, apesar do grande avanço na vacinação, a pandemia continua ativa em nosso país. Por isso, todo cuidado ainda é pouco.

Leia a carta publicada no site do evento.

[Segurança] Como evitar o golpe da maquininha

Com a popularização dos serviços de entrega e delivery, durante a pandemia, cresceu também o "golpe da maquininha", quando o entregador cobra presencialmente o valor da compra, e passa um valor muito acima do devido, roubando dinheiro da vítima.

Recentemente o pessoal do iFood publicou um artigo com um infográfico bem legal explicando como funciona a fraude e como as pessoas podem evitar cair nesse golpe da maquininha. Eles citam 4 variações desse golpe, como quando o entregador usa uma maquininha com o visor adulterado ou quando avisa que tem uma taxa extra.

Para saber mais:

• Cuidados para não cair no golpe da maquininha

[Segurança] Livro de Gestão da Segurança do Semola

 O Marcos Sêmola disponibilizou publicamente a íntegra do seu livro Gestão da Segurança da Informação no site www.livrodeseguranca.com. um dos livros nacionais mais antigos na área. Escrito há cerca de 20 anos atrás, ele inspirou diversas gerações de profissionais.

O livro, com 193 páginas nessa sua 2a edição, está disponível para download em PDF e no formato para o Kindle.

[Segurança] Todo mundo pode evitar golpes no WhatsApp

O WhatsApp lançou recentemente uma campanha de conscientização para seus usuários, utilizando influenciadores digitais para falar sobre os cuidados para evitar cair em fraudes realizadas através da troca de mensagens.

Os vídeos são bem produzidos, com visual atrativo, linguagem moderna e descontraída. Em cada vídeo, eles vão direto ao ponto. O tema da campanha é "Todo mundo pode evitar golpes no WhatsApp". Ou melhor: "Todo mundo pode cair em golpes no WhatsApp. Mas todo mundo pode evitar".

Este primeiro vídeo, da Pequena Lo, ensina como cadastrar a senha de 6 dígitos para proteger a conta do WhatsApp.

No vídeo com o Hugo Gloss, ele dá uma dica muito simples e importante: se algum conhecido pedir dinheiro emprestado e estiver usando um número novo, ligue para o número antigo para tentar confirmar a  identidade da pessoa e sua história.

Neste vídeo, a Thelminha fala sobre a importância de não compartilhar o código de ativação do Whatsapp, e assim, evitar que o fraudador tenha acesso a sua conta.

Vale a pena também dar uma olhada nessa página com dicas de segurança para sua conta do WhatsApp.

[Segurança] Preparativos para o Mês da Conscientização em Segurança

Outubro é considerado o mês da conscientização em segurança ("Security awareness month"), uma data escolhida para incentivar as empresas a concentrarem suas ações de conscientização.

Há muito material disponível gratuitamente para apoiar essas ações, e não por coincidência, diversas entidades e empresas compartilham mais dicas de materiais nesse mês.

O pessoal da Knowbe4 disponibilizou um kit de conscientização, com diversos template, postes e infográficos.

Eu achei legal que eles proposta um calendário de ações, aonde em cada semana teria um tema principal e seriam divulgados um infográfico, um vídeo, um pôster e um sumário de dicas para cada tema. Acho legal ter esse tipo de planejamento para dar coerência ao programa de conscientização.

Veja também:

• 2021 Cybersecurity Awareness Month Resource Kit (Knowbe4)
• Cybersecurity Awareness Month Guide (Knowbe4)
• Cybersecurity Awareness Weekly Planner

[Segurança] Perguntas e respostas sobre Bug Bounty

Eu já apresentei algumas palestras sobre Bug Bounty, a mais recente foi no The Developers Conference, além de ter participado de painéis sobre o assunto, como dois painéis organizados pelo pessoal do MindTheSec: na edição deste ano e também no ano passado (Bug Bounty: como implantar um programa e o que você precisa saber - veja o vídeo).

Resolvi aproveitar e compartilhar aqui algumas perguntas e respostas frequentes, baseados em minhas palestras e no que discutimos nos painéis.

Atualmente estou estudando para caçar bounts em um futuro próximo, mas estou bem no início ainda, quais conhecimentos técnicos vocês consideram fundamentais pra quem ta começando?

Eu acredito que é necessário ter um conhecimento técnico em protocolos de redes, programação e engenharia reversa. Mas, na verdade, o ideal é você escolher uma área e se especializar nela - ex: desenvolvimento web, desenvolvimento mobile, redes, etc. E aí você vai buscar vulnerabilidades específicas nessa área de conhecimento.

Para aprendizagem na prática, eu recomendo também participar de competições de Capture The Flag (CTF).

Num cenário onde existe um backlog de vulnerabilidades conhecidas e um cenário amplo de aplicações críticas. Como identificar o momento certo de colocar o bug bounty no ar e quais apps priorizar?

Na minha opinião pessoal, a empresa precisa ter um processo maduro de segurança antes de implantar um programa de Bug Boutny. Isso inclui uma cultura de DevSecOps, para minimizar a possibilidade de bugs em seus ambiente em produção, e principalmente, processos e capacidades para identificar e corrigir vulnerabilidades, preventivamente e proativamente.

Claro que cada empresa vai adotar o programa de bug bounty de acordo com sua realidade e suas capacidades. Uma possibilidade é começar o programa com um escopo limitado e ir abrindo o programa à medida que a maturidade do time vai aumentado.

O Bug bounty pode substituir o pentest?

Não. Eu acredito que o Bug Bounty complementa o esforço de identificar vulnerabilidades, que inclui o pentest, testes estáticos e dinâmicos, etc.

Além do mais, O importante é que o aplicativo esteja o mais seguro possível, dentro das capacidades da empresa. Um aplicativo inseguro em produção pode causar grandes prejuízos em fraude. Se tiver um programa de bug bounty, a quantidade de reports e o gasto com premiação pode ser enorme.

Como funciona a comunicação entre o pesquisador e a empresa diante da falha encontrada e classificada? 

Toda comunicação é realizada através plataforma de bug bounty, aonde o pesquisador se cadastra, acessa a página referente ao programa da empresa e possui uma interface (por exemplo, como um formulário) para submeter o seu report. Essa plataforma permite a comunicação entre o profissional, a empresa e o time de triagem dos chamados, um serviço que pode ser fornecido pelo provedor da plataforma.

Veja, por exemplo, esse pequeno vídeo da HackerOne que explica como funciona a gestão de reports na plataforma deles:

Bugs encontrados, são decorrência da lógica falha do programador? Ou são consequência involuntárias? 

Bugs podem acontecer por qualquer problema ou causa. Pode ser um erro na especificação do software ou do protocolo, pode ser um erro lógico na implementação ou causado por uma codificação errada, por exemplo.

Quando erros básicos são descobertos como isso se reflete nas equipes internas de devsecops? Advertência até demissão? 

Bugs fazem parte do processo de desenvolvimento. Não existe porque punir o programador, seja uma advertencia ou nem mesmo uma demissão, a menos que você comprove que o bug foi intencional, criado com objetivo de prejudicar a empresa (o que eu acredito que deve ser raro). Se a sua empresa tiver capacidade de identificar os programadores responsáveis por determinado produto ou código, e identificar que um determinado programador tem desenvolvido software com uma quantidade muito grande de bugs, acima da média da equipe, provavelmente esse profissional precisa de treinamento e capacitação.

Não existe um contrato e seu uso na justiça se o escopo for ultrapassado? Como a empresa pode comprovar e usar esse recurso na quebra de contrato?

Antes de mais nada: não existe contrato nem relacionamento direto entre a sua empresa e os pesquisadores, tudo é intermediado pela empresa que fornece a plataforma de Bug Bounty. Na verdade, existe um contrato entre a empresa que tem o programa de Bug Bounty e a empresa que oferece a plataforma, e os pesquisadores tem um relacionamento com a plataforma, aceitando seus termos de uso ao se cadastrar nela.

Também não faz sentido para a empresa quebrar contrato com o fornecedor da plataforma caso um pesquisador reporte uma vulnerabilidade fora do escopo. Nesses casos, o que acontece é que o Report será rejeitado, a empresa não pagará a premiação e ele (ou ela) irá perder pontos de reputação na plataforma, mesmo que a vulnerabilidade seja real. Por isso poucas vezes alguém envia uma notificação sobre problema que esteja fora do escopo.

As empresas no Brasil estão começando a focar e considerar no budget o programa Bug bounty?

Eu acredito que o mercado nacional de bug bounty ainda não tem a mesma maturidade que o mercado americano e global. Acredito que poucas empresas brasileiras estão considerando a possibilidade de implementar um programa de bug bounty, mas estou vendo um aumento crescente pelo interesse no assunto.

[Carreira] Dicas para promover a diversidade na sua empresa

Neste dia 13/09/2021 eu tive a oportunidade de participar, como moderador, em um painel no Mind The Sec dentro da trilha LeaderZone, em que discutimos sobre a "Diversidade na contratação", ou melhor, a diversidade no nosso mercado de trabalho. O painel foi ótimo e contou com a participação da Ceu Balzano, da Karina Queiroz e do Rodrigo Bonfim.

No meu ponto de vista, que eu expus logo no inicio do painel, o nosso mercado de trabalho é um reflexo do preconceito estrutural que existe na nossa sociedade: é formado predominantemente por profissionais do sexo masculino (homens), brancos e héteros. Proporcionalmente a população, a presença de mulheres e pessoas negras é bem pouca. Isso é consequencia do racismo estrutural, dos problemas econômicos e dos preconceitos que existem em nossa área - incluindo aquela visão incorreta de que "tecnologia é coisa de menino".

Infelizmente o tempo foi curto e todos nós ainda temos muito o que discutir sobre esse assunto, mas nós do painel preparamos uma pequena lista com 9 dicas de como promover a diversidade no mercado de segurança:

• Em vez de contratar um profissional Senior, forme um Junior;
• Busque pessoas em faculdades de segunda linha e colégios técnicos;
• Participe de programas de mentoria para jovens;
• Apoie comunidades que auxiliam as minorias a entrar no mercado;
• Busque analisar a história e as motivações, seja mentor;
• Tenha um canal de transparência, para receber denúncias;
• Eduque e conscientize pelo exemplo, não pelo "mimimi";
• Não espere que os outros vão resolver o problema por você. Arregace as mangas!
• Contrate pessoas de outras cidades e estados (aproveita que liberou o home office!).
  

Sobre a dica do canal de transparência, quero complementar que, infelizmente, ele pode ser necessário, mas também tem o aspecto positivo de transmitir a mensagem de que a empresa está prestes a ouvir e investigar qualquer atitude inapropriada de seus colaboradores. Também transmite as minorias a mensagem de que a empresa se preocupa com elas e que existe um canal para pedir ajuda, caso necessário.

[Humor] Piadas de tiozão sobre ransomware

Nesta semana teremos o Mind The Sec, o maior e mais importante evento corporativo de segurança (na minha opinião). O evento, previsto para 5 dias, de 13 a 17 de setembro de 2021, Durante o evento, o intervalo de almoço será preenchido por um bate-papo apresentada pelo pessoal dos podcasts You Sh0t the Sheriff e Securecast, comigo também participando, de bicão. No ano passado fizemos essa conversa no estilo "rádio", mas dessa vez será com imagem também.

As conversa acontecerão nos dias 14 a 16, das 12:30 as 14h.

O objetivo é ter um bate-papo descontraído e divertido, comentando sobre o evento e o que mais surgir de assunto. Para contribuir com o humor de qualidade duvidosa, eu criei algumas "piadas de tiozão" sobre ransomware, que irei comentar durante a rádio:

• Quantos ransomwares são necessários para trocar uma lâmpada? Só um. Os ransomwares fazem triple extorsion (criptografa, vaza os dados e faz DDoS) e ainda queimam e trocam a sua lâmpada.
• O que um ransomrare disse para o outro? Não sei, estava criptografado.
• O que um ransomrare disse para o outro? "Eu vazo os dados e você criptografa!"
• Por que o ransomware cruzou a estrada? Para invadir a empresa do outro lado.
• O que é um pontinho preto na tela do computador? É o ransomware DarkSide.
• Por que o CISO saiu da empresa depois do ataque de ransomware? Porque ele pegou "ranço" pela coisa.

Para evitar spoilers, eu vou atualizar esse post com as respostas somente depois do evento ;)

PS: Post editado com pequenos ajustes.

PS/2: Post atualizado para incluir as respostas em 14, 15 e 16/09. Duas novas piadas adicionadas em 16/09. Nova piada criada em 25/04/2024.