[Segurança] Estatísticas de fraude no e-commerce

A CyberSource, uma empresa de análise de fraudes da Visa, anualmente apresenta um estudo com estatísticas de fraude no comércio enetrônico.

Veja um resumo das principais estatísticas de 2016 para os EUA, além de alguns dados da Inglaterra e América Latina:

• 83% dos lojistas online nos EUA fazem revisão manual dos pedidos para tentar identificar fraude (50% na Inglaterra e 83% na América Latina);
• 29% dos pedidos são revistos manualmente (22,5% na Inglaterra e 29% na América Latina);
• As perdas por fraude representam 0,8% da receita via web nos EUA;
• 2,8% dos pedidos são rejeitados por suspeita de fraude (8% na América Latina);
• 10% dos pedidos rejeitados por suspeita de fraude por empresas americanas eram, na verdade, genuínos ("falso positivo");
• 1,4% de todas as vendas são extornadas ("çharge back") na América Latina.

[Segurança] Novo golpe de engenharia social assusta clientes bancários brasileiros

Recentemente eu tenho ouvido relatos de diversos colegas sobre uma nova modalidade de fraude bancária, baseada em engenharia social - histórias que também ouvi de outros colegas que trabalham em alguns bancos.

Resumindo o ciber criminoso liga para a vítima se passando pelo área de fraude do seu banco, tenta obter a senha do cliente para, em seguida, realizar a fraude verdadeira.

Tudo começa quando o cliente recebe uma ligação telefônica de alguém que se idenbtifica como funcionário da área de fraude do Banco (nesse momento, ele sabe que a vítima possui conta naquele banco e conhece alguns dados pessoais, para que a ligação pareça real). Então o criminoso informa que o banco recebeu uma notificação de fraude na conta do cliente (ex: uma tentativa de pagamento ou de depósito de um cheque, com divergência de assinatura) e pergunta para a vítima se ela reconhece essa transação. Após a vítima dizer que não fez a tal transação (que não existe), o criminoso segue um procedimento aparentemente normal para fazer a análise do caso e o cancelamento da suposta fraude, porém nessa hora ele pede algumas informações do cliente, incluindo o CPF, endereço IP e, claro, as senhas eletrônicas.

Nesse momento ele vai tentar obter a senha do cliente: o fraudador menos sofisticado pode tentar perguntar a senha por telefone (alguns clientes falam!), mas os relatos que ouvi incluem o caso de enviar um link para um site falso ou, pior ainda, em alguns casos eles redirecionam o cliente para uma simulação do "atendimento automático" aonde ele vai se autenticar. Neste último caso, é realmente uma simulação idêntica do atendimento eletrônico do Banco, aonde uma voz idêntica a utilizada pelo Banco pede a senha e o cliente digita no telefone.

Com os dados acima, o criminoso consegue acessar a conta do cliente e, aí sim, realizar uma fraude de verdade, efetuando pagamentos através da conta da vítima. Esse golpe tem atingido clientes de vários bancos, segundo alguns colegas que em relataram isso (que, inclusive, receberam a ligação imitando o call center e o atendimento eletrônico).

Para evitar cair nesse tipo de golpe, devemos tomar cuidado com ligações recebidas do nosso banco. Sempre que receber esse tipod e ligação, jamais fazer nada que forneça algum dado seu ao atendente. Se o atendente começar  apedir informação, diga que você prefere ligar para o banco e resolver o assunto.

Avançando um pouco mais no nível de paranóia, tenho um conhecido que sempre digita a senha errada na primeira tentativa. Ele também foi alvo dessa tentativa de draude, e quando recebeu a ligação e pediram para ele entrar com a senha no suposto "atendimento eletrônico", ele digitou errado e foi aprovada. Nessa hora ele percebeu que era um golpe.

O interessante é tentar imaginar como os ciber criminosos conseguiram os dados dos clientes para fazer o golpe, pois eles precisam no mínimo cruzar o nome, o telefone, e os dados da conta da vítima (banco, agência e conta). Ou, no mínimo, precisam saber o nome, telefone e que banco o cliente usa. Se pararmos para pensar, há uma dezena de serviços que assinamos no nosso dia-a-dia e que possuem estes dados (empresas, alguns aplicativos no celular ou cadastros diversos), então não deve ser difícil que alguma dessas bases de dados possa ter vazado e caído nas mãos dos criminosos.

[Segurança] Quem quebrou a criptografia do Enigma?

O canal Quite Interesting publicou recentemente um vídeo bem legal e divertido, chamado "Who Cracked Enigma?", que mostra uma conversa que começou com a pergunta "Quem foi o primeiro a quebrar o codigo da Enigma?".

Embora o matemático britânico Alan Turing tenha sido imortalizado por Hollywood por ter liderado esse feito na Inglaterra durante a II Guerra Mundial, o apresentador lembrou muito bem que os primeiros a desvendarem o funcinamento da Enigma foram os Poloneses, liderados pelo matemático e criptoanalista Marian Rejewski no início da década de 1930. Antes mesmo da 2a guerra os militares alemães já usavam estas máquinas para criptografar suas comunicações, e os poloneses conseguiram decifrar até 1938, quando uma versão mais complexa da Enigma começou a ser produzida.

Durante a conversa, um dos momentos engraçados foi quando eles lembraram que os britânicos construiram o Colossus, o primeiro computador do mundo, que foi utilizado para decifrar as mensagens dos alemães durante a guerra. por ser um projeto secreto, ninguém sabia disso e por muito tempo os britânicos não tiveram esse reconhecimento. Pior: eles deram os planos do Colossus para a CIA!

[Segurança] Buzzword do momento: Machine Learning

Constantemente o mercado de tecnologia (e, em especial, o de segurança) escolhe uma nova Buzzword para divulgar novas tecnologias e produtos.

Mal deu tempo de consolidar, ao menos no Brasil, o uso da buzzword "Cyber Threat Intelligence", e ela já foi atropelada por uma nova:

Machine Learning

Seu produto de segurança consegue identificar novos tipos de ataques? E ataques avançados? Zero Days?

Para que isso seja possível, você vai precisar que suas ferramentas de segurança utilizem "Machine Learning" (ou ML, para os mais íntimos). Sim, é um tipo de "inteligência artificial", mas com um nome diferente para reciclar o termo. Na ÏBM, eles preferem chamar ML de Computação Cognitiva e já há alguns projetos para utilizar o Watson da IBM como a super hiper mega inovação capaz de ajudar empresas a detectar ameaças e ataques de segurança.

[Segurança] Raio X do ciber crime brasileiro

Há algum tempo atrás a Kaspersky e a Trend Micro publicaram seus relatórios específicos sobre o crime cibernético no Brasil. Os dois relatórios são muito bons (apesar da Kaspersky pisar na bola em mostrar alguma sfotos de mais de 3 anos atrás) e merecem ser lidos. Se juntar os dois, temos uma análise bem commpleta de como os ciber criminosos se organizam e que técnicas utilizam.

O Fabio Assolini, da Kaspersky, resume muito bem o cenário brasileiro: “Há muitas campanhas criminosas voltadas especialmente para os brasileiros. Além disso, a legislação nacional é muito vaga em relação à crimes digitais. Se você une tudo isto ao vasto comércio de produtos e serviços entre criminosos locais, nota o quanto a realidade digital brasileira pode se tornar complexa para empresas que não contam com especialistas em segurança de TI no País”.

Ou seja, temos muitos ciber criminosos e um mercado underground intenso, que tem um terreno fértil para atuar graças a uma legislação muito fraca, repressão policial ineficiente e com uma população de usuários e empresas despreparadas para se defender online.

As principais características do ciber crime no Brasil, segundo os dois relatórios, são as seguintes:

• O cibercrime local se concentra em fraudes contra alvos brasileiros (pessoas e empresas);
• Apesar do foco local, existe alguma colaboração entre ciber criminosos brasileiros e da Europa Oriental. Eles compartilham conhecimento, trocam favores e compram serviços, tais como hospedagem protegida para os malware nacionais;
• A legislação brasileira é fraca e o nosso sistema judiciário não consegue punir os criminosos de forma eficaz, o que gera uma forte percepção de impunidade. Afinal, os ciber criminosos passam pouco ou nenhum tempo presos. Proliferam exemplos de criminosos que anunciam seus "produtos" ou "serviços" abertamente em fóruns e até mesmo redes sociais, ou que ostentam o dinheiro que ganharam nas redes sociais, e em vídeos;
• O Brasil é um dos principais países em termos de ataques financeiros através de trojans bancários;
• Uma das principais formas de monetização (obter dinheiro real a partir de crimes virtuais) é a fraude dos boletos, um tipo de fraude bem específica do Brasil (pois só aqui que existe esse monstro chamado "boleto bancário");
• Frequentes falhas de segurança em serviços online dos mais diversos órgãos do governo expõem dados sigilosos de cidadãos brasileiros, que os ciber criminosos utilizam para cometer fraudes ou comercializam. A Kaspersky dá o exemplo de uma base de dados do Detran de São Paulo, de 2014, sendo vendida nos fóruns underground. Um ataque direcionado ao sistema do Ibama permitiu reaver a licença de 23 empresas suspensas por crimes ambientais e, em 10 dias, foram extraídos 11 milhões de reais em madeira;
• O mercado underground brasileiro (ou C2C, de um criminoso para outro) é um terreno fértil para colaboração entre criminosos e o compartilhamento de serviços, informações e ferramentas. Um ciber criminoso nem precisa ter muita experiência nem conhecimento, pois consegue encontrar praticamente todos os serviços que possa precisar: códigos maliciosos, criptografia para malware, hospedagem, envio de SPAM, etc;

Nota: Link corrigido em 22/3.

[Cyber Cultura] Garoa Hacker Camp 2017

Dias 1 e 2 de abril de 2017 vai rolar o Garoa Hacker Camp 2017. Durante um final de semana, vamos nos reunir em um sítio a 40 km do centro de São Paulo para hackear, conversar, fazer oficinas e, quem quiser, pode até pescar sua própria comida.

O Garoa Hacker Camp é um acampamento hacker que nós do Garoa pretendemos organizar periodicamente, inspirado em outros eventos nesse formato existentes no mundo, e com mais tradição, como o Chaos Communication Camp, que acontece a cada 4 anos na Alemanha, e o SHA2017, que ocorre este ano na Holanda (que também ocorre a cada 4 anos e está em sua oitava edição). O objetivo é realizar um evento técnico ao ar livre, em um ambiente totalmente descontraído e diferente do nosso dia-a-dia, promovendo uma melhor confraternização entre os participantes.

Um hacker camp permite viver uma experiência única e bem diferente da que estamos acostumados nos eventos tradicionais. Claro que não é todo mundo que gosta de acampar, por isso optamos por buscar um lugar que tivesse uma infra-estrutura que também oferecesse quartos e camas "tradicionais". Há alguns anos atrás nós fizemos um evento de testes, que chamamos de Garoa Hacker Camp Zero.

Para saber mais sobre o evento, visite a nossa página no site do Garoa.

[Segurança] A NSA e a CIA me seguem!

Na edição do Roadsec que aconteceu recentemente em Brasília eu apresentei uma palestra sobre espionagem governamental, com o objetivo de fomentar o debate sobre como podemos tentar recuperar a nossa privacidade em um mundo super vigiado como o de hoje.

A NSA me segue (e a CIA também!) from Anchises Moraes

A palestra, batizada de "A NSA me Segue", foi baseada em uma atualização de uma mini-palestra que preparei em 2013, na época focada em discutir os vazamentos do Edward Snowden. Desta vez, além de discutir os novos vazamentos do Wikileaks sobre as capacidades de espionagem da CIA, a agência de inteligência americana, eu também tentei discutir como podemos tomar algumas pequenas atitudes para preservar um pouco de nossa privacidade online. Em breve pretendo criar um post mais detalhado sobre este assunto.

[Segurança] Vazamento de Sex Toys

Eu já comentei aqui sobre a "Internet of (Sex) Toys", ou seja, objetos eróticos com processamento embarcado e acesso a internet.

Se alguém achava que isso poderia ser problema, tinha razão!

Um fabricante Canadense de brinquedos eróticos foi condenado a pagar 3 milhões de dólaree americanos aos seus clientes, pois eles estavam coletando dados sobre os hábitos sexuais sem o consentimento prévio. Cada cliente da Standard Innovation que utilizou o alicativo We-Vibe 4 Plus da empresa vai receber uma indenização de US$ 7.400.

O vibrador pode ser controlado remotamente por um aplicativo através de Bluetooth, permitindo assim que os casais "se conectem de maneiras novas e excitantes". Mas, quando utilizado, a empresa recolhia os dados pessoais sobre o uso do aparelho sem o conhecimento dos clientes. Informações sobre a freqüência com que os dispositivos foram utilizados, por quanto tempo, a temperatura do dispositivo e a intensidade de vibração eram enviados à Standard Innovation.

Sem falar que ele possuía vulnerabilidades que permitiam o seu acesso não autorizafo.

[Cidadania] Machismo na universidade

O pessoal da Escola Politécnica da USP fez um vídeo excelente com depoimentos corajosos e emocionantes de alunas que sofreram assédio, desrespeito e abuso dentro da faculdade, com casos na Poli e algumas outras faculdades da USP.

São depoimentos registrados em vídeos e frases, com histórias pessoais e impressionantes de ofensas verbais e físicas feitas por professores e estudantes durante as aulas e nas festas da faculdade. O assustador é saber que comentários machistas e sexistas também partem dos professores, justamente quem deveria dar o exemplo e cuidar para que todos os alunos e alunas fossem tratados de forma igual. Nem mesmo a atual Vice-diretora da Poli escapou ilesa de preconceito quando era estudante.


USP - Aqui não! from RM Imagens | Ricardo Mereu on Vimeo.

O vídeo encerra com a a coordenadora do projeto USPMULHERES lembrando que os frequentadores da universidade são exatamente iguais ao resto da sociedade, e as situações que acontecem nas ruas
não são diferentes daquelas que acontecem dentro da universidade. Fomos educados em uma sociedade patriarcal e machista, que discrimina as mulheres, e ainda não mudamos esses costumes, valores nem o nosso comportamento.

Mas, mesmo sendo um espelho da sociedade que nos cerca, nós podemos e devemos nos esforçar para mudar esse comportamento, devemos respeitar as mulheres e acabar com essa cultura do estupro e da desqualificação da inteligência das mulheres.

[Cyber Cultura] Glossário do Cyber Bullying

O pessoal da Norton (da Symantec) criou um guia sobre cyber bullying, que no final contém um pequeno glossário de termos e gírias mais utilizados no meio digital e que são relacionados a esta prática monstruosa.

Eu resolvi aproveitar este guia para dar destaque a estes termos e gírias que são mais utilizados online, complementando com mais alguns que conheço:

• AFF: Interjeição usada para demonstrar descontentamento ou indignação. A sonoridade da palavra lembra um suspiro por falta de paciência;
• BBQ ou BBK: Redução do termo “babaca”, utilizado como insulto;
• Face: abreviação de Facebook;
• Fake: Significa “falso”, em inglês. O termo é usado para identificar quando alguém cria um perfil falso na internet ou pode ser usado também como insulto contra alguém;
• Falsiane: Usado para descrever as amigas que não merecem confiança;
• Feminazi: Expressão pejorativa para desiginar pessoas que defendem os direitos das mulheres;
• Haters: pessoas que frequentemente manifestam raiva ou ódio contra alguma coisa ou alguém;
• Inbox ou DM: refere-se a conversas privadas nas redes sociais, quando você sai de uma discussão pública e passa a conversar diretamente com uma pessoa, através de uma janela privada ou um aplicativo de mensagens instantâneas;
• Insta: Apelido do "Instagram", a rede social de compartilhamento de fotos muito utilizada atualmente;
• Loser: adjetivo usado para chamar alguém de perdedor ou fracassado;
• Melhore: expressão usada para chamar a atenção de alguém que fez alguma coisa considerada ruim;
• Noob: Gíria pejorativa que significa “novato”. Também usada para indicar que a pessoa é imbecil ou burra;
• Nudes: Fotos de nudez;
• PLMDDS: Abreviação de “pelo amor de Deus”, usado para pedir um favor ou expressar indignação;
• PQP, TNC, VTNC, PNC, VSF, WTF, STFU: São siglas para expressões populares de baixo calão;
• Sambar: Gíria comum na Internet, geralmente usada por mulheres, que quer dizer “sair por cima” ou “se sobressair”. Seria o mesmo que pisar, humilhar e desmoralizar alguém;
• Seje menas: Sim, com erros gramaticais propositais, esta expressão é usada para ironizar a capacidade intelectual de alguém ou desdenhar alguma coisa que essa pessoa disse;
• SQN: “Só que não”, é usado para expressar ironia, negando uma frase que foi dita anteriormente;
• Trollar, trollagem: Significa zoar, sacanear alguém;
• Virjão, Virje: Termo pejorativo usado para definir pessoa do sexo masculino que nunca teve relação sexual, mas também utilizado para dizer que a pessoa é inexperiente, sem conhecimento;
• Whatz, ZapZap: abreviação para o aplicativo Whatsapp.