A estatística da RSA conseguiu separar o preço que os crimonosos pagam por diferented tipos de credenciais de acesso roubadas, dependendo de que tipo de site e serviço elas dão acesso. Por exemplo, uma cona de acesso a um e-commerce de esportes pode custar cerca de 1 dólar, enquanto uma senha de acesso a um site de relacionamentos pode custar até 10 dólares e uma conta bancária pode custar até $10,50.
Não, antes de mais nada, eu não errei o título desse post!
Recentemente muitossites tem divulgado a notícia assustadora de um vazamento de dados aonde mais de 1,4 bilhão de logins e senhas foram expostas e estão sendo compartilhadas na Dark Web. O vazamento tem dados de vários sites e serviços populares, incluindo a Netflix, Bitcoin, LinkedIn, Badoo, Pastebin, YouPorn, Last.FM, RedBox, Anti Public, Exploit.in, Minecraft, Zoosk e MySpace.
Os dados foram organizados em um grande arquivo com 415 GB de tamanho, aonde os nomes de usuário, e-mails e senhas foram organizados e classificados.
Essa notícia tem sido constantemente divulgada pela imprensa e por vários colegas da área. Não dá para negar o tom bem alarmista dela.
Mas o que ninguém fala é que quase a totalidade desses dados se referem a vazamentos antigos. Simplesmente juntaram as informações de diversos vazamentos anteriores e organizaram essa montanha de dados.
O Troy Hunt, pesquisador responsável pelo ótimo site Have I Been Powned, analisou esse "vazamento" e concluiu que 99,6% dos dados dele correspondem a informações que já foram expostas previamente.
Ou seja, o alarde feito com isso não se justifica tecnicamente. É bom lembrar os usuários o perigo de usar senhas fáceis e, principalmente, usar as mesmas senhas em sites diferentes. Essa também é uma oportunidade para conscientizar os usuários sobre a importância de trocar as senhas periodicamente.
O que tiramos de bom disso é a imagem abaixo, que mostra as senhas mais presentes nesse vazamento. Podemos ver que as senhas triviais representam quase todas as 36 senhas mais encontradas no vazamento.
O Fantástico deste últino final de semana (10/12) passou uma reportagem aonde eles detalharam muito bem como os ciber criminosos brasileiros coseguem facilmente roubar dados sigilosos de milhares de pessoas, comercializar essas informações pessoais e usar isso para fazer vários tipos de fraude.
A reportagem mostra vários tipos de golpes que acontecem através da Internet, aonde são oferecidos diversos serviços ilícitos:
Compra e venda de dados de cartão de crédito;
Compra de cartões de crédito de clientes (desviados do Correio), que o Fantástico obteve por R$ 400;
Ofertas de notas falsas de Reais;
Venda de dados pessoais (CPF, comprovantes de residência, dados cadastrais, telefone, etc);
Cadasttos em sites de e-commerce, para fazer compras fraudulentas (as mercadorias são revendidas posteriormente, a preços abaixo do mercado);
Dados cadastrais em empresas de telefonia, incluindo imagens de documentos pessoais;
Senhas de acesso ao CADSUS (Sistema de Cadastramento de usuários do SUS), para permitir busca de informações pessoais;
Venda de páginas falsas, para serem usadas para phishing por e-mail ou SMS, para capura de senhas e dados pessoais, ou para simular sites de e-commerce.
Alguns desses golpes podem acontecer com a ajuda de funcionários internos, como no caso do roubo de dados de empresas de telefonia, acesso a contas do CADSUS (caso o dono da conta compartilhe o seu acesso) e o roubo de carões de crédito nos Correios.
Uma das coisas interessantes nessa reportagem é que eles também mostraram como é fácil fazer o cruzamento de dados obtidos de diversas fontes para potencializar a fraude: por exemplo, você compra um cartão de crédito, que foi desviado durante o seu envio pelo Correio e busca as informações pessoais do dono do cartão no sistema do SUS. Com isso, o fraudador consegue entrar em contato com a central de atendimento do cartão e responder as perguntas necessárias para desbloquear o cartão.
Um dos entrevistados pela reportagem acabou ganhando destaque em algumas comunidades de segurança pois ele disse que os sites falsos não tem o cadeado indicando que está acessando uma página segura. Infelizmente ele está errado: existem fraudadores que usam certificados digitais para ter uma conexão SSL e, assim, ter mais uma forma de enganar as vítimas.
Uma estatística divulgada recentemente mostra que o cibercrime pode causar prejuízo de até R$ 16 mil para a vítima, que está mais vulnerável principalmente nesse periodo atual do Natal. O valor do prejuízo pode variar com o tipo de golpe ue a vítima sofreu, que pode ser desde o uso de seus dados para fazer uma compra fraudulenta em seu nome, oua té meso invadir a sua conta bancária e roubar todo o dinheiro disponível lá. Mas, na verdade, se os ciber criminosos ganham acesso a conta bancária de alguém, eles vão retirar toda a grana possível, e eles podem até mesmo fazer empréstimo em nome da vítima para conseguir roubar mais dinheiro.
No Roadsec São Paulo, em novembro deste ano, eu tive a oportunidade de apresentar uma palestra na trilha sobre Carreiras. Para tentar fugir um pouco do lugar comum e apresentar uma palestra mais descontraída, com bom humor, eu decidi listar algumas dicas de carreira para que as pessoas se destaquem no mercado de trabalho. E, para fazer isso, escolhi usar a temática do Star Wars.
Nessa palestra, eu apresentei 5 dicas de como ter sucesso profissional e se tornar um "mestre Jedi", "dominando a cyber força que existe dentro nós". Eu dividi as dicas em 5 grupos:
Goste do que você faz e faça o que gosta: há várias áreas de atuação no mercado de segurança, por isso devemos escolher algo que gostemos de fazer, de acordo com nossos interesses pessoais. Esse é o primeiro passo para garantir sua motivação para enfrentar o mercado de trabalho e nossa rotina extenuante de trabalho e estudos;
Estude sempre, o tempo todo, começando por aprender idiomas (o inglês é fundamental para nossa área), ter formação acadêmica (graduação e pós-graduação) e, também, estudar para obter certificações profissionais;
Networking: É fundamental conhecer pessoas dentro da área e fazer amigos, pois eles vão ajudar muito através da troca de conhecimentos, mentoring e da troca de dicas sobre o mercado;
O Marketing pessoal também é muito importante: seja conhecido pelo mercado e reconhecido como um bom profissional. Tome cuidado pois, como atuamos em uma área técnica, o conhecimento é facilmente avaliado pelos nossos pares: alguém com conhecimento fraco é facilmente percebido pelo mercado;
Use as buzzwords com cautela: É importante acompanhar as tendências de mercado, mas tome cuidado com a armadilha das buzzwords, muitas vezes criadas como parte de um discurso de marketing.
Recentemente eu encontrei dois gifs animados com dicas de como criar senhas fortes:
O primeiro gif dá uma dica de como tornar as suas senhas mais seguras, mais difíceis de serem adivinhadas combinando letras, números e sinais de pontuação:
A segunda, mostra como a complexidade de descobrir uma senha aumenta quanto maior for o tamanho da senha escolhida:
Eu achei esses gifs bem legais para ajudar a orientar usuários finais sobre como melhorar as suas senhas.
Tudo indica que estamos vivenciando o surgimento e consolidação de uma nova tendência: países tentando influenciar os resultados de eleições de outros países através de ataques cibernéticos. O primeiro caso de destaque foi nas eleições americanas do Donald Trump versus a Hilary Clinton: fala-se muito de que grupos patrocinados pela Rússia foram responsáveis por diversos ciber ataques ao Partido Democrata, que causaram o vazamento de diversas informações privadas da candidata Hillary Clinton e do partido.
Um dos candidatos nas eleições presidenciais na França também sofreu ciber ataques e vazamentos de dados, e novamente falou-se da Russia estar por trás destes ataques:
Frequentemente surgem discussões de que existem "panelas" na área de segurança, e quem não faz parte dessa "panela" não consegue emprego bom, não consegue palestrar nos eventos, etc. Então, será que elas realmente existem?
A resposta é simples: Sim, existe!
Existem várias panelinhas na área de segurança por um único motivo: existe panela em tudo quanto é lugar!!! Em qualquer lugar que você vá, em qualquer grupo, comunidade ou coisa que você participe ou frequente, sempre vão existir panelas. Elas estão em todos os lugares!
Exemplos tem de monte! Lembre-se da sua época de colégio: existia a panela da galera que jogava bem futebol, a panela dos estudiosos, a panela das meninas, a panela dos nerds, e por aí vai. Na empresa onde você trabalha não é diferente: existe a panela do pessoal de RH, do pessoal de vendas, tem a galera de TI, a panela dos chefes, o grupinho dos estagiários, etc. Quando foi a última vez que você almoçou junto com o pessoal do administrativo? Tem também a panela dos solteiros, que fazem happy hour toda semana no bar da esquina, a panela dos casados que se convidam para festas de aniversário de criança, e por aí vai…
Em uma sala de aula do colégio ou no escritório, entre seus próprios coleguinhas e amigos, é muito fácil identificar várias panelas. As vezes você participar de uma, as vezes de várias, as vezes de nenhuma.
Ou seja, se conseguimos facilmente encontrar panelas em grupinhos restritos dentro de pequenos ambientes, é mais do que natural que vão existir panelas dentro de um grupo grande como o mercado de trabalho, em um grupo formado por todos os profissionais que atuam em uma determinada área.
O que alguns chamam de "panela", outros podem chamar de "networking".
Pelo jeito a formação dessas panelinhas é algo natural ser humano: aglutinam -se pessoas que tem algum tipo de interesse próximo, e as pessoas que não compartilham esse tipo de interesse acabam não fazendo parte da interação do dia-a-dia. São excluídos. Dentro do grupo acaba se formando um sentimento de amizade e união, que solidifica ainda mais a panela. E, em qualquer grupo, uma vez que os relacionamentos estão formados, pode ser difícil que novas pessoas se agreguem. Normalmente isso acontece através de algum tipo de indicação ou convite, formal ou não: alguém convidou o amiguinho para jogar junto com o time de futebol e depois duas ou três partidas essa pessoa naturalmente começa fazer parte do grupinho. Ou seja, ninguém “entra na panela“ do nada, sem que haja alguma coisa que justifique ao grupo aceitar esta nova pessoa como parte do "bando".
Portanto, área de segurança não é diferente de qualquer outro tipo de interação social. É fácil perceber que existem muitos grupos e sub grupos formados por profissionais da área, unidos por interesses, temas ou convivências específicas Ou mesmo laços de amizade. Não existe uma grande panela única, o que eu vejo são dezenas de grupinhos de vários tamanhos, e é fácil identificar algumas pessoas que navegam entre alguns ou vários desses grupos, algumas pessoas que se encaixam em poucos grupos específicos, e também existem aquelas pessoas que, por qualquer motivo que seja, não participam da maioria dos principais grupos que existem dentro da nossa área.
Existem diversas panelas na nossa área: a galerinha que se entitula “underground”, os CISSPs, a galerinha do Nordeste, do Rio e a de São Paulo, a galerinha que compete em CTF, etc. Tem a panela do pessoal que gosta do Roadsec, tem o pessoal que gosta da H2HC, tem a galera do curso da Fatec, a do Mackenzie, o pessoal da pós-graduação da Impacta, etc. Tem a panela dos palestrantes de eventos, a panela dos funcionários da IBM, etc
Sim, existem algumas panelas maiores e mais influentes dentro da nossa área. Talvez as maiores sejam mesmo a do pessoal que se intitula de "Underground" de um lado, e os profissionais de segurança CISSP de outro. Mesmo assim, as grandes panelas são formadas por parte desse pessoal. Existe aquele 1% de profissionais que se expõem, que palestram, produzem artigos ou pesquisas, ou que simplesmente participam das listas e grupos de discussão ativamente, mandando mensagens. A grande maioria do pessoal, entretanto, só fica na plateia - só ouve ou nem isso.
Tem também alguns poucos casos de pessoas que o pessoal da panela evita e exclui por nutrir alguma repulsa. Já tivemos os casos explícitos do Coruja de TI e do Luis Vieira, por exemplo, mas tem alguns que a galera não fala abertamente. O caso do Montanaro por exemplo, suas polêmicas só eram conhecidas por quem conviveu com ele ou convive com ex-colegas dele. Muita gente só ficou sabendo agora da treta com ele, por conta da discussão pública no Linkedin
Esse assunto sobre existir uma panela na nossa área de vez enquando vem à tona. Aconteceu recentemente, em um comentário publicado em um vídeo do Papo Binário:
Nos comentários desse vídeo, uma pessoa criticou que a área de SI tem uma panela:
Segue uma transcrição do texto acima:
"Vibe de SI que se ajuda" Famosa panela... Concordo com tudo que colocou no canal. Porém, eu conheço pessoas que tem empresa, pessoas que dão cursos, Hackers fodidos muito estudiosos e éticos, que por não ser da panela não tem chance em certos lugares aí no cenário... E conheço MUITO nego bom que ta nessa em... e não foi por falta de tentar se envolver, e sim por incomodar pois sabem que o cara é bom e traria "dores de cabeça" se é que me entende... Desculpa cara... você está numa bolha infelizmente e acredita nisso. Tem uma panela no cenário aí ridícula... O próprio Ricardo Longatto, sei de muita coisa no passado onde ele colocou pessoas para trás para subir desde a primeira turma da Desec e tudo mais... Ele é um cara 10 na minha concepção falando do quesito técnico e o curso muito bom também, porém, sei de muita coisa que infelizmente ele caiu na minha concepção, e te dou 100% de certeza que não foi baseado em "diz que me disse" Esse cenário está podre e sujo da SI, mas claro, se você for de dentro da panela e não conhecer ninguém que foi prejudicado por conta disso, você nunca vai saber disso... No mais, muito boa sua mensagem, só não curti os exemplos mesmo. Grande abraço.
Sim, como eu já disse, existem várias panelas na área de segurança, e quem não faz parte delas está, naturalmente, excluído. Mas isso é uma condição natural do relacionamento humano.
Várias das panelas que eu conheço são receptivas a novas pessoas, mas essa aceitação não é simples nem automática. Essa nova pessoa tem que mostrar e compartilhar conhecimento, ou querer aprender (a famosa "sede de conhecimento"), agregando alguma coisa ao grupo. Esse processo não acontece imediatamente, e sim aos poucos. Conforme você vai colaborando com o grupo, cada vez mais é aceito. Não adianta querer "chegar chegando", mesmo que você se considere fodástico. Se a pessoa não faz nem fala nada, se ela fala besteiras, dificilmente vai ser aceita pelos grupos existentes.
A nossa área é muito técnica, por isso o conhecimento técnico de todos é constantemente testado. Nesse nosso cenário, qualquer pessoa com conhecimento abaixo do que promete é facilmente descoberta. Mesmo nesses casos, muitas comunidades tem o hábito de tentar ajudar qualquer pessoa iniciante ou que precise de ajuda. Só vai ser excluída aquela pessoa que não aceite feedback, que não reavalie o seu conhecimento quando a comunidade sugerir que ele possa estar errado ou incompleto.
Comportamentos normalmente rejeitados incluem falar errado coisas técnicas, fazer muito alarde de hacking como puramente ataque a sites, não aceitar críticas, não revisar suas posições ou trollar demais.
Nessa hora surge um dos principais vícios da nossa comunidade: muita trollagem. Se a pessoa insistir em ter uma postura contrária ao grupo, vai ser execrada pelo grupo.
Sempre vão existir conjuntos de pessoas que se apoiam mutuamente, compartilham o mesmo interesse ou conhecimento, e por isso se apoiam. Cabe a nós reconhecer e conviver com isso, se relacionando com as panelas e pessoas que nos cercam.
Faltam poucos dias para a estréia do próximo filme da franquia Star Wars, "O Último Jedi", e nada melhor do que rever uma cena que, na minha opinião, é uma das mais assustadoras envolvendo o Darth Vader.
Eu gostei bastante quando achei um gif animado reproduzindo um trecho da cena da luta do Darth Vader, no final do filme Rogue One:
Para mim, esta é uma das melhores cenas de todos os filmes da série Star Wars. Quando eu assisti essa cena no cinema pela primeira vez, eu consegui sentir o desespero dos soldados da rebelião que tentaram enfrentar o Darth Vader.
Há uma curiosidade bem interessante sobre essa cena: ela foi filmada e adicionada após o término da edição do filme! Ou seja, ela não estava no roteiro original! Esta cena foi filmada em 3 dias e o Darth Vader usou um sabre de luz real. Para destacar a sua silueta no início da cena, a produção colocou uma luz de fundo quendo ele liga o light saber. Bem legal!!!
O pessoal da Cipher criou um infográfico para ilustrar algumas estatísticas sobre os custos envolvidos nos vazamento de dados. Ao final, eles indicam 4 recomendações para as empresas prevenir os vazamentos.
Me parece que as estatísticas foram tiradas da versão global do relatório "2017 Cost of Data Breach Study" produzido pela IBM junto com o Ponemon Institute, que foi divulgado na metade deste ano.
Estranhamente os dados de custo por registro para os setores mais prejudicados não bate com os números no relatório original, nem a sequência das 3 mais afetadas (nem historicamente, nem considerando apenas os dados de 2017):
Além disso, outra diferença do infográgico da Cipher com o relatório da IBM diz respeito as sugestões de prevenção: das 4 recomendações da Cipher, apenas uma (treinamento de empregados) consta entre as 12 práticas que a IBM apontou com capacidade de reduzir o custo médio de um incidente. Para a IBM, por exemplo, ter um time de resposta em incidentes reduz, em média, 19 dólares o custo por registro vazado. O treinamento de empregados reduz o custo médio em US$ 12,50.
Um estudo da IBM em parceria com o Instituto Ponemon, divulgado em meados deste ano mostra que houve um aumento histórico no número de incidentes e nos custos gerados com violação de dados no Brasil e no mundo. Este estudo existe há 12 anos, sendo que inicialmente ela tinha foco apenas nos EUA. Atualmente ela já inclui alguns países europeus (Reino Unido, Alemanha, França, Itália), a Austrália, nós (Brasil), Canadá, África do Sul, o Japão, Índia, o Oriente Médio (incluindo Emirados Árabes Unidos e Arábia Saudita) e a região chamada de ASEAN (incluindo Cingapura, Indonésia, Filipinas e Malásia). O estudo global consultou 419 organizações
de 11 países.
No Brasil, a pesquisa consultou 36 empresas de 12 setores diferentes, que tiveram entre 1.980 e 97.300 registros violados por incidente. O número
médio de registros violados foi 25.802.
O relatório é muito extenso e contém muitas estatísticas interessantes. Veja abaixo alguns dados sobre o mercado Brasileiro, retirados do relatório "Custo da Violação de Dados 2017":
O custo total desembolsado para reparar as invasões foi de R$ 4.72 milhões (globalmente, este custo foi de US$ 3,62 milhões). Em 2016, o valor era de R$ 4.31 milhões;
O custo per capta médio (por registro comprometido) foi de R$ 246;
As empresas financeiras, serviços e tecnologia tiveram um custo per capita de violação de dados substancialmente acima da média geral;
Os ataques maliciosos são a principal causa da violação de dados (44% dos casos analisados), seguidos por falhas humanas (31%) e falhas nos sistemas (25%);
As empresas mais afetadas foram nos setores de serviços, finanças e tecnologia;
O custo médio do prejuízo que as companhias sofreram com a questão da reputação atingiu R$1,92 milhões;
A média de tempo que as companhias demoraram para identificar uma violação de dados foi de 250 dias e cerca de 105 dias para conter o vazamento de dados.
Uma informação deste relatório que eu achei bem interessante é a lista de fatores que influenciam o custo da violação de dados, para mais ou para menos. São eles:
