[Segurança] Um fim de semana de cultura hacker em Salvador

No final de semana passado, dias 09 e 10/11, tive a feliz oportunidade de vivenciar dois dias intensos de imersão na cultura hacker, e melhor ainda, na maravilhosa Salvador.

No sábado dia 09/11 foi realizada a sexta edição da conferência NullByte, um evento de segurança pequeno (com 100 participantes), mas com palestras de excelente conteúdo técnico. Esse é um ótimo exemplo de como é importante termos eventos regionais que ajudem a fomentar e manter uma comunidade local de pesquisadores de segurança, incentivando o estudo e a pesquisa de segurança ofensiva.

A NullByte teve 7 palestras, em sua grade, mas no final contamos com uma palestra surpresa do Maycon Vitalli (excelente!), além de um pequeno debate, infelizmente desastroso (comentarei sobre isso em um próximo post, logo logo!). Todas as palestras de excelente qualidade, falando sobre temas avançados de técnicas de ataque, invasão e defesa.

A NullByte é um excelente exemplo de evento que representa a cena hacker brasileira - nesse caso, considerando o aspecto de segurança ofensiva associado ao termo "hacking". É um evento pequeno, organizado totalmente por voluntários e sem fins lucrativos. O interesse sincero dos organizadores é de, simplesmente, criar um espaço para troca de conhecimentos em segurança da informação e, assim, fomentar a comunidade de pesquisadores na área. Temos poucos eventos desse tipo no Brasil: além da Nullbyte, o Jampasec em João Pessoa, a DarkWaves em Natal, a Alligator e a BWCon em Recife - além da Hackers to Hackers Conference (H2HC)  - nosso maior evento nessa área. Esses eventos agregam as pessoas interessadas em compartilhar o conhecimento técnico e suas pesquisas sobre segurança da informação e invasão de sistemas.

No domingo, dia 10/11, a experiência foi diferente: realizamos o primeiro encontro nacional de hackerspaces, o "Dumont Fest", no Raul Hacker Club - o hackerspace de Salvador. Diferente da NullByte, que era focada em segurança da informação, o encontro no Raul foi um espaço para conversarmos sobre a cultura hacker de forma mais ampla e abrangente, em todas as suas nuances - principalmente no sentido de fomentar conhecimento tecnológico e educação colaborativa.

O Raul é um espaço extremamente inclusivo. que se preocupa em se manter assim nos mínimos detalhes. Também é um espaço de educação e experimentação, para pessoas de todas as idades e classes sociais.

Nesse dia, conseguimos juntar pessoas de 5 Hackerspaces do Brasil: Mandacaru (de Feira de Santana, na Bahia), Jerimum (Natal), Oxe (Maceió), Garoa (eu!) e do próprio Raul - além de uma pessoa interessada em montar um hackerspace em Sergipe. Foi uma excelente oportunidade para, principalmente, compartilhamos nossas experiências (sucessos e dificuldades), e aprender como hackerspace tem se adaptado a sua realidade local. Em termos de desafios, todos tem dificuldades em atrair pessoas interessadas em participar das atividades, além da dificuldade em manter financeiramente saudável. Também tivemos a oportunidade de ouvir a Ka Menezes, do Raul, contar sobre a sua tese de doutorado sobre "pedagogia hacker", ou seja, sobre como a cultura hacker pode revolucionar a educação.

Ou seja, foi um final de semana para vivenciar dois lados complementares da cultura hacker: o lado técnico, aonde o uso do termo "hacking" está focado em segurança da informação, e o lado comunitário, aonde o "hacking" esta preocupado com a educação tecnológica e o lado humano.

Vale a pena ler:

• Eventos no Nordeste impulsionam cenário de segurança na região
• Tese de doutorado da Ka Menezes: "P2H: Pirâmide da Pedagogia Hacker : [Vivências do (in)possível]"

[Segurança] The cyber awareness wheel of pain

Eu achei uma imagem engraçadinha, que mostra o "cyber awareness wheel of pain":

Ela resume bem a realidade do nosso mercado: nós compramos cada vez mais ferramentas e serviços, mas como continuamos sendo vítimas de ciber ataques, culpamos os usuários. E, para resolver isso, compramos mais ferramentas.

Ou seja, investir apenas em ferramentas não é suficiente para garantir um nível aceitável de segurança, pois precisamos investir também no treinamento e conscientização das pessoas, incluindo os funcionários, terceiros e clientes.

[Cyber Cultura] O ódio na Internet

O pessoal do site de notícias 6 Minutos publicou há pouco tempo um artigo muito bom sobre o fenômeno do ódio na internet, baseado em um estudo de uma antropóloga da Unicamp, Adriana Abreu Magalhães Dias (ela estuda esse fenômeno desde 2002). O artigo também contou com informações da Safernet.

Segue um rápido resumo dos principais pontos do artigo:

• As comunidades de ódio, não são um fenômenos recente nem estão restrito apenas nas "profundezas da web". Desde o início dos anos 2000 o discurso de ódio já estava presente em comunidades de sites de relacionamento como o Orkut;
• Os grupos de ódio são um fenômeno global, arma da extrema-direita em todo mundo;
• “O ódio é uma substância na vida do ser humano que é cultivada. Cultivada tanto no sentido de planta, que a gente cultiva e alimenta, quanto no sentido de ser cultuada”, diz.
• “É impossível remover o ódio enquanto você não civilizar essas pessoas. A Alemanha, por exemplo, teve de se ‘desnazificar’, e isso envolveu um processo de educação.”
• O processo da cultura do ódio é complexo porque o ódio oferece conforto e pode ser estruturado a partir de três fatores: o alimento da masculinidade (a partir da ideia da luta, de guerras, de duelos, de uma sociedade de cultura de estupro, de ódio ao gay, à mulher), a meritocracia (que define que alguns são melhores que outros) e a construção de um “outro conveniente”, que é quando as minorias (como judeus, ciganos, nordestino, índios,a mulher ou o gay, por exemplo) são associadas a entraves aos objetivos de determinados grupos privilegiados (essa minoria é acusada de causar atraso, problemas ou, por exemplo, "roubar um direito”);
• A sociedade construiu uma ideia de "normalidade", segundo a qual o “normal” é seguir um padrão como ser branco, de classe media, falar inglês, ser hetero, casado, com filho. Dentro dessa normalidade as pessoas se sentem seguras, mas quando outra minoria destoa e tenta brigar por espaço, ela se sente ameaçada;
• Esses grupos online não são investigados, identificados e punidos por conta de algumas dificuldades, principalmente o anonimato e porque esses grupos adotam táticas para despistar as autoridades, como escolher provedores de sites que não colaboram com as autoridades;
• Há casos de crimes de ódio que são anunciados nos fóruns online e praticados na vida real, contra vítimas, com requintes de crueldade.

Para saber mais:

• O que explica tantos fóruns de ódio na internet? Anonimato é só parte da resposta
• Tese de Doutorado (Unicamp): "Observando o ódio : entre uma etnografia do neonazismo e a biografia de David Lane"
• Artigo de 2007: "O neonazismo na sociedade contemporânea. Entrevista especial com Adriana Abreu Magalhães Dias"
• Revista Galileu: "Ódio nazista se espalha pela internet brasileira"
• Um mergulho no universo neonazista
• Blog Escreva Lola Escreva

[Segurança] 20 mil inscritos no Papo Binário

O canal Papo Binário, mantido pelo Fernando Mercês e pelo Paulo Arruzzo, acabou de atingir a marca de 20 mil inscritos. Para comemorar, eles prepararam uma entrevista especial, muito mais do que especial: desta vez, o entrevistado é o próprio Fernando Mercês, que conta várias histórias sobre o canal e sua carreira na área.

Eu tive a honra de ser convidado para entrevistá-lo, e obviamente aceitei o convite na hora! O vídeo ficou bem legal, pois dessa vez o Mercês trocou de lugar e ele foi a pessoa entrevistada. Nós não havíamos combinado o roteiro da entrevista, então todas as perguntas e o bate papo rolou naturalmente, no improviso. As perguntas iam surgindo conforme conversávamos. Bom.... Pare de ler esse post  aqui e corra logo para ver o vídeo:

Não se esqueça de dar um Like no vídeo, coloque um comentário e parabenize o Mercês pelo excelente canal! Se você ainda não tiver se inscrito, faça isso e vamos apoiar a iniciativa!

Aproveite e se cadastre no portal Mente Binária e receba atualizações semanais , acesso ao fórum de discussão, notícias, artigos e muito mais: https://www.mentebinaria.com.br/register

Se gostou do portal e do canal, também podemos apoiar a iniciativa: http://menteb.in/apoie

[Segurança] Vazamentos internos

Uma reportagem relativamente recente da Isto Dinheiro trouxe algumas estatísticas sobre vazamentos de dados causados por funcionários das empresas.

O primeiro dado, baseado em uma pesquisa da empresa ICTS Protiviti, é que de cada 10 incidentes de vazamento de informação nas companhias, 7 deles tratam de dados considerados confidenciais e estratégicos ao negócio.

E a reportagem traz um infográfico legal:

[Segurança] O sequestro relâmpago é digital!

Eu já queria ter acabado de postar sobre a Semana de Segurança Digital, com ações de conscientização sobre as principais fraudes que acontecem no Brasil, mas lembrei de comentar sobre uma versão relativamente recente e preocupante de um golpe bem conhecido, o sequestro relâmpago! (caraca, existe até um verbete na Wikipedia sobre isso!!!)

O sequestro relâmpago é um crime no qual uma vítima é sequestrada por um curto espaço de tempo (frequentemente por poucas horas), aonde os criminosos utilizam os cartões de débito e crédito em poder da vítima para fazer compras e saques em dinheiro, até esgotar todos os seus limites de transação. É um golpe famoso no Brasil e muito comum em grandes cidades. Tão comum que até virou filme!

Segundo uma reportagem da Folha, de janeiro a setembro deste ano, as delegacias do estado de São Paulo registraram 278 casos de crimes do tipo (mais do que um caso por dia), embora isso represente 6% a menos do que o ano passado.

Até agora, nenhuma novidade, não é? Mas a preocupação é que atualmente o sequestro relâmpago migrou para a fraude digital!!!

Ao sequestrar uma vítima, os criminosos pedem para ela desbloquear o celular e abrir seus aplicativos bancários! Ao acessar o app, eles transferem todo o dinheiro da vítima, baixam os investimentos e limpam toda a conta! Eles não querem mais apenas os nossos cartões de crédito e débito!

Nessa nova modalidade de sequestro relâmpago, também há casos em que os bandidos carregam suas próprias maquininhas de crédito e débito, de modo que eles mesmos conseguem gastar todo o limite do cartão. Como várias empresas permitem ao comerciante resgatar o dinheiro no dia seguinte, os criminosos seguram a vítima até conseguir resgatar o dinheiro da máquina.

PS: Não, isso não é um boato.

Moral da história: evite carregar muitos documentos, cartões e aplicativos bancários com você. Ande somente com o essencial!

Alguns cuidados básicos incluem:

• Evite sair de casa com todos cartões bancários e de créditos;
• Ao sair de casa, separe previamente o dinheiro para pequenas despesas;
• Quando sair do banco ou do caixa eletrônico, verifique sempre se não está sendo seguido;
• Não exponha grande quantidade de dinheiro em público;
• Procure utilizar caixas eletrônicos em locais movimentados, tais como postos de gasolina, shopping centers, farmácias, mercados;
• Em caso de abordagens por criminosos, nunca reaja;
• Se possível, diminua o limite do seu cartão de crédito e os limites de saque e cheque especial na conta corrente;
• Mantenha os investimentos em outra conta, diferente da que você usa no dia-a-dia, de preferência noutro banco. Guarde o cartão dessa conta de investimento em casa;
• Para os mais paranóicos: tenha 2 celulares: um para o seu dia-a-dia, sem nenhum aplicativo financeiro, e outro em casa, com os apps dos seus bancos.

#SemanaDaSegurançaDigital #CompartilheSegurançaDigital #SegurançaDigital

[Segurança] Phishing: falsas promoções

Não vou mentir... como estamos no final da Semana de Segurança Digital, com ações de conscientização sobre as principais fraudes que acontecem no Brasil, eu não consigo evitar de postar sobre os golpes mais comuns, aproveitando o material da Febraban. Eu pretendia já ter acabado de publicar sobre esse assunto no meu post anterior, sobre Privacidade, mas agora eu quero escrever esse post e mais um!!!

Afinal de contas, é impossível falar sobre ciber crime e fraudes sem falar dos phishings!!! Segundo a Kaspersky, o Brasil foi o país mais atacado por golpes de phishing no 1o semestre de 2019: 21,66% das ocorrências de phishing no mundo ocorreram no Brasil!

Os ataques de phishing podem se aproveitar de qualquer assunto que seja de interesse da vítima. Uma tática muito comum é usar datas comemorativas para enviar mensagens com falsas promoções, convidando a vítima a clicar em links maliciosos. Datas comemorativas muito comuns incluem o Dia dos Namorados, Dia dos Pais, Dias das Mães, Black Friday e o Natal.

Nessas épocas, aumentam as tentativas de golpes aplicados pelos bandidos, com propagandas enganosas enviadas através de e-mails e mensagens, para direcionar a vítima a páginas falsas, idênticas as das lojas virtuais ou de bancos. Nesses sites, o criminoso pode colocar uma tela falsa de login, para capturar os dados, ou simular a compra de um produto que a vítima nunca vai receber. Em ambos os casos, a vítima acaba cedendo seus dados de login e dados bancário para que golpistas façam diversas transações fraudulentas.

Moral da história: pense 2 vezes (ou mais) antes de clicar em um link de uma promoção que você recebeu por e-mail, WhatsApp ou SMS.

Alguns cuidados básicos incluem:

• Desconfie de mensagens que prometem coisas muito incríveis ou mensagens com teor negativo, aquelas que pedem para você clicar em um link urgentemente;
• Antes de clicar em um link, verifique se o endereço do site é o verdadeiro;
• Para garantir, não clique em links: digite você mesmo o endereço do site no navegador e procure pela super promoção;
• Prefira sempre comprar em sites conhecidos;
• Nunca use computadores públicos para fazer compras e transações financeiras online;
• Mantenha um antivírus atualizado em seus dispositivos;
• Não repasse para qualquer pessoa nenhum código de segurança fornecido por SMS ou imagem de um QR code enviado para autenticar alguma operação;
• Na dúvida, procure no site oficial da empresa o telefone da central de atendimento e ligue para eles.

Veja também a página Antifraudes da Febraban.

#SemanaDaSegurançaDigital #CompartilheSegurançaDigital #SegurançaDigital

[Segurança] Privacidade!

Como estamos no final da Semana de Segurança Digital, com ações de conscientização sobre as principais fraudes que acontecem no Brasil, vamos fechar essa sequencia de post falando sobre um assunto sério: a nossa privacidade!

Segundo a empresa Risk Based Security, nos primeiros 6 meses de 2019 houve 54% mais incidentes de vazamento de dados do que no mesmo período em 2018, totalizando 3.800 casos. O site Have I Been Pwned já acumula mais de 8,5 bilhões de registros de usuário e senha vazados, mais do que a população da Terra!

   

O Gregorio Duvivier fez um vídeo bem legal no seu programa "Greg News" sobre privacidade. Apesar do tom político em alguns momentos (como ele sempre faz), o vídeo toca em alguns aspectos importantes e destaca a importância de nos preocuparmos com a nossa privacidade.

Moral da história: cuide muito bem das suas informações pessoais!

• Monitore suas contas pessoais: e-mails, perfis de redes sociais, sites importantes, etc;
• Use senhas fortes, com letras maiúsculas e minúsculas, caracteres especiais e números- e troque frequentemente;
• Sempre que possível ative o recurso de “autenticação de dois fatores”;
• Pense duas vezes ao compartilhar informações em redes sociais;
• Evite fornecer seus dados pessoais, a menos que seja realmente necessário;
• Consulte serviços que verificam se suas senhas ou contas já foram vazadas alguma vez, como o Serasa Antifraude e o site “Have I Been Pwned”.

Veja também a página Antifraudes da Febraban.

#SemanaDaSegurançaDigital #CompartilheSegurançaDigital #SegurançaDigital

[Segurança] Golpe do Whatsapp

Como estamos na Semana de Segurança Digital, com ações de conscientização sobre as principais fraudes que acontecem no Brasil de acordo com a Febraban:, vamos lembrar do golpe que hoje é uma verdadeira epidemia: o golpe do WhatsApp!

Neste golpe, os ciber criminosos "clonam" o WhatsApp da vítima. Ou seja, eles conseguem acessar o WhatsApp a partir de outro telefone e, assim, trocam mensagens com os contatos, fazendo se passar pela vítima. Os criminosos enviam mensagens pelo aplicativo para os contatos, pedindo dinheiro emprestado.

As desculpas são diversas, como por exemplo, que a pessoa precisa fazer uma transferência e o atingiu o limite diário, ou precisa comprar um carro ou remédios, ou perdeu a carteira, etc. Qualquer que seja o motivo, desconfie !!!

Os criminosos tem algumas técnicas para conseguir roubar o acesso ao WhatsApp da vítima:

• Clonam a linha telefônica, com o golpe chamado de "SIM Swap": o criminoso transfere a linha celular para um chip em seu poder, e assim ativam a linha em um celular em poder do criminoso. E, com o aceso a linha, ganham acesso ao Whatz também!
• Sequestram a conta do WhatsApp, transferindo ela para um novo número, nas mãos do fraudador. Os criminosos identificam um número telefônico em sites de anúncios online, ligam para o anunciante e dizem que vão enviar um código de segurança para ativar o anúncio. Esse código, na verdade, é envido pelo WhatsApp pois o criminoso está tentando associar a conta em outro número telefônico. A vítima é enganada, passa o código e perde acesso a sua conta no Whatz.

Moral da história: tome muito cuidado com o seu WhatsApp!

• Antes de mais nada: habilite no seu WhatsApp a opção de “Verificação em duas etapas” (Configurações/Ajustes / Conta / Verificação em duas etapas). É uma senha de 6 dígitos que será solicitada periodicamente pelo aplicativo ou quando alguém tentar ativas a conta em outro aparelho;
• Aproveite e cadastre seu e-mail de contato (Configurações/Ajustes / Conta);
• Desconfie do uso de gírias, frases informais demais ou erros de ortografia em mensagens de amigos e parentes que não costumam ter esses comportamentos;
• Sempre desconfiar de pedidos inesperados de empréstimos enviados por mensagens, principalmente se o titular da conta utilizada para depósito é diferente de quem está solicitando;
• Se alguém pedir dinheiro emprestado pra você, ligue para confirmar se é realmente a pessoa que você conhece;
• Periodicamente limpe o histórico de conversas antigas e de contatos com quem você não tem mais falado recentemente;
• Não custa lembrar: jamais clique em links enviados por pessoas desconhecidas.

Veja também essa reportagem do UOL: "Entenda o golpe que rouba conta de WhatsApp sem usar vírus".

#SemanaDaSegurançaDigital #CompartilheSegurançaDigital #SegurançaDigital

PS: Post revisado em 09/01/2020 para incluir mais algumas dicas.

[Segurança] Golpe da Falsa Central Telefônica

Como estamos na Semana de Segurança Digital, com ações de conscientização sobre as principais fraudes que acontecem no Brasil, vale a pena destacar uma fraude super comum, de acordo com a Febraban: o golpe da Falsa Central Telefônica!!!

Os bandidos ligam, e normalmente se identificam com se fossem da central antifraude do seu banco, para em seguida pedir seus dado. Eles podem até usar recursos tecnológicos, como simular o número de telefone do banco, utilizar gravações e menus para simular o atendimento da central telefônica do banco e, assim, ganhar a sua confiança. Com suas informações e senha, os bandidos podem contornar os bloqueios de segurança até limpar sua conta bancária.

Outro golpe que é muito comum é quando o fraudador liga para o telefone fixo da vítima (esse detalhe é muito importante!).Ele se identifica como se fosse do banco e pede para o cliente ligar para o número no verso do seu cartão. O fraudador finge que desliga o telefone, e quando a vítima tenta ligar para a central, na verdade o fraudador continua na ilha e captura os dados. Esse golpe só é possível pois, ao ligar para um número fixo, a ligação só é encerrada se o originador desconectar (o fraudador, no caso). Se a pessoa que recebeu a ligação desligar mas a origem não, a linha continua ativa. E os criminosos se aproveitam disso!

Moral da história: desconfie quando receber uma ligação dizendo ser do seu banco!

• O banco nunca liga pedindo seus dados pessoais;
• Não dê sua senha ou os números do seu cartão de crédito (número, validade e CVV) por telefone;
• Na dúvida, desligue a ligação e ligue você mesmo para o seu banco ou seu gerente.

#SemanaDaSegurançaDigital #CompartilheSegurançaDigital #SegurançaDigital