 |
 |
|
|
|
|||||||||||||||||||||||||||||||
| ||
| A financeira dos Hackers Este ano de 2003 tem sido recheado de surpresas. Quem diria que tiveram coragem de colocar “a boca no trombone” referente à área financeira. Mais do que nunca a informação está chegando ao conhecimento público e não poderíamos deixar de lado este tópico da área financeira. Estarei comentando, nesta edição do Segurança Digital, sobre os ataques aos bancos e promotoras de vendas (financeiras). Será que seu banco está seguro? Outro tópico desta edição é o marketing Hacker, que aos poucos está tomando conta da cabeça das pessoas. Você conhece alguém que deseja ser um Hacker? Descubra o que a indústria do marketing tem feito com a palavra “Hacker”. Todos já estamos cansados de ouvir falar sobre vírus, e a cada dia que passa estão se tornando mais popular na sociedade. Hoje escuto várias pessoas que trabalham em segmentos diferentes de informática dizendo: Você conhece o W32 alguma coisa? Estou com este vírus em meu computador, você pode me ajudar a resolver o problema. Vamos apresentar de forma simples quem é quem neste mundo que saiu do underground diretamente para sua casa. O “chaveco” está em moda no mundo virtual, e não é de agora. O que significa 171 digital, ou melhor, engenharia social? Descubra o que está circulando na Internet. Não perca nossa próxima edição do Segurança Digital. Publicaremos trechos do relatório do FBI em relação ao assunto Hacker. Conheça a nova geração Hacker (INÉDITO) na nossa próxima edição. Autor: Denny Roger | ||
| TOPO | ||
| ||
| Quantas vezes já me perguntaram “se acredito ser segura uma transferência bancaria pela Internet”, e quantas vezes parei para pensar antes de responder esta pergunta. Perdi as contas. Atualmente, segundo a Febraban (Federação Brasileira dos Bancos), 13 milhões de usuários brasileiros utilizam o Internet Banking para movimentação de sua conta corrente. Isso representa um aumento de 56,63% em relação ao ano de 2001, que chegou a 8,3 milhões de usuários. Com as facilidades da Internet (e é claro deixar de ficar na fila do banco) as empresas e pessoas físicas passaram a movimentar sua conta corrente através do mundo virtual. E com esse significante aumento, os números de invasões, bem sucedidas ou não, também aumentaram, até mesmo porque a cultura das pessoas em relação a segurança da informação ainda não é seguida à risca. Mas quando ficamos sabendo que o nosso banco foi invadido por um Hacker? Antigamente, o caso era sempre abafado, mas atualmente a história tem mudado constantemente. Quando divulguei a clonagem do site do Banco Bradesco no endereço www.batori.com.br, recebemos mais de 200 visitas somente nesta publicação, porém, fui obrigado a retirar do site a noticia, devido ao fato que o Banco Bradesco precisava abafar a história. A informação foi removida do site e eu fui para o Canadá. Toda a sujeira foi para debaixo do tapete, mas agora sites e mais sites na Internet, tem divulgado os bancos que estão sofrendo as invasões e o tipo do ataque realizado. Por exemplo, os casos mais recentes: Banco do Brasil, Unibando e Itaú. Já trabalhei em quatro instituições financeiras e observei de perto a movimentação e as técnicas utilizadas pelos Hackers em relação aos bancos. A mais impressionante de todas foi em 1996. Eu tinha apenas 19 anos e atuava na equipe de Home Banking de uma instituição financeira. O hacker conseguiu acessar o Mainframe e realizou um ataque impressionante: toda vez que um cliente do banco realizava uma transferência de sua conta poupança para sua conta corrente, o dinheiro era debitado uma vez da conta poupança e creditado 10 vezes o valor na conta corrente. Resultado, vários clientes com dinheiro a mais em sua conta corrente e os cofres do banco ficando sem dinheiro. O problema foi resolvido em 3 horas após a descoberta do ataque. Nesta época, nem em sonhos essa notícia chegava ao conhecimento público. O Unibanco formou recentemente uma área só para cuidar de fraude eletrônica, pois tem recebido, dia e noite tentativas de ataques pela Internet, como qualquer outro banco. O Banco do Brasil e Itaú foram vítimas do famoso 171 digital, em outras palavras, engenharia social que também será discutido nesta edição do Segurança Digital. O mais grave dos casos é o das promotoras de vendas (financeiras). As promotoras de vendas são criadas pelos bancos para fugir do esquema do Banco Central. Não possuem contingência, ambientes de alta disponibilidade, ou seja, o investimento em tecnologia ou segurança da informação é baixíssimo. Elas são responsáveis praticamente por 3 vezes o valor do faturamento de um banco. São um alvo fácil para Hackers, por não possuírem ambientes adequados para proteger as informações de seus clientes. Os bancos investem mais em segurança da informação e com isso tem dificultado o acesso indevido. Mas, como sempre digo nas minhas palestras: Não existe rede aprova de Hackers. Os Hackers mudaram os tipos de ataque, resolveram atacar o “elo mais fraco da corrente”, o ser humano. Utilizando se de e-mails e sites falsos, os Hackers estão conseguindo o número da agencia, conta corrente, senha, fase secreta, etc, dos correntistas. Dessa forma, o Hacker consegue o acesso indevido se passando pelo correntista que teve seus dados capturados pela Internet. Alguns vírus possuem a capacidade de gravar em um arquivo tudo o que a vítima está digitando em seu computador, inclusive agência, conta corrente e senha. Quando a máquina da vítima está conectada na Internet, o vírus envia o arquivo contendo as informações que foram digitas para o Hacker, sem que a vítima perceba o que está ocorrendo em sua máquina. Os bancos resolveram então criar o teclado virtual (agora você entendeu o porque do teclado virtual). Em vez da vítima, ou melhor, o correntista digitar a sua senha, clica com o mouse sobre um teclado numérico na página do banco. Surgiram então os “vírus” que capturam a tela do computador, isso inclui o teclado virtual. Conclusão: Os Hackers ainda estão conseguindo as informações dos correntistas para o acesso indevido. Os bancos só conseguiram resolver este problema contratando verdadeiros especialistas em Segurança da Informação, investindo em software para rastrear os acessos indevidos, treinar constantemente sua equipe técnica responsável pela segurança e mais do que nunca, conscientizar tanto funcionários quanto correntistas sobre o assunto Segurança da Informação. Autor: Denny Roger | ||
| TOPO | ||
| ||
| Conforme publicado no Segurança Digital 1, expliquei o significado da palavra Cracker e Hacker (a edição número 1 está disponível no site www.batori.com.br). Mas como a imprensa insiste em só falar erroneamente do Hacker, vamos explicar o que é “marketing Hacker”. Você já visitou algum site para comprar livros relacionados a segurança da informação? Caso seja sim a resposta, quantos livros você encontrou com o tema Hacker? Diversos são os livros com a palavra Hackers estampada na capa. Por exemplo: - Guia do Hacker brasileiro - Manual completo do Hacker - Aprenda Rápido: Hacker - Seja um Hacker - Hacker – Curso Completo - etc... Muitas pessoas estão investindo seu dinheiro neste tipo de literatura, que muitas vezes não leva a nada. Porém, esse tipo de marketing tem mexido com a cabeça das pessoas. Muita gente quer se tornar um Hacker. Diversos tipos de software utilizados para administração de redes, ou em alguns casos, invasões de redes, são encontrados em bancas de jornal. Quando poderia imaginar que chegaríamos a este ponto? É difícil de acreditar que muitas empresas estão ganhado dinheiro com o tema Hacker sem ao menos saber o que significa Hacker. Esse tipo de marketing pode complicar a “saúde” financeira e tecnológica das empresas. Estão surgindo em grandes números os ataques partindo dos próprios funcionários da empresa. A moda Hacker é a bola da vez e não temos uma previsão de quando isso irá mudar. O conhecimento que as pessoas estão adquirindo com toda essa literatura Hacker está preocupando empresários. Acredito que todo conhecimento, quando dominado, é utilizado para boas ações e não tentativas de invasões a rede da empresa. Mas ficam algumas questões: Como dominar esse conhecimento? Como entender o verdadeiro significado Hacker? Como ser um profissional da área de segurança? Pensando nestas e algumas outras questões, resolvi elaborar um curso de Segurança da Informação em Ambientes de Rede. Acredito ter conseguido responder a estas e outras questões, e o principal de tudo, mostrar que em muitos casos o marketing Hacker está equivocado. Autor: Denny Roger | ||
| TOPO | ||
| ||
| Quem diria que entre 10 e-mails, 7 estão infectados por algum tipo de vírus. Isso é apenas um exemplo, qualquer site que visitamos pode estar infectado por um vírus também. Não precisamos contratar nenhuma empresa para realizar uma pesquisa sobre o número de vírus que trafegam pela Internet, é só você fazer suas próprias contas. Os vírus se tornaram mais famosos não porque oferecem uma ameaça do tipo destruir o seu computador, e sim por conseguirem obter informações bancárias através do seu computador. Quando dói o bolso todo mundo procura informa se melhor sobre o que está acontecendo. As empresas estão tirando a responsabilidade de atualização do antivírus dos usuários e passando para as mãos da área de tecnologia. Caso sua empresa não utilize algum tipo de ferramenta para gerenciar a atualização do antivírus, facilmente você irá descobrir computadores que estão a mais de um mês desatualizados. Isso representa um risco para a organização, pois informações confidenciais ou restritas podem estar parando em mãos erradas, devido ao fato de alguns vírus conseguirem enviar um arquivo contendo todas as informações que o usuário digitou na máquina para outra máquina que não pertence a rede de computadores da organização. Hoje podemos encontrar soluções antivírus até mesmo em supermercados. Isso mostra que além de famosos, os vírus estão preocupando não só empresas, mas também usuários que possuem computadores em casa. É trivial a utilização de solução antivírus tanto em sua casa como na sua empresa. A grande maioria das pessoas não sabem, mas quando seu software de antivírus é atualizado diariamente, ele recebe uma nova lista contendo aproximadamente 20 novos vírus. Sendo que dos 20, aproximadamente 3 deles são divulgados na mídia. Autor: Denny Roger | ||
| TOPO | ||
| ||
| Vamos imaginar a seguinte situação: A sua empresa está prestes a promover algum funcionário da sua área, porém, ninguém sabe quem será o “sortudo”, apenas a secretária do diretor. Então, você, que nunca conversou com ela, convida para um almoço e começa a conduzir a conversa de uma tal maneira que a secretária acaba, literalmente, abrindo todo o jogo. A engenharia social é a técnica onde a fraqueza humana é explorada. Um vírus que ficou muito famoso é o I Love You. Esse vírus utilizou a engenharia social, falando sobre amor, para se proliferar e atacar de forma mais rápida. Alguns bancos sofreram este tipo de ataque, onde seus correntistas receberam e-mails falsos, orientado-os para instalar algum software ou acessar o site do banco através de um novo link. O correntista acabava entregando todas suas informações ao Hacker, caso executa-se os procedimentos descritos no e-mail falso. Outro tipo de ataque relacionado a engenharia social, é quando o Hacker entra em contato com a equipe de suporte técnico da empresa se passando por algum funcionário do alto escalão. Ele explica que sua senha não está funcionando e precisa de uma nova senha. O suporte técnico cria uma nova senha e informa a nova senha para o Hacker. Alguns Hackers visitam os escritórios das empresas e tentam fazer com que a secretária se distraia, enquanto ele analisa documentos que estão sobre a mesa da secretária. Existem casos de Hackers que entraram pela garagem para ter acesso a salas restritas, disfarçados de entregadores de pizza ou até mesmo de entregadores de flores. Conclusão: O elo mais fraco sempre será o ser humano. É fundamental que sua empresa ministre palestras de conscientização sobre Segurança da Informação para minimizar este tipo de ataque, o 171 digital. Autor: Denny Roger | ||
| TOPO |