Seu e-mail foi comprometido?

Com o crescimento explosivo dos ataques de hackers, será que seu e-mail está na lista dos que foram comprometidos?

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

Diante do aumento explosivo de invasões de hackers que vem ocorrendo nas últimas semanas e meses, o australiano Daniel Grzelak, especialista em segurança, criou uma ferramenta interessante: um site onde o usuário pode verificar se seu endereço de e-mail foi comprometido em alguma dessas invasões.

O site é o https://shouldichangemypassword.com, que em português é um jeito de perguntar se eu deveria mudar minha senha. Basta que usuário digite um endereço de e-mail para que o site verifique se este endereço, junto com a senha de entrada, foi publicado em algum momento nos últimos meses. Os sites comprometidos publicam listas com os usuários que devem trocar senhas e dados bancários, e mesmo os hackers muitas vezes publicam as listas dos comprometidos, como fazia o grupo LulzSec até a semana passada.

A ferramenta criada por Grzelak é simples e intuitiva: é só digitar o endereço de e-mail e clicar no botão de checagem. O resultado sai na hora. Também há um botão para checagem “por atacado”, em que o usuário pode checar até 10 endereços de e-mail de uma vez.

Alguém poderá desconfiar que se trata de um pequeno golpe para coletar endereços de e-mail do mundo todo, com o objetivo de enviar spam, e essa é uma preocupação válida. Chequei as credenciais de Grzelak, e me parece que são bastante legítimas: ele foi consultor de segurança em uma empresa australiana de 2004 até maio desse ano, quando resolveu iniciar seu próprio negócio; têm boa reputação como profissional de segurança, tem concedido várias entrevistas sobre sua nova iniciativa, e seu perfil profissional no LinkedIn é aberto a quem quiser ver. Em suma: não me parece ser o perfil do golpista, principalmente porque o ganho seria pífio perto da perda de reputação que um golpezinho bobo desses causaria.

Até a próxima.

O phishing de papel

Espertos com a rejeição aos e-mails de phishing, os bandidos recorrem a uma tecnologia velha: o papel.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

Recentemente recebi um aviso acerca de um golpe inusitado sendo aplicado no Brasil. Trata-se de uma variação bem interessante do velho golpe do phishing enviado por e-mail, em que os bandidos tentam levar a vítima a fornecer de bom grado suas informações. Geralmente o que os bandidos buscam são os dados bancários e de cartão de crédito da vítima. A maioria de nós já viu esses e-mails: da Receita, da Polícia Federal, de operadoras de celular, dos Correios, e por aí vai. Muitos de nós já estamos treinados a apagar essas mensagens sem dar informação nenhuma, e isso é um verdadeiro alento. Aprendemos que essas instituições não se comunicam com os usuários através de e-mail.

É, ao que parece os bandidos também aprenderam... O golpe, nesse caso, é enviado por carta comum, e não por e-mail. (Clique nas imagens nesse post para ver uma cópia escaneada da correspondência). Como chega pelo correio, aposto que vai ter um monte de gente digitando o link contido na carta e digitando seus dados bancários. Muito esperto, não?



Um pouco mais de cuidado ao avaliar a correspondência já mostra que se trata de um golpe: a URL fornecida termina em “MX”, e não em “BR”. Para quem não sabe, “MX” é domínio do México, e não tem nada a ver com o Brasil, e muito menos com a Receita Federal.

Esta carta está circulando desde Fevereiro deste ano, e pelo que pude levantar, os bandidos escolhem regiões diferentes a cada envio da correspondência. É preciso ficar esperto caso sua cidade ainda não tenha sido “contemplada” com esse golpe.

A dica aqui é aquela de sempre: em se tratando de pedidos para que forneçamos nossos dados, o melhor é confirmar via telefone com o órgão em questão se eles estão mesmo nos pedindo alguma coisa. E nada de ligar para o número fornecido pela correspondência, claro, pois pode ser exatamente isso que os bandidos queiram.

Até a próxima.

O LulzSec e você

Que tipo de problemas o novo grupo de hackers LulzSec pode trazer para você? Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

Ontem, a exemplo do que têm sido as últimas duas semanas, foi um dia interessante no mundo dos hackers. O grupo que se intitula “LulzSec” promoveu sua “Titanic Takeover Tuesday”, ou “Terça Titânica de Ataques”, em tradução livre. O grupo derrubou nada menos do que cinco grandes sites, quatro deles de jogos on-line.

“Tudo bem, mas e eu com isso?” disse-me um amigo quando eu empolgadamente relatei os ataques e seus resultados. A pergunta é válida, e vale uma boa análise.

O LulzSec é um grupo novo, e seu nome significa algo na linha de “rindo alto de sua segurança”, ou “tirando sarro de sua segurança”. É um grupo diferente, pois aparentemente não tem objetivos de levar vantagem financeira com seus ataques. E por que atacam, então? Simples: para mostrar para todo mundo que a segurança de seus alvos é falha, risível até.

O grupo invade sites e publica dados de usuários, impede o acesso a sites, publica fotos e e-mails privados de executivos e usuários, e no geral está causando uma balbúrdia enorme. O objetivo é, como já disse, alertar para as falhas gritantes na segurança. E isso, que pode parecer uma má notícia (e para muita gente é), na verdade é um movimento que no médio prazo deve contribuir — e muito — para a segurança na Internet.

Tem muito tempo que consultores e especialistas gritam aos quatro ventos que a segurança na grande maioria dos casos é ruim, e a maioria das instituições só escuta quando algo errado acontece. Vários desses especialistas, aposto, estão dizendo “eu avisei” e rindo por dentro. O raciocínio dos administradores para justificar sua inércia é mais ou menos assim: com são centenas de milhões de sites no mundo todo, a probabilidade de algo acontecer com o meu site especificamente é baixa, e portanto eu não me mexo (ou me mexo só o suficiente para dormir tranquilo à noite). Só que aí vem um grupo de hackers atacando a torto e a direito, causando problemas em dezenas de sites em alguns poucos dias, e prometendo mais e mais, apesar de estarem sendo caçados pelas autoridades internacionais. Melhor eu me mexer, não? Até porque, aposto que os hackers do LuzSec vão servir de “modelo” para vários outros grupos de hackers, que vão querer participar da festa, multiplicando os ataques. Esse raciocínio, aliás, são favas contadas, bastando para isso que o grupo se mantenha livre das autoridades por mais algumas semanas. Com a possibilidade de ataques crescendo algumas ordens de grandeza, bastante gente vai começar a repensar a segurança do ambiente e dos dados que oferece na Internet. E isso é uma boa notícia, mesmo que vindo de um grupo essencialmente formado por foras da lei.

O usuário doméstico não fica livre dos efeitos desses ataques. O usuário corporativo também não, aliás. No ataques à Sony, por exemplo, dados de um milhão de usuários do serviço foram publicados para quem tivesse paciência de baixa-los. Nos ataques de ontem, outros tantos milhões de jogadores on-line ficaram sem acesso aos seus jogos, e mesmo assim deveriam se dar por felizes, pois o grupo só parou os sites, quando poderia tê-los invadido e publicado dados privados de um contingente enorme de usuários. “E eu com isso?” Eu “um monte” com isso.

E que providências podemos tomar, como usuários domésticos? Poucas. Podemos (e devemos, se tivermos tempo e paciência) escrever algumas mensagens para nossos serviços on-line expressando nossa preocupação. Sei que esse tipo de engajamento não é lá muito o perfil do usuário brasileiro, mas creio que é só assim, reclamando (a exemplo do que fazemos no PROCON quando nos sentimos lesados) que poderemos contribuir para as mudanças necessárias nos nossos provedores de serviço.

No mais, é rir com o grupo, à medida que assistimos enquanto trazem um pouco de caos à Internet, caos esse que resulta do desrespeito à segurança que muita gente demonstra dia sim, outro também.

Até a próxima.

Alguns aplicativos úteis de segurança

Alguns aplicativos gratuitos para melhorar a segurança de seu notebook. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo da PC World com recomendações de 29 aplicativos úteis para o seu notebook.

Para ler esse artigo, clique no botão abaixo.

 

O site da revista PC World publicou recentemente um artigo com 29 aplicativos úteis para notebooks, e a lista contempla vários pequenos programas de segurança que de fato são bastante úteis para usuários de notebooks baseados em Windows.

Já tive experiência própria com 3 deles, e posso recomendá-los pessoalmente:

O primeiro é o TrueCrypt, um aplicativo para criptografar discos ou partições de um disco que é a salvação da lavoura em caso de perda ou roubo de seu notebook, Já falei sobre o TrueCrypt aqui no 5 Minutos de Segurança, no artigo Exemplo de boa criptografia. Para lembrar, o FBI desistiu de tentar decifrar dois terabytes de dados confiscados em computadores de Daniel Dantas, do Opportunity, dados esses criptografados com o TrueCrypt. Acho que isso fala por si só. Com nossos notebooks sendo alvo constante de ladrões, vale a pena usar uma ferramenta que de fato nos proteja em caso de perda do precioso hardware.

O segundo é o Hotspot Shield, um aplicativo também gratuito (mas “movido a anúncios”) que protege a comunicação em caso de estarmos ligados a alguma rede pública, em um shopping center ou um aeroporto, por exemplo. Vulnerabilidades tais como o Firesheep podem ser usadas para capturar o fluxo de comunicações em redes abertas, e o Hotspot Shield criptografa o fluxo de dados, impedindo que seja lido pelos espertinhos de plantão. Sugiro que os usuários que queiram instalá-lo declinem da instalação dos toolbars oferecidos, pois nada adicionam à aplicação, e também prestem atenção senão a aplicação muda sua página inicial no navegador e a máquina de busca padrão. Fora esses cuidados iniciais na instalação, o aplicativo é simples, robusto e não fica no caminho.

O terceiro é o Comodo, um firewall pessoal de uso geral que impede acessos externos ao computador. É um aplicativo também de simples instalação, e também transparente na hora do uso. No ranking de firewalls o Comodo ocupa uma posição superior ao firewall da Microsoft, que já vem de fábrica em notebooks rodando Windows. E para quem também está pensando em trocar de antivírus, a Comodo oferece um “combo”, empacotando firewall e antivírus junto.

Alguns dos demais aplicativos de segurança parecem bacanas, e certamente pretendo testar uns dois ou três. Penso que valha a pena a todos nós pelo menos nos inteirarmos sobre essas aplicações.

Mudando de assunto, o trabalho está um absurdo em termos de volume. Ser empresário e por uma empresa em pé não é fácil, ainda que meu sócio esteja carregando mais da metade do piano (bem mais, aliás). Em função disso, vou ter que dar uma maneirada por aqui, o que já pode ser visto na falta de um artigo na segunda-feira. Paciência. De agora em diante, só vou atualizar o blog esporadicamente, pelo menos até a coisa ficar menos “violenta”. Bom, aqui tem material de segurança “para mais de metro”, e continuarei a responder perguntas, quando vierem. Meu e-mail de contato é ruy[PONTO]flavio[ARROBA]gmail[PONTO]com.

Até a próxima, seja lá quando for.

Macs: a hora da onça beber água

Será que precisamos mesmo de antivírus no Mac? E se precisamos, será que é suficiente? Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

O ouvinte Mauro pergunta:

“Tenho um Mac e nunca me preocupei com segurança. Agora estou ouvindo falar que tem vírus aparecendo para essa plataforma, mas não vi nada de errado com minha máquina ainda. O site da Apple continua afirmando que os Macs não sofrem com a praga dos vírus. Será que vou ter que colocar antivírus no meu computador, ou continuo confiando na Apple?”

Pois é, Mauro, tem também um monte de políticos por aí jurando “honestidade impávida”, mesmo diante de condenações na justiça. Será que devemos confiar em suas afirmações? Não que a Apple esteja deliberadamente tentando prejudicar e enganar seus clientes, mas o fato é que marketing é uma coisa, e a realidade é outra.

O mercado de computadores pessoais já tem os Macs com quase 10% de participação, à frente (bem à frente, aliás) dos computadores que rodam Linux, e esse percentual já é bem interessante para os bandidos de plantão. Um agravante para essa estatística é que o preço dos Macs é bem mais “salgado” que os preços de PCs baseados em Windows, o que denota que esses 10% de usuários tem melhores condições econômicas, fazendo-os alvos ainda mais apetitosos para os bandidos. É claro que uma hora ou outra eles iriam acordar, não é verdade?

Fora a meia dúzia de gatos pingados de códigos maliciosos mirando os Macs que têm surgido nos últimos anos, as últimas duas semanas trouxeram uma nova ameaça que está causando um enorme burburinho: o MacDefender. Trata-se de um falso antivírus clássico, daqueles que surgem aos montes nos PCs, e que os usuários já estão treinados a identificar e ignorar. Mas nos Macs, justamente porque vírus são coisas exóticas, o estrago está sendo enorme.

E sabe por que, Mauro? Justamente por causa da atitude dos usuários de Mac, atitude essa que espelha a sua quando diz: “Tenho um Mac e nunca me preocupei com segurança.” Em suma, a pseudo-sensação de segurança que os usuários de Mac tiram do histórico desta plataforma os tem deixado cegos para o baita problema que segurança hoje é para todos os usuários de todas as plataformas do mundo todo. Usuários de Mac e de outras plataformas menos comuns que o Windows estão francamente atrasados na atitude que deveriam ter para com as tecnologias digitais.

E o que venho dizendo há quase dois anos neste blog? que segurança não se tira de ferramentas tecnológicas (tais como antivírus e firewalls), mas sim de um preparo pessoal, de uma preocupação constante e de um conhecimento construído ao longo do tempo sobre as ameaças e problemas potenciais.

Se você, Mauro, adotar uma ferramenta de antivírus para seu Mac (o que, aliás, você deveria fazer, sim), só vai estar resolvendo uma pequena parte do problema. É equivalente a tomar algumas gotas de Novalgina quando se está com febre: combate o sintoma imediato, mas não atua sobre a causa. Adote, claro, um antivírus, que é tão importante em Macs quanto em máquinas Windows, Mauro, mas não pare por aí. Vá estudar sobre segurança, vá se preparar para os problemas que fatalmente vão surgir em Macs daqui para frente, vá desenvolver um cuidado com seus hábitos de navegação, vá entender como se dão as invasões e os ataques. Vá, enfim, Mauro, se preparar adequadamente. Senão, você corre o risco de entrar nas mesmas frias antigas que os usuários de Windows estão aprendendo a evitar há muito tempo.

Até a próxima.