Enfim, a vida continua...

Caros amigos.

Este blog foi meu "lar" virtual durante quase dois anos, e vocês, leitores e amigos, foram parte de minha família virtual durante esse tempo. Não tenho como agradecer adequadamente o incentivo que me deram, dia após dia, para que eu sempre me superasse nas infromações aqui compartilhadas.

Infelizmente não continuarei com esse trabalho, em função de minhas atribuições de diretor e sócio na Moneo Métodos, Projetos e Tecnologia, que é mais que uma empresa: é também uma família para mim. Lá, no site que ajudei a remodelar, estarei periodicamente, colaborando no blog Fora da Caixa com assuntos não mais ligados a segurança, mas sim à Gestão de Projetos e mesmo com alguns devaneios ligados ao mundo dos negócios, mas de forma mais descompromissada.

Fica aqui o meu convite para que apareçam por lá, onde estamos criando um local de fomento às discussões e ao aprendizado.

Fica também o meu muito obrigado pelo carinho e pelo apoio.

E, para não perder o hábito: antivírus sempre atualizado, cuidado com onde você navega, olho aberto para o phishing, cuidado com a pirataria, com os golpes, com os hackers...

um abração a todos, e um excelente 2012.

Ruy

Convites falsos do Google+

Muita gente que gosta de redes sociais está atrás de um convite para entrar no Google+. Quem está com pressa pode encontrar encrenca...

Audio via YouTube

Clique aqui para ler o artigo de de Fabio Assolini no blog Securelist sobre o falso convite do Google+.

Para ler esse artigo, clique no botão abaixo.

 

Fabio Assolini, um dos mais renomados especialistas brasileiros em segurança publicou ontem no blog Securelist um artigo interessantíssimo sobre mais um golpe dos bandidos de plantão. Dessa vez o alvo são aqueles de nós que estão ávidos por um convite para entrar no Google+, a nova rede social do Google, concorrente direta do Facebook.

O golpe, no caso aparece em português, e a linguagem utilizada (o uso do gerúndio, por exemplo) mostra que o texto foi escrito por brasileiros, e não por portugueses. Ou seja: é um golpe brazuca legítimo.

O golpe consiste em um e-mail que se faz passar por um convite para o Google+, e oferece um link para que a vítima supostamente se cadastre na rede social do Google.

Dois resultados indesejáveis são atingidos por quem clicar no link: o primeiro é a instalação de um cavalo de troia de roubo de credenciais bancarias no computador, o que por si só já é motivo para que nos mantenhamos o mais longe possível da praga; o segundo é que a vítima é levada para um formulário falso onde corre o risco de entregar seu nome e seu e-mail de bandeja para os bandidos.

O Google, é claro, não está enviando e-mails com convites para a nova rede social, e os convites foram eliminados um dia após o lançamento do Google+, em função da “demanda insana” gerada. A dica, aqui, é só levar em consideração convites recebidos de quem a gente confia, e mesmo assim, checar diretamente com a pessoa se o convite é legitimo antes de aceita-lo, uma vez que é muito, mas muito difícil mesmo que ainda haja convites circulando por aí.

O melhor mesmo aos interessados na nova rede social é aguardar e lembrar que rede social boa mesmo é aquela que a gente constrói ao vivo, num bom papo frente à frente, como se costumava fazer antes do advento da Internet. Será que alguém ainda se lembra como?

Até a próxima.

Seu e-mail foi comprometido?

Com o crescimento explosivo dos ataques de hackers, será que seu e-mail está na lista dos que foram comprometidos?

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

Diante do aumento explosivo de invasões de hackers que vem ocorrendo nas últimas semanas e meses, o australiano Daniel Grzelak, especialista em segurança, criou uma ferramenta interessante: um site onde o usuário pode verificar se seu endereço de e-mail foi comprometido em alguma dessas invasões.

O site é o https://shouldichangemypassword.com, que em português é um jeito de perguntar se eu deveria mudar minha senha. Basta que usuário digite um endereço de e-mail para que o site verifique se este endereço, junto com a senha de entrada, foi publicado em algum momento nos últimos meses. Os sites comprometidos publicam listas com os usuários que devem trocar senhas e dados bancários, e mesmo os hackers muitas vezes publicam as listas dos comprometidos, como fazia o grupo LulzSec até a semana passada.

A ferramenta criada por Grzelak é simples e intuitiva: é só digitar o endereço de e-mail e clicar no botão de checagem. O resultado sai na hora. Também há um botão para checagem “por atacado”, em que o usuário pode checar até 10 endereços de e-mail de uma vez.

Alguém poderá desconfiar que se trata de um pequeno golpe para coletar endereços de e-mail do mundo todo, com o objetivo de enviar spam, e essa é uma preocupação válida. Chequei as credenciais de Grzelak, e me parece que são bastante legítimas: ele foi consultor de segurança em uma empresa australiana de 2004 até maio desse ano, quando resolveu iniciar seu próprio negócio; têm boa reputação como profissional de segurança, tem concedido várias entrevistas sobre sua nova iniciativa, e seu perfil profissional no LinkedIn é aberto a quem quiser ver. Em suma: não me parece ser o perfil do golpista, principalmente porque o ganho seria pífio perto da perda de reputação que um golpezinho bobo desses causaria.

Até a próxima.

O phishing de papel

Espertos com a rejeição aos e-mails de phishing, os bandidos recorrem a uma tecnologia velha: o papel.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

Recentemente recebi um aviso acerca de um golpe inusitado sendo aplicado no Brasil. Trata-se de uma variação bem interessante do velho golpe do phishing enviado por e-mail, em que os bandidos tentam levar a vítima a fornecer de bom grado suas informações. Geralmente o que os bandidos buscam são os dados bancários e de cartão de crédito da vítima. A maioria de nós já viu esses e-mails: da Receita, da Polícia Federal, de operadoras de celular, dos Correios, e por aí vai. Muitos de nós já estamos treinados a apagar essas mensagens sem dar informação nenhuma, e isso é um verdadeiro alento. Aprendemos que essas instituições não se comunicam com os usuários através de e-mail.

É, ao que parece os bandidos também aprenderam... O golpe, nesse caso, é enviado por carta comum, e não por e-mail. (Clique nas imagens nesse post para ver uma cópia escaneada da correspondência). Como chega pelo correio, aposto que vai ter um monte de gente digitando o link contido na carta e digitando seus dados bancários. Muito esperto, não?



Um pouco mais de cuidado ao avaliar a correspondência já mostra que se trata de um golpe: a URL fornecida termina em “MX”, e não em “BR”. Para quem não sabe, “MX” é domínio do México, e não tem nada a ver com o Brasil, e muito menos com a Receita Federal.

Esta carta está circulando desde Fevereiro deste ano, e pelo que pude levantar, os bandidos escolhem regiões diferentes a cada envio da correspondência. É preciso ficar esperto caso sua cidade ainda não tenha sido “contemplada” com esse golpe.

A dica aqui é aquela de sempre: em se tratando de pedidos para que forneçamos nossos dados, o melhor é confirmar via telefone com o órgão em questão se eles estão mesmo nos pedindo alguma coisa. E nada de ligar para o número fornecido pela correspondência, claro, pois pode ser exatamente isso que os bandidos queiram.

Até a próxima.

O LulzSec e você

Que tipo de problemas o novo grupo de hackers LulzSec pode trazer para você? Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

Ontem, a exemplo do que têm sido as últimas duas semanas, foi um dia interessante no mundo dos hackers. O grupo que se intitula “LulzSec” promoveu sua “Titanic Takeover Tuesday”, ou “Terça Titânica de Ataques”, em tradução livre. O grupo derrubou nada menos do que cinco grandes sites, quatro deles de jogos on-line.

“Tudo bem, mas e eu com isso?” disse-me um amigo quando eu empolgadamente relatei os ataques e seus resultados. A pergunta é válida, e vale uma boa análise.

O LulzSec é um grupo novo, e seu nome significa algo na linha de “rindo alto de sua segurança”, ou “tirando sarro de sua segurança”. É um grupo diferente, pois aparentemente não tem objetivos de levar vantagem financeira com seus ataques. E por que atacam, então? Simples: para mostrar para todo mundo que a segurança de seus alvos é falha, risível até.

O grupo invade sites e publica dados de usuários, impede o acesso a sites, publica fotos e e-mails privados de executivos e usuários, e no geral está causando uma balbúrdia enorme. O objetivo é, como já disse, alertar para as falhas gritantes na segurança. E isso, que pode parecer uma má notícia (e para muita gente é), na verdade é um movimento que no médio prazo deve contribuir — e muito — para a segurança na Internet.

Tem muito tempo que consultores e especialistas gritam aos quatro ventos que a segurança na grande maioria dos casos é ruim, e a maioria das instituições só escuta quando algo errado acontece. Vários desses especialistas, aposto, estão dizendo “eu avisei” e rindo por dentro. O raciocínio dos administradores para justificar sua inércia é mais ou menos assim: com são centenas de milhões de sites no mundo todo, a probabilidade de algo acontecer com o meu site especificamente é baixa, e portanto eu não me mexo (ou me mexo só o suficiente para dormir tranquilo à noite). Só que aí vem um grupo de hackers atacando a torto e a direito, causando problemas em dezenas de sites em alguns poucos dias, e prometendo mais e mais, apesar de estarem sendo caçados pelas autoridades internacionais. Melhor eu me mexer, não? Até porque, aposto que os hackers do LuzSec vão servir de “modelo” para vários outros grupos de hackers, que vão querer participar da festa, multiplicando os ataques. Esse raciocínio, aliás, são favas contadas, bastando para isso que o grupo se mantenha livre das autoridades por mais algumas semanas. Com a possibilidade de ataques crescendo algumas ordens de grandeza, bastante gente vai começar a repensar a segurança do ambiente e dos dados que oferece na Internet. E isso é uma boa notícia, mesmo que vindo de um grupo essencialmente formado por foras da lei.

O usuário doméstico não fica livre dos efeitos desses ataques. O usuário corporativo também não, aliás. No ataques à Sony, por exemplo, dados de um milhão de usuários do serviço foram publicados para quem tivesse paciência de baixa-los. Nos ataques de ontem, outros tantos milhões de jogadores on-line ficaram sem acesso aos seus jogos, e mesmo assim deveriam se dar por felizes, pois o grupo só parou os sites, quando poderia tê-los invadido e publicado dados privados de um contingente enorme de usuários. “E eu com isso?” Eu “um monte” com isso.

E que providências podemos tomar, como usuários domésticos? Poucas. Podemos (e devemos, se tivermos tempo e paciência) escrever algumas mensagens para nossos serviços on-line expressando nossa preocupação. Sei que esse tipo de engajamento não é lá muito o perfil do usuário brasileiro, mas creio que é só assim, reclamando (a exemplo do que fazemos no PROCON quando nos sentimos lesados) que poderemos contribuir para as mudanças necessárias nos nossos provedores de serviço.

No mais, é rir com o grupo, à medida que assistimos enquanto trazem um pouco de caos à Internet, caos esse que resulta do desrespeito à segurança que muita gente demonstra dia sim, outro também.

Até a próxima.

Alguns aplicativos úteis de segurança

Alguns aplicativos gratuitos para melhorar a segurança de seu notebook. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo da PC World com recomendações de 29 aplicativos úteis para o seu notebook.

Para ler esse artigo, clique no botão abaixo.

 

O site da revista PC World publicou recentemente um artigo com 29 aplicativos úteis para notebooks, e a lista contempla vários pequenos programas de segurança que de fato são bastante úteis para usuários de notebooks baseados em Windows.

Já tive experiência própria com 3 deles, e posso recomendá-los pessoalmente:

O primeiro é o TrueCrypt, um aplicativo para criptografar discos ou partições de um disco que é a salvação da lavoura em caso de perda ou roubo de seu notebook, Já falei sobre o TrueCrypt aqui no 5 Minutos de Segurança, no artigo Exemplo de boa criptografia. Para lembrar, o FBI desistiu de tentar decifrar dois terabytes de dados confiscados em computadores de Daniel Dantas, do Opportunity, dados esses criptografados com o TrueCrypt. Acho que isso fala por si só. Com nossos notebooks sendo alvo constante de ladrões, vale a pena usar uma ferramenta que de fato nos proteja em caso de perda do precioso hardware.

O segundo é o Hotspot Shield, um aplicativo também gratuito (mas “movido a anúncios”) que protege a comunicação em caso de estarmos ligados a alguma rede pública, em um shopping center ou um aeroporto, por exemplo. Vulnerabilidades tais como o Firesheep podem ser usadas para capturar o fluxo de comunicações em redes abertas, e o Hotspot Shield criptografa o fluxo de dados, impedindo que seja lido pelos espertinhos de plantão. Sugiro que os usuários que queiram instalá-lo declinem da instalação dos toolbars oferecidos, pois nada adicionam à aplicação, e também prestem atenção senão a aplicação muda sua página inicial no navegador e a máquina de busca padrão. Fora esses cuidados iniciais na instalação, o aplicativo é simples, robusto e não fica no caminho.

O terceiro é o Comodo, um firewall pessoal de uso geral que impede acessos externos ao computador. É um aplicativo também de simples instalação, e também transparente na hora do uso. No ranking de firewalls o Comodo ocupa uma posição superior ao firewall da Microsoft, que já vem de fábrica em notebooks rodando Windows. E para quem também está pensando em trocar de antivírus, a Comodo oferece um “combo”, empacotando firewall e antivírus junto.

Alguns dos demais aplicativos de segurança parecem bacanas, e certamente pretendo testar uns dois ou três. Penso que valha a pena a todos nós pelo menos nos inteirarmos sobre essas aplicações.

Mudando de assunto, o trabalho está um absurdo em termos de volume. Ser empresário e por uma empresa em pé não é fácil, ainda que meu sócio esteja carregando mais da metade do piano (bem mais, aliás). Em função disso, vou ter que dar uma maneirada por aqui, o que já pode ser visto na falta de um artigo na segunda-feira. Paciência. De agora em diante, só vou atualizar o blog esporadicamente, pelo menos até a coisa ficar menos “violenta”. Bom, aqui tem material de segurança “para mais de metro”, e continuarei a responder perguntas, quando vierem. Meu e-mail de contato é ruy[PONTO]flavio[ARROBA]gmail[PONTO]com.

Até a próxima, seja lá quando for.

Macs: a hora da onça beber água

Será que precisamos mesmo de antivírus no Mac? E se precisamos, será que é suficiente? Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

O ouvinte Mauro pergunta:

“Tenho um Mac e nunca me preocupei com segurança. Agora estou ouvindo falar que tem vírus aparecendo para essa plataforma, mas não vi nada de errado com minha máquina ainda. O site da Apple continua afirmando que os Macs não sofrem com a praga dos vírus. Será que vou ter que colocar antivírus no meu computador, ou continuo confiando na Apple?”

Pois é, Mauro, tem também um monte de políticos por aí jurando “honestidade impávida”, mesmo diante de condenações na justiça. Será que devemos confiar em suas afirmações? Não que a Apple esteja deliberadamente tentando prejudicar e enganar seus clientes, mas o fato é que marketing é uma coisa, e a realidade é outra.

O mercado de computadores pessoais já tem os Macs com quase 10% de participação, à frente (bem à frente, aliás) dos computadores que rodam Linux, e esse percentual já é bem interessante para os bandidos de plantão. Um agravante para essa estatística é que o preço dos Macs é bem mais “salgado” que os preços de PCs baseados em Windows, o que denota que esses 10% de usuários tem melhores condições econômicas, fazendo-os alvos ainda mais apetitosos para os bandidos. É claro que uma hora ou outra eles iriam acordar, não é verdade?

Fora a meia dúzia de gatos pingados de códigos maliciosos mirando os Macs que têm surgido nos últimos anos, as últimas duas semanas trouxeram uma nova ameaça que está causando um enorme burburinho: o MacDefender. Trata-se de um falso antivírus clássico, daqueles que surgem aos montes nos PCs, e que os usuários já estão treinados a identificar e ignorar. Mas nos Macs, justamente porque vírus são coisas exóticas, o estrago está sendo enorme.

E sabe por que, Mauro? Justamente por causa da atitude dos usuários de Mac, atitude essa que espelha a sua quando diz: “Tenho um Mac e nunca me preocupei com segurança.” Em suma, a pseudo-sensação de segurança que os usuários de Mac tiram do histórico desta plataforma os tem deixado cegos para o baita problema que segurança hoje é para todos os usuários de todas as plataformas do mundo todo. Usuários de Mac e de outras plataformas menos comuns que o Windows estão francamente atrasados na atitude que deveriam ter para com as tecnologias digitais.

E o que venho dizendo há quase dois anos neste blog? que segurança não se tira de ferramentas tecnológicas (tais como antivírus e firewalls), mas sim de um preparo pessoal, de uma preocupação constante e de um conhecimento construído ao longo do tempo sobre as ameaças e problemas potenciais.

Se você, Mauro, adotar uma ferramenta de antivírus para seu Mac (o que, aliás, você deveria fazer, sim), só vai estar resolvendo uma pequena parte do problema. É equivalente a tomar algumas gotas de Novalgina quando se está com febre: combate o sintoma imediato, mas não atua sobre a causa. Adote, claro, um antivírus, que é tão importante em Macs quanto em máquinas Windows, Mauro, mas não pare por aí. Vá estudar sobre segurança, vá se preparar para os problemas que fatalmente vão surgir em Macs daqui para frente, vá desenvolver um cuidado com seus hábitos de navegação, vá entender como se dão as invasões e os ataques. Vá, enfim, Mauro, se preparar adequadamente. Senão, você corre o risco de entrar nas mesmas frias antigas que os usuários de Windows estão aprendendo a evitar há muito tempo.

Até a próxima.

A pergunta secreta

Para que serve a tal “pergunta secreta” quando nos cadastramos em algum serviço Web? Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

 

Um ouvinte que não se identifica pergunta:

“Em alguns sites que me cadastro tem uma tal de pergunta secreta, que tenho que escolher e dar a resposta. Tem sempre coisas como qual o nome do meu bicho de estimação ou o nome de solteiro da minha mãe, e eu tenho que dar uma resposta escrita. Para que serve isso? Eles estão coletando informações indevidas sobre mim?”

A pergunta é interessante e bem pertinente, mas não se trata do que você está pensando. Muito bom, aliás, que você se preocupe com esta questão de privacidade, viu... Em primeiro lugar, fique tranquilo: o objetivo destas questões não é coletar informações a seu respeito, mas sim facilitar sua vida no caso de você perder a senha de acesso ao site.

Funciona assim: caso você um dia se esqueça da senha no site que te pediu para criar uma pergunta e uma resposta, ambas secretas, esse site vai te fazer a pergunta escolhida. Se você der a resposta certa para a pergunta — aquela resposta que você determinou durante o processo de cadastro — o site te deixa escolher uma nova senha. As respostas escolhidas só são usadas para isso, e se você ainda estiver desconfiado, nada te impede de escolher uma resposta “nada a ver” com a pergunta, desde que você se lembre na hora H.

Eu uso a seguinte estratégia para as perguntas e respostas secretas: escolho sempre uma pergunta diferente, e minha resposta é sempre a mesma. Isso poderia ser um risco para minha segurança, pois se algum espertinho deduzisse minha resposta única, teria acesso a todas as minhas contas em sites na Web. Minha estratégia para evitar essa possibilidade é usar uma resposta impossível de ser deduzida. Uso como resposta uma frase comprida, complexa, que eu mesmo criei, e que eu nunca escrevi. Desta forma garanto que a mesma não será deduzida por algum bandido que queira acessar minhas contas.

Em suma, caro ouvinte anônimo, fique tranquilo. As perguntas e respostas secretas jogam a seu favor, e se forem usadas com cuidado, são um baita facilitador em tempos de inúmeros sites, inúmeros logins e inúmeras senhas.

Perdão pelo atraso no post. A vida de blogueiro já não era fácil. Quando vira uma vida de empresário e blogueiro, então, aí fica mais difícil ainda.

Até a próxima.

Spam em baixa, atenção em alta

Um relatório da Avira mostra que o spam está em baixa, o que significa que precisamos manter a atenção em alta. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler um artigo no site Help Net Security sobre a situação atual do spam na Internet.

Para ler esse artigo, clique no botão abaixo.

 

A Avira publicou recentemente o resultado de uma pesquisa sobre spam, entre usuários. Os resultados são alentadores, e mostram que esse velho problema está sendo controlado de forma eficiente, causando cada vez menos problemas entre os usuários.

Um dado interessante sobre spam é o seguinte: de acordo com o grupo de trabalho anti-abuso de mensagens, o MAWG, entre 88% e 92% dos e-mails em circulação na Internet são spam. O fato de que bem menos de 9 a cada 10 mensagens que chegam a sua caixa de entrada são spam, atesta a qualidade dos filtros e mecanismos que tentam erradicar essa praga.

A pesquisa da Avira informa que dos 55% dos usuários que adotam ferramentas de anti-spam, 45% estão satisfeitos, e apenas 10% estão insatisfeitos. Dos 45% dos que não usam, 19% afirmam depender das ferramentas disponibilizadas pelos provedores de serviço de e-mail.

Eu, particularmente, me encaixo nesses últimos 19%, e confesso que não vejo spam como um problema em minha vida. Meu provedor de e-mail profissional faz um excelente serviço em bloquear spam, e nunca tive um caso em que perdi uma mensagem importante em função dessa filtragem. Já no plano pessoal, uso o Gmail, que também faz um excelente serviço em bloquear spam, dando-nos inclusive a oportunidade de classificar mensagens que chegam como sendo spam, o que evita a chegada de mais mensagens do mesmo remetente no futuro. Em dias ruins recebo 3 mensagens de spam no Gmail, e não passa disso.

Outro dado da pesquisa mostra que 72% dos usuários pesquisados recebem 10 mensagens ou menos de spam por dia, o que parece ser um número bem razoável. E o que mostra que as soluções estão funcionando.

Essa guerra, claro, está longe de terminar. Os spammers sempre acham novas formas de divulgar seu lixo, e mantermo-nos atentos é fundamental para evitar que o problema volte a se agravar.

Nesse sentido, as dicas são: não clicar em nada que venha de spam, não responder a spam de jeito nenhum (nem para pedir o descadastramento), não comprar nada oferecido via spam, e tomar muito cuidado com os serviços e sites onde nos cadastramos. Eu sugiro fortemente termos um endereço de e-mail descartável para nos cadastrarmos em sites na Web, pois assim se esse cadastro gerar spam no futuro, o lixo vai para o endereço descartável, e não para nossa caixa de entrada.

Até a próxima.

Três regras simples

Um dos mais renomados jornalistas cobrindo o cenário de segurança da informação oferece três regras básicas para que nos mantenhamos seguros on-line. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo de Brian Krebs em que ele propõe as três regras básicas de segurança.

Clique aqui para ler um artigo no Digital Journal sobre a falsa atualização de segurança da Microsoft.

Para ler esse artigo, clique no botão abaixo.

 

O jornalista Brian Krebs publicou recentemente uma lista com três pequenas regras que nos ajudam a manter a maioria das ameaças longe de nossas máquinas. A lista é simples, elegante e a meu ver brutalmente eficaz. Vamos a ela:

A primeira regra de Krebs é: “se você não estava procurando, não instale.”

É impressionante a quantidade de e-mails, links, janelas de pop-up, sites, etc. que tentam nos enganar, propondo-nos a instalação desse ou daquele aplicativo cujo suposto objetivo é melhorar o desempenho da máquina, realizar alguma tarefa interessante, ou mesmo “proteger” nosso computador. Balela pura, na vasta maioria dos casos. A regra de Krebs, quando seguida à risca já evita todos esses tipos de golpe e mais alguns. Lembram dos artigos passados do 5 Minutos de Segurança em que comentei acerca dos falsos filmes piratas baixados da Internet que exigem um “player” especial? Pois é: você não estava procurando por esse player, e se instalar, vai entrar em fria. Outra: hoje mesmo o Digital Journal publica uma matéria em que um falso e-mail da Microsoft está circulando, tentando fazer com que os usuários instalem uma suposta atualização de segurança que vai do Windows 98 até o Windows 7. Até parece. Até parece que a Microsoft vai mandar e-mail avisando sobre atualizações de segurança. Até parece que uma atualização de segurança vai se preocupar com o Windows 98, um sistema operacional para o qual a Microsoft não oferece mais suporte desde 2006. Agora, se você estava procurando pelo software, certifique-se de que o está buscando na fonte oficial (o site do fabricante, na maioria dos casos), e que a cópia é legalizada, claro.

A segunda regra de Krebs é: “se você instalou, atualize.”

Vivo repetindo aqui que as atualizações de software são uma forma bem eficaz de evitar invasões e vírus, e já sugeri várias vezes a adoção de soluções gratuitas tais como o Secunia PSI para nos avisar quais aplicativos em nosso computador precisam de atualização. Usuários de Mac já têm no Software Update a ferramenta adequada para esse propósito. O fato é que inúmeras são as vulnerabilidades que podem ser facilmente evitadas se mantivermos nossos sistemas operacionais e nossos aplicativos atualizados, pois os bandidos investem boa parte de seu tempo buscando por essas vulnerabilidades, e os fabricantes pacientemente vão corrigindo os erros encontrados. Se não atualizamos regularmente nossos aplicativos e sistemas operacionais, deixamos portas abertas para os bandidos e para os códigos maliciosos. Simples assim.

A terceira regra de Krebs é: “se você não precisa mais, apague.”

Essa regra, quando seguida adequadamente, além de contribuir para a segurança de nosso computador, mantém o desempenho em dia também. Os fabricantes empacotam todo tipo de porcaria nas máquinas que compramos, a maioria delas sendo inútil em nosso dia-a-dia. Além disso, ao longo da vida útil da máquina, instalamos vários aplicativos, grandes e pequenos, úteis e inúteis na máquina. Deixá-los lá significa desperdiçar recursos, além de adicionar aos aplicativos que deveríamos atualizar periodicamente. Com os aplicativos inúteis fora da máquina, ganhamos em desempenho e nos livramos de potenciais pontos de invasão. Outra dica interessante é verificarmos de tempos em tempos quais aplicativos são inicializados quando ligamos o computador. O HijackThis é uma ferramenta gratuita da TrendMicro que nos mostra exatamente isso: quais aplicativos são inicializados quando ligamos o computador. Como esses aplicativos consomem memória e processamento, mesmo que não os estejamos usando, é altamente recomendável desativarmos a inicialização daqueles de que não precisamos mais. Obviamente devemos entender o propósito de cada um antes de sairmos desinstalando, não é verdade?

A lista de Krebs é muito útil e de uma simplicidade notável. Entendo que o jornalista tenha focado nos aplicativos da máquina, mas eu adicionaria mais uma sugestão: eliminar o privilégio de administrador no uso diário da máquina. Dessa forma, se algum código malicioso nos escapa, ficaremos sabendo que o mesmo está tentando se instalar, o que nos dá a oportunidade necessária para reagir e impedir a ação indesejada.

Até a próxima.