Rede Best Buy sofre nova invasão de dados privados

Segundo nota da RIS News, no fim da semana passada a rede varejista americana Best Buy notificou seus clientes que seus sistemas foram invadidos novamente por hackers. Menos de um mês depois da falha de segurança da empresa Epsilon, a Best Buy descobriu que a lista de emails de clientes foi invadida a partir do site um fornecedor da empresa.
A Best Buy disse que tomará todas as medidas legais para resolver o caso, mas não revelou o nome do fornecedor.

Vazamento de dados nos EUA afeta 250 milhões

Há menos de 10 dias, a Epsilon era uma firma de email marketing pouco conhecida, um mero provedor de serviços no setor de marketing online. Nesta semana, a empresa é o foco de um gigantesco escândalo de vazamento de dados privados, onde hackers tiveram acesso a nomes, endereços e outras informações de milhões de consumidores nos EUA. Entre os clientes da Epsilon estão bancos, financeiras e algumas das maiores redes de varejo dos Estados Unidos.
Entre os afetados, estão clientes do Citibank, Chase, Capital One, American Express, Walgreens, Target, Best Buy, TiVo, TD Ameritrade, Verizon, e Ritz Carlton. As empresas estão tentando medidas extremas para alertar seus consumidores sobre o problema, o que não é uma coisa fácil -- desde que a imprensa anunciou o vazamento, qualquer email vindo dessas empresas passou a ser considerado como suspeito pelos clientes.
A rede de drogarias Walgreens é um nome amplamente conhecido na América do Norte, mas pouco se sabia sobre a Epsilon e seus sistemas de dados de clientes. Na verdade, a Epsilon é uma empresa muito procurada nos EUA para terceirização de serviços de marketing por email. Além de oferecer serviços de gerenciamento de bancos de dados e email marketing, a Epsilon monitora redes sociais e outros sites para captar opiniões sobre as empresas,  oferecer indicações de mercados potenciais e desenvolver programas de fidelidade.
No final da semana passada, a Epsilon divulgou um comunicado pedindo desculpas pelo incidente, mas informou apenas que os nomes e endereços de email de "uma parte" de seus 2.5000 clientes foram invadidos pelos hackers. O ataque foi detectado no dia 30 de março. Ainda não se sabe ao certo quantos clientes da Epsilon foram afetados, e qual o número total de consumidores desses clientes. Segundo informa o site especializado em vazamentos de dados Databreaches.net, o número de empresas afetadas passa de 100 (veja a lista completa aqui).
A Epsilon disse que está trabalhando em conjunto com as autoridades federais dos EUA na investigação do caso, e que reforçou os protocolos de segurança que controlam o acesso aos seus sistemas.
No começo de abril, a empresa Return Path, que é parceira da Epsilon e fornece serviços de monitoramento de email, informou que no ano passado milhares de endereços de email haviam sido furtados em um grande ataque de "phishing" direcionado a várias empresas de email marketing, Não está claro ainda se a Epsilon estava entre as vítimas desse ataque em 2010, nem se o ataque é relacionado com a atual invasão. Mas esse anúncio pode indicar que esta não é a primeira tentativa de invadir os dados privados mantidos pela Epsilon.
O ataque ao banco de dados da Epsilon não é o primeiro do gênero,e pode nem ser o maior da história. A questão aqui é que um número crescente de consumidores confia em sistemas online para gerenciar seus dados privados, com informações muito sensíveis que incluem nomes, endereços, números de documentos, dados de contas de débito e crédito.
Essa rápida expansão da base de clientes online é motivada pela multiplicação de plataformas de acesso ao mundo virtual. Há poucos anos, as pessoas usavam apenas computadores de mesa e notebooks. Hoje, existem milhões de acessos via smartphones, PDAs e tablets, o que multiplica as oportunidades para golpes eletrônicos.
Os consumidores estão indefesos diante desse tipo de ameaça, porque confiaram na existência de mecanismos de proteção criados pelas empresas e fiscalizados pelas autoridades. Em um caso escandaloso como esse, esses usuários descobrem que não há proteção alguma: as empresas se preocuparam apenas com seus lucros, e os governos faltaram com a obrigação essencial de zelar pela segurança dos cidadãos -- mas os impostos foram cobrados pontualmente.
O comércio digital tem necessidade urgente de regras próprias. Até quando os consumidores vão esperar?

Varejistas dos EUA sofrem grande invasão de privacidade

Best Buy, Kroger e Walgreens são algumas das grandes redes de varejo dos Estados Unidos afetadas em 30 de março por um mega-ataque de hackers, que conseguiram acesso a milhares de dados privados de clientes, como endereços, emails e possivelmente informações sobre contas bancárias.
As vítimas do ataque, que também incluem bancos e outras empresas de serviços, são todas clientes da firma Epsilon, que fornece serviços de marketing digital. A Épsilon, sediada no estado do Texas,  divulgou um curto comunicado neste final de semana, dizendo que está realizando uma ampla investigação sobre o caso. A porta-voz da Epsilon, Jessica  Simon, não quis dar declarações para a imprensa.
A Epsilon disse aos seus clientes que a invasão de dados não representa risco sério para os consumidores dessas empresas.
A rede Best Buy divulgou um comunicado no domingo, informando que vai conduzir uma investigação própria sobre o vazamento de dados. A maior rede de produtos eletrônicos dos EUA avisou os consumidores para ignorarem emails pedindo dados confidenciais.
Outra vítima do ataque, o banco Barclays, que emite cartões de crédito da marca Visa, enviou emails para seus clientes alertando sobre o ataque e reforçando a segurança dos cartões de crédito. O banco informou os clientes sobre o risco de emails solicitando dados pessoais.
A rede de mercados Walgreens e a empresa de gravação de programas de TV TiVo enviaram alertas similares aos seus clientes.
A rede de mercearias Kroger  e o banco JPMorgan Chase, que também usam o serviço da Epsilon para enviar comunicados aos clientes, declararam na sexta-feira que foram afetados pela invasão. O JPMorgan informou que os arquivos afetados não incluem os detalhes financeiros de seus clientes. A rede Kroger disse que um banco de dados com nomes e endereços de emails dos clientes foi invadido, mas esse banco de dados não continha informações sobre o programa conectado aos números de cartões de crédito MasterCard usados pelos clientes.
A Epsilon ainda não divulgou a lista completa as empresas afetadas pela invasão dos hackers. Todos os clientes já afetados divulgaram comunicados informando medidas de proteção e investigação do incidente.
Esse tipo de crime está se tornando mais frequente nos Estados Unidos e Europa, e também em outras partes do mundo. Há pouco mais de um ano e meio, a rede de lojas de vestuário J.C. Penney foi vítima de um ataque gigantesco, onde as informações confidenciais de milhões de consumidores ficaram expostas. O caso se tornou símbolo de uma nova geração de crimes eletrônicos contra empresas, e revelou ao mesmo tempo o baixo nível de proteção de dados sigilosos pelas empresas e o grau de sofisticação dos bandidos em seu ataque. O FBI divulgou um relatório indicando que os criminosos passaram meses estudando os pontos fracos do sistema de proteção de dados pessoais antes de darem o golpe.
O que chama a atenção neste novo caso é que as empresas parecem ter ignorado os avisos de crimes anteriores. Aparentemente, continua sendo fácil para criminosos explorarem as fraquezas no acesso a dados sigilosos, o que pode representar um prejuízo de milhões ou até bilhões de dólares para empresas e consumidores. Além do dano financeiro para as empresas, uma ocorrência desse tipo prejudica seriamente a imagem de um varejista.

Varejo e e-commerce serão maiores alvos de hackers em 2011

Segundo nota da RIS News, os ataques de criminosos cibernéticos a sites de lojas e comércio online vão superar os ataques a bancos e financeiras em 2011, de acordo com um recente estudo da firma de tecnologia NetClarity e da revista especializada Hakin9. Segundo Gary S. Miliefsky, fundador da NetClarity, 2011 promete ser um ano muito turbulento em atividades criminosas na internet.
Algumas previsões do estudo:
* "Cloud computing" e máquinas virtuais (VM) serão alvos prioritários dos criminosos e cyberterroristas, o que aumentará a demanda por profissionais de segurança cibernética.
* Devem aumentar os ataques de hackers a celulares e outros aparelhos móveis, muitas vezes disfarçados em downloads de fontes confiáveis.
* Estão surgindo novos tipos de ataques baseados em VoiP (o sistema de voz pela internet usado pelo Skype)
* Meios mais engenhosos de engenharia social serão usados em crimes cibernéticos.

Cibercriminosos aumentam ataques a dispositivos móveis, diz McAfee

A McAfee apresenta relatório sobre as previsões de ameaças para este ano:  Threat Predictions 2011. A lista abrangente aponta as plataformas Google Android, Apple iPhone, foursquare, Google TV e Mac como os principais alvos dos criminosos virtuais.  A análise realizada pelo McAfee Labs indica ainda aumento dos ataques com motivação política – um exemplo disso é o site WikiLeaks, conhecido mundialmente por divulgar documentos sigilosos.
De acordo com Vincent Weafer, vice-presidente sênior do McAfee Labs, a pesquisa registra crescimento considerável na adoção de dispositivos e redes sociais. Com esse crescimento, essas plataformas tornam-se mais atrativas aos cibercriminosos. "Esses serviços se tornaram bastante populares em um curto período de tempo, e já pudemos ver um aumento considerável em vulnerabilidades, ataques e perda de dados”, declara o executivo.
Segundo o estudo, os sites de relacionamento, como Twitter e Facebook, devem ser os mais afetados, devido à rapidez na troca de informações. O uso de URLs reduzidas em sites como o Twitter faz com que seja mais fácil para os cibercriminosos mascarar sites mal-intencionados e direcionar usuários para eles. São geradas mais de 3 mil URLs reduzidas por minuto, por isso o McAfee Labs prevê um número crescente de uso dessas URLs para spam, aplicação de golpes e outras finalidades mal-intencionadas.
Os serviços de localização, como foursquare, Gowalla e Facebook Places, também atraem os cibercriminosos, pois permitem pesquisar e rastrear a localização dos usuários de forma rápida e imediata. Esse excesso de informações pessoais permite aos golpistas desenvolvam novos ataques. O McAfee Labs prevê que, em 2011, os cibercriminosos utilizarão cada vez mais essas táticas nas redes sociais mais populares.
Em 2011, haverá um aumento no nível de sofisticação do conteúdo mal-intencionado disfarçado de e-mails e arquivos pessoais ou legítimos, desenvolvidos para enganar as vítimas. O malware "assinado", que imita arquivos legítimos, será algo cada vez mais comum. Além disso, o "friendly fire" ("fogo amigo", uma referência ao contexto de guerra, quando há troca de tiros entre unidades aliadas), no qual as ameaças parecem vir de amigos mas, na realidade, são vírus (como Koobface ou VMMania), será cada vez mais utilizado pelos cibercriminosos. O McAfee Labs prevê que esses ataques passarão de uma pessoa para outra com o uso cada vez maior de redes sociais, com a consequente predominância do e-mail como principal vetor dos ataques.
Para obter uma cópia completa do relatório de ameaças para 2011 do McAfee Labs, em português, acesse: http://www.mcafee.com/apps/view-all/publications.aspx?tf=mcafee_labs&sz=10&region=br

"Vishing" é nova ameaça à segurança para os consumidores online

O vishing é uma nova prática criminosa que consiste em utilizar engenharia social com recursos de automação telefônica para explorar as facilidades da rede pública de telefonia com o objetivo de obter vantagens ilícitas tais como realizar compras ou saques em nome das vítimas.
Alexis Panagides, CEO da Inova Tecnologias, ressalta a importância que o setor de TI deve dar ao vishing: ?Nós projetamos e administramos sistemas de e-mail de empresas, de provedores de Internet e de órgãos do governo, então investir em inteligência e prevenção contra novas ameaças é muito importante para nós. Embora  aconteça através dos sistemas telefônicos, o vishing pode ser usado para identificar vulnerabilidades em outros sistemas e os times de segurança precisam cooperar entre si.
As tecnologias de Voz sobre IP (VoIP) barateou os recursos avançados de telefonia, facilitando a vida de usuários e de empresas, mas também podem ser utilizados para se obter acesso a informações pessoais ou financeiras privativas de pessoas ou empresas.
O termo vishing é uma combinação entre as palavras do idioma voice e phishing do idioma inglês. Phishing, por sua vez, é um termo derivado da imagem de pescar, um tipo de fraude caracterizada pelo envio de iscas eletrônicas que imitam pessoa ou empresa confiável, utilizada para obter informações sigilosas das vítimas.
O Vishing é uma sofisticação do Phishing. Em vez de falsificar o e-mail ou o site de uma entidade, o criminoso cria um ambiente de atendimento telefônico que se pareça com o de uma entidade confiável, como um banco ou órgão do governo.
As vítimas de vishing normalmente não estão suficientemente informadas sobre a possibilidade de falsificação do número de identificação de chamada, popularmente conhecido como bina, e dos recursos de automação telefônica disponíveis a baixo custo. O avanço e o barateamento da tecnologia ajudaram a difundir técnicas e facilidades de automação de serviços telefônicos que no passado estavam restritas a grandes empresas com recursos para adquirir equipamentos caros e sofisticados.
Como acontece o vishing?
   1. O criminoso configura um sistema de callcenter para ligar para os números de telefone de uma determinada região ou para acessar sistemas de voz com listas de números telefônicos roubados de alguma instituição.
   2. Quando uma vítima atende uma ligação ouve uma mensagem gravada informando que foi detectada atividade fraudulenta ou incomum em sua conta bancárias. A mensagem instrui o usuário a ligar imediatamente para um determinado número, normalmente exibido em seu identificador de chamadas.
   3. Ao ligar para o número informado, a ligação é atendida por um sistema automático, que solicita ao usuário a digitação do número do seu cartão de crédito e de seus dados bancários
   4. Uma vez que o usuário informa seus dados, o criminoso tem condições de obter acesso a sistemas privativos, inclusive a contas bancárias, ou utilizar o cartão de crédito para compras em nome do usuário
   5. A chamada pode obter do usuário informações de segurança complementares como PIN, data de expiração, data de nascimento etc.
Como se proteger?
Para se proteger, a população precisa suspeitar de qualquer solicitação de dados pessoais como números de cartão de crédito ou dados bancários. Ao falar com uma pessoa, em vez de fornecer informações, é melhor solicitar um número de protocolo e ligar para um número previamente conhecido, como o que está impresso no cartão bancário.

Varejo é alvo prioritário de crimes digitais

Segundo um novo estudo realizado pela Verizon com dados do Serviço Secreto dos EUA, o varejo está entre os três maiores alvos dos crimes cibernéticos, ficando atrás apenas do setor financeiro e da área de hotelaria.
O estudo, chamado "2010 Verizon Data Breach Investigations Report" (o PDF gratuito pode ser baixado aqui), oferece um quadro bastante amplo da natureza e das causas do cibercrime em vários países do mundo. O estudo destaca a participação de funcionários das empresas, a chamada "engenharia social" e a participação cada vez maior do crime organizado nesse tipo de delito. Porém, em termos gerais, o número de crimes com dados eletrônicos caiu em 2009, em comparação com o ano anterior.
O varejo está entre os três setores mais afetados pelo furto e vazamento de dados sigilosos (informações privadas de consumidores, como documentos e números de cartões de crédito), representando 15% do total de crimes. O setor financeiro lidera com 33% dos casos, seguido pela área de hospitalidade e hotelaria (23%).
A inclusão de dados do Serviço Secreto do governo americano, que investiga crimes financeiros, permitiu que o estudo incluísse e comparasse dados sobre crimes eletrônicos ocorridos nos últimos seis anos. O estudo inclui mais de 900 ocorrências, que causaram quase 1 milhão de dados sigilosos furtados.

Entre as principais conclusões do estudo estão:
* A grande maioria dos vazamentos de dados (69%) foi comandada por fontes externas, enquanto apenas 11% incluem a participação de parceiros comerciais.
* Quase metade dos crimes (49%) foram causados por agentes internos, um crescimento significativo que o estudo atribui à inclusão de dados do Serviço Secreto.
* 48% dos vazamentos foram atribuídos a usuários que abusaram de seu acesso privilegiado aos dados empresariais, com intenções criminosas. Outros 40% dos casos tiveram a participação de hackers, enquanto 28% foram causados pela manipulação de contatos sociais e 14% resultaram de ataques físicos aos computadores de empresas.
* Como em anos anterior, quase todos os casos de 2009 indicam o furto através de servidores e aplicativos online, e 85% dos casos foram considerados "de baixa dificuldade" pela pesquisa.
* Um dado importante é que 79% das vítimas não adotavam o padrão de encriptação PCI-PSS, considerado o mais eficiente para a proteção de dados privados.
A queda do número total de casos em 2009 em comparação a 2008 é atribuída a uma série de fatores, incluindo a maior eficiência das políticas de segurança, tanto públicas como privadas. O estudo não detectou nenhuma correlação entre o tamanho de uma empresa e seu risco de sofrer um ataque cibernético. Segundo os pesquisadores da Verizon, os criminosos geralmente escolhem seus alvos em função do possível valor do furto e do custo do delito, sem dar grande importância para características como tamanho e localização da vítima.

Hackers são acusados de roubar 130 milhões de números de cartões nos EUA

Segundo nota da Folha Online, três piratas de informática --dos quais apenas um foi detido-- foram acusados em Nova Jersey de roubar mais de 130 milhões de números de cartões de crédito e débito, no que a Promotoria define como o maior crime de roubo de identidades cometido nos Estados Unidos. A acusação foi feita na segunda-feira (17).
Albert González, 28, radicado em Miami, na Flórida, foi acusado, com outras duas pessoas que não foram identificadas, de cometer "o maior crime de pirataria informática e roubo de identidades processado pelo Departamento de Justiça dos EUA", informou a Promotoria de Nova Jersey em comunicado.

Anúncios online podem esconder vírus

Reporta Emily Steel, no Wall Street Journal, que estão aumentando o número de ataques eletrônicos disfarçados de anúncios de e-commerce e leilões online. Os criminosos estão descobrindo meios de explorar a complexa estrutura de relacionamentos da publicidade online, que tem um grande número de intermediários e revendedores. Especialistas em segurança de internet estão detectando um aumento no número de anúncios que escondem programas nocivos ("malware"), que instalam vírus e outros sistemas de fraude. Um dos motivos apontados para esse crescimento de riscos é a crise econômica, que tem levado os publishers de sites a terceirizar as vendas de espaços publicitários para aumentar a renda.
Os vírus podem ser incorporados diretamente no anúncio, de modo que basta clicar no link ou entrar no site para que o computador seja infectado. Ou o anúncio pode redirecionar o browser para um site criminoso, onde dados pessoais do usuários podem ser furtados.
O que chama a atenção é que publishers respeitados e de grande porte (como a empresa inglesa Digital Spy, e as americanas Ziff Davis e News Corp, dona dos sites FoxNews.com e AmericanIdol.com) também estão exibindo anúncios com virus.
(ilustração de Rob Shepperson, Wall St. Journal)

Estado dos EUA torna ilegal a espionagem via RFIDs

Reporta Sharon Gaudin, na Computerworld, que o estado de Washington nos EUA aprovou uma lei que torna crime o uso de etiquetas com microtransmissores de rádio (RFIDs) para espionar a vida alheia. A lei criminaliza o uso de sistemas de identificação eletrônica sem o conhecimento ou consentimento das pessoas, com a intenção de fraude ou furto de identidade. A pena para as violações pode chegar a 10 anos no estado. A lei deve proteger os cidadãos não apenas contra criminosos comuns, que buscam captar informações com intuito de fraude, como também a coleta não autorizada de informações pessoais por estabelecimentos comerciais.

Rede TJX concorda com auditoria no caso de furto de dados

Informa Joseph Pereira, no Wall Street Journal, que a mega-rede de varejo TJX dos EUA, protagonista do maior furto de dados de clientes da história, concordou em ter seus bancos de dados auditados a cada dois anos pelos próximos 20 anos por uma equipe designada pela Federal Trade Comission. A FTC sentenciou que a rede falhou em adotar medidas rápidas para proteger os dados privados dos clientes, o que permitiu que criminosos furtassem dados pessoais e números de cartões de crédito de 445.000 consumidores. Segundo a FTC, os bancos informaram que milhões de dólares em compras fraudulentas foram feitas com os dados furtados, e milhões de cartões tiveram de ser cancelados.

Rede de lojas nos EUA é atacada por novo golpe de hackers

Reporta Ross Kerber, no Boston Globe, que uma quadrilha de criminosos cibernéticos conseguiu furtar um grande volume de dados da rede varejista Hannaford Brothers. O que chama a atenção nesse caso é que, para aplicar o golpe, a quadrilha instalou um software secreto nos servidores de cada uma das quase 300 lojas da rede. A presença do software foi descoberta no início de março. O programa malicioso furtava dados de clientes, como números de cartões de crédito, números de previdência social e outras informações pessoais. Como a Hannaford Brothers não arquiva esse tipo de informação, o software agia como "grampo", interceptando a comunicação de dados entre a loja e os bancos dos clientes. A "novidade" do golpe pode abrir um precedente perigoso e abalar o sistema de crédito eletrônico no varejo dos EUA.