Encontro “Silver Bullet” Reúne Experts em Segurança na Fecomércio-SP

Cerca de 20 especialistas de segurança, que têm seus nomes associados às principais organizações globais de segurança da informação, irão participar como palestrantes do encontro Silver Bullet, que acontece no Centro das Convenções da Fecomércio, em São Paulo dias 12 e 13 de novembro próximos. Em sua platéia, o evento espera reunir cerca de 400 CSOs, gerentes, analistas, integradores e supervisores de segurança de médias e grandes empresas.
Entre os palestrantes estão os brasileiros Rodrigo Montoro e Wendel Guglielmetti Henrique, pertencentes ao quadro do SpiderLabs, grupo de elite em serviços de segurança da Trustwave.
A exemplo de diversos outros palestrantes, Rodrigo e Wendel levarão para o Silver Bullet exposições já anteriormente apresentadas em grandes eventos globais, como    DefCon (EUA), ToorCon (EUA) e SecTor (Canadá).
Wendel Guglielmetti Henrique irá abordar casos de testes de intrusão que são incomuns, um dos serviços para os quais as empresas contratam a Trustwave e que permitem testar a infraestrutura do cliente da mesma maneira que os hackers maliciosos exploram vulnerabilidades em busca de informações confidenciais.
"Através de experiências reais, irei mostrar ataques eficazes - e muitas vezes até triviais - que não podem ser detectados pelos métodos automatizados, representando altíssimo risco." comenta o Consultor de Segurança. Segundo ele, a equipe de testes de intrusão do SpiderLabs executou mais de 2300 testes de penetração, somente no ano passado, garantindo ao grupo o acesso a uma enorme variedade de casos para estudo e desenvolvimento de respostas.
Já o Pesquisador Rodrigo apresentará a sua pesquisa em relação a malwares, no que diz respeito à maneira que os mesmos se comunicam através da internet com os famosos "C&C - Command and Control Servers", onde a máquina infectada busca atualizações  e envia os dados confidenciais coletados,  entre outros.
Rodrigo Montoro surpreendeu a audiência da SecTOR 2011, ao apresentar uma maneira simples, mas eficaz, de detecção desse tipo de ataque, sem a necessidade de criação de regras, e sim pela análise comportamental e estatística.
“Pretendo demonstrar, no Silver Bullet, que é possível identificar a comunicação com os servidores de C&C através da pontuação dos cabeçalhos da requisição HTTP, avaliando-se o conteúdo baseado em análise comportamental”, finaliza Montoro.
Serviço:
-O encontro Silver Bullet é organizado pela STS, empresa que reúne os criadores dos eventos You sh0t the Sheriff e Sheriff Night.
-A programação se inicia no dia 12 de Novembro, das 8:30hs às 18:00hs e se conclui no dia 13 de Novembro, das 9:30hs às 17:20hs.
-A Fecomercio-SP fica na Rua Dr. Plínio Barreto, 285 – Bela Vista – São Paulo, SP.
-As inscrições custam R$ 350 e devem ser feitas pelo site: www.sbconference.com.br

Varejo e e-commerce serão maiores alvos de hackers em 2011

Segundo nota da RIS News, os ataques de criminosos cibernéticos a sites de lojas e comércio online vão superar os ataques a bancos e financeiras em 2011, de acordo com um recente estudo da firma de tecnologia NetClarity e da revista especializada Hakin9. Segundo Gary S. Miliefsky, fundador da NetClarity, 2011 promete ser um ano muito turbulento em atividades criminosas na internet.
Algumas previsões do estudo:
* "Cloud computing" e máquinas virtuais (VM) serão alvos prioritários dos criminosos e cyberterroristas, o que aumentará a demanda por profissionais de segurança cibernética.
* Devem aumentar os ataques de hackers a celulares e outros aparelhos móveis, muitas vezes disfarçados em downloads de fontes confiáveis.
* Estão surgindo novos tipos de ataques baseados em VoiP (o sistema de voz pela internet usado pelo Skype)
* Meios mais engenhosos de engenharia social serão usados em crimes cibernéticos.

"Vishing" é nova ameaça à segurança para os consumidores online

O vishing é uma nova prática criminosa que consiste em utilizar engenharia social com recursos de automação telefônica para explorar as facilidades da rede pública de telefonia com o objetivo de obter vantagens ilícitas tais como realizar compras ou saques em nome das vítimas.
Alexis Panagides, CEO da Inova Tecnologias, ressalta a importância que o setor de TI deve dar ao vishing: ?Nós projetamos e administramos sistemas de e-mail de empresas, de provedores de Internet e de órgãos do governo, então investir em inteligência e prevenção contra novas ameaças é muito importante para nós. Embora  aconteça através dos sistemas telefônicos, o vishing pode ser usado para identificar vulnerabilidades em outros sistemas e os times de segurança precisam cooperar entre si.
As tecnologias de Voz sobre IP (VoIP) barateou os recursos avançados de telefonia, facilitando a vida de usuários e de empresas, mas também podem ser utilizados para se obter acesso a informações pessoais ou financeiras privativas de pessoas ou empresas.
O termo vishing é uma combinação entre as palavras do idioma voice e phishing do idioma inglês. Phishing, por sua vez, é um termo derivado da imagem de pescar, um tipo de fraude caracterizada pelo envio de iscas eletrônicas que imitam pessoa ou empresa confiável, utilizada para obter informações sigilosas das vítimas.
O Vishing é uma sofisticação do Phishing. Em vez de falsificar o e-mail ou o site de uma entidade, o criminoso cria um ambiente de atendimento telefônico que se pareça com o de uma entidade confiável, como um banco ou órgão do governo.
As vítimas de vishing normalmente não estão suficientemente informadas sobre a possibilidade de falsificação do número de identificação de chamada, popularmente conhecido como bina, e dos recursos de automação telefônica disponíveis a baixo custo. O avanço e o barateamento da tecnologia ajudaram a difundir técnicas e facilidades de automação de serviços telefônicos que no passado estavam restritas a grandes empresas com recursos para adquirir equipamentos caros e sofisticados.
Como acontece o vishing?
   1. O criminoso configura um sistema de callcenter para ligar para os números de telefone de uma determinada região ou para acessar sistemas de voz com listas de números telefônicos roubados de alguma instituição.
   2. Quando uma vítima atende uma ligação ouve uma mensagem gravada informando que foi detectada atividade fraudulenta ou incomum em sua conta bancárias. A mensagem instrui o usuário a ligar imediatamente para um determinado número, normalmente exibido em seu identificador de chamadas.
   3. Ao ligar para o número informado, a ligação é atendida por um sistema automático, que solicita ao usuário a digitação do número do seu cartão de crédito e de seus dados bancários
   4. Uma vez que o usuário informa seus dados, o criminoso tem condições de obter acesso a sistemas privativos, inclusive a contas bancárias, ou utilizar o cartão de crédito para compras em nome do usuário
   5. A chamada pode obter do usuário informações de segurança complementares como PIN, data de expiração, data de nascimento etc.
Como se proteger?
Para se proteger, a população precisa suspeitar de qualquer solicitação de dados pessoais como números de cartão de crédito ou dados bancários. Ao falar com uma pessoa, em vez de fornecer informações, é melhor solicitar um número de protocolo e ligar para um número previamente conhecido, como o que está impresso no cartão bancário.

Varejo é alvo prioritário de crimes digitais

Segundo um novo estudo realizado pela Verizon com dados do Serviço Secreto dos EUA, o varejo está entre os três maiores alvos dos crimes cibernéticos, ficando atrás apenas do setor financeiro e da área de hotelaria.
O estudo, chamado "2010 Verizon Data Breach Investigations Report" (o PDF gratuito pode ser baixado aqui), oferece um quadro bastante amplo da natureza e das causas do cibercrime em vários países do mundo. O estudo destaca a participação de funcionários das empresas, a chamada "engenharia social" e a participação cada vez maior do crime organizado nesse tipo de delito. Porém, em termos gerais, o número de crimes com dados eletrônicos caiu em 2009, em comparação com o ano anterior.
O varejo está entre os três setores mais afetados pelo furto e vazamento de dados sigilosos (informações privadas de consumidores, como documentos e números de cartões de crédito), representando 15% do total de crimes. O setor financeiro lidera com 33% dos casos, seguido pela área de hospitalidade e hotelaria (23%).
A inclusão de dados do Serviço Secreto do governo americano, que investiga crimes financeiros, permitiu que o estudo incluísse e comparasse dados sobre crimes eletrônicos ocorridos nos últimos seis anos. O estudo inclui mais de 900 ocorrências, que causaram quase 1 milhão de dados sigilosos furtados.

Entre as principais conclusões do estudo estão:
* A grande maioria dos vazamentos de dados (69%) foi comandada por fontes externas, enquanto apenas 11% incluem a participação de parceiros comerciais.
* Quase metade dos crimes (49%) foram causados por agentes internos, um crescimento significativo que o estudo atribui à inclusão de dados do Serviço Secreto.
* 48% dos vazamentos foram atribuídos a usuários que abusaram de seu acesso privilegiado aos dados empresariais, com intenções criminosas. Outros 40% dos casos tiveram a participação de hackers, enquanto 28% foram causados pela manipulação de contatos sociais e 14% resultaram de ataques físicos aos computadores de empresas.
* Como em anos anterior, quase todos os casos de 2009 indicam o furto através de servidores e aplicativos online, e 85% dos casos foram considerados "de baixa dificuldade" pela pesquisa.
* Um dado importante é que 79% das vítimas não adotavam o padrão de encriptação PCI-PSS, considerado o mais eficiente para a proteção de dados privados.
A queda do número total de casos em 2009 em comparação a 2008 é atribuída a uma série de fatores, incluindo a maior eficiência das políticas de segurança, tanto públicas como privadas. O estudo não detectou nenhuma correlação entre o tamanho de uma empresa e seu risco de sofrer um ataque cibernético. Segundo os pesquisadores da Verizon, os criminosos geralmente escolhem seus alvos em função do possível valor do furto e do custo do delito, sem dar grande importância para características como tamanho e localização da vítima.

EUA: 71% dos varejistas não vêem proteção de dados com prioridade

Segundo nota da Retail Information Systems, as empresas de varejo dos EUA ainda não sabem lidar com a segurança de dados comerciais, colocando seus clientes em risco. De acordo com uma recente pesquisa das firmas Imperva e Ponemon Institute, 71% das empresas consultadas admitem que não consideram a segurança de dados comerciais como uma alta prioriedade na empresa, e 55% dizem que só se preocupam em proteger os números de cartões de crédito, e não dados críticos como números de segurança social, carteira de motorista e detalhes de contas bancárias.

5 Minutos de Segurança

O engenheiro especializado em segurança Ruy Flávio de Oliveira criou um blog muito útil -- em 5 Minutos de Segurança, ele comenta (em podcasts e textos) vários problemas de segurança que afetam computadores e redes, em casa e no trabalho. Vale muito a pena acompanhar as dicas, que são atualizadas diariamente, de segunda a sexta.

Consumidor paulistano teme fraude em compras pela internet

Reporta Evelin Ribeiro, no IDG Now!, que uma pesquisa inédita encomendada pela Federação do Comércio do Estado de São Paulo (Fecomercio) aponta que 57% dos internautas temem fraudes em compras feitas pela internet. Feito com mil pessoas na capital paulista, o estudo foi divulgado na manhã desta segunda-feira (3/8) durante a abertura do Congresso Crimes Eletrônicos e Formas de Proteção, evento realizado na sede da Fecomercio e que se estenderá até amanhã. A pesquisa também constata que 76% dos entrevistados usam algum tipo de antivírus. Mesmo assim, 14% se disseram vítimas - ou têm alguém na família que passou pelo problema – de operações fraulentas realizadas pela rede.

52% se preocupam com transações comerciais online, diz estudo da Unisys

Segundo um informe da Unisys, o "Índice de Segurança Unisys para o Brasil", elaborado para medir o nível de preocupação dos brasileiros em relação ao assunto, aponta, em sua quarta edição, que 52% das pessoas estão "seriamente preocupadas" com a segurança das transações na Internet, notadamente no que tange às compras ou operações bancárias. Apenas 24% estão "despreocupadas" e 20% estão "um pouco preocupadas". Em relação à segurança de computadores, especificamente recebimento de vírus e e-mails não solicitados, a preocupação atinge 56% dos brasileiros. Este resultado ficou praticamente estável em comparação a terceira edição do estudo. A União Internacional de Telecomunicações calcula que aproximadamente 32,5% dos brasileiros utilizam a Internet. É previsível que a preocupação maior seja da população de maior renda.
O "Índice de Segurança Unisys para o Brasil" é feito com base em uma pesquisa, por telefone, com 1.500 pessoas, entre 18 e 65 anos de idade (metade homens, metade mulheres). Os entrevistados são selecionados aleatoriamente em famílias das principais regiões metropolitanas do Brasil, das classes A, B e C. As entrevistas são realizadas em São Paulo, Rio de Janeiro, Belo Horizonte, Recife, Fortaleza, Curitiba, Porto Alegre e Salvador. O levantamento da Unisys é conduzido pelo Lieberman Research Group e acontece simultaneamente em vários países. Desta edição participaram 8.500 pessoas de nove países: Alemanha, Austrália, Bélgica, Brasil, Espanha, Estados Unidos, Holanda, Nova Zelândia e Reino Unido. O estudo mede as percepções do consumidor numa escala de 0 a 300, sendo que 300 compreende o mais elevado índice de preocupação. O estudo completo pode ser visto aqui.

Rede TJX concorda com auditoria no caso de furto de dados

Informa Joseph Pereira, no Wall Street Journal, que a mega-rede de varejo TJX dos EUA, protagonista do maior furto de dados de clientes da história, concordou em ter seus bancos de dados auditados a cada dois anos pelos próximos 20 anos por uma equipe designada pela Federal Trade Comission. A FTC sentenciou que a rede falhou em adotar medidas rápidas para proteger os dados privados dos clientes, o que permitiu que criminosos furtassem dados pessoais e números de cartões de crédito de 445.000 consumidores. Segundo a FTC, os bancos informaram que milhões de dólares em compras fraudulentas foram feitas com os dados furtados, e milhões de cartões tiveram de ser cancelados.

Rede de lojas nos EUA é atacada por novo golpe de hackers

Reporta Ross Kerber, no Boston Globe, que uma quadrilha de criminosos cibernéticos conseguiu furtar um grande volume de dados da rede varejista Hannaford Brothers. O que chama a atenção nesse caso é que, para aplicar o golpe, a quadrilha instalou um software secreto nos servidores de cada uma das quase 300 lojas da rede. A presença do software foi descoberta no início de março. O programa malicioso furtava dados de clientes, como números de cartões de crédito, números de previdência social e outras informações pessoais. Como a Hannaford Brothers não arquiva esse tipo de informação, o software agia como "grampo", interceptando a comunicação de dados entre a loja e os bancos dos clientes. A "novidade" do golpe pode abrir um precedente perigoso e abalar o sistema de crédito eletrônico no varejo dos EUA.