Ep. 02 Segurança Cibernética - Como ocorrem as fraudes?

Dando sequência a nossa série, passo a explicar como acontecem as fraudes eletrônicas, citando alguns exemplos.

É importante ter em mente que existem diferentes níveis de ataque, começando por ataques genéricos, distribuídos quase que a esmo pela internet e culminando em campanhas focadas em grupos ou mesmo em indivíduos.

Como o assunto é árido, bastante técnico e complexo, vou tentar simplificar as coisas o máximo que puder. Começarei dos Golpes mais óbvios e genéricos e irei avançando pelo critério da complexidade.

1. "Phishing Scam"

A palavra phishing surgiu da contração das palavras "password phishing", numa tradução livre, "pesca de senhas". Esse tipo de ataque é baseado no que se convencionou chamar de Engenharia Social, técnica que explora as fragilidades do ser humano (vaidade, ganância, curiosidade, etc.) para a obtenção de informações.

O exemplo mais clássico são aqueles e-mails que você recebe avisando que a "sua senha do banco vai expirar" ou "preencha seus dados para não perder o acesso". Em versões mais elaboradas, aquele que contém links externos com diversos tipos de apelo para que o usuário clique. São exemplos:

• Veja aqui as fotos da sua mulher te traindo;
• Clique aqui para atualizar o módulo de segurança do seu banco;
• Seu CPF está com problemas na Receita Federal, clique aqui para regularizar sua situação;
• Veja as fotos do acidente do(a) Algum famoso(a);
• Seu título eleitoral possui uma pendência. Clique aqui para ver;
• etc. 

São infintas variantes e você certamente já se deparou com algumas delas nas suas caixas de e-mail, especialmente no início dos anos 2000, onde o e-mail ainda era a principal ferramente de troca de mensagens pela internet.

Mas o que acontece após o usuário clicar no link? 

Normalmente, está hospedado naquele link um pequeno pedaço de software chamado downloader.  Esse "programinha" se instala na sua máquina (muitas vezes não detectável pelo antivírus), começa a baixar outros pedaços de software hospedados em qualquer local do mundo. 

Quando ele termina de montar sua estrutura, passa a se conectar com o "Canal de Comando e Controle", que é o repositório para onde são mandadas as informações. É no repositório que o atacante reúne diversas informações como IP da máquina, país, Agência, Conta Corrente, senha, etc.  

Cada exemplar desse tipo de software, denominado malware (malicious software), é voltado para um ou mais alvos. Na quase totalidade dos casos, eles buscam armazenar e transmitir dados relacionados ao dinheiro: Banco, Agência, Conta Corrente, Senha de Acesso, Senha para transações, credenciais dos sistemas de milhagem, redes sociais, corretoras... enfim, o céu é o limite.

Mas AdV, como esses caras conseguem fazer isso? Devem ser super programadores que contam com uma mega estrutura, né?

Infelizmente, NÃO! 

A chamada "Campanha de phishing"  pode ser empreendida por qualquer um. na Deepweb ou em sites obscuros da internet, é possível comprar ou alugar a estrutura de fraude.

O vendedor te oferece o malware (normalmente desenvolvido em algum país do leste europeu), a remessa dos e-mails (feita normalmente por meio de servidores hackeados) e o canal de controle , também hospedado normalmente em servidores abusados. É uma fraude que requer baixo nível de conhecimento técnico para ser executada.

O atacante compra esses serviços, ganha a senha desse canal e controle e fica lá esperando os dados chegarem. Quando chegam os dados furtados, a fraude começa e pode assumir diversas formas, desde a clássica transferência para uma conta laranja até o pagamento de boletos de terceiros. 

Mas AdV, isso acontece de verdade? 

SIM. Apenas em 2017, foram reportados cerca de 60.000 casos desses no Brail (lembrando que a esmagadora maioria dos casos sequer é identificado, e mesmo quando plotado, não é reportado).

fonte:  https://www.cert.br/stats/incidentes/

2. Pharming (ou Envenenamento de DNS)

DNS (Domain Name system) é um serviço básico usado na internet. Seu trabalho é traduzir os números IP para nomes inteligíveis para o ser humano. Já pensou se você tivesse que decorar que 200.221.2.45  é o site do uol ou que 216.58.202.101 é o endereço do gmail?

Impraticável, né? Para isso criaram o DNS. Você digita www.uol.com.br e o DNS te manda para o lugar certo, digita meubanco.com.br ou minhacorretora.com.br e ele, o servidor DNS, encaminha sua requisição para o servidor desejado. Show! A internet não existiria sem ele.

O pharming (a.k.a. DNS poisoning) é um ataque mais sofisticado e consiste basicamente em redirecionar suas requisições para servidores maliciosos. 

Imagine que ao solicitar acesso ao seu banco, o servidor te manda para um site "clone". Você digita suas credenciais (agência, conta, senha) e aparece uma mensagem de senha errada. na sequência, você é redirecionado para o site legítimo, entra novamente as credenciais e acessa sua conta normalmente. Vai parecer que você errou a senha, nada demais.

Mas no momento que você lançou seus dados no site clone, eles foram capturados e serão utilizados na fraude. Claro que existem outras camadas de segurança (tokens, senhas de transação, etc.) e que não é tão simples assim executar o ataque, mas com persistência, os objetivos escusos eventualmente são atingidos.

Mas AdV, isso acontece de verdade? 

SIM. Esse tipo de ataque é de difícil detecção técnica e raramente será percebido e reportado por um usuário leigo. A anomalias só são notadas por equipes técnicas bem treinadas.

Alguns ataques podem ser focados no seu equipamento (computador, celular, tablet), nos modems domésticos (especialmente os de marcas "genéricas" chinesas), outras vezes realizados em provedores de internet pequenos (esses via rádio). Às vezes, o servidor infectado é interno a alguma infraestrutura corporativa. 

São ataques mais sofisticados e que demandam um conhecimento técnico mais especializado.

3. Ataques persistentes avançados - APT (advanced persistant threats)

Os ataques mencionados acima são genéricos e normalmente não possuem um público específico. O que cair na fraude é lucro e não é possível saber com antecedência os resultados, nem se o retorno sobre o investimento será satisfatório para o "empreendedor" da fraude.

Por serem mais difundidos, as contra-medidas são bem conhecidas e  razoavelmente consistentes em todas as camadas do processo (usuário, serviço de e-mail, sites ou apps bancários, serviços de rede,  etc.).

Percebendo isso, alguns fraudadores passaram a buscar formas mais inteligentes de trabalhar. Alguns buscam por clientes do seguimento "prime", outros garimpam redes sociais atrás de pessoas que ostentam um nível de vida elevado. Penso, inclusive, ser possível já ter alguém de olho aberto para os FIRE da finansfera.

Tal prática leva o nome de "Whaling" (pesca de baleia). Num resumo rápido, é a busca pela melhor eficiência da relação esforço/risco/retorno. Pode ser compensador gastar meses, ou até mesmo anos, desenvolvendo um ataque que traga retornos de seis ou sete dígitos para o atacante. 

Esse tipo de prática demanda profundos conhecimentos técnicos e uma grande dose de criatividade. Assim sendo, o número de potenciais atacantes reduz-se significativamente, talvez apenas algumas milhares ou centenas de pessoas possuam as qualificações necessárias para perpetrar um ataque assim.

Mas AdV, isso acontece de verdade? 

SIM. Mas a probabilidade é muito menor.  Por isso você deve ignorar o Risco? Penso que não, especialmente se você é ou está caminhando para a IF. 

Risco = Probabilidade x Impacto

Probabilidade baixa x impacto catastrófico = Risco Alto

Existem dezenas de variantes para cada caso abordado, assim como outras centenas ou milhares de formas de fraudar. Expliquei apenas as mais comuns e deixo para os leitores do Blog a tarefa de aprofundar a pesquisa.

Até o próximo post, onde veremos como funciona a prevenção.

Forte Abraço!

AdV