A internet é um ambiente cada vez mais comum para a atuação de criminosos. Entenda os principais mecanismos pelos quais eles atuam e como diminuir os riscos.
O professor Marcelo Nagy, sócio-diretor da SPWBrasil e membro da Sociedade Brasileira Forense, especialista em cibersegurança e perícia forense, foi o convidado para falar sobre os vazamentos de dados digitais e segurança da informação em webinar realizado pela ESR e transmitido para vários países da América Latina.
Apenas nos dois primeiros meses de 2021, houve o vazamento em massa no Brasil de mais de 223 milhões de CPFs e dados pessoais, 5 milhões de CNHs do Detran-RS, 100 milhões de contas de celulares e, mundialmente, foram mais de 3,2 bilhões de credenciais (incluindo contas de serviços como Netflix, LinkedIn e carteiras de Bitcoin).
Empresa especializada em segurança cibernética, a Fortinet estima que apenas entre março e junho de 2019, os usuários brasileiros foram vítimas de mais de 15 bilhões de tentativas de ataques digitais em computadores e celulares.
Esses são apenas alguns números que expõem a amplitude da quebra da privacidade na rede, perpetrada por ataques maliciosos e visando, principalmente, a comercialização dessas informações em sites da Dark Web.
Nesse contexto, a pandemia de COVID-19 também foi um campo fértil para que golpes fossem aplicados principalmente via WhatsApp, usando de engenharia social, com o objetivo de enganar, extorquir e se apropriar de benefícios governamentais como o Auxílio Emergencial ou supostamente oferecer bens e serviços essenciais de forma gratuita.
Nagy chama a atenção para o perfil atual dos criminosos cibernéticos: “são o trabalho de crime organizado”, em contraponto à imagem romantizada que algumas pessoas ainda possuem sobre hackers.
Tendo em vista os números alarmantes e cada vez maiores dessa modalidade de delito, é preciso entender como acontecem essas invasões.
O modus operandi dos crimes cibernéticos
O especialista alerta para a ampla gama de práticas criminosas no mundo digital, sempre em constante evolução. Por esse motivo, neste artigo nós nos ateremos apenas às principais modalidades de falhas de segurança.
Exploração de dia zero
A exploração de “dia zero” é um ataque virtual que ocorre no mesmo dia em que um ponto fraco do software é descoberto. Então, ele é explorado antes que o fornecedor disponibilize uma correção.
Inicialmente, quando um usuário descobre que existe um risco de segurança em um programa, ele pode comunicar esse risco à empresa do software, que desenvolverá uma correção de segurança para corrigir a falha. Esse mesmo usuário também pode alertar outras pessoas na Internet sobre a falha.
Normalmente, os fornecedores de programas criam uma correção rapidamente para reforçar a proteção dos programas. Mas, às vezes, os hackers ficam sabendo da falha primeiro e são rápidos em explorá-la. Quando isso ocorre, há pouca proteção contra um ataque, já que a falha do software é nova.
Por esse motivo, é indicado que os usuários sempre tenham as versões originais dos softwares e se atentem às atualizações dos fornecedores para minimizar ao máximo a possibilidade de uma invasão.
Malwares
Malware, abreviação de software malicioso, é um termo genérico para vírus, worms, trojans e outros programas de computador prejudiciais que os hackers usam para causar destruição e obter acesso a informações confidenciais.
Segundo a definição da Microsoft, “[malware] é um termo geral para se referir a qualquer software projetado para causar danos a um único computador, servidor ou rede de computadores.”
Em outras palavras, o software é identificado como malware com base no uso pretendido, em vez de uma técnica ou tecnologia específica usada para criá-lo.
Através desse tipo de ataque, que explora principalmente falhas nos sistemas, o invasor pode, de maneira simples, obter controle remoto do dispositivo usado pela vítima, deixando-a vulnerável à exploração de dados sensíveis que estejam presentes naquela máquina.
Nesse caso, além de manter os softwares atualizados, é crucial que os usuários sempre possuam programas de defesa, como antivírus e firewall, ferramentas especializadas na proteção digital.
Ciberextorsões
Ocorre quando uma pessoa usa a Internet para exigir dinheiro, outros bens ou comportamento de outra pessoa, ameaçando infligir danos à sua integridade física, sua reputação ou sua propriedade.
A extorsão cibernética pode assumir diversas formas. Originalmente, os ataques de negação de serviço (DdoS) contra sites corporativos foram os métodos mais comuns de ciberextorsão. O atacante iniciava um bombardeio de ping e telefonava para o presidente da empresa, exigindo que fosse depositado dinheiro para que o ataque fosse cessado.
Nos últimos anos, no entanto, os cibercriminosos desenvolveram o ransomware, um tipo de malware que é capaz de criptografar os dados da vítima. O atacante pede dinheiro em troca da chave de decodificação. Normalmente, a vítima recebe um e-mail que oferece a chave de decifração privada em troca de um pagamento monetário em Bitcoins, uma moeda digital.
A ciberextorsão pode ser muito lucrativa, rendendo milhões de dólares anualmente. Infelizmente, da mesma forma que acontece em outros tipos de extorsão, o pagamento não garante que novos ataques cibernéticos ao mesmo alvo não serão praticados. Por isso, o conselho é, caso seja vítima de uma ciberextorsão na forma de ransomware, nunca efetuar o pagamento do resgate dos dados.
Phishing
Phishing é um crime cibernético em que um alvo ou alvos são contatados por e-mail, telefone ou mensagem de texto por alguém se passando por uma instituição legítima ou conhecido para induzir indivíduos a fornecer dados confidenciais, como informações de identificação pessoal, dados bancários e de cartão de crédito e senhas.
As informações são então usadas para acessar contas importantes e podem resultar em roubo de identidade e perda financeira.
Nagy orienta a, na dúvida, não clicar em links desconhecidos ou que são “bons demais para serem verdade”.
Também sempre é válido conferir o endereço do email enviado e comparar com emails originais dos serviços, pois os criminosos se valem de endereços que aparentam serem os reais, mas não são da corporação que estão tentando emular.
Nesse tipo de ataque, erros de ortografia e uma escrita “estranha” também podem ser sinais de uma tentativa de ataque por phishing.
Caso você receba ou até mesmo clique em algum desses links, acione o mais rápido possível a instituição responsável pelos canais oficiais para avisá-los da atividade suspeita.
Envenenamento de DNS
Em um ataque de envenenamento de DNS, os hackers alteram um sistema de nome de domínio (DNS) para um DNS “falsificado” de modo que quando um usuário legítimo visita um site, em vez de chegar ao destino pretendido, ele acaba em um site totalmente diferente. Normalmente, isso acontece sem que os usuários saibam, já que os sites falsos costumam ser feitos para se parecerem com os reais.
Uma vez que o ataque está em andamento, desviando o tráfego para o servidor ilegítimo, os hackers podem realizar atividades maliciosas como um ataque man in the middle (por exemplo, roubar informações de login seguras para sites de bancos), instalar um vírus nos computadores dos visitantes para causar danos imediatos, ou até mesmo instalar um worm para espalhar o dano a outros dispositivos.
Esse é um dos tipos de ataques mais bem arquitetados e requerem um certo nível de refinamento e perícia dos hackers. Por esse motivo, também é um dos mais difíceis de serem identificados pelos usuários.
Conclusão
A rede mundial de computadores é algo que trouxe inumeráveis benefícios à humanidade, mas também aguçou a “criatividade” de alguns criminosos que a utilizam para obter vantagens indevidas e lucros advindos de práticas ilegais.
É importante contrapor a figura do “hacker malicioso” ao “hacker ético”. Este último é o profissional que tem conhecimento de todos esses sistemas e falhas e trabalha com o objetivo de corrigi-las, ao invés de explorá-las.
Finalmente, caso você ou sua organização seja vítima de um ataque desse tipo, procure os órgãos competentes da sua região, em especial as Delegacias Especializadas em Investigação de Crimes Cibernéticos.
Quer saber mais detalhes? Confira o webinar completo que realizamos sobre o assunto.
Aproveite e conheça todos os cursos da nossa trilha de Segurança.