Flight Center leaks customer data in an incredibly stupid way

 

BARCLAY BALLARD DECEMBER 07, 2020

Flight Center has confirmed that a significant data breach that occurred in 2017 was the result of sensitive information being left in a database given to hackathon participants. The compromised data included credit card numbers and passport details.

In March 2017, Flight Center organized a “design jam” for 16 hackathon teams, handing over 106 million rows of data containing 6,121,565 individual customer records. The travel company believed that the data had been purged of sensitive information, with only customers’ postcode, gender, and booking information supposed to be included.

Unfortunately, the data, which was 28 million rows deep, did contain the sort of information that Flight Center customers would rather have remained private. Hackathon participants found that 4,011 credit cards and 5,092 passport numbers belonging to 6,918 individuals were stored in free text fields.

Lessons to be learned

“The storage of passport information and credit card details in a free text field (in a manner inconsistent with applicable policies), and the absence of technical controls to prevent or detect such incorrect storage, caused an inherent data security risk in terms of how this kind of personal information was protected by the respondent immediately prior to the data breach,” Australian Information Commissioner and Privacy Commissioner Angelene Falk explained in a recent legal determination.

Flight Center informed the relevant customers that their personal information had been compromised and conducted a post-incident review to assess the long-term business impact and follow-up risks. A remediation plan suggested the scanning of respondent’s systems to identify and remove all instances of incorrectly stored data, updating the company’s privacy policy, and engaging a third party threat intelligence specialist to monitor social media and the dark web, to ascertain if the leaked data had been published anywhere.

Currently, there is no evidence that data compromised by the hackathon was posted online but the incident remains an embarrassing one for Flight Center. Unsurprisingly, the hackathon remains the only one the company has run to date.

Source: https://www.techradar.com/news/flight-centre-leaks-customer-data-in-an-incredibly-stupid-way

Está na hora de REPENSAR a importância de concurso público para profissionais de TI em todas as esferas da administração pública, para que TODOS os serviços de TI sejam projetados e executados pela iniciativa privada, de acordo com a necessidade do CLIENTE, sendo FISCALIZADO por funcionários públicos com reconhecido conhecimento técnico.

Hackers vazam dados da Embraer

LEONARDO SANTANA DECEMBER 07, 2020

A empresa brasileira Embraer, a terceira maior fabricante de aviões do mundo, foi vítima de um ataque de ransomware no mês passado. Os hackers envolvidos no ataque vazaram alguns dos dados privados da Embraer como vingança depois que a fabricante optou por restaurar os sistemas de backups sem pagar o resgate exigido.

Os arquivos foram compartilhados em um site hospedado na dark web, administrado por hackers do ransomware RansomExx.

Hackers vazam dados da Embraer

Os dados carregados incluíram amostras de dados de funcionários, contratos comerciais, fotos de simulações de voo e código-fonte, entre outros.

O vazamento confirma que os hackers conseguiram roubar dados dos servidores da empresa. A Embraer divulgou um comunicado à imprensa, admitindo a violação de segurança, mas não confirmou se o incidente envolveu ransomware.

A fabricante disse que os atacantes tiveram acesso a apenas um ambiente e que o incidente causou apenas um impacto temporário em algumas de suas operações.

A Embraer também é uma das três empresas que tiveram seus dados vazados no final de semana no site de vazamento RansomExx, lançado no sábado.

A gangue RansomExx agora se junta a uma longa lista de gangues de ransomware que administram sites de vazamento.

Gangues de ransomware usam sites de vazamento como forma de pressionar as vítimas. Durante as negociações, as empresas são informadas de que, se não pagarem o pedido de resgate desejado pelo invasor, os invasores vazarão dados online como forma de punição, para que possam ser baixados pelos concorrentes ou para que as empresas enfrentem punições regulatórias em seus países.

Fonte: https://sempreupdate.com.br/hackers-vazam-dados-da-embraer/

Toda profissão tem ética ...

Em 2011, um advogado afirma isso em defesa de seu cliente que saiu da delegacia pela porta da frente, e rindo. Seu cliente se entregou espontaneamente, horas após ter assassinado sua vítima em uma tentativa de assalto em uma universidade.

A OAB aparenta não ter ficado muio satisfeita com estas declarações. Mesmo assim, não sei em que pé ficou. O certo é que a família da vítima não será nunca ressarcida.

Palestra na Maurício de Nassau, em Maceió

Hoje estarei apresentando o tema "Vulnerabilidades em Redes de Computadores: como garantir a segurança da Informação", como anunciado no CadaMinuto.

Também foi anunciado no Alagoas em Tempo Real:

Resultado da pesquisa "padrões de adoção de Linux 2012"

A Linux Foundation, junto com Yeoman Technology Group, recentemente conduziram uma pesquisa dirigida a 1893 usuários de Linux em ambiente corporativo. A pesquisa foi direcionada para o The Linux Foundation End User Council, assim como outras companhias, organizações e agências governametais selecionadas por The Linux Foundation e Yeoman.

Este relatório mostra os resultados desta pesquisa, focando em 428 participantes que trabalham em organizações com vendas de mais de $500 milhões ou mais de 500 funcionários. Este ano, o número de participantes das maiores empresas do mundo cresceu mais de 10%, fornecendo uma visão melhor dos padrões de adoção do Linux em ambiente corporativo.

O texto acima foi minha adaptação para o português dos dois primeiros parágrafos do site http://www.linuxfoundation.org/publications/linux-foundation/linux-adoption-trends-end-user-report-2012.

Ao final do site acima, um formulário dá acesso gratuito ao relatório completo. Mas vou destacar aqui as conclusões muito importantes deste relatório, os quais podem ser lidos logo no princípio, em uma tradução livre que eu fiz:


• Mesmo com as previsões de investimentos em TI muito tímidas, usuários corporativos estão acrescentando mais Linux. 8 de 10 participantes disseram que adicionaram servidores Linux nos últimos 12 meses, e planejam adicionar aindamais nos próximos 12 meses, e a mesma quantidade planejando adicionar mais Linux nos próximos 5 anos. Apenas 21.7% dos participantes planejam investir no aumento de servidores Windows durante o mesmo período de 5 anos.
• Mais de 75% dos participantes expressaram preocupação com o “Big Data”, e aproximadamente 72% estão escolhendo Linux para isto. A maioria das corporações demonstram preocupação com o rápido crescimento dos dados, e Linux é claramente a plataforma de escolha para esta solução. Apenas 35.9% planejam usar Windows nesta área.
• Usuários Linux observam menos impedimentos ao sucesso do systema operacional, relacionando problemas técnicos sendo 40% menos impactante em relação ao relatório do ano passado.Problemas técnicos mencionados pelos usuários Linux caíram 40%, se comparado com os 20.3% do relatório de 2010 e e 12.2% de hoje. Um número 22% menor dos pesquisados relacionam o gerenciamento como um problema, e 10% menos dizem que não há problemas que tenha impedido o sucesso do Linux
• O maior projeto de desenvolvimento colaborativo ganha mais contribuições de usuários corporativos: a pesquisa deste ano aponta crescimento de quase 12% em número de contribuições em atividades da Linux Foundation, um crescimento de 8% entre os participantes que são codificadores, e 5% entre os testadores e relacionadores de bugs.
• TCO, características e segurança geral aumentam os benefícios do Linux: Mais de 2/3 dos participantes da pesquisa consideram Linux mais seguro do que outros sistemas operacionais.

Acesse a página acima e baixe o relatório.

As 10 frases que deixam profissionais de segurança apavorados

As cenas são clássicas. Uma criança com a camiseta lambuzada de chocolate afirma, categórica: “Não fui eu!”. Ou então o telefone toca e a mãe assegura a você: “Não há com o que se preocupar.” Ou ainda um administrador de sistemas que carrega uma caixa de fitas de back up garante: “Em poucos minutos todas as informações estarão recuperadas”. Em alguns casos, as primeiras palavras que você ouve – apesar da distância entre elas e a verdade – são o suficiente para dizer tudo o que se precisa saber.

O mesmo se aplica ao mundo da segurança da informação. Algumas palavras soam reconfortantes, mas sabemos que elas freqüentemente apontam os problemas de segurança interna, de recursos técnicos ou com as pessoas e processos envolvidas na proteção a sistemas. 

Conheça a seguir algumas das frases “reveladoras de segredos” que assinalam a iminência de problemas na segurança. E boa sorte...

1. Nós temos uma cultura de segurança
“Não, vocês não tem” é a resposta imediata dos profissionais. Mesmo que apenas mentalmente. Esse é o tipo de frase que surge de empresas que começaram com cinco pessoas – no tradicional modelo familiar de negócios – e, conforme cresceram, num piscar de olhos se viram operando com milhares de pessoas, sem governança ou políticas. Alguns trocados e sua “cultura de segurança” são suficientes para comprar um bom café expresso, em um canto sossegado que permita olhar para o horizonte e descobrir quanto trabalho há pela frente.

O simples fato é que sem diretrizes de suporte ou mecanismos de retorno (feedbacks), a segurança é definida diferentemente por cada um e não é verificada por ninguém. Não existem métricas para adequação com a “cultura” e uma “cultura de segurança” é ocultada por uma prática de “faça o seu trabalho”.

Se existem regras, escreva-as. Se a tecnologia é colocada em ação para implementar ou monitorar as regras, também escreva isso. Se as pessoas quebrarem as regras, cumpra o que ficou estabelecido. Se as regras prejudicarem a legitimidade dos negócios quando cumpridas, mude-as. É simples assim.

2. A segurança de TI é a segurança da informação
A segurança da informação não é a mesma coisa do que a segurança em tecnologia da informação. Se o termo “segurança da informação” é usado da mesma forma que “segurança de TI”, isso invariavelmente significa que ninguém tem tomado decisões fundamentalmente não técnicas de segurança que afetam os departamentos - TI, recursos humanos, jurídico, auditoria e talvez outros da organização. E, portanto, essas áreas estão tentando adivinhar o que os responsáveis querem dizer. 

Junte-se àqueles que têm influência sob os departamentos listados acima e decida se a informação (não documentos em papel ou equipamentos) é um ativo da companhia, como os computadores e as mesas. Decida se a empresa autoriza as pessoas a realizarem jobs, acessos lógicos e físicos a informações como indivíduos. 

Tome essas decisões políticas em grupo. Depois talvez haverá mais tempo para decidir “como” gerenciar a segurança - ao invés de tentar adivinhar...


3. Isso não se aplica ao chefe
Apesar de isso estar se tornando um problema menor em empresas públicas (agradeça ao famigerado ato Sarbanes-Oxley), ocasionalmente um executivo simplesmente se recusa a seguir diretrizes de segurança que ele mesmo aprovou. A menos que você esteja preparado para meticulosamente documentar todas as "escapadas" seguindo o modelo de perícia forense e depois entregá-las para os diretores ou à polícia (ou então simplesmente pedir demissão), prepare-se para contornar a situação.

Outros destaques do COMPUTERWORLD:
> Microsoft entra em segurança: nada será como antes
> Segurança corporativa: código aberto é mais frágil?
> Deixou de ser hacker para virar bancário 
> Conheça a história da brasileira Aker e seu firewall
> Nota fiscal eletrônica: duas visões em dois mundos diferentes

A maior parte das maçãs podres pode ser gerenciadas por meio da aplicação do senso maquiavélico que possuem de influenciar o relacionamento dos outros: eles pelo menos devem aparentar que lideram pelo exemplo, enquanto continuam a fazer qualquer coisa que fazem de portas fechadas. Poucos vão admitir isso, mas muitas organizações simplesmente colocam no orçamento e instalam um linha DSL para acesso de "convidados" nas salas dos principais executivos e fecham os olhos para qualquer coisa que é plugada nessa linha. Essa não é a solução desejável, mas se mesmo assim esses executivos resolverem assinar os documentos exigidos pela lei Sarbanes-Oxley, o resto vem da habilidade de negar conhecimento dos profissionais de segurança.

4. Nosso departamento de segurança da informação fica com a equipe de TI
Títulos não importam. Um relatório de um especialista em segurança ao diretor de TI é sempre o de um administrador de segurança, mesmo se aquela pessoa tem o cargo de information security officer. 

O problema é que no mundo corporativo a palavra "officer" geralmente significa que aquele profissional tem autoridade para verificar e monitorar se todas as técnicas e processos que controlam informações protegidas são eficientes. Um administrador de segurança de TI é normalmente envolvido em desenhar o controle técnico e por essa razão não pode se “auto-auditar” ou certificar-se de que a TI está fazendo a coisa certa, particularmente se ele reporta para alguém dentro da TI. 

O profissional de segurança com o cargo de "officer" deve sempre se reportar no mesmo nível ou como superior ao diretor de TI.

5. Nós temos uma política de senhas
Falando diretamente, um documento que especifica o tamanho, a forma e a complexidade de uma senha é um padrão técnico ou um procedimento, não uma política. Política é um diretório para o direcionamento de negócios, algo como “indivíduos devem ser identificados unicamente e autenticados prioritariamente para ter a condição de acessar os ativos da companhia”. Observe que este exemplo de política envolve “o que” fazer a respeito das pessoas e acessos, não “como” construir uma seqüência de tipos de caracteres.

6. Nossos executivos têm cópias de todas as senhas
Apesar da idéia fazer um jovem estudante desmaiar, existem de fato gerentes que demandam que seus funcionários diretos revelem suas senhas individuais. A explicação para isso é sempre: “E se alguém é demitido ou está doente? Como nós poderíamos encontrar os seus documentos?”.

Quando isso acontece, a única estratégia efetiva é dizer a quem pede tal coisa: “Se você fizer isso, então você é um suspeito em qualquer situação negativa que surgir. Você nunca estará apto a demitir ninguém porque você também será um suspeito”. Ou então sempre se pode resumir isso tudo em um simples: "Cresce, amigo!".

7. As aplicações web somente rodam se nós...
É possível navegar na internet de forma segura usando o IE ou mesmo acessando uma aplicação cliente/servidor desenvolvida internamente. Mas encontrar uma aplicação desenvolvida e configurada para apenas um tipo de cliente em geral denota princípios de segurança que foram considerados os últimos numa lista de processos atropelados – e isso no melhor dos casos. A maior parte das aplicações de web bem feitas são simplesmente multiplataforma por que passaram por testes exaustivos em busca de possíveis brechas.

Encontrar aplicações de web com capacidades de segurança de baixa qualidade é motivo de grande preocupação porque a “zona de segurança” Windows para browsers, em ambiente corporativo, normalmente é definida em um grau menor que o apropriado, somente para fazer funcionar aplicações internas. 

O que acontece quando os usuários enchem seus browsers de add-ons do MySpace ou passam algum tempo nos webmails infestados de malwares? Trate essas aplicações como um legado que são e trabalhe com a equipe qualidade do departamento de segurança para incluir os padrões básicos nos processos de testes. 

8. A marca X é nosso padrão
Eu não tenho nada contra os principais fornecedores de hardware do mercado, mas quando o pessoal de compras de empresas diz: “Nosso padrão é a Dell” (ou qualquer outra marca), o que eles realmente estão dizendo é: “Nós jogamos nossos padrões de segurança pela janela em troca de descontos e agora nós compramos qualquer coisa que o fornecedor oferece”. É o equivalente às compras daquela sua tia-avó em uma loja com preços superfaturados, ficando contente porque “um produto está com desconto de 75%”.

A ponto é que, tanto aquela sua tia-avó quando o pessoal de TI no mundo real têm outras decisões a tomar e os PCs são commodity. Está tudo certo escolher o produto de um vendedor e manter os pedidos com ele por um tempo. Mas um fabricante ainda não é um padrão técnico e existe um problema em misturar isso se ninguém fizer a lição de casa. 

Quando um fabricante faz mudanças na linha de software ou de produto – especialmente quando isso parte de um fabricante de equipamentos de rede e segurança como a Cisco Systems –, é importante ter requerimentos funcionais claramente definidos para avaliar se os produtos ainda funcionarão como desejado. Quando os clientes não sabem o que querem, qualquer barganha parece ser o que você precisa.

9. Ei, de onde veio isso?
É concebível que aqueles usuários altamente técnicos deveriam organizar seus próprios equipamentos bem como dar suporte a eles. Por outro lado, isso significa que a área de TI e o pessoal de suporte foram nocauteados por fabricantes de hardware que fornecem apenas um número 0800 que nunca funciona. Políticas de segurança devem estar presentes em todo lugar, inclusive afixadas na parede dos banheiros, atrás do papel higiênico de uma organização. A política de segurança na companhia pode também estar exposta ao lado das toalhas do banheiro. O importante é que sejam claras e do conhecimento de todos.

Resolver isso é um problema fundamental de respeito. Começar pela governança básica e deixando claro que há regras, com muito esforço e comunicação, isto vai pelo menos tornar a “cultura da segurança” uma questão resolvida.

10. Nós enviamos as regras do firewall para...
A maioria dos administradores de rede se encolhe de medo com as palavras mencionadas acima. Ainda assim, muitos ainda vão enviar, gratuitamente, emails com cópia das regras de firewall. Pior ainda, eles têm um fabricante de equipamentos ou um consultor freelancer que configura o firewall para eles e mantêm para si a única cópia das regras. Essas regras, se elas apresentam complexidade, provêem um mapa detalhado do esquema de segurança da companhia, com informações importantes a respeito da identidade das redes internas e serviços e como torná-los um alvo.

Nenhum profissional sério de segurança sairia com uma cópia das regras de firewall de alguém sem uma requerimento específico para fazer isto. Um competente auditor de sistemas da informação certificado ou outro auditor vai revisar as regras de firewall diretamente no sistema do administrador e não levar consigo. Se você vir uma cópia de suas regras corporativas de firewall colocadas em um relatório de auditoria, especialmente um público, prepare-se para refazer o projeto de IP... e chame seus advogados.

Link Original: http://computerworld.uol.com.br/seguranca/2007/08/23/idgnoticia.2007-08-23.8112478155/ como lido em 18/08/2011 12:00

Um assunto sério que está sendo escondido com muito cuidado

Uma ação de espionagem em massa usando acesso não autorizado foi trazida a tona pela McAfee. Esta reportagem revela detalhes sobre ela. Vou copiar o conteúdo desta reportagem aqui para marcar alguns trechos interessantes, e depois alguns comentários.

JEFFREY BROWN: Now, a newly discovered cyber-attack on U.S. and international systems.
Margaret Warner has the story.
MARGARET WARNER: For at least five years, a high-level hacking campaign infiltrated the computer systems of more than 70 governments, corporations and public and private organizations in 14 countries. So says the Internet security firm McAfee, which uncovered the massive campaign and dubbed it Operation Shady RAT.
A summary released by McAfee yesterday identified -- identified the perpetrator only as one specific state actor.
The story became public Tuesday through reporting in Vanity Fair by Michael Joseph Gross. And he joins us now.
And, Michael Gross, thank you for being with us.
MICHAEL JOSEPH GROSS, Vanity Fair: Thanks, Margaret.
MARGARET WARNER: This operation sounds breathtaking in its scope.  
Give us a sense. Flesh that out for us. How widespread was it? What kind of information were they going after? Who was targeted?
MICHAEL JOSEPH GROSS: This is an unprecedented campaign of cyber-espionage, demonstrates with absolute clarity now that there are just two kinds of organizations, those that have been compromised and those that haven't, as Dmitri Alperovitch, the guy who discovered this campaign, has often said.
What happened is, they went into more than 70 organizations, everything from the International Olympic Committee to giant corporations, to tiny nonprofits, in 30 different organizational categories in 14 countries. They took out government secrets, design schematics, legal contracts, negotiation plans for business deals, every kind of sensitive information you can think of. In many cases, these organizations were compromised for at least a year, in some cases, more than two years. And there's a really interesting pattern to the evolution of the attacks that suggest where they may have come from.
MARGARET WARNER: And that is?
MICHAEL JOSEPH GROSS: That is China. There are -- in the run-up to the Olympic Games, they started -- the 2008 Olympic Games -- these attackers started turning their attention to national Olympic committees and to the IOC.
MARGARET WARNER: And this was in Beijing, of course, the Games, just to remind people.
MICHAEL JOSEPH GROSS: That's right. The list of victims includes 49 in the United States and many in almost every Southeast Asian country. Almost every organization is known to be of interest to China, but there wasn't a single victim in the People's Republic itself.
MARGARET WARNER: So what you're describing is not just cyber-espionage, but also cyber-theft...
MICHAEL JOSEPH GROSS: That's right.
MARGARET WARNER: ... theft of really valuable information, valuable economically and politically.
MICHAEL JOSEPH GROSS: That's right. This is -- you know, it's interesting to be having this conversation today, on the day the Dow takes this massive drop, because what we're talking about when we talk about the theft of this information is the theft of our economic competitiveness. This is the theft of the potential that we have to get back up to speed. We don't know what's happening to this information yet. And we won't know for a few years, whether it's being used to engineer new products. But by the time we figure that out, if that is indeed the case, it will be too late.
MARGARET WARNER: And, just briefly, this is quite different, then, than the very well-publicized hacking that came out a few months ago into, whether it was the Senate website, CIA website, the PBS website. This is a different quality.
MICHAEL JOSEPH GROSS: That's right. Again, Alperovitch, the guy who discovered these attacks, told me that it's been very frustrated for him all spring to be watching the news of this Anonymous and LulzSec activity, because so much of it is just nuisance. They're just defacing websites. That's the sideshow. That's the sideshow. And this is the main event.
MARGARET WARNER: So, how did McAfee, the security company, get on to it? And what -- what did they do with it once they realized what was going on?
MICHAEL JOSEPH GROSS: In 2009, one of their clients, a defense contractor, noticed some unusual traffic. And when McAfee looked at it, they realized that they were being attacked by a never-before-seen species of malicious software. When the victims would click on a link to a Web page, malware would be loaded on to their computer which would give the attackers privilege -- or allow the attackers to open a back door, take privileges, get access to information in the system, and begin exfiltrating it, pulling it out. McAfee closed down the link to that server, the server to which the stolen information was going, immediately, so its clients were blocked from connecting there. But -- but, you know, for those who have chosen not to accept information about these attacks, which is -- several of the victims actually seem to be quite determined not to confront this problem, the attacks are ongoing and the theft continues.
MARGARET WARNER: So, in other words, some -- though McAfee notified all 72 organizations, some didn't even take their offer of help, and this server, wherever it is, is still up and running?
MICHAEL JOSEPH GROSS: That's right. McAfee is working with government agencies to try to get it shut down. But there are a lot of jurisdictional and procedural issues that make that a complicated and lengthy process. In at least two cases, I found that, even after McAfee had alerted the victims, when I called the press representatives for those victims, that they had not heard anything about this. And, as I say, in at least some of these cases, the attacks are ongoing and folks have refused to take help in addressing the problem.
MARGARET WARNER: And, just very briefly, has the U.S. government said anything in response?
MICHAEL JOSEPH GROSS: I believe Jay Carney did -- the White House spokesman -- did make some comments about this in a press conference. I believe it was today. But that's just hearsay from a hacker convention that I'm attending here in Vegas. I do know that McAfee has been briefing Congress, the White House, other executive agencies. And I received a statement from Sen. Feinstein, the head of the Senate Select Committee on Intelligence, expressing her extreme concern after reading this report.
MARGARET WARNER: Well, more to come. Michael Joseph Gross, thank you so much, and good reporting.
MICHAEL JOSEPH GROSS: Thank you.

As marcas em vermelho que eu fiz são as que considero mais importantes. Mas em resumo, pode ser observado que o ataque foi dirigido a usuários comuns. Quando o usuário clicasse em um link, um código intencionalmente desenvolvido para isso seria copiado para o computador da vítima e possibilitaria que a ação externa pudesse ter início. Existem alguns desdobramentos mais graves disso:

• O usuário ainda está tremendamente despreparado. Mais e mais vezes se repete que informações suspeitas não devem ser atendidas em seus pedidos de "clique aqui". As empresas parecem estar falhando na construção da cultura com o usuário. Isto seria o mesmo que um curso de direção defensiva, ou um curso de "o que não fazer nunca em hipótese nenhuma". O canto da sereia continua o mesmo:
• As cenas de nudez de alguma mulher famosa
• Fotos do flagra da esposa/esposo em plena traição
• Fotos do corpo de algum famoso recém-falecido
• Os convites falsos nas redes sociais
• Material de trabalho sendo usado para fins pessoais. É impressionante como o usuário final usa do seu tempo de expediente para resolver seus assuntos pessoais, pela internet. Não me refiro a pagamento de contas, notícias e semelhantes. Mas o pessoal que fica com o navegador de internet aberto o dia inteiro nas redes sociais, e enviando/recebendo emails de assuntos os mais estranhos possíveis: pornografia, esportes, piadas, fotos de viagens suas, ajuda a desconhecidos com doenças crônicas que receberão 1 centavo de dólar/real/euro/ien/rublo/peso argentino a cada email repassado. E é em destes que o malware "cai" no computador do usuário.
• Anti-Vírus é tremendamende necessário, mas com funcionamento abaixo do desejado. Os computadores comprometidos são de vítimas corporativas. É quase certo de que todos estejam usando anti-vírus neles. E mesmo assim, o "malware" se instalou e executou sua atividade tranquilamente. É importante observar aqui que o ato de espionagem foi identificado pelo fluxo causado pela transferência de dados, e não pelo malware no computador do usuário final.
• O pior crime não é o que pode ser visto. Recentemente o crime de "pichação virtual" esteve ocupando todas as mídias, levantando a bandeira de vulnerabilidade dos orgãos públicos afetados. Muitos fizeram questão de atribuir este crime ao uso do Software Livre, outros a funcionários  tecnicamente despreparados.
  Mas o que se deve notar é que este tipo de crime não passa de um ato de vandalismo público, agredindo a imagem da instituição. Não que isto não seja sério, pois realmente é. Afeta a credibilidade da instituição junto a seu público. Mas e quando existe furto de informações estratégicas da empresa? Um novo produto que vai ser lançado sem concorrência, informações de contribuintes, etc ? E devemos observar que isto tem ocorrido nos últimos 5 anos, pelo menos.

Quando pensamos em algo desta proporção ocorrendo em instituições do porte das que foram vítimas neste caso, devemos também pensar nas empresas menores, que não investem em segurança como deveriam, com a desculpa de valores altos.

Estas empresas infelizmente ainda se valem de software pirata, contam com um só funcionário para desempenhar todas as atividades (Analista de Sistemas, profissional de Segurança, Programador, Técnico de Manutenção, tudo com pouco mais que salário mínimo!!!), não investe em atualização dos usuários finais.

Com este tipo de posicionamento profissional, estão se candidatando a vítimas. Se já não estão contratadas sem saber.

Eu gostaria de saber qual o seu posicionamento acerca disto. Mande seu comentário para este assunto.

Para o noticiário da rede Globo, PHP é vírus

É engraçado, terrível, ridículo, irônico, ou seja lá o que for. O jornal Hoje mostra riscos na internet neste link.

No começo, até que não está mal. Fala de uma usuária que descobriu que "ela mesma que instalou o vírus, ao abrir uma dessas mensagens que mandam fotos engraçadinhas". Correto!

A reportagem também fala dos males que um ataque destes pode causar. Corretíssimo!

Um especialista em segurança na internet, Jefferson D'addario, reforça o dano que pode ser causado, usando os falsos emails de banco como exemplo. Perfeito!

Agora (19:00) o site está todo corrigido. Mas no original, o site informa que links que terminam com ".php" podem ser golpe digital. O @programadorreal copiou a tela sabendo que isto aconteceria.

A considerar o curriculum de Jefferson D'addario, ele não teria feito esta afirmação desta forma. É provável que a sua declaração tenha sido revisada ou adaptada para figurar neste "informativo".

Mas fica exposto o despreparo da mídia não muito informada, e também fica o meu aviso para que não caiamos, acreditando nestes erros.

Usuários simples lidando com atualizações

Já foi tempo em que se costumava dizer que Linux não foi feito para usuários simples, pois tem que lidar com complicados processos de instalação, uma quantidade enorme de atualizações, complicadas e outras coisas.

Assim, seguindo esta lógica, Windows seria muito mais fácil de usar, sendo mais indicado para os usuários finais. Entretanto, não é bem isto que tem sido visto ultimamente.

O site FudZilla mostra um artigo sobre as incessantes atualizações que um usuário Windows tem que fazer: em média uma atualização a cada 5 dias. A ComputerWorld tambem tem um artigo sobre o mesmo assunto. Estas atualizações de segurança não dizem respeito unicamente ao Windows, mas são atualizações dos softwares utilizados.

Thomas Kristensen do Secunia conclui ser muito difícil esperar que os usuários tenham tanto tempo disponível para estas atualizações, fora o fato de que são processos de atualização de diferentes fornecedores de software.

Esta conclusão foi obtida a partir do software PSI da própria Secunia. Este software relaciona qual dos softwares instalados precisam ser atualizados. É importante ressaltar que o PSI apenas examina e reporta falhas, mas não as corrige.

Sendo gratuito, o PSI pode ser baixado daqui.

Dos usuários do PSI, metade tiveram 66 ou mais programas de 22 ou mais empresas diferentes e suas máquinas. Em 2009, concluiu-se que um usuário comum teve que lidar com quase 300 vulnerabilidades, e considerando a quantidade de fornecedores de software representados em suas máquinas, foi preciso lidar com 75 correções de software ao longo do ano.

Para complicar, algumas correções causam erros. Em janeiro de 2010, uma atualização do Windows 7 causou diversos outro pequenos problemas, e como congelamentos esporádicos de telas, e até mesmo congelamento durante a inicialização do SO.

De forma irônica, em 25/02/2010 o site The Inquirer comenta que o Windows 7 já recebeu mais bandagens que uma múmia egípcia, num artigo assinado por Spencer Dalziel.

De forma comparativa, o sistema operacional Linux, em suas mais conhecidas versões (Fedora, Ubuntu, etc) conseguiu simplificar tremendamente o processo de atualização de software, se forem considerados os softwares que são instalados através de seus repositórios próprios.

Apple corrige a falha

Depois de notícias terríveis acerca da falha que daria acesso completo aos iPhones, a Apple liberou uma correção recentemente. Apenas depois do alarde todo.

Fica bem claro aqui o que é a preocupação de uma empresa como a Apple com seus usuários, alguns sendo quase devotos. Como eu já havia dito aqui, a Apple já estava a par do problema, e em momento algum se pronunciou oficialmente, sequer atendeu aos contatos feitos. Pelo menos, não aos que foram mencionados no meu artigo.

Ellinor Mills escreveu um artigo onde ela relata ter sido "atacada" por um dos pesquisadores de segurança, enquanto usava o seu iPhone para conversar com o outro, momentos antes destes realizarem a sua tão esperada demonstração no Black Hat Conference. Foi apenas uma demonstração da fragilidade do sistema, esta feito ao vivo no aparelho dela. Um ataque simples, que uma reinicialização resolveria. Ela ressalta que o seu iPhone não foi desbloqueado, para desânimo dos defensores do iPhone "original", ou "Enjailed". Ela ainda menciona o problema semelhante ocorrido com o Android, ainda que este não desse controle completo como é o caso do iPhone. Mas rapidamente corrigido pelo Google.

Um detalhe muito interessante é a forma com a qual a Apple apresenta esta correção, através de Tom Neumayr, onde ele informa que a Apple agradece as informações acerca da falha. Informam também que em menos de 24 horas depois da demonstração da falha, eles disponibilizaram uma atualização que corrige o problema. E afirma, sem o menor indício de ter cometido qualquer engano, que ninguém foi afetado pela falha.

É impressionante a posição de uma empresa da envergadura da Apple face a seus usuários. A mesma foi avisada a mais de um mês deste problema, e não se posicionou. Os pesquisadores informaram que iriam publicamente demonstrar a falha, e mesmo assim a empresa não respondeu. Pelo menos, nada encontrei acerca disto. Depois que foi exposto ao mundo a falha de modo inegável, a empresa se apresenta dizendo que não deu sequer um dia deste problema e a solução já existe. Por qual motivo isto não foi feito antes ?

Não fosse suficiente, a informação de que ninguém "se feriu", com uma certeza que não se pode provar. Como a Apple tem a garantia de que não houve nenhum mal ? E se uma das possíveis vítimas sequer soube que teve seus dados roubados ? Agora que muitos já sabem como se aproveitar desta falha, até que façam a atualização do software, terão seus dados expostos.

Infelizmente, ainda se pensa que o usuário final, que o consumidor, tem que aturar o que a empresa decide. Para os defensores do Jailbreak, resta o alívio em saber que esta atualização de software não vai impedir o JailBreaking, como no passado.

Para encerrar, diferente do que tanto se propaga, a Apple não é esta tão grande campeã em segurança. O mesmo pesquisador que descobriu o furo do SMS no iPhone, recentemente ganhou um concurso de segurança explorando uma falha do Safari, browser da Apple. Com isso, ganhou um prêmio de US$10000 hackeando o MacBook Air, em menos de 2 minutos.

Pior: não foi a primeira vez que ele ganhou dinheiro explorando as falhas apresentadas pelo Safari.

Falha expõe dados gravados no iPhone

O aparelho mais querido dos últimos tempos pelos fanáticos de tecnologia está em cheque. Falha crítica de segurança deixa a informação nele contida completamente disponível para que sejam copiadas livremente.

O aparelho

O iPhone é sem dúvida nenhuma um marco na história das comunicações pessoais. Inovador em tudo o que faz, e principalmente como faz, se tornou uma estrela e campeão de vendas. Uma busca simples no youtube com a palavra iPhone gera uma relação incrível de contribuições de vídeo. Provavelmente este é 1 dos 10 mais desejados objetos techies. Fotos, vídeos, mensagens, documentos, planilhas, programas, e muito mais tornam este smartphone muito mais um excelente computador que veio com um telefone de brinde.

A falha de segurança

Como quase sempre ocorre, para ser bem aceito pelo público, tem que ter um esmero nas funções, na facilidade de uso, na interface, etc. E quase sempre que isto é feito, o quesito segurança sofre, em geral, recebendo menos atenção.

A Forbes anunciou em 28 de julho um perigo que ronda todos os iPhones do mundo: a perda de todas as informações contidas neste iPhone. Se o proprietário do aparelho receber uma mensagem contendo um único quadradinho, pode ter quase certeza que alguém já teve algum acesso completo ao aparelho. Os especialistas em segurança Charlie Miller e Collin Mulliner afirmam que irão demonstrar isto na Black Hat cybersecurity conference em Las Vegas. Esta falha daria ao atacante a possibilidade de discar usando o aparelho invadido, visitar sites, ativar a câmera e microfone, e usar o aparelho invadido para tomar o controle de mais aparelhos, podendo iniciar um ataque em massa.

A posição da Apple

O pior é que mais uma vez a velha história se repete: algum pesquisador descobre a falha, avisa o fabricante, e o fabricante nada anuncia em relação a isso. Ou não liga para o aviso, ou não consegue resolver o problema, mas obviamente não assumiria esta inaptidão. Os pesquisadores afirmam ter avisado a Apple a mais de um mês mas a Apple não liberou até o momento nenhuma correção. A revista Forbes informa também ter ligado diversas vezes acerca do assunto, mas não recebeu nenhum parecer. Infelizmente, a Apple aparenta fugir da mídia neste momento importante.

Neste exato instante, Marcelo Todaro me informa por email que a solução para este problema já foi até anunciado e que estará disponível pelo iTunes, conforme anúncio no site do Terra. Uma olhada superficial na página americana do iPhone não informa nada ainda. O site indicado por Marcelo Todaro diz que um porta-voz de uma operadora de telefonia celular da Grã-Bretanha informou que a atualização será divulgada através do iTunes. Ou seja, a afirmação não veio da Apple.

O ponto crítico

Miller e Mulliner avisam que durante a conferência irão anunciar MAIS falhas do sistema. Eles informam que o Windows Mobile também está sujeito a falha semelhante com mensagens SMS, assim como também o Android da Google. Entretanto, a Google informa já ter corrigido esta falha.

O pior cenário disto tudo é que o iPhone se popularizou, conquistou o mercado doméstico e profissional. Hoje, diversas empresas fazem uso massivo do aparelho, inclusive para transporte de informações vitais para negócios. Agora, para os atacantes, basta encontrar um iPhone na mão de um aparente executivo, e ele estará indefeso.

Infelizmente, a informação que a Apple vai disponibilizar a correção veio um pouco tarde demais. Jonathan Zdziarski já havia demonstrado como ele consegui transferir informações de um iPhone em 45 minutos, e mesmo assim nenhum parecer foi publicado, ao menos que eu tenha localizado. Zdziarsky afirma também que é tão fácil conseguir informações privadas do usuário usando o iPhone 3GS como era em suas versões anteriores, que não tinham encriptação de dados. Fiz um rápido levantamento de vulnerabilidades relacionadas ao iPhone, e encontrei uma lista generosa, tanto diretamente relacionadas ao sistema, como relacionadas a aplicações que funcionam no sistema.

Ainda extraído do MacMais, O The Register disse que a Apple mostrou sua inabilidade em implementar uma proteção criptográfica decente, mas reiterou que são poucos os sistemas de telefonia celular que se preocupam com isso. A exceção são os Blackberry. No mesmo site há dois vídeos interessantes.

É possível que a imagem absurdamente negativa que ia ser gerada na Black Hat cybersecurity conference tenha acelerado pela Apple a liberação desta correção.

Lembrete

Gostaria de lembrar a todos os que lêem este blog que é muito importante a opinião coletada na pequena pesquisa de utilidade logo a seguir, como pelos comentários, que são sempre bem-vindos.

Voltando à ativa

Muita coisa aconteceu, e fui obrigado a deixar um pouco o blog. Mas estou retornando, e neste breve retorno, quero anunciar o seguinte, em Alagoas:

Congresso Alagoano de TI - COALTI

Este congresso trará novidades sobre TI, de forma a não ser parcial para um ou outro lado, mas apresentando assuntos importantes de diversas áreas.

A inscrição é de R$ 50,00 e deve ser feita diretamente no site do congresso.

IV Encontro de Python de Alagoas

“O GruPy-AL convida a todos para o IV Encontro de Python de Alagoas que ocorrerá no dia 30 de Julho a partir das 19:00 no IFAL (antigo CEFET-AL). A participação no encontro é gratuita, sendo o objetivo do mesmo disseminar a linguagem de programação Python no estado de Alagoas assim como as diversas tecnologias envolvidas."

Também em Alagoas acontece eventos de TI, e não poucos, nem de pouca qualidade.

"Viagem por R$ 1,00": Mais um ataque ao Windows

Desta vez, creio que o estrago vai ser grande.

Como se pode observar, eu estava passeando em diversos sites na net, e vendo meu email, recebi uma notícia que me chamou muito minha atenção: Passagens a R$ 1,00 de volta pela Gol.
Não pensei duas vezes, e abri o link que aparentava apontar para "http://www.voefacil.com.br/Gol/Promoção" mas que na realidade apontava para "http://www.voefacil.tv/Gol/Promo/Form.php". Pelo tipo do arquivo, não me preocupei, pois no Linux este tipo de arquivo não é executável.







Detalhes
O que começou a chamar a atenção foi o link www.voefacil.tv, além de o link conter um nome com acentos, e a GOL ainda não está usando nomes de internet neste formato.
Outro detalhe é que ao abrir, automaticamente o download se inicia, e aqui no meu Ubuntu Linux é demonstrado que se trata de um arquivo executável DOS/Windows, o que acaba com todas as dúvidas. Se é um formulário, não precisa ser baixado.






Instalando
Não satisfeito, o amigo Carlos aceitou a instalação do download em um Windows instalado em um VirtualBox (maravilha!), e teve esta telinha como resultado. Vejam que ele fica com o nome de "Fomulário", com um simpático ícone de uma canetinha sobre uma folha em branco.
Dar um clique duplo nada faz, ao menos aparentemente. Provavelmente, o estrago já está feito. Tentamos remover o ícone de modo normal, mas sem sucesso.
Visualizando os processos em execução, achamos o formulario.exe na relação. Tentamos também o remover, mas sem sucesso. Em uma segunda tentativa, foi possível remover o processo, e aí sim, apagar o ícone do Desktop. Pessoalmente, não posso afirmar que o perigo se foi. Pelo menos para os usuários de Windows.








Conclusão
Foi muito inteligente a escolha da isca ideal, que é promoção, vantagens financeiras e afins. O brasileiro ainda sofre do mal de Gérson, ainda pensa que "de graça, até injeção na testa". E o prejuízo se alastra. De graça.

"Zeus crimeware kit": mais um ataque ao Windows

Em 7 de maio de 2009, Brian Krebs escreveu no Washington Post um texto ao mesmo tempo surpreendente e já conhecido. Já conhecido, por todos sabermos que sem um antivírus instalado, é muito perigoso usar o Windows. De todos os sistemas operacionais atualmente em uso, é de longe o mais frágil a este tipo de problema, independente de quanto esforço o fabricante dedique para mudar esta realidade. Surpreendente, devido as circunstâncias em que este malware foi difundido.

O problema
Este "Zeus" está sendo vendido em um "kit", pelo valor de US$ 700,00 em listas de discussão "especializadas" em crime, e tem o objetivo de colher dados dos usuários atingidos. Uma característica impressionante deste "Zeus" e poder ser diferente a cada instalação, dificultando tremendamente que seja identificado e solucionado pelos anti-vírus. Isto foi descoberto por Roman Hüssy, um suíço de 21 anos, que é um expert em tecnologia da informação.

Não apenas isto, mas "Zeus" tem uma função chamada kos (kill operating system). O manual de "Zeus" (impressionante, vem até com manual) diz que o kos incapacita o sistema Operacional, danificando o registro do Windows. Se o usuário tiver privilégios suficientes, o resultado será a BSOD. Reiniciar este sistema não seria mais possível.

O Prejuízo
Roman Hüssy afirmou que mais de 100.000 sistemas que participavam de uma botnet (é claro, sem o conhecimento de seus proprietários) forma derrubados, a partir do kos. Obteve esta informação acompanhando os servidores atingidos pelo Zeus. O link está na própria página do Washington Post. Dei uma olhada na lista, e achei somente um site brasileiro.

Isto destruiu a botnet, e Roman não tem idéia do que motivou a destruição em massa destes Sistemas Operacionais.

Para um usuário doméstico, normalmente isso não representaria muito problema, pois ele apenas teria que reinstalar o seu Windows, ou outro sistema operacional que esteja menos sujeito a este tipo de problema. Para os que trabalham em seus computadores, tanto Profissionais Liberais como empresas, isto pode causar um terrível prejuízo. Como o objetivo deste Zeus é colher informação, não há como medir a extensão do prejuízo causado.

Comentários
Achei alguns comentários no próprio Washington Post muito interessantes. E para não dizer que estou sendo parcial, ou qualquer outra coisa, vou deixar uma cópia dos originais aqui:

So -- uhhh -- could I bother anyone to explain to me again - just why is it that we still us MICROSOFT products? Oh - never mind. I remember the answer now. You have to be a genius geek to use anything else. I'll try to remember that, and stop harassing those who have to cope with not being genius.

I've seen so many cases of end users neglecting to use a logon password for the purpose of convenience, or not installing any form of software security program simply because they were unaware that the Internet is a dangerous place.

Have to agree with runaway1956 ; why use a demonstrably unsafe OS, web browser, office suite, etc, when products of better quality are available, many for free ? Indolence has its charms, but sometimes it is carried all too far....

Nem preciso dizer qualquer coisa ...

Mais problemas de segurança do Windows 7

Apesar de todo o anunciado aumento dos níveis de segurança, um probleminha apontado ainda em 2007 continua causando problemas no Windows 7. Em Abril de 2007, Bruce Schneier resume o problema com o seguinte parágrafo:

Experts say that the fundamental problem that this highlights is that every stage in Vista's booting process works on blind faith that everything prior to it ran cleanly. The boot kit is therefore able to copy itself into the memory image even before Vista has booted and capture interrupt 13, which operating systems use for read access to sectors of hard drives, among other things.

Interessantemente, dois anos depois, o sucessor do Windows Vista, o Windows 7, permanece com os mesmos problemas. Em um evento chamado HITB (Hack In The Box) os pesquisadores Vipin Kumar e Nitin Kumar mostraram aqui como tomar controle de uma máquina virtual Windows 7 enquanto ela ainda está no processo de boot.

It's a design problem," Vipin Kumar said, explaining the software exploits the Windows 7 assumption that the boot process is safe from attack. While VBootkit 2.0 shows how an attacker can take control of a Windows 7 computer, it's not necessarily a serious threat. For the attack to work, an attacker must have physical access to the victim's computer. The attack can not be done remotely.

Não fosse isto completamente péssimo, Nitim afirma que não há o que se possa fazer, pois este é um erro de projeto, onde se assume que durante o processo de boot o SO está seguro contra ataques.

"There's no fix for this. It cannot be fixed. It's a design problem," Vipin Kumar said (..)

O VBootKit 2.0 tem apenas 3 Kb de tamanho.

MSN acessa secretamente à Microsoft

Recentemente atendi o chamado de uma pessoa amiga, para lhe ajudar com problemas em seu computador. Um equipamento razoável, Windows XP e o anti-vírus da ESET.

O MSN 2009 havia sido instalado, mas não conectava. Dei uma olhada no firewall do ESET, e ativei o mesmo para bloquear entrada e saída de qualquer pacote. Assim eu estaria podendo acompanhar as tentativas de acesso do MSN. Infelizmente não funcionou. Pensei em outras soluções, e deixei o Firewall ativado. Uma procura rápida me levou a esta página, onde pude encontrar diversas versões antigas do MSN.

Baixei a 8.5, e iniciei a remoção da versão (aparentemente) defeituosa. Para minha surpresa, o firewall barrou mais de 3 tentativas de acesso ao site do fornecedor do Software. Eu simplesmente não consegui compreender isto. Por que motivo, até para desinstalar, o software tenta fechar uma conexão com o fornecedor ? A primeira lembrança que me veio foi o exemplo do VLC, que afirma não enviar ou coletar qualquer informação, mesmo anônimamente, do sistema operacional, ou de qualquer outro software. No caso do MSN, nenhum aviso foi dado que ia ser feito algum contato com o fabricante, envio de alguma informação, etc. Absolutamente nada. Isto é revoltante.


Tendo tido esta desagradável surpresa, meneei a cabeça, respirei fundo, e prossegui. Instalei a versão anterior, e quando a fui executuar, um pop-up me avisa que tem uma versão mais nova disponível. Como eu não a queria, neguei. Neguei, e não tive mais acesso. Ou seja, você é a usar a versão mais nova, que neste caso em especial, não funcionava.

Mais uma vez fiquei tremendamente irritado. O computador pertence ao seu dono, ou seja, a quem desembolsou dinheiro para o comprar, e o fornecedor do software se acha no direito de impôr suas decisões sobre qual versão do software o usuário tem que usar.

Me irritei, procurei informações de como fazer esta versão Beta do MSN funcionar, e achei algumas modificações que deveriam ser feitas no registro. Dá até pra aceitar, pois esta é uma versão de teste. Mas minha aceitação para por aí.

Alguém sabe por que tem que ser assim com o MSN (ou talvez outros softwares) ?

Comprar pela internet

O Marcelino me enviou um email muito interessante sobre empresas que realizam vendas pela internet, mas que são fraudes. Ao final deste email, algumas dicas para realizar compras com segurança. Achei interessante criar um post sobre isto.

Por que comprar pela internet ?
É muito mais vantajoso estar na segurança de casa, escolhendo calmamente o que se quer, podendo procurar detalhes do que se quer, até aprendendo mais sobre o assunto relacionado ao item. Afinal, entrar numa loja para "dar uma olhadinha" apenas pode ser muito aborrecedor. Os vendedores podem se jogar sobre o cliente, o disputando quase a tapas. Podem também ser indiferentes, dando pouca ou nenhuma atenção, como se estivessem fazendo um favor em nos atender. É possível ainda que este vendedor não saiba nada sobre o que está vendendo, e por isso não pode tirar nossas dúvidas. Neste caso, quase sempre vai querer "empurrar" o mais caro dizendo que é o melhor. Não fosse isso suficiente, é preciso encarar as filas de pagamento, o tempo de consulta dos cartões, a loja quase sempre cheia, barulhenta e abafada. Além disso, a "pechincha" obrigatória é cansativa, levando o usuário a andar bastante de loja em loja. Enfim, cansativo.

Segurança nas compras
A compra convencional ainda conta com o crescente perigo desde o sair de casa: assaltos em ônibus, nas ruas, ocasionais balas perdidas, e outros. Infelizmente, nas compras pela internet, também há o perigo constante de insegurança: perda de senha, sites falsos de lojas e/ou bancos, entre outros. Este tipo de risco é sério por ser quase sempre fora da percepção da vítima. Isso leva alguns a uma histeria exagerada, afirmando que nunca farão compras pela internet. Há cuidados básicos que podem diminuir bastante este risco. É isto que quero resumir aqui, sem usar os termos técnicos complicados.

Alguns tipos comuns de fraude
Email de banco: conhecido como phishing (pronunciado como fíxin) é basicamente um email vindo de algum banco, pedindo que seja acessado o link que vem no email.
Quase sempre este link leva a alguma página muito parecida com o tal banco. Nesta página se pede número da conta e senha. A página vai guardar estes dados e os vai enviar para o criminoso. Este pode agora acessar sua conta normalmente. Alguns exemplos podem ser vistos aqui.
Email de pornografia: um email prometendo fotos de mulheres nuas (ou algo semelhante) pede que o usuário clique em um link ou em algum anexo. Frequentemente o remetente é alguém conhecido do destinatário. Este tipo de apelo quase sempre funciona. Por exemplo, a cada novo BBB, uma enxurrada destes emails são enviados, prometendo a foto nua de uma das participantes, ou cenas inéditas da transa de algum dos casais.
Estes links ou anexos irão instalar programas que podem gravar tudo o que estiver sendo digitado (números de contas bancárias, senhas de banco, senhas de email, etc) e as enviarão para o criminoso autor destes emails.
Arquivos pelo MSN: no meio de uma animada conversa pelo MSN, o outro lado de repente lhe manda um arquivo compactado com as fotos que (segundo esta pessoa) já deveria ter lhe enviado, ou com fotos de alguma celebridade nua.
Basta tentar abrir o arquivo que um programa vai ser instalado na sua máquina . Este programa pode copiar o que você digita e enviar tudo isto para o tal criminoso.
Mensagens em Power Point ou documentos do Word: é possível que aquela bela mensagem que você recebeu tenha escondida em si um programa que pode copiar as informações digitadas por você (dquele momento em diante) e as enviar para o criminoso

Como a coisa funciona ?
Perceba que há um padrão entre os tipos de fraude: o destinatário. Pessoas do conhecimento do mesmo já (provavelmente) foram vítimas, não sabem, e seu (dele) sistema passa a poder ser usado para espalhar a "ferramenta" da fraude. Aliás, uma característica comum de um sistema "comprometido" é uma inexplicável lentidão do sistema.

Basicamente, o objetivo destas fraudes são 2:
1) obter senhas dos usuários;
2) obter acesso ao seu sistema. O criminoso pode usar o seu sistema para acessar outros locais na internet. Assim, ele pode cometer outro crime usando o seu sistema. Ao se tentar rastrear a origem deste criminoso, será encontrado o seu sistema como origem do crime.

Como prevenir ?
Algumas das recomendações são básicas. Infelizmente, mesmo o básico frequentemente não é observado.
1 - Desconfie de emails de pessoas desconhecidas. Pessoas que você não conhece lhe mandando fotos, dicas, prometendo dinheiro ? Desconfie.
2 - Desconfie de qualquer email enviado por bancos. Especialmente aqueles onde você não tem conta. Se for do seu banco e estiver pedindo para clicar em um link ou digitar alguma senha, é quase certo de ser uma fraude.
3 - Mudança repentina de conversa no msn. Pergunte para a pessoa com quem você está conversando se ela mandou algum arquivo ou link para você. Se ela disser que não, o sistema desta outra pessoa está "comprometido".
4 - Evite usar senhas importantes em computadores públicos. Computadores de lan-houses são o último lugar de onde você acessaria a sua conta bancária ou semelhante. Estes computadores frequentemente estão infectados por keyloggers, que são os tais programas que copiam os textos digitados no sistema. O mesmo se aplica ao computador do amigo/colega/conhecido. Especialmente se este for usado por todos da casa.

Há outras coisas que devem ser feitas, mas dependem de qual Sistema Operacional você está usando: Windows ou Linux.
Windows:
1) não deixe de aceitar as atualizações vindas do Windows Update. Já houve ocasiões onde estas atualizações causaram alguns problemas, mas nada que não pode ser contornado.
2) é fundamental usar algum anti-vírus, de preferência original, nunca um pirata. É importante manter ele sempre atualizado. Infelizmente algumas falhas podem ocorrer nos anti-vírus, e dificilmente uma solução será gerada tão rapidamente que possa impedir que desastres se espalhem pela internet, como o MyDoom, uma variante do Sober, o Sircam, e o NetSky. São casos antigos, mas mostram como é possível que o estrago seja causado rapidamente antes que os antivírus possam estar atualizados para estes problemas.
3) evite usar o Windows através do usuário administrador. Crie contas para cada pessoa que use o computador, e nunca acesse a Internet como administrador, a menos que seja realmente necessário. E quase nunca é. Na instalação padrão do Windows XP, a conta do administrador será a conta padrão. Nas versões seguintes isso não ocorre mais.

Linux:
1) Sempre mantenha atualizado o seu sistema. Se você usa o Ubuntu,por exemplo, o sistema sempre vai lhe avisar da existência de atualizações. Ainda não conheço casos de erros que causaram problemas para o usuário, pelo menos na versão Desktop. Se alguém souber de algum link confiável com esta informação, pode enviar.
2) Desde o princípio, devido a características do próprio Linux, o uso de antivírus quase não é necessário. Existem sim, mas em quantidade inexpressiva, em relação aos existentes para Windows, por exemplo. Um exemplo é o BadBunny, mas este foi apenas uma demonstração.
3) Também desde o princípio de sua popularização, o Linux não permite que o usuário administrador (chamado de root) seja o usuário padrão do sistema. Mesmo assim, permanece o aviso: nunca usar o sistema como root, a menos que seja mesmo necessário.

Como já deve ter ficado claro para os que lêem meu blog, sou usuário de Linux, em especial de Ubuntu Desktop. Sempre saio com um pendrive que tem a imagem do Ubuntu para pendrive. Para os que tem Ubuntu instalado na máquina, podem criar seu próprio Ubuntu em pendrive. Assim, em qualquer momento tenho um Ubuntu limpo para usar em qualquer computador, bastando apenas iniciar o computador pelo pendrive.

Identificando o site de compras
Independente do sistema operacional em uso, é possível conferir o site para evitar problemas com o mesmo.
1) Em http://whois.registro.br, digite o nome da loja virtual. O resultado lhe mostrará a razão social do empresa por trás do site, e o CNPJ da mesma. Clicando no CNPJ, é possível até listar os outros domínios registrados para a mesma empresa, se houverem. Note que isto é válido para os registros brasileiros, ou seja, terminados com ".br"
2) Comprove a situação cadastral desta empresa junto a Receita Federal.

Não esqueça de informar se este texto foi útil, interessante ou inútil (logo abaixo), e deixar um comentário seu.