Fraudes feitas por funcionários: o crime nasce na empresa

03/08 - HardSoft 

Uma empresa de serviços digitais descobriu, recentemente, que era vítima de fraudes perpetradas por seus próprios funcionários. Profissionais internos renovavam continuamente pacotes de degustação de serviços oferecidos gratuitamente a vários clientes. Dessa forma, alguns usuários tinham acesso pleno à oferta desta empresa sem, no entanto, pagar um centavo por isso.

Parceiros externos desta corporação também estavam envolvidos no golpe. O quadro de fraudes era agravado, ainda, pelo fato de ocorrer constantemente o roubo ou a compra de senhas de acesso às aplicações de negócios desta empresa – os sistemas que, ativados, autorizariam a entrega dos serviços digitais. Uma investigação policial mostrou, posteriormente, que essas ações criminosas eram provocadas por pressões e ameaças de traficantes aos operadores do contact center desta empresa.

Em plena era de transformação digital, cada etapa desta fraude ocorreu por meio do uso indevido das aplicações corporativas, sistemas responsáveis por manter os processos e os negócios dessa corporação funcionando.  Ao final do dia, milhões de reais se perderam, e essa empresa teve de iniciar uma revolução interna e externa para garantir a segurança de seus processos e aplicações.

A fraude ocupacional, também conhecida como desfalque, ocorre quando, por meio de um processo deliberado, um colaborador faz mau uso ou emprega mal os recursos ou o patrimônio de uma empresa em seu próprio benefício pessoal. Segundo a empresa de pesquisas de mercado Static Brain, em 2014 funcionários norte-americanos roubaram US$ 50 milhões das empresas onde trabalham.

Um dado preocupante é que esse ataque interno é difícil de ser descoberto: o tempo médio de ocorrência da fraude antes de sua detecção é de 2 anos.

Em 2014, dados do Estudo Global de Fraudes (um levantamento realizado pela maior entidade de fiscais de fraudes dos EUA, a Association of Certified Fraud Examiners), mostraram que 77% das fraudes ocupacionais foram cometidas por funcionários das áreas de contabilidade, operações, vendas, gestão executiva, atendimento ao cliente, compras ou finanças. Quanto aos setores da economia, bancos e serviços financeiros, governo e administração pública, telecomunicações e indústria tenderam a ter o maior número de casos de fraude. Somente no mercado norte-americano de Telecom, por exemplo, estima-se que as fraudes tragam prejuízos anuais de mais de US$ 40 bilhões por ano (dado da Communications Fraud Control Association).

A fraude ocorre primariamente em empresas com claras vulnerabilidades em seus processos e sistemas. São corporações que já vivem a transformação digital, mas ainda não contam com políticas e tecnologias de segurança à altura da engenhosidade dos criminosos. Neste quadro, os sistemas de faturamento (entre outras aplicações de negócios) e as vulnerabilidades das redes são facilmente explorados para obter acesso. Uma das fraudes mais comuns é o roubo de identidades – somente este tipo de crime gerou, nos EUA, no ano passado, perdas na ordem de US$ 4,32 bilhões.

O roubo de identidade é especialmente eficaz na hora do criminoso acessar os dados essenciais para que se cometa o desfalque.

Complexas aplicações corporativas rodando na nuvem ou fora da nuvem são o alvo preferencial: usuários internos irão disparar ações que estão além de sua área de trabalho e dos direitos de acesso que receberam de seu empregador, passando a autorizar, de forma fraudulenta, a compra ou venda de serviços, o cadastramento de novos clientes, a transferência de recursos, etc.

A luta contra esse tipo de fraude é algo que alia soluções tecnológicas a novos processos, treinamentos e controles (foco em pessoas). Algumas das melhores práticas para reduzir o risco de fraudes incluem estabelecer uma central de atendimento antifraude pronta a receber denúncias (anônimas ou não). É importante, ainda, efetuar auditorias de surpresa.

Nesta empreitada é fundamental, ainda, implementar sistemas que monitorem e analisem ativamente os dados e as aplicações da empresa. Esses sistemas “lerão” o comportamento da aplicação e emitirão um alerta no caso de acessos estranhos ocorrerem. A plataforma IAM (Identity and Access Management, gerenciamento de identidade e acesso) pode ajudar nesta luta. Essa tecnologia de segurança autentica com grande precisão a identidade (e os consequentes direitos de acesso) da pessoa que deseja interagir com a aplicação missão crítica.

As soluções IAM são um aliado importante do CISO na defesa dos sistemas que mantém o negócio funcionando – não por acaso, os mesmos sistemas que o fraudador tenta penetrar.

Uma das missões dessas soluções é analisar o contexto de onde está sendo feito o acesso do usuário. Onde ele está? Por qual tipo de dispositivo a pessoa está acessando a aplicação? O acesso está sendo feito no horário comercial? Esse usuário passou pelo crivo da tecnologia MFA (Multiple Factor Authentication, autenticação realizada a partir de múltiplos fatores – senha, reconhecimento biométrico, posse de um token)? É recomendável que o uso de soluções como estas esteja inserido num quadro de ações que visem a transformação da cultura corporativa e a interiorização, por parte dos funcionários, de novos valores.

A checagem de cada um desses pontos aumenta a inviolabilidade do ambiente corporativo e dificulta a realização das fraudes. Em tempos de transformação digital, derrota a fraude quem, entre várias iniciativas, protege o coração do negócio: a aplicação.

*Rita D’Andrea é country manager da F5 Brasil

Por GAD Comunicação

Malware para Mobile Internet Banking cresce 400% e ataca bancos do Brasil e da América Latina

19/05 - HardSoft

Nada faz um criminoso digital mais feliz do que atacar aplicações de internet banking. A longevidade e a evolução de alguns malware com esse alvo não é surpreendente – afinal, o malware voltado a mobile banking é a maneira mais rápida e fácil de tirar dinheiro das vítimas. O mercado de malware para mobile banking é tão aquecido que cresceu 400% em 2016 – dados do Nokia Threat Intelligence Report. Desse total, 81% são voltados à plataforma Android de smartphones. As taxas de infecção de dispositivos móveis cresceram constantemente ao longo de 2016, avançando 63% em relação ao primeiro semestre do ano. Esse quadro é, de certo modo, previsível. O Android, com mais de 24.000 implementações diferentes, é o sistema operacional mais popular para smartphones – dados da Testarmy. Com isso, é ainda mais desafiador testar e manter seguros esses dispositivos móveis. Os consultores da Developer Android ressaltam que essa tarefa fica mais difícil quando se percebe que a maioria dos telefones Android está desatualizada, rodando versões sem correções (patches) essenciais para garantir a segurança do ambiente. 

Do outro lado desta disputa encontram-se hackers profissionais e capitalizados que trabalham 24x7x365 para evoluir continuamente. O resultado é um malware como o Marcher Android Banking, um trojan (cavalo de Tróia) sempre em busca da perfeição: fugir da detecção e manter o dinheiro entrando.

É isso que mostra uma pesquisa da F5 realizada em março de 2017. Os experts do F5 Labs examinaram centenas de arquivos de configuração do Marcher para descobrir tendências de alvos (os bancos que estão sendo mais atacados) e de novas campanhas de ataques mundiais.

Estudo mostra alvos do malware Marcher Android Banking

Analisando os mais recentes arquivos de configuração, os alvos de março do Marcher foram primariamente bancos da Europa (64%), seguidos por Austrália (15%) e América Latina (12%). Em todos os casos, os hackers desenvolveram diversas versões do Marcher Android Banking sob medida para a interface e o ambiente de internet banking de grandes bancos.

O F5 Labs detectou 172 domínios alvos em março de 2017. Conforme esperado, a maioria (93%) era composta por bancos. Uma parte menor, mas interessante, dos alvos era composta por provedores de serviços de e-mail como Yahoo e Gmail, apps de redes sociais e serviços de mensagens como Facebook, Viber e WhatsApp.

O levantamento mostrou que alguns bancos são alvos preferenciais dos hackers que desenvolvem novas e inteligentes versões do Marcher Android Banking. No link https://f5.com/labs/articles/threat-intelligence/malware/marcher-gets-close-to-users-by-targeting-mobile-banking-android-apps-social-media-and-email-26004 estão disponíveis o estudo e a lista dos bancos globais e locais mais atacados pelo Marcher Android Banking.

Phishing e engenharia social

A meta dos criminosos digitais é atacar o elo mais fraco dos sistemas bancários: os correntistas. Os atacantes sabem que usar técnicas de engenharia social e phishing é algo que pode funcionar com pessoas comuns usuárias da Internet. Hoje boa parte da população bancarizada é usuária dos canais virtuais dos bancos, em especial, o internet banking. Essa realidade facilita o trabalho dos hackers, que usam diversos recursos para convencer o usuário/correntista a fazer o download de um app falso (malicioso) ou, então, entregar suas credenciais de acesso. Faz parte da estratégia dos criminosos explorar, também, os serviços e apps que os correntistas mais usam em suas vidas privadas – é o caso de e-mail, redes sociais, serviços de mensagens e grandes portais consumer como eBay, entre outros.

O estudo realizado pela F5 mostra que CISOs e também usuários devem estar alerta em relação à séria ameaça das campanhas de malware para Android. Essas campanhas continuam a evoluir, aprimorando seus modos de enganar usuários e fugir de detecção. À medida que o footprint de apps e dispositivos móveis cresce no mundo todo, isso impõe uma ameaça sempre crescente às instituições financeiras.

A disseminação de smartphones como a plataforma preferencial de acesso ao internet banking torna esse quadro ainda mais desafiador.

É fundamental que esses dispositivos sejam gerenciados e protegidos; isso pode ser feito por meio de soluções implementadas no celular ou por meio de sofisticadas plataformas corporativas que permitem que o gestor de TI do banco garanta remotamente a inviolabilidade desse ambiente. 

*Rita D’Andrea é country manager da F5 Networks Brasil

Por: GadCom

App Revolution: a aplicação saiu do castelo

01/03 - HardSoft

Por décadas, as aplicações missão crítica das empresas eram processadas e armazenadas dentro da própria corporação. Nesse contexto, os usuários deveriam estar fisicamente presentes no escritório para efetuar login e acessar, a partir de seu PC desktop, esse sistema.

A App Revolution mudou tudo isso.

As aplicações agora estão em todos os lugares e podem ser acessadas a partir de todo tipo de device. Nesta nova realidade, vemos empresas como a Netflix, o Facebook, o Uber e o Google montarem negócios bilionários ao redor de Apps virtuais e imensas. Esses players empenham-se em proporcionar a melhor experiência a milhões de usuários/consumidores de seus serviços. O mundo criado pela App Revolution é marcado, também, pela mobilidade. Em 2015, usuários iOS de todo o mundo baixaram 25 bilhões de Apps em seus iPhones; no mesmo período, os adeptos de smartphones Android baixaram 50 bilhões de Apps.

É importante compreender, porém, que “App” não é só o sistema baixado e usado no celular; por App entende-se toda aplicação que foi criada ou portada para a Web e para a nuvem, e nunca voltará a rodar no modelo tradicional. 

A App Revolution está ocorrendo também no mundo corporativo.

Esse novo modelo aumentou a eficácia e a produtividade dos profissionais da empresa, introduzindo novas fontes de receita e estratégias go-to-market para quase todos os setores de economia. Um de seus pontos fortes é ter seduzido funcionários não pertencentes à equipe de TI. No passado, a empresa era dividida em silos e o desenvolvimento, manutenção e disponibilização de uma aplicação dependia de solicitações de um departamento para a área de TI. A App Revolution tornou essa cultura ultrapassada.

Segundo o Gartner, até 2018 os investimentos dos Chief Marketing Officers (CMOs) em soluções e serviços de TIC serão maiores do que as despesas autorizadas pelos CIOs. Fica claro, portanto, que a App Revolution ultrapassa os limites da TI. 

Apps são populares porque ajudam as pessoas a gerenciar e aprimorar suas tarefas cotidianas. Apps fazem parte integral de todos os desafios de trabalho das equipes e das empresas. Um App essencial, como sistemas de e-mail, por exemplo, é cada vez menos acessado a partir de um PC desktop. Uma enquete realizada em 2016 comprovou que, no Reino Unido, 70% dos usuários de e-mail preferem ler e responder suas mensagens a partir de seus dispositivos móveis.

Devido ao amadurecimento do ecossistema de nuvem, os Apps estão sendo cada vez mais hospedados em um mix de nuvem privada e pública, com transições imperceptíveis entre as duas. Sua velocidade e facilidade de uso permitem aos usuários finais não terem de pensar sobre onde realmente residem seus valiosos dados.

Essa despreocupação não é algo ao alcance das equipes de TIC.

Todo gestor de TIC sabe que criminosos – sejam indivíduos, gangues ou países – estão explorando a oportunidade apresentada pelos Apps. Infelizmente muitas empresas ainda contam com um aparato de segurança mais adequado ao mundo que existia em 1997, sentindo-se protegidos por contar com soluções tradicionais. Hoje o grande alvo dos hackers é o App. São sistemas que, em nome da máxima velocidade de desenvolvimento e lançamento, nem sempre incorporam em seu DNA os conceitos e as tecnologias que poderiam garantir sua própria segurança.

Há milênios o mundo conhece a figura do castelo forte, definido por muros, ameias de onde só os defensores do castelo enxergariam o inimigo e pontes levadiças. O rei e o tesouro do rei estariam protegidos na câmara mais segura do castelo. A pessoa que quisesse ter acesso a essa sala teria de se identificar, apresentar senhas, etc.

Em 2017 essa imagem segue válida. A diferença é que o rei (o usuário corporativo) agora passa muito mais tempo fora do castelo do que dentro, e o tesouro toma a forma de Apps que são processados e armazenados na nuvem. Muros de tijolos deram lugar a firewalls para aplicações web (WAF); o reconhecimento do visitante e a solicitação da senha foram substituídos por sistemas de autenticação e, quando a informação está em movimento, trafegando pelo mundo, é encapsulada em soluções SSL.

Neste ano, a transformação digital continuará mudando o mundo e a soma de Apps na nuvem com dispositivos móveis seguirá transferindo para fora dos ambientes tradicionais de TIC a informação essencial para os negócios.

Todos desejam segurança para suas aplicações corporativas, mas os ataques vêm de todos os lados. Como resolver esse quadro?

O ponto fundamental é ter em mente que os dados das suas aplicações são o alvo primário do hacker. Não perca esse foco, não se deixe iludir pelas soluções que já usa que atuam em outras frentes. O mundo criado pela App Revolution é organizado a partir de duas extremidades: a origem do dado/aplicação (nuvem ou datacenters tradicionais) e o dispositivo do usuário (ponto de acesso). É entre esses polos que a guerra acontece.

A vitória virá para quem imprimir processos e tecnologias de segurança em todas as fases de desenvolvimento de Apps. Muita gente já está arquitetando a segurança desde o início do projeto da aplicação. A App Revolution exige isso – quem deixar para pensar a segurança por último pode experimentar o gosto amargo da vulnerabilidade.

*Rita D’Andrea é country manager da F5 Brasil 

Por: Gad Comunicação

WhatsApp bloqueado: descriptografar o serviço está fora de questão

20/07 - Rita D’Andrea* / GAD Comunicação

O WhatsApp tem no Brasil 100 milhões de usuários e já foi bloqueado 3 vezes desde 2015, sempre por ordens judiciais. Ontem o Facebook – a empresa que controla o WhatsApp – recebeu uma intimação ordenando que a empresa interceptasse e entregasse a autoridades do Rio de Janeiro mensagens de supostos criminosos sendo investigados. A juíza Daniela Barbosa Assumpção, responsável por esta notificação, EXIGIA que a criptografia das mensagens WhatsApp seja quebrada e os conteúdos das mensagens sejam entregues às autoridades. O bloqueio durou algumas horas e acabou suspenso ontem mesmo, por uma decisão do STF. Neste e nos outros episódios, o Facebook/Whatsapp disse que não poderia realizar o que a notificação pedia por motivos técnicos.

Os responsáveis pelo WhatsApp estão falando a verdade.

Desde abril deste ano que qualquer usuário desse serviço/aplicação recebe a mensagem: As mensagens que você envia para esta conversa e as chamadas de voz são, agora, protegidas com criptografia de ponta a ponta. Toque para obter mais informações.

Este curto recado é, na verdade, o topo do iceberg de uma era em que quase todas as principais aplicações do mercado são criptografadas e trafegam em sistemas SSL/TLS.  A maior parte dos serviços que está na nuvem é criptografada – isso vale para o Office 365, para as Oracle Applications, para a plataforma Totvs, etc.

No caso específico do WhatsApp, a tecnologia usada por essa plataforma garante que nem o próprio Whatsapp nem ninguém – governo, empresas, pessoas comuns, criminosos – conseguirão ouvir ou ler algo enviado de um usuário a outro – o que inclui mensagens, fotos, vídeos, mensagens de voz, documentos ou chamadas de voz.

O WhatsApp não ter acesso a esses dados é algo muito importante.

A criptografia é muito comum em toda a Internet. Se um usuário faz uma compra online ou visita Google.com, um cadeado e HTTPS são visíveis no navegador, o que significa que os dados enviados via Internet são criptografados ou ocultados de quem quer que possa tentar bisbilhotar ou roubar a informação, tal como um número de cartão de crédito. O WhatsApp levou isso adiante, devido a ser a maior aplicação multiplataforma de troca de mensagens do mundo, uma aplicação que funciona em um grande número de diferentes dispositivos. A criptografia de ponta a ponta é a diferença entre enviar um cartão postal em papel, em que qualquer um – incluindo o carteiro — pode ler a sua mensagem, e fechar esse cartão postal em um envelope, algo que garanta que somente você e o destinatário conseguirão ler a mensagem.

É importante ressaltar que uma mensagem enviada por WhatsApp é criptografada desde o momento em que sai do dispositivo do remetente até o momento em que é recebida pelo destinatário. Nenhum intermediário, incluindo o WhatsApp, pode ver o conteúdo da mensagem, mesmo se capturada em trânsito. Com isso, os usuários podem ter a certeza de que as mensagens e chamadas de voz estão protegidas contra qualquer pessoa que tente interceptá-las.

O fato de nem mesmo o WhatsApp ser capaz de ver as mensagens ou escutar as chamadas significa que, se a empresa receber um pedido judicial de acesso aos dados pessoais ou mensagens de alguém, o WhatsApp não terá acesso a eles e não terá como entregar o que quer que seja. Devido à maneira como o WhatsApp implementou isso, será muito difícil que as agências policiais e governamentais consigam acesso legal a dados que poderiam ser necessários para auxiliar nas suas investigações.

Discutiu-se se as agências governamentais tentariam proibir isso – a criptografia –, mas rapidamente percebeu-se que seria muito difícil realizar esse feito. Proibir a criptografia poderia causar enormes danos à economia digital. Necessitamos de criptografia para manter seguros os nossos dados pessoais. Por outro lado, seria sim importante encontrar um equilíbrio no qual as forças policiais pudessem obter acesso judicial a dados do WhatsApp para auxiliar as suas investigações.

Estamos vivendo uma interessante disjuntiva. Somos muito livres com os nossos dados pessoais e seu compartilhamento online. Junto com a liberdade, exigimos garantias de não sermos monitorados, algo que roubaria a nossa privacidade. A grande questão, porém, é que criptografia e privacidade andam juntas tanto para pessoas honestas, que nada têm a esconder, como para criminosos, que muito têm a esconder. A tecnologia não é pessoal, tratando uns e outros de forma diferente.

O que define este quadro é que o mundo deseja que o WhatsApp ofereça garantias de privacidade e proteção de dados. Com bloqueio ou sem bloqueio, isso continuará acontecendo.

*Rita D’Andrea é diretora geral da F5 Networks Brasil