Site Meter Voo 447, Crimes Hediondos e Engenharia Social 3.0 - Negócio de Risco - Site Home - TechNet Blogs

Negócio de Risco

Blog do Time de Segurança da Microsoft Brasil

Voo 447, Crimes Hediondos e Engenharia Social 3.0

Voo 447, Crimes Hediondos e Engenharia Social 3.0

  • Comments 4
  • Likes

Há algum tempo bloquei sobre o fenômeno Conficker e fiz uma comparação com o worm Morris, evento de mais de 20 anos de idade e o quanto aprendemos (ou não aprendemos) desde então.

Com a recente tragédia no voo 447, começaram a "chover" emails falsos de toda a sorte, com iscas do tipo "fotos exclusivas do acidente", "sobreviventes encontrados" entre muitos outros. Um chamariz perfeito para usuários menos treinados ou mais curiosos.

Rios de dinheiro tem sido gastos com ferramentas e novas técnicas de proteção contra esse tipo de ameaça, mas será que estamos escolhendo os campos de batalha corretos?

Aprendemos cada vez mais o papel do usuário nesse tipo de incidente, mas aparentemente não aprendemos o suficiente para cuidar dos usuários.

No acidente aéreo ocorrido no Brasil no ano passado quando duas aeronaves colidiram no ar, até mesmo fotos falsas (provenientes de uma serie de TV onde ocorre um acidente logo no primeiro episódio) foram usadas para chamar a atenção de usuários incautos.

Essas não exatamente novas, mas certamente bem criativas formas de se utilizar engenharia social requerem cuidados ligados a conscientização e constante esforço junto aos usuários. Antivírus de forma isolada não são suficientes (embora uma verificação ortográfica integrada pudesse ser uma boa idéia - Muitos desses emails são maravilhas da engenharia social mas ataques violentos a língua portuguesa). "Vazou OS videos do Desastre" é um bom exemplo disso. A construção desses emails ainda é bem arcaica, mas com o uso de logotipos e imagens surrupiadas de sites de noticias e outros artifícios como links falsos (como no exemplo onde o email sugere que o link é da FAB mas na verdade aponta para um site que hospeda o código malicioso)

Vale a pena conscientizar os usuários sobre esses "fenômenos" e manter máquinas atualizadas e processos bem definidos para monitorar mudanças de configuração, aderência a políticas de segurança corporativas entre outras medidas importantes. Crimes hediondos recentes, tragédias que circulam a mídia: A temática central muda, mas a engenharia social só se aperfeiçoa. Quando surge uma nova manchete, golpistas certamente usaram esse artifício para melhorar os resultados de sua "pesca".

A cada incidente temos que aprender não apenas as questões técnicas envolvidas mas também como nossos usuários reagem para que os mecanismos de defesa possam aprender com cada experiência.

Aylton Souza       

 

Attachment: falso 447.jpg
Comments
  • Aylton,

    Fica muito dificil tentar solucionar esse problema de eng. social. A curiosidade do ser humano é impossivel de ser bloqueada.

    Até emissoras de TV cometem erros.

    Vide a emissora Boliviana PAT:

    PAT Noticias de Bolivia muestra fotos de Lost y dice que son del avion de Air France que cayo en el mar.

    http://www.youtube.com/watch?v=G2AsOXB2p-U

    Resposta da PAT

    http://www.youtube.com/watch?v=NUvvSbiNwH8

    Abraços

  • Aylton,

    Fica muito dificil tentar solucionar esse problema de eng. social. A curiosidade do ser humano é impossivel de ser bloqueada.

    Até emissoras de TV cometem erros.

    Vide a emissora Boliviana PAT:

    PAT Noticias de Bolivia muestra fotos de Lost y dice que son del avion de Air France que cayo en el mar.

    http://www.youtube.com/watch?v=G2AsOXB2p-U

    Resposta da PAT

    http://www.youtube.com/watch?v=NUvvSbiNwH8

    Abraços

  • A tarefa de conscientização do usuário deve ser diária, pois a grande maioria vive alheio aos problemas da engenharia social com os golpes de e-mails falsos. Recentemente uma usuária da rede onde trabalho estava lutando para abrir um zip de um email falso dizendo ser da receita e que o CPF dela seria cancelado por falta da entrega da declaração. Na mesma hora enviei um e-mail para todos os outros usuários da rede alertando sobre esse tipo de e-mail e passei a adotar essa prática, além de incentivar a atualização diária do anti vírus, passando um passo a passo, pois o desconhecimento é grande, por incrível que pareça, muitos profissionais com nível superior não sabem clicar com o botão direito do mouse e mandar atualizar o anti vírus. Temos que passar que a preocupação com segurança não é exclusivamente responsabilidade do CPD.

  • Na boa, não vou dizer que conscientizar usuário não resolve nada, mas resolve muito pouco.

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment