blog.dennyroger.com.br

São Paulo - Novo golpe usa e-mail falso alegando atualização de segurança para enganar correntista. Site falso está hospedado na Colômbia.

O internet banking do Bradesco é alvo de uma nova e mais elaborada tentativa de golpe virtual, que usa dados reais de agências e contas bancárias, além de uma página clonada do banco, alertou a empresa EPSEC nesta terça-feira (23/07).

Inicialmente, a vítima é induzida a acessar um link em um e-mail falso, que se faz passar por um alerta sobre atualização de segurança do Bradesco, explica o consultor de segurança Denny Roger, da EPSEC, que testou a mecânica do golpe. (Veja as telas do site no final desta reportagem).

“O site está hospedado em Bogotá, na Colômbia, em nome de uma empresa de TV a cabo, para evitar processos jurídicos pela legislação brasileira”, afirma Roger.

Ao acessar o site, sem notar o endereço alterado (http://200.71.56.227/.Bradesco/), o correntista encontra os campos para digitar seus dados de agência e conta. Neste golpe, entretanto, se o dado for incorreto, o site clonado envia um alerta ao usuário.

“Mesmo que seja bloqueado para acesso no Brasil, o site falso pode continuar aberto para brasileiros que estão no exterior”, alerta o consultor.

Ao digitar seus dados, o correntista é direcionado à página de segurança para fornecer sua senha eletrônica. Em seguida, acessa o que supostamente seria a página de seus serviços.

No entanto, ao clicar em qualquer link para consultar seu extrato, por exemplo, o usuário visualiza uma janela onde os dados e a senha de seu cartão devem ser digitados. “Ao efetuar o processo, ele é direcionado a uma página que informa que o serviço não está disponível no momento”, detalha Roger.

Veja a íntegra do e-mail falso com o novo golpe em nome do Bradesco:

“Remetente: Bradesco
Para 23/07/2008 05:03
Assunto: Atualização para sua segurança!

Caro, cliente Bradesco Pessoa Física.

Houve um problema interno de informações em nosso banco de dados, onde as chaves de segurança, não foram atualizadas, ocorrendo problemas ao seu acesso pelo Internet Banking e outros canais de conveniência Bradesco.

Ao tentar o acesso via Internet Banking, Caixas Eletrônicos e Fone
Fácil suas chaves de segurança constarão como inexistentes,
impossibilitando o acesso.

A Chave, gerada pelo dispositivo abaixo, será agregada ao processo já existente, sem substituição das senhas atuais (Senha de 04 números e Frase Secreta para utilização nos acessos ao Bradesco Internet Banking).

Para corrigir este problema, basta clicar no caminho abaixo.

http://www.bradescoseguranca.com.br/chavedeseguranca

Em caso de dúvida, contatar a central Bradesco, pelo e-mail atendimento@bradesco.com , de segunda a sexta-feira das 07:00 ás 20:00 horas

© 2008 Banco Bradesco S.A. Todos os direitos reservados.”

Fonte: http://idgnow.uol.com.br/seguranca/2008/07/23/golpe-site-clonado-do-bradesco-usa-banco-de-dados-de-contas-correntes/

Sem comentários »

O funcionário de qualquer empresa está entre os ‘ativos’ que mais geram ameaças. Por Denny Roger.

É muito comum, especialmente entre funcionários insatisfeitos com seus superiores, criar um e-mail “anônimo” gratuito e enviar uma mensagem para todos os funcionários da empresa difamando o chefe. Há casos em que um determinado diretor ou chefe recebe um e-mail sendo ameaçado até de morte ou seqüestro.

O que acontece na prática?

O funcionário é mal tratado pelo seu superior na frente dos colegas de trabalho. Insatisfeito com a situação, ele começa reclamar de seu chefe para outros colegas de trabalho. As pessoas que recebem esta informação começam a ficar atentas e logo é criado um relatório entre os funcionários sobre todos os defeitos deste chefe “maldoso”.

A segunda fase entra em ação rapidamente: é criado um e-mail gratuito para disseminar as informações negativas sobre o chefe para todos os funcionários, investidores e clientes da empresa.

O funcionário insatisfeito solicita a ajuda de algum amigo ou parente que está em algum local distante da empresa para disseminar as informações. A pessoa “recrutada” prontamente utiliza o computador de uma lan house para acessar o e-mail gratuito que será utilizado para enviar as informações.

O conteúdo do e-mail já está pronto e os destinatários já estão relacionados em algum tipo de documento. O “recruta” ou cúmplice simplesmente copia as informações para o webmail gratuito e envia a mensagem para diversos destinos chaves, tais como: investidores, clientes e todos os funcionários da empresa.

Como encontrar as evidências?

É possível identificar o autor de qualquer mensagem transmitida através da internet.

O presidente da empresa autoriza o rastreamento do autor da mensagem. A equipe de segurança da informação identifica que o e-mail foi enviado através de um e-mail gratuito. É necessário identificar o “proprietário” ou usuário desta conta de e-mail.

O departamento jurídico é acionado para conseguir as informações necessárias através de ordem judicial. Isso ocorre porque o provedor do e-mail gratuito garante a confidencialidade de seus usuários.

Seguindo os procedimentos de investigação o tempo de resposta pode variar de dois dias até algumas semanas. As evidências podem estar espalhadas em diversos computadores. Relatórios gerados dos sistemas de segurança da empresa podem ajudar a identificar as pessoas envolvidas na fase de organização das informações. Porém, as evidências que estão no provedor do e-mail gratuito e no computador utilizado para acessar e enviar a mensagem são mais difíceis de serem organizadas.

A montagem deste quebra-cabeça é feita com a colaboração do departamento jurídico, de provedores e/ou empresas, policia e técnicos especializados em forense computacional.

Como evitar este problema?

Todos os e-mails destinados a “listas de distribuição” devem possuir restrições para que apenas mensagens originadas da própria empresa possam enviar e-mails. Qualquer mensagem externa, ou seja, tendo como origem a internet deve ser bloqueada.

Programas que realizam filtros de conteúdo nos e-mails devem ser considerados. Dessa forma, a empresa pode filtrar o conteúdo que é permitido ou não na empresa.

Treinamentos de conscientização sobre o uso do e-mail devem ser constantes. As empresas devem focar nos assuntos que tratam a propriedade intelectual e nas leis que tratam de crimes realizados através de um computador. O efeito moral é muito mais forte que qualquer tecnologia de segurança.

Denny Roger é consultor independente, membro Comitê Brasileiro sobre as normas de gestão de segurança da informação (série 27000), especialista em análise de risco, projetos de redes seguras e perícia forense. E-mail: denny@dennyroger.com.br.

Fonte: http://idgnow.uol.com.br/seguranca/mente_hacker/idgcoluna.2008-07-07.5237085665/

Sem comentários »