Todos os posts tagados roubo de identidade

Cuidado com as ofertas milionárias

Cuidado com as ofertas milionárias

Tenho recebido muitos emails, e comentários aqui no WebSegura.net, de utilizadores que receberam emails com ofertas milionárias. Antes de opinar sobre este assunto, queria apenas referir que ninguém bate à nossa porta e nos entrega 100.000 euros. Correcto?

Exemplo:

(…)
Entraremos em contato para informá-lo que você acabou de ganhar 118.000 EUR no sorteio realizado pela nossa empresa Microsoft, Bill Gates. Você vai encontrar no documento como um anexo detalhes do ganho.
Entrar na posse do ganho, por favor envie um e-mail para obter o reconhecimento ao oficial de justiça:
(…)

De facto estes emails são esquemas, alguns mais organizados e elaborados que outros, com o intuito de recolher dados pessoais (por exemplo: carta de condução, declaração de IRS, cartão de cidadão, …) para fornecer aos utilizadores maliciosos a possibilidade de roubo de identidade. No entanto, existem esquemas que para receber o suposto dinheiro é necessário adiantar uma quantia financeira (que varia entre os 100€ a 1000€) para pagar taxas de transferências bancárias.

Citando as minhas próprias palavras, em Novembro de 2010 no artigo – Alerta: Fraude via email utiliza o nome das Páginas Amarelas, este tipo de fraude é intitulada de Scam 419 ou Golpe dos Nigerianos.
O procedimento baseia-se num truque de confiança, no qual a vítima é convencida a avançar com dinheiro com a esperança de ganhar uma quantia bem superior.
Actualmente esta fraude é a terceira maior fonte de rendimento na Nigéria e as autoridades locais pouco ou nada fazem para contrariar esta situação.

Cerca de 80% das amostras que recebi, utilizam o nome da empresa Microsoft e respectivo fundador Bill Gates para enganar os mais desatentos. Desses emails 5% apresentavam ficheiro anexo em PDF com malware.
A Microsoft já criou uma página com algumas dicas sobre esta fraude. Podem consultar aqui.

Alguns dos remetentes catalogados como esquemas:

– etu.eloiyao@one.co.il
– servicesbillgates@orange.fr
– service.microsoft244@orange.fr
– cabinet.francoiskipre@gmail.com
– service.infos13@orange.fr
– SERVICE.WINDOWSLIVE@WINDOWSLIVE.NET
– me.desire.gueu@hotmail.fr
– isabeau.beigbeder@wanadoo.fr
– cabinet.pierrekanter@one.co.il
– etude.richardleroy@hotmail.com

Dos 50 contactos que recebi, 22 utilizadores forneceram dados pessoais em resposta ao email fradulento. Ou seja, quase metade das pessoas que contactar-me foram vítimas destes esquemas. Claro que é preciso ter em conta que, provavelmente, um dos principais motivos para os utilizadores contactarem-me é terem sido vítimas desta situação. Mesmo assim…

O que fazer?

Os utilizadores que apenas abriram o email não têm com que se preocupar (caso não tenham aberto qualquer ficheiro anexo). Se não foi parar a vossa caixa de SPAM, podem marcá-lo como tal.

Se forneceram dados pessoais ou transferiram dinheiro, é conveniente contactar as entidades policiais (PSP ou PJ) para dar inicio da ocorrencia. Desta forma, se esses dados comprometidos forem utilizados para a práticas criminosas, o registo da vossa perda já foi declarado e assim poderá ajudar nas investigações.

Partilhem este artigo e ajudem os vossos familiares e amigos.

Roubo de identidade em redes sociais

As maiores falhas de segurança informática continuam a ser o erro humano e a falta de formação na área. Estas falhas vão desde a utilização de palavras passe demasiado fáceis e intuitivas, até ao fornecimento de dados bancários em páginas de phishing.

Como o presente e o futuro da Internet passa pelas redes sociais, também não é novidade que os utilizadores maliciosos usem estas plataformas para obtenção de informação confidencial e fontes de negócio lucrativas.

Passo a relatar um episódio infeliz, que aconteceu recentemente a um visitante do WebSegura.net, onde por questões de privacidade, vou intitular de Sr. X.
O Sr. X foi alvo de um ataque de engenharia social em que muita da sua informação pessoal foi usada por utilizadores maliciosos.

Mas o que é engenharia social?

De forma sucinta, é uma técnica/arte/ciência, que consiste em manipular os indivíduos a tomar certas decisões numa determinada altura das suas vidas. A engenharia social não é um termo recente, é utilizado por exemplo, nas entidades policiais para obter informações sobre os criminosos; as entidades políticas quando transmitem medidas rigorosas para a população (sabemos bem como funciona em Portugal…);os advogados quando interrogam os arguidos; e até mesmo as crianças quando são pequenas na manipulação da decisão dos seus progenitores…Esta técnica, bem utilizada, pode ter um impacto bastante elevado.

Há especialistas de segurança que comparam a engenharia social a ataques buffer overflow porque, um individuo é submetido a diferentes tipos de informação que conduzem à confusão, levando-o a executar certas acções sem o seu consentimento.

Os ataques de engenharia social estão presentes diariamente e custam às empresas milhares de euros por ano.
Segundo uma pesquisa da empresa de segurança Check Point Software Technologies, cerca de 48% das empresas já foram vítimas de engenharia social e cada incidente pode custar entre 25.000 a 100.000 dólares.
Os vectores de ataque mais comuns em engenharia social são os e-mails de phishing (47% dos incidentes) e os sites de rede social (39%).

Continuando no episódio do Sr. X…

Tudo começou…
…com um pedido de amizade no Facebook, acompanhado de uma mensagem privada. Esse pedido vinha supostamente de um amigo pessoal. A mensagem indicava que o amigo tinha a sua conta suspensa e por essa razão criou um novo perfil.

O scammer (o autor do esquema), tinha feito o download de toda a informação do seu amigo clonando desta forma todo o seu perfil. Existem ferramentas que já automatizam muito destas tarefas.

O Sr. X aceitou o pedido e forneceu involuntariamente ao scammer toda a sua informação pessoal disponível no seu perfil. Nome completo, local de trabalho, data de nascimento, telemóvel, email, informação geográfica do Foursquare, etc. Toda esta informação “caiu” nas mãos erradas.

Passaram semanas sem qualquer contacto com esse perfil falso, até que recebeu uma mensagem via chat do Facebook com a seguinte mensagem:

“Encontrei o software que precisavas no outro dia para gestão de entradas de pessoal. Link – http://www.software-malicioso-fud.pt/download.exe”

O scammer tinha visto no mural do Sr. X que ele procurava por este software e enviou-lhe um link com um trojan FUD (Fully Undetectable). Claro que o software não funcionava mas agora o PC do Sr. X estava no controlo remoto do scammer.

Para que o Sr. X não notasse o uso de recursos pelo scammer, este provavelmente acedia quando via uma partilha Foursquare, indicando que o Sr.X estaria fora de casa.

O scammer poderá ter tido acesso a vários documentos pessoais: os scans do cartão de cidadão, os documentos das finanças e outras informações confidenciais.

Foi um ataque manual e cuidado (comprovado com a conversa em chat e o possível acesso apenas quando a vítima indicava estar fora de casa), ficando por saber se o Sr. X foi uma vítima aleatória ou seria um alvo concreto.

Presentemente, o Sr. X já removeu o trojan, contactou as autoridades competentes e modificou a informação confidencial perdida. Por vezes ainda é visível, os seus dados nos motores de busca como remetente de malware.

Casos como este são muitos e com tendência a aumentar. Como informação é poder, é um facto dizer que a melhor protecção contra este tipo de ataques é a educação e a formação.

Este episódio vem ilustrar a importância do tipo de informação pessoal publicada na Internet e como só devemos partilhar na grande rede o que estamos dispostos a perder.

Algumas dicas a adoptar:

  • Não aceitar pedidos de amizade de desconhecidos;
  • Evitar partilhar informação pessoal nas redes sociais ou utilizar as regras de privacidade para divulgar apenas a quem quiser;
  • Não utilize aplicações das redes sociais que possam ser perigosas (veja sempre reviews e pesquise opiniões nos motores de busca);
  • Mantenha sempre o seu software actualizado (sistema operativo, antivírus, etc.).

Com este artigo, espero ter contribuído para uma web mais segura. Também tu podes ajudar os teus amigos… Basta partilhar!

Facebook jacking: perder o controlo na rede

Artigo no jornal Público relata o roubo de identidades no Facebook e os perigos implicados neste tipo de acções.

Carolina Silva, 18 anos, já viu a sua conta invadida várias vezes. Esta estudante da Universidade de Coimbra costuma esquecer-se de carregar em “Sair” na sua conta de Facebook que abre nos computadores públicos que usa ao longo do dia – nomeadamente nos concorridos computadores da Rádio Universidade de Coimbra. Por isso não estranha que, de vez em quando, o seu mural esteja cheio de mensagens que efectivamente não escreveu. “O Facebook jacking é uma prática recorrente no meu grupo de amigos, é uma brincadeira que ninguém leva a mal. Eu já fui ‘vítima’ disso algumas vezes”, diz a estudante ao PÚBLICO.

Crianças, os novos alvos dos ladrões de identidade

No IDG Now!:

Estudo feito por pesquisador de universidade dos EUA sugere que roubo de dados pessoais de menores de idade é mais comum que o de adultos.

Roubos de identidade têm atormentado milhares de crianças com dívidas que nem desconfiam que contrataram – e algumas delas rolam por anos até que descubram que suas informações pessoais foram usadas de forma indevida, aponta estudo.

Em um banco de dados com 42.232 crianças compilado por uma empresa de proteção de identidade, 4.311, ou 10,2% do total, tiveram seus números de seguridade social usados por alguém, de acordo com o relatório Child Identity Theft produzido por Richard Power, pesquisador associado da universidade americana Carnegie Mellon.

Em um caso, uma adolescente de 17 anos teve seu número de segurança social usado por oito pessoas diferentes, em dívidas que somavam 725 mil dólares. Em outro caso, um garoto de 14 anos tinha um histórico de crédito de dez anos que incluíam uma hipoteca de 605 mil dólares, de acordo com informações fornecidas a Power pela empresa de proteção de identidade All Clear ID.

O estudo analisou os tipos de documentos nos quais os números de segurança social apareceram. Descobriu-se que 70% vieram de propostas de empréstimo ou pedidos de cartão de crédito; 18%, de contas como água e luz; 5%, de registros de propriedades, empréstimos e hipotecas; 4%, de carteiras de motorista; e 2%, de registro de veículos.

Proporção alarmante
Power destaca que, enquanto uma a cada dez crianças do banco de dados teve sua identidade roubada, apenas 0,2% dos adultos caiu vítima do mesmo golpe. O contraste levanta questões importantes, afirma o pesquisador. “Será que os números de seguridade social de crianças são uma mercadoria quente?”, escreveu. “Será que os ciberciminosos os preferem?”

A resposta, por enquanto, é que ele não sabe – e não poderá saber até que seja produzido um estudo que possa ser extrapolado para a população em geral. Power diz que ele e outros na Universidade Carnegie Mellon pensam em fazê-lo, mas nada foi planejado ainda.

Enquanto isso, não faz muita diferença a porcentagem de identidades infantis roubadas, diz Power. Se você for vítima disso, viverá um pesadelo, e a maioria das pessoas sequer considera tal golpe como uma possibilidade. “Uma segunda dimensão [da pesquisa] é levantar a preocupação em relação a essa questão”, afirma.

Em alguns casos, os pais com nomes sujos usam os números de seguridade social de seus filhos para abrir contas em empresas de serviços públicos, como água e luz, sem a intenção de prejudicar a situação cadastral dos filhos, explica o CEO da All Clear ID, Bo Holland.

Em outros casos, criminosos usam os números para obter lucro. Alguns são usados por pessoas que, por estarem ilegais nos EUA, tentam obter crédito e comprar casas e carros.

O banco de dados usado no estudo continha dados de pessoas com menos de 18 anos e que foram listadas nos arquivos de 800 mil pessoas da All Clear ID cujas informações pessoais foram usadas indevidamente. A empresa é contratada por empresas que caem vítimas de vazamento de dados e querem oferecer alguma proteção àqueles que podem ter-se tornado vítimas, explica Holland.

Recomendações da Sophos para segurança no Facebook

Aqui fica a referência para o site da Sophos com algumas dicas de como pode proteger a sua informação pessoal contra ataques de roubo de identidade e perda de informação pessoal.