Google Play hospeda falsos aplicativos de Bancos brasileiros

Demorou, mas aconteceu. Cibercriminosos brasileiros já miram seus ataques aos usuários de internet banking móvel, e como esperado, o Android foi a plataforma escolhida. Depois de páginas de phishing em formato móvel, chegou a vez de aplicativos maliciosos publicados na loja do Google Play. Depois da denúncia de um usuário encontramos 2 delas na Play Store, ambas usando o nome de Bancos locais, com funções de roubar credenciais de acesso dos usuários que instalassem esses aplicativos. Esses são tecnicamente os primeiros trojans desenvolvidos por cibercriminosos brasileiros atacando a plataforma Android.

Os aplicativos podiam ser encontradas junto aos aplicativos legítimos - um deles estava hospedado na loja desde o dia 31 de Outubro e registrou mais de 80 instalações, já o segundo estava publicado desde o dia 10 de Novembro e registrava apenas 1 instalação.

Ambos os apps estavam publicados em nome do usuário “Governo Federal”:



Ambos os aplicativos foram desenvolvidos usando o framework "App Inventor", que permite facilmente a qualquer usuário, mesmo os que não possuem conhecimento em programação Java de criar uma aplicação ativa. O resultado geralmente são apps de tamanho grande, com muito "código lixo". Os apps desenvolvido nesse framework contém diversas funções suspeitas, mas para os 2 aplicativos maliciosos encontrados ambos possuiam apenas as funções de carregar figuras e uma URL.

Depois de instalados ambos aplicativos ativam funções de acesso TELNET ao dispositivo, além de realizar o comando de se conectar a um site legítimo de uma empresa, mas que foi alterado para hospedar as páginas de phishing em formato móvel.


A página de phishing em questão seriam abertas pelos aplicativos maliciosos como um iframe, porém algum bom samaritano as removeu do ar, deixando um aviso bastante interessante no site, que era exibido dentro dos apps quando abertos:








Tal fato obviamente tornou o golpe não funcional, mas o fato da publicação de apps maliciosas usando o nome de bancos conhecidos, na loja oficial do Google demonstra a facilidade com que cibercriminosos possuem para publicar conteúdos maliciosos por lá.

Fonte: Kaspersky

Read More

Detento é solto após enviar ordem falsa por e-mail para equipe da prisão

Um detento que estava na prisão por múltiplas acusações de fraude aparentemente voltou a usar seus velhos truques. Neil Moore, 28, obteve um celular ilícito, fingiu ser funcionário do tribunal e enviou um e-mail com instruções falsas de fiança para a equipe da prisão – e foi solto.

Segundo a BBC, Moore estava detido na prisão de Wandsworth, Reino Unido, por fingir ser funcionário dos bancos Barclays, Lloyds e Santander, convencendo organizações a lhe darem quase US$ 3 milhões.

Em sua artimanha mais recente, que um juiz de primeira instância descreve como “engenhosa”, Moore configurou um domínio web falso muito parecido com o endereço oficial do tribunal. Ele registrou o site falso em nome de um investigador; o endereço e detalhes de contato eram dos Tribunais Reais de Justiça.

Moore usou o domínio para enviar e-mails à prisão com instruções para a sua soltura. O engano foi descoberto três dias depois, quando procuradores foram entrevistar o detento, apenas para descobrir que ele não estava mais lá.

E onde está Moore? Bem, parece que ele se sentiu culpado, porque se entregou apenas três dias depois de descobrirem sua ausência. Ele será sentenciado em 20 de abril por oito crimes de fraude e uma acusação de fuga.

Fonte: Gizmodo

Read More

Falhas em sites limitam ampliação do acesso digital a bancos

O governo sempre pensou no uso do celular como ferramenta para ampliar a bancarização da população de baixa renda, mas os sites dos quatro maiores bancos do País - Banco do Brasil, Caixa, Bradesco e Itaú - apresentam erros graves que inviabilizam a navegação justamente para os mais pobres.

Pesquisa da empresa deviceLab apontou falhas que inviabilizaram o uso dos sites, como alerta de site não confiável exibida nos navegadores Chrome e Firefox, botões sem função ao toque e teclado do aparelho que sobrepunha campos e áreas de clique.

Das 552 falhas encontradas, 31,2% foram no site do Bradesco, 26% do BB e 25,2% da Caixa. O Itaú ficou com uma parcela menor de erros (17,6%) por ter um sistema mais eficaz de busca de agências no site quando acessados por celular ou tablet. Nenhum dos quatro bancos usam o recurso da geolocalização para indicar, pelo site, a agência mais próxima de onde o cliente está.

A avaliação foi feita, de 23 a 28 de janeiro, com um software especializado em testes automatizados em dispositivos reais, chamado blink. O estudo analisou simulação de crédito imobiliário, busca por agência, página inicial e acesso ao internet banking.

Um dos problemas apontados foi a lentidão para o carregamento da página principal do recém lançado site da Caixa. Em geral, o site leva mais do que um minuto para carregar independentemente do aparelho e do navegador utilizado - de 10 a 20 segundos já é acima do limite considerado aceitável.

Ao digitar o nome do banco direto no navegador, os outros três bancos - BB, Bradesco e Itaú, sugerem com insistência o download do aplicativo do internet banking. O pior é que os bancos públicos não permitem que o cliente acesse sua conta pelo navegador do smartphone e avisam que isso só é permitido pelo aplicativo.

A sugestão de download de um aplicativo de forma tão incisiva torna-se arriscada à medida que o usuário médio brasileiro possui aparelhos antigos e conexão de péssima qualidade, concluiu o estudo.

Para Leandro Ginane, presidente da deviceLab, faltam aos bancos planejamento e testes antes de lançar uma nova versão dos sites.

Ele explica que geralmente os testes são feitos em aparelhos de última geração, com conexão wifi e grande capacidade de memória para suportar cinco ou seis aplicativos rodando simultaneamente em segundo plano.

"A realidade do País é totalmente distinta: a maioria da população pertence à classe C e utiliza celulares menos modernos para acessar bancos, e-commerce e ao mesmo tempo conversar com amigos pelas redes sociais, tudo isso com uma conexão precária", afirma Ginane.

Fonte: Info

Read More

Falha em sistema do BB e Bradesco expõe dados dos usuários

Falhas na segurança dos sistemas do Banco do Brasil (BB) e do Bradesco nos últimos dias podem ter exposto dados de milhões de usuários, segundo informações do jornal Folha de S. Paulo.

De acordo com o jornal, as falhas foram identificadas pelo analista de sistemas Carlos Eduardo Santiago, que afirmou ter informado aos bancos sobre a situação.

No caso do BB, até a última quinta-feira (22), qualquer pessoa com acesso à área de seguros pessoais poderia acessar dados dos clientes como CPF, nome, endereço, agência e número da conta apenas ao alterar um código.

Segundo o especialista, mais de um milhão de usuários podem ter tido seus dados expostos pela falha.

Pelo site do Bradesco, segundo Santiago, a falha ainda se encontra ativa. Por meio desta brecha é possível visualizar boletos bancários gerados pela instituição com os dados dos clientes, por meio de uma simples consulta no Google.

Além das falhas nos bancos, o jornal também cita brechas similares no site do serviço de pagamento Moip e na página da Boa Vista Serviços, responsável por administrar os cadastros do SCPC (Serviço Central de Proteção ao Crédito). Neste último serviço, podem-se consultar as dívidas relacionadas a qualquer CPF.

Segundo o jornal, o BB afirmou que a falha já foi corrigida e não há nenhum registro de risco para seus clientes. Já o Bradesco disse que não se trata de uma falha, uma vez que não é possível alterar dados dos boletos.

O Moip afirmou que já solicitou ao Google a não indexação de seus dados nas páginas de busca. E a Boa Vista disse reconhecer que a consulta de CPFs era possível, mas alegou que a função já foi desativada.

Fonte: Revista Info

Read More

Banco aumenta segurança de e-mail após espionagem dos EUA

A maior operadora de telecomunicações da Alemanha disse nesta sexta-feira que começará a canalizar o tráfego de e-mails exclusivamente através de seus servidores domésticos, em resposta à indignação pública com a revelação de programas norte-americanos de espionagem que acessam mensagens privadas dos cidadãos.

A Deutsche Telekom lançou a campanha "e-mail feito na Alemanha" após um mês de matérias sendo publicadas sobre a espionagem dos Estados Unidos, com base nos documentos vazados pelo fugitivo Edward Snowden, ex-funcionário terceirizado da Agência Nacional de Segurança dos EUA(NSA, na sigla em inglês).

O escândalo, abordado nos jornais alemães durante semanas, tornou-se uma grande dor de cabeça para a chanceler Angela Merkel, antes das eleições de 22 de setembro.

A espionagem feita por governos é um assunto sensível na Alemanha, em função da pesada vigilância feita pelos nazistas no regime de Hitler e sobre os cidadãos da antiga Alemanha Oriental comunista.

"A campanha de espionagem abalou profundamente os alemães", disse o presidente-executivo da Deutsche Telekom, Rene Obermann, em uma coletiva de imprensa em Berlim nesta sexta, durante o lançamento da iniciativa com o objetivo de tornar as comunicações por e-mail no país "mais seguras".

A Deutsche Telekom e sua parceira United Internet, que detêm cerca de dois terços de todos os usuários de e-mail na Alemanha, disseram que iriam garantir a criptografia de todos os e-mails dos clientes.

A companhia, que chegou a deter o monopólio das telecomunicações no país e na qual o Estado alemão continua a ser o maior investidor, com uma participação de 32 por cento, afirmou que todo o processamento e armazenamento de dados acontecerá na Alemanha.

A revista alemã Der Spiegel publicou em junho que os Estados Unidos acessam meio bilhão de telefonemas, e-mails e mensagens de texto da Alemanha em um mês típico, citando um documento da NSA.

Fonte: Revista Info

Read More