Obtendo todas as informações de uma pessoa através de métodos legais e públicos

E ai pessoal!

Dando uma lidinha em algumas coisas voltadas para engenharia social acabei me deparando com este newsletter do Social-Engineering.org em particular, que descreve um caso REAL de obtenção de informações, para ser mais preciso, TODAS AS INFORMAÇÕES de uma pessoa.

Pelo tamanho e peculiaridade da informação não vou traduzir, vou apenas postar o link e você que leia por sua conta e risco. O propósito do texto é apenas para quesitos informacionais.

Neste exemplo, a partir de um email de spam de uma empresa local, o engenheiro social conseguiu obter todas as informações pessoais do dono do spam e de sua família, apenas com informações previamente públicas e um pouco de intuição.

O texto que me refiro é o que tem como título "An Invasion of Privacy"

Fique com o texto:

http://www.social-engineer.org/newsletter/SocialEngineerNewsletterVol02Is09.htm

Read More

Dicas valiosas de engenharia social

E ai pessoal!

Segue ai um baita post, um tanto antigo, de engenharia social que encontrei aqui. Mas como eng. social não envelhece, ai vai.

Este post eu achei lá no Viva o Linux, postado lá pelo usuário cytron. Vou postar a primeira parte aqui e se interessar acesse o link no fim do post e leia o resto, vale muito a pena.

E fique com o post:

AVISO

Este artigo se destina a alertar quanto a importância que se deve dar aos fios de telefone... e hoje em dia, também às ondas de rádio. 

Estamos cercados de fios, mas é tão comum que nem percebemos o quanto estamos expostos. 

As técnicas apresentadas neste artigo são altamente eficazes, não é aconselhável utilizá-las para fins maliciosos. 

Lembre-se: A arma mais perigosa é a inteligência humana. Você pode escolher utilizá-la para o bem ou para o mal. Mas sempre há recompensas ou conseqüências. 

Vou abordar aqui as possibilidades e falhas dos fios. 

PEGANDO OS PRIMEIROS LUGARES NAS FILAS

Esta é uma das técnicas que eu mais uso, odeio chegar no banco e encontrar aquela fila que mais parece distribuição de dinheiro. 

Quando chegar no banco ou qualquer outro estabelecimento que utilize senhas, encontro todos sentados com suas senhas na mão. Daí vá direto para as cadeiras, não pegue senha, se observar, vai perceber que alguns números são chamados, mas ninguém aparece pois perderam a paciência e foram embora ou erraram de fila. É aqui que você entra. Ao perceber que um determinado número não levantou ninguém, você finge que é seu número. Quando chegar no terminal, exponha rapidamente seu objetivo, geralmente metade das pessoas nunca entrega as senhas para o atendente, eles já se acostumaram com isso. E como o verdadeiro dono da senha não está presente, tanto faz se você é o não a pessoa. 

Estou tão habituado a fazer isso que geralmente pego a senha e guardo, depois de atendido, observo quem chega por último na fila e entrego minha senha para esta pessoa, daí ela é atendida com antecedência. Geralmente escolho idosos ou alguém que mereça ser atendido logo. 

Outra maneira interessante é estar de acompanhante na fila com um amigo, daí quando estiver perto de ser atendido, você oferece seu lugar para os últimos da fila... ou essa cortesia pode ser o início de um ataque maior de engenharia social no office-boy da empresa vítima... tudo depende de sua necessidade e criatividade. 

Portanto, se alguém te oferecer lugar na fila, lembre-se disso se ele começar a puxar assunto mesmo que seja dias depois. 

E caso um espertalhão faça isso na fila de sua empresa... bom, minha sugestão é que deixe passar, afinal, se não é um... é outro. Tanto faz. 

Para ver o texto completo acesse o Viva o Linux

Read More

Engenharia Social: Como obter verdades

Mais um post antigo do Fórum sobre engenharia social!

Confere ai!

Mais uma do Dr. David J. Lieberman!

O Texto é relativamente grande, mas vale a pena ler.


1. Não acuse - Insinue: O objetivo é fazer uma pergunta que não represente nenhuma acusação, mas que insinue o possível comportamento da pessoa.

Exemplo de uso:

Suspeita: Você acha que seu (a) namorado (a) foi infiel na noite passada.

Pergunta incorreta: "Você andou me traindo?"

Pergunta correta: "Aconteceu alguma coisa diferente na noite passada?"

Observe sua expressão corporal e alguma possível pista de preocupação e nervosismo com sua pergunta. Qualquer resposta do tipo: "Porque perguntou isso?" ou "Alguém te falou alguma coisa?", seguidas de um certo nervosismo, indicam forte preocupação por parte da pessoa. Ela não estaria preocupada em saber porque você está fazendo tal pergunta, a menos que pense que você pode estar sabendo o que ela não quer que você saiba.

2. Situação semelhante: Aqui você vai apresentar uma situação semelhante à que suspeita que esteja acontecendo. O bom é que vai poder falar sobre o assunto sem parecer acusatório.

Exemplo de uso:

Suspeita: Você acha que seu (a) namorado (a) está lhe traindo.

Pergunta incorreta: "Você está me traindo com Fulana (o) de Tal?"

Pergunta correta: "Sabe, minha (meu) amiga (o) Fulana (o) de Tal me disse que está muito desconfiada (o) do (a) seu (sua) namorado (a). Ela (e) tem quase certeza que ele (a) está cometendo uma traição. Ele (a) fica muito estranho (a) e nervoso (a) quando ela (e) fala sobre histórias de traição. O que você acha disso?"

Se a pessoa for culpada, ficará preocupada, constrangida ou embaraçada e vai querer rapidamente mudar de assunto. Porém, se a pessoa achar que sua pergunta é interessante e ela for inocente, poderá iniciar uma conversa a respeito da pergunta. Esta é uma forte indicação de inocência, porque ela não tem receio de discutir o tema e não está investigando por quê você faz a pergunta.


3. Não é surpreendente?: Como no exemplo acima, aqui você vai abordar o assunto, mas de uma forma geral. Nos permitirá uma grande percepção de culpa ou inocência da pessoa.

Exemplo de uso:

Suspeita: Você desconfia que seu (sua) noivo (a) está saindo com outra (o)

Pergunta incorreta: "Você está saindo com outra (o)?"

Pergunta correta: "Olha que absurdo... Hoje minha (meu) amiga (o) Fulana (o) de Tal me contou que pegou seu (a) noivo (a) com outra (o). Não é impressionante como alguém consegue ser infiel e não ter receio de ser desmascarado?"

Quaisquer respostas que demonstrem reações de embaraço, nervosismo ou constrangimento, seguidas de perguntas como: "Por que está me perguntado isso?", além de tentativas de mudança de assunto, demonstram grande carga de preocupação e culpa.

4. Atacando o ego da pessoa. Aqui vamos usar o ego da pessoa contra ela própria. Vamos dizer a ela que jamais seria capaz de confessar, pois está sendo 'pressionada' por outra pessoa à não dizer a verdade e que essa pessoa manda nela. Esta técnica é muito usada por policiais.

Exemplo de uso:

Suspeita: Você tem quase certeza que Fulano (a) roubou sua empresa

Pergunta incorreta: "Vai confessar que roubou minha empresa, ou não?"

Pergunta correta: "Acho que já sei qual é o problema: Você não me diz a verdade porque alguém manda em você. Você não tem o poder para decidir isso. Tem outra pessoa por trás disso e você não quer 'ficar mal' com ela, não é?"

O mais incrível é que geralmente as pessoas acabam confessando e se sentindo orgulhosas de ter feito isso.

5. Indução: Aqui está uma poderosa técnica. Particularmente, já utilizei e obtive ótimos resultados. Elabore uma pergunta que restrinja sua resposta a algo que a pessoa pense ser positivo, de forma que ela não se importe em responder sinceramente.

Exemplo de uso:

Suspeita: Alguém viu seu (a) namorado (a) numa festa na noite passada.

Pergunta incorreta: "Você andou fazendo festa escondido de mim?"

Pergunta correta: "Ontem, você chegou em casa após as 24h, não foi?"

Se a pessoa tiver ficado em casa, ficará livre para responder, mas se tiver, realmente saído, mesmo assim se sentirá a vontade em responder sinceramente, porque você deu a entender que já sabia e não havia problemas. O fato de a pessoa ter voltado para casa de madrugada não está em questão. O importante é que você conseguiu a resposta à verdadeira pergunta.


6. Bumerangue psicológico: Com esta técnica, você diz à pessoa que ela fez algo bom, e não mau. Assim, ela ficará, completamente livre para lhe dizer toda a verdade.

Exemplo de uso:

Suspeita: Você suspeita que fulano (a) está roubando sua empresa.

Pergunta incorreta: "Fulano (a), você anda me roubando?"

Pergunta correta: "Ei, Fulano (a)! Acho que podemos nos tornar sócios muito ricos! Parece que você, ultimamente, tem 'passado à perna' em mim, mas está tudo bem. Nós podemos trabalhar juntos, seu (sua) espertinho (a)! Me conte mais sobre suas incríveis técnicas... Quero aprender tudo!"

Você quer aparentar que está contente por saber o que a pessoa está fazendo. Ela não terá saída e vai se abrir para você.

Outro exemplo: (Utilizado em entrevistas para emprego)

Suspeita: Você suspeita que o candidato à vaga oferecida mentiu sobre as informações em seu currículo.

Pergunta incorreta: "Fulano (a), você andou colocando informações falsas em seu currículo?"

Pergunta correta: "Fulano (a), nós dois sabemos que todo mundo inventa um pouco sobre seu currículo. Pessoalmente, acho que isso demonstra coragem, porque a pessoa não tem medo de assumir novas responsabilidades. Me diga, quais partes em que você foi mais criativo no seu currículo?"

7. Paranóia: Esta técnica de sugestão é muito poderosa e pode induzir a um estado temporário de paranóia na pessoa - principalmente se várias pessoas falarem a mesma coisa.

Exemplo de uso:

Suspeita: Você suspeita que sua (seu) colega de trabalho está roubando o material de escritório da empresa

Pergunta incorreta: "Fulana (o), você anda roubando o material de escritório?"

Pergunta correta: "Fulana (o), acho que todo mundo já sabe sobre o material. Já reparou que, às vezes, eles ficam encarando você?"

Se ela for mesmo culpada, vai se sentir encarada por todos e logo passará a aceitar a sugestão de que todos já estão sabendo do roubo. Você poderá verificar isso na sua expressão corporal de tensão e pavor, seguida de uma atitude de desconfiança diante das pessoas. Caso ela não seja culpada, não demonstrará nenhuma atitude e apenas vai achar que você está brincando com ela.

Postado originalmente por mim no fórum da Brutal Security.

Fonte original, livro do Lieberman

Read More

Segurança Digital - Empresas

Algumas pessoas nomeiam a época atual em que vivemos, como a “Era da informação”, pois tivemos milhares de avanços dentro da sociedade, principalmente nas formas de comunicação entre as pessoas, melhoras na medicina, expectativa de vida das pessoas maiores, o surgimento de várias empresas e outros eventos que contribuíram para a nomenclatura desta época.

Porém, apesar dos avanços que já tivemos, ainda somos falhos quando se trata de segurança, sendo essa pública ou de informação. Em uma rápida observação em qualquer grande portal de notícia em seu histórico de notícias e também as mais atuais vocês verão um grande número de notícias falando sobre vazamento de dados, graças a invasões por parte de Crackers a Sistemas de Grandes e médias empresas, sendo elas de qualquer setor. Só esse exemplo de pesquisa, já deixa exposta a falta de segurança relacionada a dados de usuários, pois no final, são sempre eles os verdadeiros prejudicados pela imprudência destas empresas.

Graças a grande variedade de ataques existentes, a cada dia, se torna mais difícil garantir a proteção de dados de seus clientes por parte das empresas, pois estas, não se percebem a verdadeira gravidade que é exposta pela falta de investimentos nos setores de segurança da informação. E por esta razão, Cybers Criminosos se aproveitam e até mesmo se arriscam ao efetuar ataques diretamente por parte de engenharia social, expondo seus rostos para suas vitimas, mas é claro, sem que elas saibam suas verdadeiras intenções.

Mesmo sabendo que poderão um dia se tornar vitima de cybers criminosos, as empresas simplesmente ignoram o fato de não oferecem segurança aos dados de seus clientes, pela ideia vaga de que “se nunca aconteceu, não tem porque se preocupar”, e no final, quando se tornam vitimas, acabam sendo processadas pelos clientes e algumas chegando até mesmo a abrir falência, por falta de recursos, e de clientes que vieram a se afastar, por culpa da falta de segurança oferecida por estas empresas. Só percebem que os prejuízos causados por estas “invasões”, podem chegar à casa dos milhões, quando já estão sofrendo as consequências e o preço pela imprudência.

É importante ressaltar que além de sistemas inseguros, haverá também funcionários língua solta. Onde, em rápida conversa, poderão fornecer informações de produtos ou serviços que a empresa planeja oferecer para os clientes futuramente, e ao expor estas informações para desconhecidos, estará prejudicando a empresa. Pois informações como esta, poderão ser comercializadas, afinal, é apenas espionagem industrial.

Mas deixando claro que não estou generalizando, pois existem empresas que realmente se preocupam com as consequências que a imprudência poderá trazer, e investem pesado na segurança de seus sistemas e em treinamentos para seus funcionários, pois o risco não está apenas na falta de segurança dos sistemas, mas também, na falta de segurança imposta pelos funcionários, pois os engenheiros sociais poderão aproveitar-se de funcionários facilmente manipuláveis. Mas ao investir em treinamentos e mais segurança, poderá evitar que este tipo de ataque venha a ocorrer. Estes são princípios básicos de riscos que os Empresários deveriam conhecer.

Identificando Empresas inseguras

Como qualquer pessoa que valoriza cada centavo que ganha, se preocupa em como gastar seu dinheiro, e principalmente, que não seja em algo sem importância, também deveria se preocupar em onde ela coloca seu dinheiro, precisamente, na segurança que o local oferece para os dados pessoais da pessoa.

Observe bem o que direi, em minha experiência em Segurança da Informação que venho adquirindo com os anos, tenho observado cada local onde coloquei meus dados pessoais, não somente se atentando a lojas virtuais onde fiz compras, ou mesmo em sites ou serviços que assinei, mas sim, em empresas físicas no qual depositei meus dados. Também observo os locais onde foram feitos negócios entre meus familiares, a forma que eram tratados, a forma que os funcionários agiam, o comportamento do local, a organização do local, a forma que os dados eram armazenados, a segurança dos sistemas da empresa e a segurança física dos documentos, tudo foi analisado, pois sempre me coloco como observador nestas situações, pois é um hobby que tenho. Pois bem, nessa analise, conclui que cada empresa física no qual acompanhei negociações de meus familiares, são completamente inseguras, quando se tratam do tratamento de informações. 

Sendo assim, definir um padrão para cada uma:

• Sem o tratamento correto de lixo: Veja bem, parece loucura observar o lixo das pessoas, mas na verdade não é, pois o lixo da pessoa, revela muito sobre ela, imagina então o lixo de uma empresa? Por padrão, são guardadas cópias de documentos (processos, Documentos pessoais de Clientes, entre outros) impressos, e quando a cópia sai com defeito (sujo pequeno na página, por exemplo), simplesmente é amassado o papel e jogado no lixo. Sendo que informações assim são valiosas demais para empresas concorrentes e espiões industriais.
• Funcionários de hierarquia inferior tem acesso a informações que não deveriam e são Língua Soltas: Pois bem, é tão comum achar funcionários assim em qualquer empresa em que você visita que chega a ser quase obsoleto falar sobre. Mas veja bem, encontrar um funcionário língua solta pode ser comum, mas encontrar um funcionário assim, com informações sobre produtos que apenas pessoas que trabalham neles, deveriam saber isso já não é comum. Isso pode fielmente prejudicar o desenvolvimento a empresa e seu crescimento. Também pode ser classificado como vazamento de informações.
• Sistemas infectados por Malwares: Qualquer técnico em informática por ai, sempre se depara com computadores infectados de seus clientes, isso é até relevante. Mas uma empresa possuir computadores infectados, e principalmente, sem a segurança adequada para os sistemas, e ainda tratar de informações que são de seus clientes, isso, é uma grande imprudência. Pode gerar processos judiciais, se tais dados simplesmente vazarem.
• Acesso aos dados de clientes liberado para qualquer um: Algo que não deve ser feito em hipótese alguma, é permitir que qualquer pessoa tenha acesso livre aos dados de clientes. E isso ocorre com tanta frequência, que chega a assustar, pois o risco de alguém que não trabalhe na empresa ter acesso a esses dados, é muito grande, sendo que nem seria necessário enganar alguém, bastava invadir um dos computadores.
• Falta de Segurança nos Computadores: Se os computadores estão infectados por Malwares, isso já é a prova de que não existe uma politica e muito menos práticas de segurança dentro da empresa. Ou seja, está tudo exposto para quem quiser entrar, aliais, seria até simples demais.

Tudo que foi citado acima ocorreu na vida real, ou melhor, durante algumas visitas que fiz durante algumas negociações de alguns familiares meus. Certamente é algo que realmente assusta só de pensar, a falta de prudência e Respeito com seus clientes, por causa da falta de investimento no setor de segurança da informação e de treinamento para os funcionários.

Mas com certeza você deve está se perguntando, "O que isso tem haver com Segurança Digital?", certamente, tudo. Pois um cyber criminoso pode muito bem ir em busca de informações em um lixeiro de alguma empresa, e se achar, poderá compartilhar estas informações na internet, tornando-a basicamente públicas para todos. Ou poderá utilizar os dados para a prática de extorsão. Por este motivo, quando um lixo gerado a partir de cópias incompletas de documentos consideráveis sigilosos, deve-se imediatamente queimar todas as cópias incompletas, em vez de só amassar e jogar no lixo. Assim, existirá a garantia de segurança. 

Você investe, você cobra

Por direito do cidadão, você tem todo o direito de reclamar a falta de segurança que a empresa oferece para seus dados, além disso, você também deve cobrar melhorias por parte destas empresas, afinal, você está investindo dinheiro e está expondo seus dados, você e mais centenas de clientes fazem a empresa funcionar, ou seja, o poder de pedir melhorias está com você.

Inicie uma Conversa com algum funcionário, pergunte sobre coisas mais sigilosas da empresa, caso seja revelado algo, denuncie o funcionário para a diretoria, pois ele é uma garantia de que haverá vazamento de informações. Também, busque saber quais soluções de segurança são usadas pela empresa para manter seus dados seguros. Procure se informar quando foi feita a ultima auditoria de Segurança nos sistemas da empresa. Afinal, você será o maior prejudicado, caso haja alguma invasão no sistema deles.

Se você é empresário ou sócio de alguma empresa, e leu este artigo e ficou em dúvidas sobre a segurança de sua empresa? Não fique em dúvidas, busque soluções que venham a favorecer seus clientes, pois é melhor prevenir do que remediar na maioria das vezes.

Oferecemos Serviços de Teste de Invasão e Consultoria em Segurança, caso você possua uma empresa, primeiramente, veja nossa página sobre Testes de Invasão, e se sentir interesse, entre em contato conosco que poderemos esclarecer qualquer dúvida ou negociar, pois temos uma equipe muita boa a disposição.

É isso pessoal, qualquer dúvida, deixe um comentário ou entre em contato pelas redes sociais.

Até a próxima!

Read More

Importância da Engenharia Social

Impressiona-me como os ataques de Engenharia Social ainda são um dos maiores meios de acesso a informações utilizados pelos crackers.

Em pleno século XXI, pessoas que possuem grande nível de conhecimento nas mais diversas áreas da vida, ainda entregam-se a estes ataques, caindo nas armadilhas dos mais diversos tipos de salafrários virtuais.

Os ataques de Engenharia Social ocorrem de diversas maneiras, como por exemplo: através de apelos sentimentais, funcionários descontentes, redes de contatos e por incrível que pareça, até através do lixo. Isso mesmo, essa lixeira que está ai, do lado da sua mesa, pode conter informações valiosíssimas que podem cair nas mãos de mal intencionados, que com certeza, saberão como dar valor a esses papéis amassados.

A Engenharia Social é o que podemos chamar de “garimpagem de informações”. Através das técnicas desta engenharia, o cracker pode obter aquela informação tão preciosa que lhe dará o acesso ao que ele realmente precisa e busca.

As empresas, realizam grandes preparações para conter os mais diversos tipos de ataques, como vírus, worms, trojans, spywares, entre outras pragas virtuais. Porém, toda essa preparação deixa uma brecha que não existe software que possa conter. Esta brecha é dada justamente por aquele funcionário que está descontente e por esse motivo prefere ver a casa cair ou então por aquele funcionário exemplar, que ingenuamente, recebeu uma mensagem boba, que continha um link para um site que solicitava algumas informações cadastrais, inclusive para a criação de uma senha de forma manual.

E sabe qual a senha que o nosso funcionário exemplar cadastrou? Justamente, para facilitar a sua vida, ele cadastrou a mesma senha que ele usava para o acesso a rede interna da empresa e que ele não teria como esquecer.

Então, imaginemos o seguinte: o cracker agora possuia a senha de rede do nosso amigo funcionário exemplar. Um dos itens fornecidos no cadastro era o telefone comercial. O cracker em um momento posterior, então, contatou o nosso funcionário para confirmar alguns de seus dados cadastrais e realizar uma pequena pesquisa sobre hábitos de uso de softwares no trabalho.

A pesquisa do cracker começa com algo do tipo (fique tranquilo, é apenas uma perguntinha boba): “O Sr. utiliza softwares de que tipo (web, client)”? Agora o cracker começa a perguntar coisas mais interessantes, para ele, é claro: “Diga qual o software que o Sr. mais costuma utilizar dentro da empresa e qual o propósito deste software”?

Agora o cracker vai iludir o nosso funcionário, mostrando preocupação com a segurança das informações. “Claro que o Sr. sabe da necessidade de criar senhas para a segurança das suas informações. Ao mesmo tempo, o Sr. sabe das dificuldades de decorar estas senhas. O Sr. costuma sempre utilizar a mesma senha para acesso a todos os softwares da empresa”?

Agora, imaginemos que para esta pergunta, o nosso amigo funcionário tenha respondido sim. Eureca!!! Que prato cheio para o cracker. Agora ele sabe que para a maior parte dos sistemas utilizados na empresa, o nosso funcionário utiliza a mesma senha informada naquele “cadastrinho bobo” e sem nenhuma maldade naquele site “ingenuo” que o nosso funcionário acessou.

                            

E se ele tivesse dito: “Não, costumo utilizar senhas diferentes”. Quem sabe, o cracker teria oferecido uma maneira fácil para que o funcionário pudesse armazenar estas senhas, como por exemplo, crie uma pasta em sua conta de email e coloque todas as suas senhas lá. Enfim, o cracker sugeriria uma maneira prática para o armazenamento das senhas ou tentaria outras táticas de Engenharia Social para que pudesse descobrí-las.

Com certeza, se o funcionário seguisse a dica, isso facilitaria a vida do cracker quando invadisse a conta de email da vítima, pois lá estariam as senhas para os demais acessos aos outros sistemas da empresa.

Claro que aqui foi um exemplo bastante exdrúxulo, mas podem ter certeza, a maneira de abordar as vítimas não é tão diferente disso. Ao mesmo tempo, fico em dúvida se podemos chamar este indivíduo salafrário de cracker, já que ele não está utilizando nenhum software para invadir uma máquina ou roubar alguma senha. Ele apenas está usando a esperteza e se aproveitando da ingenuidade de alguém.

Obviamente como citei no inicio do artigo, as táticas de Engenharia Social são bem diversificadas, o que dificulta ainda mais o controle por parte das empresas. Pode ser que seja muito complicado para que a empresa consiga controlar o que os seus funcionários acessam ou o que conversam no telefone, mas seria bem mais fácil se houvesse alguma dica, enfim, que os funcionários fossem ao menos apresentados para a matéria Engenharia Social. Talvez, citar alguns exemplos, já serviria para uma diminuição nas invasões realizadas através desta prática.

Infelizmente, apesar de tantos exemplos de diferentes táticas utilizadas para a obtenção de senhas através da ludibriação dos colaboradores, as empresas ainda não estão dando a devida atenção a este tipo de ataque. Pelo menos, essa é a visão que até o momento eu tenho visto pelo mundo da www afora.

Adquirir softwares caros, investir nos melhores equipamentos, pagar os maiores salários, fazer backups instantâneos e diários de todas as informações. Tudo isso é formidável, mas imaginem, o seguinte: aquela informação da senha de rede foi passada ingenuamente por aquele funcionário exemplar, como falamos anteriormente. Aquele funcionário exemplar, que ganha um bom salário, casualmente trabalha no setor financeiro, tendo acesso, por exemplo, as contas da empresa. Com certeza, o meu melhor equipamento e o meu melhor software não vão conseguir barrar o acesso de um cracker que tenha obtido esta informação tão preciosa.

Pode levar alguns dias ou até algumas horas para que com essa pequena informação, o cracker obtenha o acesso as contas da empresa e leve parte do seu capital.

Obviamente, aqui eu quis apenas explicar e tentar demonstrar, mesmo que de forma grotesca, o que é, o que pode acontecer e como é importante praticar a Engenharia Social.

Portanto, sempre que possível, tentem, com o perdão da redundância, “Socializar a Engenharia Social”.

Passem adiante, a importância de praticar Engenharia Social. Não deixem de pecar pela falta de informação dos colaboradores da sua empresa. Dêem o valor e a atenção que este tema realmente merece.

Read More

Segurança Digital - Fraudes

Sexto artigo da série Segurança Digital!

Caso esteja começando agora a acompanhar nossa série, recomendo que leia os artigos anteriores, consultando nosso Guia.

Introdução

Desde os primórdios da civilização inteligente que temos hoje, podemos ir um pouco mais além, os anos anteriores ao nascimento de Cristo, já se praticava o ato de enganar e trapacear. Mas podemos caracterizar os tipos de Fraudes existentes na época como:

- Falsos Testemunhos

- Mercadorias de cunho Duvidoso

- Trapaças em Jogos

- Estelionato

- Furtos

- Adultério

Na história do Antigo Egito, por exemplo, em que mercadores enganavam ricos e nobres, vendendo para eles múmias falsas de gatos e pássaros sagrados para adoração de seus Deuses, em vez de um Cadáver de gato ou pássaro empalado, eles colocavam Pedras, palha e Ossos para enganar seus clientes. Era uma prática bem Comum até então.

Mas bem antes dos casos no antigo Egito, por volta de 1700 A.C., não é uma data exata, mas estima-se que nesse período, foi criado o primeiro Conjunto de leis pelo Rei Hamurabi da Primeira Dinastia Babilônica. No Código de Hamurabi é possível encontrar leis que condenam Fraudes e Enganações, o que nos leva a conclusão de que as Fraudes já vinham sendo praticadas a milhares de anos.

No Cristianismo, temos os 10 mandamentos como um conjunto de leis a serem seguidas, Tais como: o Sétimo Mandamento Não Adulterarás, o Oitavo Mandamento Não Furtarás, o Nono Mandamento Não Darás falso Testemunho contra teu próximo. A quebra de cada mandamento, na antiguidade, era punida com morte. Pois antes de ser escrito os Dez Mandamentos, o povo Hebreu praticava todo e qualquer tipo de crime entre si.

Na mitologia Nórdica, temos o Deus Loki, Todo poderoso Deus da Enganação e Trapaça, que sempre estava a perseguir Thor, mesmo sendo sempre punido por Odin. Mas não somente na mitologia nórdica, quase todas as mitologias pelo mundo, possuíam um Deus da Enganação e Trapaça. Mas o mais certo é que existem milhares de interpretações sobre as mitologias, o que por sinal, pode caracterizar com milhares de textos alterados, as tornando, também objeto de fraude.

Avançando um pouco no tempo, mas especificamente na idade média, as fraudes aconteciam graças a popularização das Letras, ou seja, graças a escrita que se tornou mais comum entre os mercadores. Através da escrita, era possível adulterar o Peso e as medidas de mercadorias como bebidas e alimentos, começando a era de fraudes documentais.

Mas não somente nas civilizações antigas, com o progresso tecnológico, e a evolução de cada área da civilização, temos uma nova modalidade de fraude infelizmente, uma nova estratégia para os golpistas se aproveitarem, as Fraudes Digitais. 

Engenharia Social

Observando atentamente ao que foi escrito já acima, você deve ter chegado a conclusão de que era necessário certa habilidade para persuadir as pessoas a caírem nas diversas tipos de fraudes, e que o golpista, teria que ser certamente muito esperto para aplicar tais artimanhas. Posso dizer que você está certo. Tais habilidades podem ser naturais ou adquiridas.

Em engenharia Social é estudado as diversas formas do comportamento humano, tais como: vícios, rotinas, vontades, desejos, emoções, Sentimentos e principalmente o comportamento social. Tais objetos são estudados com o objetivo de criar uma espécie de abertura para um engenheiro social adentrar e manipular. A habilidade de um Engenheiro social pode ser natural ou adquirida.

A habilidade natural, não é algo surpreendente, é uma espécie de habilidade adormecida, como exemplo, uma criança de aproximadamente cinco anos de idade, que é capaz de persuadir seu pai ou mãe a comprar um brinquedo relativamente caro e sem tamanha importância para seu desenvolvimento humano. Mesmo o pai ou mãe negando um número relativamente grande de vezes, no fim, a criança faz uma birra e o que ocasiona na compra do brinquedo. Outro exemplo, é a capacidade da criança de conseguir tudo o que deseja, não em exclusividade a somente um brinquedo, mas também a roupa, comida, lugares para ir e a atenção dos pais, que na maioria desses casos, pode ser um pai ou mãe ausente. São exemplos de habilidades naturais primitivas. Alguns especialistas caracterizam essa habilidade aos sociopatas.

Enquanto que a habilidade adquirida, pode ser através de livros que aos montes tem disponível tanto em psicologia, como em psicanalise, pois são áreas que estudam e observam o comportamento humano. Mas a Diferença entre adquirir essa habilidade ou já possuir ela de forma natural, é que a natural é muito primitiva em relação à adquirida, porém, se alguém que possui a habilidade natural resolver desenvolver mais sua habilidade através da troca de conhecimentos, consequentemente, melhorará drasticamente.

Ambas, possuem o mesmo intuito, persuadir e manipular. Mas tais habilidades, não são somente usadas com más intenções. Essa habilidade Aplicada a área de vendas e comércio por exemplo, tem o intuito de aumentar as vendas e persuadir clientes a comprar certo produto. Ou então um corretor de imóveis tentando vender uma casa, utilizando essas habilidades para conseguir sucesso em sua venda. Há também Advogados que utilizam essa habilidade, especialistas em Segurança da Informação. O Certo é, Engenharia social é um Yin- Yang, pois tem um lado Bom e Ruim.

Para Aprender mais Sobre Engenharia Social, Leia nossos artigos já publicados!

Métodos e Golpes Digitais

Entre os Diversos Golpes que vieram dos primórdios da civilização antiga para a moderna, junto da Evolução Tecnológica, podemos destacar:

- Furto de Identidade: Mais comum dentre os Tipos de Golpes na internet, no qual o golpista obtém acesso ao computador da vitima através de Software Malicioso, adquirindo o controle de seu computador e seus arquivos. Muitos casos, requisitando um pagamento para devolver o controle do computador ao Usuário. Ou então, buscam informações bancárias e números de cartões de crédito, para venderem futuramente para outros golpistas.

- Phishing: É uma combinação de engenharia social, com técnicas de Hacking. Onde o Invasor, utiliza de sua habilidade em engenharia social, para obter a confiança de sua vitima, assim que obtém a confiança, ele utiliza de técnicas de hacking para obter informações de sua vitima através de página falsa de um banco ou rede social.

Para Saber mais Sobre Phishing, Leia este artigo!

Leia também: Hackeando Facebook Com SET

- Antecipação de Recursos: O golpista induz a vitima utilizando de Engenharia social, a antecipar o pagamento de certo serviço ou produto (no qual nunca chegará as mãos da vitima) e depois desaparece. Geralmente são valores relativamente altos.

- Sites Fraudulentos:Tecnicamente, golpistas criam lojas virtuais a fim de enganar um número relevante de pessoas, e adquirir dinheiro fácil e dados de cartões de créditos, vendendo produtos que na verdade, não possuem em seu estoque. No mercado eletrônico Brasileiro, existe uma diversidade de lojas que praticam este ato hediondo.

Leia o Artigo Sobre Segurança Digital - Compras e Vendas pela Internet

- Fraudes de Jogos: É muito comum encontrar na internet, pessoas em busca dos famosos Hacks de jogos, até mesmo pagar certa quantia por eles, é claro, tornou-se também uma fonte de lucro para os Golpistas, onde os mesmos, recebem o valor do hack, porém, os hacks não funcionam.

- Golpes de Sites de Relacionamentos: Se você é uma pessoa que assiste muito telejornais, ou navega por portais de notícias, já deve ter se deparado com os casos dos nigerianos que enganaram algumas Brasileiras, utilizando de perfis falsos para engana-las, se passando por europeus. Nesse tipo de golpe, eles “emprestam” certa quantia de mulheres bem resolvidas financeiramente, para poderem investirem na bolsa de valores ou pagar alguma “dívida” de sua empresa, e dizem que vão devolver quando se recuperarem economicamente. Mas na verdade, acabam por desaparecer.

Caso ainda não tenha lido o primeiro artigo da série Segurança Digital, Recomendo que leia!

Prevenção

Dentre as formas de se proteger de Fraudes, vamos listar apenas algumas neste capítulo, para o próximo, teremos mais tempo para fazer isso.

- Evite a navegação por sites de reputação negativa, geralmente, usuários já caíram em algum tipo de golpe ou invasão que o site proporcionava, mas decidiram compartilhar de tal risco com a comunidade na web. Procure se informar!

- A melhor forma de identificar um engenheiro social, é testando sua índole. Mas como fazer isso? Não é algo complicado, vejamos, analise seu perfil em rede social, procure ver se as fotos que ele publica já não existem listadas no Google com outros nomes. Procure também por publicações em que possuam fotos com a família ou amigos, e que aparentam ser reais, essa é uma forma de identificar um perfil falso. Pois perfis falsos, nunca possuem vinculo familiar ou circulo de amizade verdadeiro. Duvide também se tal perfil ou pessoa demonstrar ser aquilo que você sempre esperou, pois ele pode ter monitorado você por bastante tempo, afim de definir sua personalidade e criando um roteiro a seguir para ganhar sua atenção e confiança. Para verificar uma foto através do google, veja este artigo.

- Em caso de uma negociação com alguma pessoa pela internet, procure se informar sobre histórico de vendas ou trocas dessa pessoa.

- Para evitar sites Fraudulentos, leia este artigo da série: Segurança Digital – Compras e Vendaspela Internet

- Se você está iniciando no mundo Gamer, não tente achar um caminho mais fácil para se conseguir vencer em um jogo, pois o caminho fácil além de ser perigoso, pode trazer um presente indesejado para seu computador ou console.

- Caso esteja interessado(a) em começar um relacionamento via Internet, é muito importante saber com que está se falando do outro lado da tela de computador. A melhor forma de se fazer isso, é sempre conversar por Vídeo Chamada, evita a desconfiança e também aumenta a sua segurança, pois caso esta pessoa esteja com o intuito de lhe enganar, você terá uma imagem dele para poder futuramente denunciar aos órgãos de segurança.

- Sempre faça uma visita ao Catalogo de Fraudes da Rede Nacional de Pesquisa(RNP), para que você fique sempre informado sobre os golpes que vão surgindo, para poder se prevenir. No seguinte link:

http://www.rnp.br/servicos/seguranca/catalogo-fraudes

É isso pessoal ficamos por aqui, Espero que tenham gostado, compartilhem!

Qualquer dúvida, deixe um comentário que responderemos o mais rápido que pudermos!

até a próxima!

Read More

Os 30 sinais da mentira

Mais um post do antigo fórum. Este originalmente postado por mim na área de Engenharia Social.

Veja ai 30 sinais de mentira.

1. A pessoa fará pouco ou nenhum contato direto nos olhos;

2. A expressão física será limitada, com poucos movimentos dos braços e das mãos. Quando tais movimentos ocorrem, eles parecem rígidos e mecânicos. As mãos, os braços e as pernas tendem a ficar encolhidos contra o corpo e a pessoa ocupa menos espaço;

3. Uma ou ambas as mãos podem ser levadas ao rosto (a mão pode cobrir a boca,  indicando que ela não acredita - ou está insegura - no que está dizendo). Também é improvável que a pessoa toque seu peito com um gesto de mão aberta;

4. A fim de parecer mais tranqüila, a pessoa poderá se encolher um pouco;

5. Não há sincronismo entre gestos e palavras;

6. A cabeça se move de modo mecânico;

7. Ocorre o movimento de distanciamento da pessoa para longe de seu acusador, possivelmente em direção à saída;

8. A pessoa que mente reluta em se defrontar com seu acusador e pode virar sua cabeça ou posicionar seu corpo para o lado oposto;

9. O corpo ficará encolhido. É improvável que permaneça ereto;

10. Haverá pouco ou nenhum contato físico por parte da pessoa durante a tentativa de convencê-lo;

11. A pessoa não apontará seu dedo para quem está tentando convencer;

12. Observe para onde os olhos da pessoa se movem na hora da resposta de sua pergunta. Se olhar para cima e à direita, e for destra, tem grandes chances de estar mentindo.

13. Observe o tempo de demora na resposta de sua pergunta. Uma demora na resposta indica que ela está criando a desculpa e em seguida verificando se esta é coerente ou não. A pessoa que mente não consegue responder automaticamente à sua pergunta.

14. A pessoa que mente adquire uma expressão corporal mais relaxada quando você muda de assunto.

15. Se a pessoa ficar tranqüila enquanto você a acusa, então é melhor desconfiar. Dificilmente as pessoas ficam tranqüilas enquanto são acusadas por algo que sabem que são inocentes. A tendência natural do ser humano é manter um certo desespero para provar que é inocente. Por outro lado, a pessoa que mente fica quieta, evitando a todo custo falar de mais detalhes sobre a acusação;

16. Quem mente utilizará as palavras de quem o ouve para afirmar seu ponto de vista;

17. A pessoa que mente continuará acrescentando informações até se certificar de que você se convenceu com o que ela disse;

18. Ela pode ficar de costas para a parede, dando a impressão que mentalmente está pronta para se defender;

19. Em relação à história contada, o mentiroso, geralmente, deixa de mencionar aspectos negativos;

20. Um mentiroso pode estar pronto para responder as suas perguntas, mas ele mesmo não coloca nenhuma questão.

21. A pessoa que mente pode utilizar as seguintes frases para ganhar tempo, a fim de pensar numa resposta (ou como forma de mudar de assunto): "Por que eu mentiria para você?", "Para dizer a verdade...", "Para ser franco...", "De onde você tirou essa idéia?", "Por que está me perguntando uma coisa dessas?", "Poderia repetir a pergunta?", "Eu acho que este não é um bom lugar para se discutir isso", "Podemos falar mais tarde a respeito disso?", "Como se atreve a me perguntar uma coisa dessas?";

22. Ela evita responder, pedindo para você repetir a pergunta, ou então responde com outra pergunta;

23. A pessoa utiliza de humor e sarcasmo para aliviar as preocupações do interlocutor;

24. A pessoa que está mentindo pode corar, transpirar e respirar com dificuldade;

25. O corpo da pessoa mentirosa pode ficar trêmulo: as mãos podem tremer. Se a pessoa estiver escondendo as mãos, isso pode ser uma tentativa de ocultar um tremor incontrolável.

26. Observe a voz. Ela pode falhar e a pessoa pode parecer incoerente;

27. Voz fora do tom: as cordas vocais, como qualquer outro músculo, tendem a ficar enrijecidos quando a pessoa está sob pressão. Isso produzirá um som mais alto.

28. Engolir em seco: a pessoa pode começar a engolir em seco.

29. Pigarrear: Se ela estiver mentindo têm grandes chances de pigarrear enquanto fala com você. Devido à ansiedade, o muco se forma na garganta, e uma pessoa que fala em público, se estiver nervosa, pode pigarrear para limpar a garganta antes de começar a falar.

30. Já reparou que quando estamos convictos do que estamos dizendo, nossas mãos e braços gesticulam, enfatizando nosso ponto de vista e demonstrando forte convicção? A pessoa que mente não consegue fazer isso. Esteja atento.


Créditos : Dr. David J. Lieberman

Read More

Indicação: Mega lista de Filmes/Séries/Documentários que merecem ser assistidos

E ai pessoal!

Esta lista foi feita com a ajuda do pessoal do Grupo do Facebook da BS. Se não está lá corra e veja os conteúdos que rolam por la!

Esta lista foi feita com alguns critérios. Ser sobre hacking ou segurança da informação em geral, ter alguma ligação com o tema, ou em casos mais extremos, ser um bom filme sobre tecnologia.

Esta lista não está em ordem de prioridade ou qualidade, apenas na ordem que foi sugerida no grupo.

Vamos a lista:

Documentários

• DEFCON
• Citizenfour
• Hackers: Criminosos ou anjos
• Revolution OS
• We are legion
• The internet own boy
• Underground - Julian Assange
• O jeito Google de trabalhar
• Inside the dark web
• Hackers World: Anonymous Investigation
• The Pirate Bay: Away from Keyboard
• Cyberwar
• Downloaded
• We Steal Secrets
• Terms and Conditions May Apply

Filmes

• O jogo da imitação
• Enigma
• Piratas do Vale do Silício
• Trust
• Hackers 2: Operation Takedown
• A rede social
• 007 Skyfall
• Prenda-me se for capaz
• Traveling Salesman
• Matrix
• Firewall
• O quinto poder
• Vips (Brasileiro)
• Algorithm
• Wargames
• Eu robô (AI é algo próximo, então ta ai :D)
• Quebra de sigilo
• A chamada

Séries

• Scorpion
• CSI Cyber
• Numbers
• Tiger Team
• Silicon Valley

Esquecemos algum? Comente aqui no post com sua sugestão!

Um agradecimento especial ao Dimas Daros, Messias Bruno, Skyfall Schmitz, Daybson Bruno e Guilherme Alves que contribuíram com a lista!

Se você gostou compartilhe e espalhe a palavra da BS! :D

Read More

Técnicas avançadas para revelar a verdade: Os truques dos profissionais

Um baita post que eu mesmo publiquei no finado fórum da BS.

Só vou deixar um disclaimer aqui antes do post, nem sempre as técnicas descritas aqui vão funcionar, são muitos fatores que envolvem, até mesmo sua intonação de voz pode estragar tudo. Sem comentar que você pode estar completamente enganado. Suas ações são sua responsibilidade, não nos culpe por qualquer merd* que você possa se meter com isso. :D

               

As técnicas abaixo devem ser usadas caso você esteja muito desconfiado da pessoa e ela se recusa a confessar.


1. Céu e inferno: Esta técnica cria uma espécie de fobia na pessoa e a única saída é confessar a verdade para você. Aqui usamos as forças que moldam o comportamento humano: Dor e o Prazer nos seus limites para nos revelar a verdade. Exemplo de uso:

Se você acha que sua colega de trabalho está roubando o material de escritório da empresa. Você falaria: "Fulana, já sei da verdade. Sei também que você já está se arrependendo de ter feito isso. Podemos resolver isso agora. Você pode me contar tudo e esquecemos isso para sempre. Ninguém mais ficará sabendo e você continuará no seu emprego.

Mas, pode escolher um caminho mais doloroso: Posso ir até nosso chefe e falar para ele. Você sabe que isso seria demissão na certa, não é? Além do mais sua imagem ficaria suja. Imagina todos seus colegas comentando sobre o que você fez? Portanto, para o seu bem, me confesse agora e terminamos com isso de uma vez por todas".

Se vincularmos dor intensa e insuportável à idéia de mentir e prazer imediato à idéia de falar a verdade, ela só terá uma saída: falar a verdade!


2. Curto circuito: Com essa técnica você cria uma confusão mental na pessoa, enquanto implanta sugestões diretamente no inconsciente. Ela ficará confusa com a frase de abertura e entrará num leve transe enquanto você lança uma frase com comandos implícitos (estão em negrito) que serão completamente absorvidos pelo seu inconsciente. Exemplo de uso:

"Fulano (a), você pode muito bem acreditar nas coisas que pensava que sabia,  e, se você quer... dizer a verdade... ou... não quer dizer a verdade...a decisão é sua. Portanto, me... diga a verdade..., agora!"

Essa sentença é registrada pelo inconsciente em sua totalidade. Os comandos, "dizer a verdade", "diga a verdade" (Muito importante: o inconsciente não registra uma negativa - o 'não') e "agora" são enviados diretamente para o inconsciente, sem a pessoa - a parte consciente - se dar conta e mostrar resistência.

Outro exemplo:

Fulano (a). Eu não quero que você diga nada, a menos que, realmente, queira. E entendo que você já esqueceu o que havia pensado em querer, não é? Se estiver pensando consigo mesmo algo como... eu quero dizer à você, então simplesmente... diga ... Quando perceber que... esta é a decisão certa... você... irá me dizer a verdade... agora!

Importante:

• Antes e depois do comando - que está em negrito - você deve dar uma pausa

• Ao dar o comando, aumente um pouco a voz e utilize uma tonalidade descendente.

• Gesticule com as mãos ao dizer o comando.


Você também pode usar a técnica do curto circuito, com o intuito de apenas interromper a linha de raciocínio de uma pessoa. Utilize as frases abaixo quando quiser tomar o controle de uma conversa, ou temporariamente confundir a pessoa, enquanto você reúne seus próprios pensamentos. Abaixo você tem algumas frases que desenvolvi. Não esqueça de gesticular enquanto fala. Use com moderação. Se usar várias delas seguidas, poderá provocar uma forte confusão mental na pessoa.

• Porque você ainda acredita em algo que duvidava?

• Você, realmente, ainda acredita nas coisas que pensava que sabia?

• Você duvidaria menos se acreditasse mais nas coisas que imaginava que sabia?

• Você não lembra do que havia esquecido?

• Se acreditasse mais nas coisas que falou, duvidaria menos das coisas que escutou?

• Você acredita nas coisas que já sabia?

• Como pode acreditar nas coisas que pensa que sabia?

• Essa pergunta significa que você ainda duvida das coisas que imaginava serem verdadeiras, não é?

• Você acredita mesmo, que já sabia disso?

• Porque me perguntou algo que já sabia?

• Se você já acreditava nisso, porque pensou que têm dúvidas?

• Se você não esperava que eu acreditasse numa coisa dessas, porque me contou?

• Você está concordando com uma coisa que já sabia, não é?

• Como pode concordar de algo que acreditava ser mentira, antes mesmo de aceitar a verdade?

• Quanto mais você acredita nas coisas que duvidava, mais concorda com a possibilidade de que tudo não passou de uma grande mentira?


3. Criações do inconsciente: Esta técnica utiliza comandos implícitos de um modo totalmente novo. Você vai oferecer uma sugestão que cria uma ação perceptível. Exemplo de uso:

"Fulana, eu não estou dizendo que você deverá ...enrijecer seu corpo... se ...estiver mentindo" Se ela for mesmo culpada, o inconsciente se encarregará de dar uma resposta.


Créditos : Dr. David J. Lieberman

Read More

Aula de Engenharia Social com Kevin Mitnick na DEFCON

OK, esse vídeo é antiguinho já, pelo menos 2 anos já, mas sempre gosto de ver como o cara consegue facilmente obter informações de uma empresa.

Se já são poucas que se preocupam com Segurança da Informação de uma forma geral e estão preparadas, então imaginem quantas estão preparadas para ataques de engenharia social, muito menos.

Vou deixar ai então um video do mestre Mitnick mostrando como se faz na DEFCON:

Caso 100% real se você não percebeu. Necessário um conhecimento razoável de inglês para entender, acho.

Read More

Detento é solto após enviar ordem falsa por e-mail para equipe da prisão

Um detento que estava na prisão por múltiplas acusações de fraude aparentemente voltou a usar seus velhos truques. Neil Moore, 28, obteve um celular ilícito, fingiu ser funcionário do tribunal e enviou um e-mail com instruções falsas de fiança para a equipe da prisão – e foi solto.

Segundo a BBC, Moore estava detido na prisão de Wandsworth, Reino Unido, por fingir ser funcionário dos bancos Barclays, Lloyds e Santander, convencendo organizações a lhe darem quase US$ 3 milhões.

Em sua artimanha mais recente, que um juiz de primeira instância descreve como “engenhosa”, Moore configurou um domínio web falso muito parecido com o endereço oficial do tribunal. Ele registrou o site falso em nome de um investigador; o endereço e detalhes de contato eram dos Tribunais Reais de Justiça.

Moore usou o domínio para enviar e-mails à prisão com instruções para a sua soltura. O engano foi descoberto três dias depois, quando procuradores foram entrevistar o detento, apenas para descobrir que ele não estava mais lá.

E onde está Moore? Bem, parece que ele se sentiu culpado, porque se entregou apenas três dias depois de descobrirem sua ausência. Ele será sentenciado em 20 de abril por oito crimes de fraude e uma acusação de fuga.

Fonte: Gizmodo

Read More

Você conhece as principais táticas de persuasão usadas por hackers?

A Intel Security divulgou um relatório intitulado “Hacking the Human OS” (Invadindo o Sistema Operacional Humano) que revela as mais recentes técnicas de persuasão utilizadas por cibercriminosos para manipular os funcionários das empresas a fazerem coisas que eles normalmente não fariam, resultando na perda de dinheiro ou de dados valiosos.

Estima-se que o custo global com cibercrimes chega a uma estimativa de US$ 445 bilhões, fortuna que desperta o interesse e a criatividade dos hackers. A análise revela a extensão e a gravidade da engenharia social e a importância do treinamento em segurança corporativa. 

“O predomínio da engenharia social em muitos ataques demonstra uma fraqueza inerente na capacidade das vítimas de distinguir as comunicações mal-intencionadas, o que os criminosos estão utilizando métodos mais complexos para evitar o “firewall humano”, indica o relatório. 

Segundo dados da pesquisa, dois terços de todos os e-mails do mundo atualmente são spam, mensagens com o objetivo de extorquir informações e/ou roubar dinheiro, e 80% dos colaboradores são incapazes de detectar as fraudes de phishing por e-mail mais comuns e usadas com frequência.

O estudo também registrou um aumento dramático no uso de URLs maliciosas (com mais de 30 milhões identificadas até o final de 2014). O aumento é atribuído à utilização de novos domínios curtos, que frequentemente escondem sites maliciosos ou servem como phishing. 

Um estudo recente da Enterprise Management Associates constatou que apenas 56% de todos os funcionários das empresas passam por algum tipo de treinamento sobre segurança ou sensibilização quanto à política da empresa. Com isso, os cibercriminosos não precisam, necessariamente, de conhecimento técnico considerável para alcançar seus objetivos.

A Intel revela algumas das técnicas de persuasão utilizadas atualmente pelos cibercriminosos para contornar a conscientização dos seus alvos e manipular as vítimas através do uso de técnicas subconscientes de influência. A companhia listou ainda seis táticas para serem observadas no mundo digital:

1. Reciprocidade: Quando as pessoas ganham algo, eles tendem a se sentir obrigadas a retribuir o favor em seguida.

2. Escassez: As pessoas tendem a agir em conformidade quando acreditam que algo está no fim. Por exemplo, um e-mail cujo conteúdo dá a impressão de ser de um banco, o qual está pedindo ao usuário para agir em conformidade com uma solicitação, caso contrário, a conta será desativada dentro de 24 horas.

3. Consistência: Uma vez que os alvos ‘prometem’ fazer algo, eles geralmente cumprem suas promessas, pois as pessoas não querem dar a impressão de serem desonestas ou de não serem dignas de confiança. Por exemplo, um hacker se passa por alguém da equipe de TI de uma empresa pode fazer com que um colaborador concorde em cumprir todos os processos de segurança e, em seguida, pede para que ele execute uma tarefa suspeita supostamente em conformidade com as exigências de segurança.

4. Probabilidade: Os alvos são mais propensos a agir em conformidade quando o engenheiro social é alguém de quem eles gostam. Um hacker pode usar seu charme por telefone ou online para ‘conquistar’ uma vítima inocente.

5. Autoridade: As pessoas tendem a agir em conformidade quando uma solicitação é feita por alguém que transmite autoridade. Por exemplo, um e-mail encaminhado para o departamento financeiro que pareça ter vindo do CEO ou do presidente.

6. Validação social: As pessoas têm tendência a agir em conformidade quando os outros estão fazendo a mesma coisa. Por exemplo, um e-mail de phishing pode parecer ter sido enviado a um grupo de colaboradores, o que faz com que um colaborador acredite que está tudo bem, uma vez que outros colegas também receberam a solicitação.

Fonte: ComputerWorld

Read More