Notícias Segurança
Google conserta falha no Gmail que permitiria roubo de contatos
O Google consertou uma brecha em seu seu serviço de e-mail, o Gmail, através da qual hackers poderiam coletar informações das listas de contatos dos usuários fazendo a alegria dos spammers.
Para que a falha pudesse ser explorada, o internauta precisaria entrar na sua conta do Gmail e então visitar algum site com um código incorporado de JavaScript, desenvolvido para roubar informações do e-mail.
A prova-de-conceito foi divulgada publicamente. O código em JavaScript usou a capacidade do Google de integrar e-mail com outros serviços, como o site download de vídeos.
O problema foi resolvido pelo Google 30 minutos após ter sido reportado, segundo noticiado no blog de Haochi Chen, que acompanha a companhia. Um porta-voz do Google em Londres confirmou nesta terça-feira (02/01) que a brecha havia sido consertada.
Leia mais...
Para que a falha pudesse ser explorada, o internauta precisaria entrar na sua conta do Gmail e então visitar algum site com um código incorporado de JavaScript, desenvolvido para roubar informações do e-mail.
A prova-de-conceito foi divulgada publicamente. O código em JavaScript usou a capacidade do Google de integrar e-mail com outros serviços, como o site download de vídeos.
O problema foi resolvido pelo Google 30 minutos após ter sido reportado, segundo noticiado no blog de Haochi Chen, que acompanha a companhia. Um porta-voz do Google em Londres confirmou nesta terça-feira (02/01) que a brecha havia sido consertada.
Tendências 2007: segurança ainda é prioridade
Há muito que a segurança da informação é uma prioridade de investimentos na área de tecnologia, cenário que não tende a mudar tão cedo. Afinal, qualquer executivo tem calafrios ao imaginar o tamanho do prejuízo, financeiros e para a marca, que terá de arcar se a corporação ficar indisponível por causa de um ataque ou, pior ainda, se dados críticos caírem nas mãos algum concorrente.
Dados da IDC apontam que, na América Latina, a segurança é a segunda prioridade de investimento em 2006, com 16% das empresas afirmando que investiriam no tema durante o ano. Há, ainda, um estudo mundial do Gartner sobre as intenções de investimentos nas corporações que coloca, também, a segurança da informação como a segunda prioridade.
Há, inclusive, quem defenda que nunca mais as empresas poderão deixar de colocar o assunto no topo de suas atenções. Assim, confira, a seguir, as sete principais tendências sobre o tema em 2007 segundo os especialistas e gestores de segurança ouvidos pelo COMPUTERWORLD.
1 - Gestão de risco
Muitas vezes nascendo em segurança, mas com uma atuação muito mais abrangente, a gestão de risco vem conquistando destaque há algum tempo e deve se manter na agenda dos gestores de segurança para 2007.
Antes da definição de uma política de segurança, antes de conscientizar os funcionários, antes mesmo de escolher as soluções a serem adotadas, é preciso conhecer os riscos que a empresa corre. Só assim as decisões estratégicas para os negócios podem ser tomadas com mais tranqüilidade e, acima de tudo, com a criação de planos de ação para o caso de algo dar errado.
O paradigma do risco – analisar a possibilidade de determinado acontecimento tendo em vista ao seu dano potencial – permite definir ações em segurança mais eficazes.
Para Fernando Fonseca, diretor de comunicação da ISSA (Information Systems Security Association), capítulo Brasil, a maturidade na visão sobre segurança leva obrigatoriamente para a gestão de risco. “A média das empresas brasileiras, no entanto, ainda vê segurança como a compra de alguma ferramenta tecnológica. E isso as deixa completamente vulneráveis”, alerta.
“Com o cenário cada vez mais hostil, a preocupação com o risco vai dar um salto em 2007, sendo parte fundamental no processo de entender a segurança como um fator de negócios”, aposta Fonseca. “Ainda é cedo para falar em mudança no organograma corporativo, mas essa tendência já é realidade e vai crescer bastante no próximo ano”, resume Marcelo Romano, coordenador de segurança da informação e de risco da Imprensa Oficial do Rio de Janeiro.
2 - O gestor de segurança
Outra tendência importante diz respeito ao profissional de segurança, que passa por uma transição de um especialista apenas técnico para um gestor, que compartilha a visão de negócios e o conhecimento da área, sendo importante para a tomada de decisões e para o planejamento estratégico. Os especialistas prevêem uma redução lenta, mas consistente, no número de administradores de rede que acumulam a função de proteção para dar lugar a profissionais sênior. Em empresas maduras o suficiente, o gestor de segurança aparece chefiando uma unidade de negócios.
“Há o amadurecimento da percepção do valor da segurança nos principais setores da economia. Isso reflete na renovação dos profissionais, caindo aqueles com perfil muito técnico, ligados exclusivamente a TI e focados na infra-estrutura, por experientes CISO que possuem uma visão integrada da técnica e do negócio”, esclarece Marcos Sêmola, diretor de operações de riscos da Atos Origin no Reino Unido. Para ele, a nova função abre a possibilidade de ter um profissional que tenha outro histórico além da TI, permitindo até que consultores externos atuem na posição.
Há uma discussão sobre o título que a função deve levar. Existe uma parte de especialistas que adota o CSO (Chief Security Officer), enquanto outros preferem descriminar o cargo como CISO (Chief Information Security Officer). Independente do título, Romano é cético com a adoção em larga escala da função dentro do organograma corporativo em 2007. “Vamos ver movimentações, mas ainda não é a explosão. No próximo ano, vejo uma mudança lenta e gradual na diretoria executiva sobre o tema”, complementa.
3 - Gestão centralizada de segurança
“Nos próximos dois anos, no máximo, você vai ter uma ferramenta centralizada de segurança”. Fernando Fonseca, da ISSA Brasil, defende sua declaração se baseando em argumentos como as facilidades que esse modelo oferece, menor custo de manutenção, de aquisição e a maior flexibilidade oferecida à organização.
A movimentação do mercado, inclusive, corrobora esse pensamento. A grande maioria das corporações fornecedoras de segurança da informação se movimentou no sentido de adquirir outras tecnologias de empresas menores para oferecer um produto mais completo para seus clientes.
Agora, quase nenhum fabricante é fornecedor exclusivo de uma solução pontual, como firewall ou antivírus, mas comercializa uma suíte que inclui diversas funcionalidades de proteção combinadas e gerenciadas de um único ponto.
Definindo o movimento como facilitador, Romano, da Imprensa Oficial do Rio de Janeiro, destaca a simplicidade de lidar com um menor número de fornecedores. “Não há como negar que essas suítes geram uma economia de tempo e, aparentemente, de custos”, revela.
4 - Foco nas pessoas
A imagem dos castelos medievais não pode ser mais clara: um fosso profundo com jacarés famintos, muros gigantescos e um bom punhado de arqueiros prontos a disparar. De nada adianta toda essa estrutura se, no momento do confronto, alguém de dentro da fortaleza resolve abrir a porta. Em segurança da informação, a lógica é a mesma. Em 2007, nenhuma empresa vai esquecer de conscientizar seus funcionários.
“As tecnologias mais avançadas e caras, quase perfeitas, não protegem a empresa se as pessoas estão trabalhando contra”, define Romano, da Imprensa Oficial do Rio de Janeiro. Comentando sua experiência diária, o executivo complementa: “Fazer as pessoas entenderem o valor da segurança é um dos maiores desafios do gestor. É preciso que todos trabalhem juntos”.
Marcos Sêmola, por sua vez, destaca as conseqüências do foco no fator humano. “A tendência é muito forte. Só com a adoção de processos formais e corporativos de conscientização, com gerenciamento de mudanças e treinamento continuado dos usuários da cadeia produtiva é possível reduzir riscos por falha, negligência ou ingenuidade”, garante o executivo.
5 - Certificação digital
A certificação digital é um tema controverso: tem defensores ardorosos, mas, na prática, registra uma adoção tímida. Especialmente se imaginado em relação ao sonho que colocava a solução nas mãos de todas as pessoas que utilizam serviços eletrônicos – de e-mail ao banco online. Com ela, seria possível saber se a pessoa na outra máquina é realmente quem ela é. Afinal, como o tema vai se comportar em 2007?
Para Marcelo Romano, a roda da certificação digital dá indicações que, finalmente, vai começar a andar. “O papel da Receita Federal nesse processo é enorme, os usuários que utilizam o certificado digital ganham vantagens muito interessantes”, afirma. Citando a experiência da própria Imprensa Oficial do Rio de Janeiro, o executivo conta: “usamos certificação digital para o envio de material para ser publicado no Diário Oficial do estado.
Conseguimos reduzir os erros de reprodução, além de economizar sensivelmente em custos de papel”. Segundo ele, as instituições de outros estados, incluindo aquela responsável pela comunicação oficial do País, estão estudando a solução.
Fernando Fonseca, da ISSA Brasil, ressalta que, ainda assim, não será o momento da adoção em massa. “Mesmo com os benefícios, ainda não vamos ver a explosão, mas uma consolidação gradual. O problema é que – como sempre – o valor da tecnologia não é tudo”, completa.
6 - Planos de continuidade de negócios
A continuidade de negócios ganhou escala e foi desenvolvida nas empresas antes até da área de segurança da informação. A tendência, contudo, é que esses planos comecem a envolver segurança cada vez mais, cuidando de que a companhia continue produzindo e, caso ocorra uma parada inesperada, o plano de contingência entre em ação com o apoio de diversas áreas – segurança incluída.
“A segurança protege os ativos de informação, mas cuida, acima de tudo, da disponibilidade da organização, para que ela se mantenha produzindo”, sintetiza Fonseca. Para ele, em 2007, o número de companhias que vão adotar um PCN envolvendo diretamente a equipe de segurança da informação vai crescer sensivelmente.
Marcos Sêmola, da Atos Origin, concorda e acrescenta: “As estratégias de continuidade serão formalizadas em 2007 por que são vistas cada vez mais como um componente crítico do negócio”. Segundo o executivo, isso abre espaço para criar e manter planos viáveis para mitigar impactos via gerenciamento de crise, recuperação de desastres e continuidade operacional. “A figura do especialista em continuidade tende, também, a ser formalizada no organograma de empresas de setores sensíveis.”
7 - A segurança da informação como um processo contínuo
Pode parecer óbvio, mas segurança da informação é diferente de tantas outras ondas que passaram por tecnologia, levando investimentos pesados e belos discursos para, hoje, quase ninguém tocar mais no assunto. Ao contrário, a proteção veio para ficar e não tem final previsto no horizonte. Uma das tendências em 2007 está em ver o tema como um processo contínuo, fundamental para a saúde da companhia.
Um ponto em que todos os especialistas ouvidos pela COMPUTERWORLD concordam é que existe um desafio cultural muito grande. Criar as condições para que os diretores e, especialmente, o CEO da companhia percebam essa realidade será um dos maiores desafios para o próximo ano. “É um caminho obrigatório.
Hoje, todos são alvos, de usuários finais a corporações de qualquer nicho. Não é possível ignorar isso”, acredita Fonseca, da ISSA Brasil. “De nada adianta a segurança ser vista agora como um fator fundamental e ganhar um investimento pesado se, no ano seguinte, a torneira fechar.”
A pergunta final, contudo, persiste: mas como convencer o time executivo da necessidade da continuidade dos investimentos? “Se alguém tiver a fórmula mágica, pode falar comigo que eu estou interessado”, brinca Romano, da Imprensa Oficial do Rio de Janeiro.
Leia mais...
Dados da IDC apontam que, na América Latina, a segurança é a segunda prioridade de investimento em 2006, com 16% das empresas afirmando que investiriam no tema durante o ano. Há, ainda, um estudo mundial do Gartner sobre as intenções de investimentos nas corporações que coloca, também, a segurança da informação como a segunda prioridade.
Há, inclusive, quem defenda que nunca mais as empresas poderão deixar de colocar o assunto no topo de suas atenções. Assim, confira, a seguir, as sete principais tendências sobre o tema em 2007 segundo os especialistas e gestores de segurança ouvidos pelo COMPUTERWORLD.
1 - Gestão de risco
Muitas vezes nascendo em segurança, mas com uma atuação muito mais abrangente, a gestão de risco vem conquistando destaque há algum tempo e deve se manter na agenda dos gestores de segurança para 2007.
Antes da definição de uma política de segurança, antes de conscientizar os funcionários, antes mesmo de escolher as soluções a serem adotadas, é preciso conhecer os riscos que a empresa corre. Só assim as decisões estratégicas para os negócios podem ser tomadas com mais tranqüilidade e, acima de tudo, com a criação de planos de ação para o caso de algo dar errado.
O paradigma do risco – analisar a possibilidade de determinado acontecimento tendo em vista ao seu dano potencial – permite definir ações em segurança mais eficazes.
Para Fernando Fonseca, diretor de comunicação da ISSA (Information Systems Security Association), capítulo Brasil, a maturidade na visão sobre segurança leva obrigatoriamente para a gestão de risco. “A média das empresas brasileiras, no entanto, ainda vê segurança como a compra de alguma ferramenta tecnológica. E isso as deixa completamente vulneráveis”, alerta.
“Com o cenário cada vez mais hostil, a preocupação com o risco vai dar um salto em 2007, sendo parte fundamental no processo de entender a segurança como um fator de negócios”, aposta Fonseca. “Ainda é cedo para falar em mudança no organograma corporativo, mas essa tendência já é realidade e vai crescer bastante no próximo ano”, resume Marcelo Romano, coordenador de segurança da informação e de risco da Imprensa Oficial do Rio de Janeiro.
2 - O gestor de segurança
Outra tendência importante diz respeito ao profissional de segurança, que passa por uma transição de um especialista apenas técnico para um gestor, que compartilha a visão de negócios e o conhecimento da área, sendo importante para a tomada de decisões e para o planejamento estratégico. Os especialistas prevêem uma redução lenta, mas consistente, no número de administradores de rede que acumulam a função de proteção para dar lugar a profissionais sênior. Em empresas maduras o suficiente, o gestor de segurança aparece chefiando uma unidade de negócios.
“Há o amadurecimento da percepção do valor da segurança nos principais setores da economia. Isso reflete na renovação dos profissionais, caindo aqueles com perfil muito técnico, ligados exclusivamente a TI e focados na infra-estrutura, por experientes CISO que possuem uma visão integrada da técnica e do negócio”, esclarece Marcos Sêmola, diretor de operações de riscos da Atos Origin no Reino Unido. Para ele, a nova função abre a possibilidade de ter um profissional que tenha outro histórico além da TI, permitindo até que consultores externos atuem na posição.
Há uma discussão sobre o título que a função deve levar. Existe uma parte de especialistas que adota o CSO (Chief Security Officer), enquanto outros preferem descriminar o cargo como CISO (Chief Information Security Officer). Independente do título, Romano é cético com a adoção em larga escala da função dentro do organograma corporativo em 2007. “Vamos ver movimentações, mas ainda não é a explosão. No próximo ano, vejo uma mudança lenta e gradual na diretoria executiva sobre o tema”, complementa.
3 - Gestão centralizada de segurança
“Nos próximos dois anos, no máximo, você vai ter uma ferramenta centralizada de segurança”. Fernando Fonseca, da ISSA Brasil, defende sua declaração se baseando em argumentos como as facilidades que esse modelo oferece, menor custo de manutenção, de aquisição e a maior flexibilidade oferecida à organização.
A movimentação do mercado, inclusive, corrobora esse pensamento. A grande maioria das corporações fornecedoras de segurança da informação se movimentou no sentido de adquirir outras tecnologias de empresas menores para oferecer um produto mais completo para seus clientes.
Agora, quase nenhum fabricante é fornecedor exclusivo de uma solução pontual, como firewall ou antivírus, mas comercializa uma suíte que inclui diversas funcionalidades de proteção combinadas e gerenciadas de um único ponto.
Definindo o movimento como facilitador, Romano, da Imprensa Oficial do Rio de Janeiro, destaca a simplicidade de lidar com um menor número de fornecedores. “Não há como negar que essas suítes geram uma economia de tempo e, aparentemente, de custos”, revela.
4 - Foco nas pessoas
A imagem dos castelos medievais não pode ser mais clara: um fosso profundo com jacarés famintos, muros gigantescos e um bom punhado de arqueiros prontos a disparar. De nada adianta toda essa estrutura se, no momento do confronto, alguém de dentro da fortaleza resolve abrir a porta. Em segurança da informação, a lógica é a mesma. Em 2007, nenhuma empresa vai esquecer de conscientizar seus funcionários.
“As tecnologias mais avançadas e caras, quase perfeitas, não protegem a empresa se as pessoas estão trabalhando contra”, define Romano, da Imprensa Oficial do Rio de Janeiro. Comentando sua experiência diária, o executivo complementa: “Fazer as pessoas entenderem o valor da segurança é um dos maiores desafios do gestor. É preciso que todos trabalhem juntos”.
Marcos Sêmola, por sua vez, destaca as conseqüências do foco no fator humano. “A tendência é muito forte. Só com a adoção de processos formais e corporativos de conscientização, com gerenciamento de mudanças e treinamento continuado dos usuários da cadeia produtiva é possível reduzir riscos por falha, negligência ou ingenuidade”, garante o executivo.
5 - Certificação digital
A certificação digital é um tema controverso: tem defensores ardorosos, mas, na prática, registra uma adoção tímida. Especialmente se imaginado em relação ao sonho que colocava a solução nas mãos de todas as pessoas que utilizam serviços eletrônicos – de e-mail ao banco online. Com ela, seria possível saber se a pessoa na outra máquina é realmente quem ela é. Afinal, como o tema vai se comportar em 2007?
Para Marcelo Romano, a roda da certificação digital dá indicações que, finalmente, vai começar a andar. “O papel da Receita Federal nesse processo é enorme, os usuários que utilizam o certificado digital ganham vantagens muito interessantes”, afirma. Citando a experiência da própria Imprensa Oficial do Rio de Janeiro, o executivo conta: “usamos certificação digital para o envio de material para ser publicado no Diário Oficial do estado.
Conseguimos reduzir os erros de reprodução, além de economizar sensivelmente em custos de papel”. Segundo ele, as instituições de outros estados, incluindo aquela responsável pela comunicação oficial do País, estão estudando a solução.
Fernando Fonseca, da ISSA Brasil, ressalta que, ainda assim, não será o momento da adoção em massa. “Mesmo com os benefícios, ainda não vamos ver a explosão, mas uma consolidação gradual. O problema é que – como sempre – o valor da tecnologia não é tudo”, completa.
6 - Planos de continuidade de negócios
A continuidade de negócios ganhou escala e foi desenvolvida nas empresas antes até da área de segurança da informação. A tendência, contudo, é que esses planos comecem a envolver segurança cada vez mais, cuidando de que a companhia continue produzindo e, caso ocorra uma parada inesperada, o plano de contingência entre em ação com o apoio de diversas áreas – segurança incluída.
“A segurança protege os ativos de informação, mas cuida, acima de tudo, da disponibilidade da organização, para que ela se mantenha produzindo”, sintetiza Fonseca. Para ele, em 2007, o número de companhias que vão adotar um PCN envolvendo diretamente a equipe de segurança da informação vai crescer sensivelmente.
Marcos Sêmola, da Atos Origin, concorda e acrescenta: “As estratégias de continuidade serão formalizadas em 2007 por que são vistas cada vez mais como um componente crítico do negócio”. Segundo o executivo, isso abre espaço para criar e manter planos viáveis para mitigar impactos via gerenciamento de crise, recuperação de desastres e continuidade operacional. “A figura do especialista em continuidade tende, também, a ser formalizada no organograma de empresas de setores sensíveis.”
7 - A segurança da informação como um processo contínuo
Pode parecer óbvio, mas segurança da informação é diferente de tantas outras ondas que passaram por tecnologia, levando investimentos pesados e belos discursos para, hoje, quase ninguém tocar mais no assunto. Ao contrário, a proteção veio para ficar e não tem final previsto no horizonte. Uma das tendências em 2007 está em ver o tema como um processo contínuo, fundamental para a saúde da companhia.
Um ponto em que todos os especialistas ouvidos pela COMPUTERWORLD concordam é que existe um desafio cultural muito grande. Criar as condições para que os diretores e, especialmente, o CEO da companhia percebam essa realidade será um dos maiores desafios para o próximo ano. “É um caminho obrigatório.
Hoje, todos são alvos, de usuários finais a corporações de qualquer nicho. Não é possível ignorar isso”, acredita Fonseca, da ISSA Brasil. “De nada adianta a segurança ser vista agora como um fator fundamental e ganhar um investimento pesado se, no ano seguinte, a torneira fechar.”
A pergunta final, contudo, persiste: mas como convencer o time executivo da necessidade da continuidade dos investimentos? “Se alguém tiver a fórmula mágica, pode falar comigo que eu estou interessado”, brinca Romano, da Imprensa Oficial do Rio de Janeiro.
60% dos usuários de comunicadores instantâneos na China já sofreram ataques de
Até 60% dos usuários dos comunicadores instantâneos na China já sofreram ataques por meio das redes destas aplicações. O “Instant Communications Market Survey Report 2006”, que levantou os dados, mostrou ainda que até 80% dos usuários das soluções de comunicação já receberam mensagens não desejadas por meio do serviço. Trata-se, portanto, de mais um importante vetor para malwares que podem vir a roubar senhas de bancos ou atrapalhar as atividades comuns do usuário.
Entre os que usam Internet, cerca de 60% também se valem dos programas de mensagens instantâneas. Já dentro desse grupo, 60% admitiu ter abandonado o e-mail para usar os comunicadores instantâneos. Uma redução no uso do telefone – que também deu lugar aos programas de mensagem instantâneas – também pôde ser verificada.
O estudo foi feito com entrevistas realizadas por telefone com usuários residentes nas cidades de Beijing, Shanghai, Guangzhou, Wuhan, Chengdu e Xi"na. Todo levantamento ocorreu durante o mês de novembro de 2006.
Leia mais...
Entre os que usam Internet, cerca de 60% também se valem dos programas de mensagens instantâneas. Já dentro desse grupo, 60% admitiu ter abandonado o e-mail para usar os comunicadores instantâneos. Uma redução no uso do telefone – que também deu lugar aos programas de mensagem instantâneas – também pôde ser verificada.
O estudo foi feito com entrevistas realizadas por telefone com usuários residentes nas cidades de Beijing, Shanghai, Guangzhou, Wuhan, Chengdu e Xi"na. Todo levantamento ocorreu durante o mês de novembro de 2006.
Nova falha no Windows XP facilita ataques de crackers
O sistema operacional Windows, da Microsoft, é alvo de uma nova vulnerabilidade que facilita ataques do tipo negação de serviço, segundo alerta divulgado nesta terça-feira (26/12) pela consultoria FrSIRT.
De acordo com o alerta, a falha é derivada do processamento errôneo que a função Workstation Service faz de pedidos do tipo NetrWkstaUserEnum() e foi classificada como de risco moderado.
Ao induzir o PC da vítima a este cenário, o cracker faz com que o serviço apresenta problemas e esgote toda a memória do PC, facilitando o ataque de negação de serviço.
A brecha atinge as versões 2000 com Service Pack 4, XP com Service Pack 2 e XP Professional x64 Edition do Windows e, segundo a FrSIRT, ainda não há correção disponível.
Para evitar ataques que exploram a brecha, a consultoria sugere que o usuário bloqueie as portas 139 e 445 do firewall usado para garantir a segurança do desktop.
A próxima correção mensal de segurança divulgada pela Microsoft está programa para o dia 9 de janeiro. No ciclo referente ao mês de dezembro, a companhia corrigiu 11 falhas de segurança em seus produtos.
Leia mais...
De acordo com o alerta, a falha é derivada do processamento errôneo que a função Workstation Service faz de pedidos do tipo NetrWkstaUserEnum() e foi classificada como de risco moderado.
Ao induzir o PC da vítima a este cenário, o cracker faz com que o serviço apresenta problemas e esgote toda a memória do PC, facilitando o ataque de negação de serviço.
A brecha atinge as versões 2000 com Service Pack 4, XP com Service Pack 2 e XP Professional x64 Edition do Windows e, segundo a FrSIRT, ainda não há correção disponível.
Para evitar ataques que exploram a brecha, a consultoria sugere que o usuário bloqueie as portas 139 e 445 do firewall usado para garantir a segurança do desktop.
A próxima correção mensal de segurança divulgada pela Microsoft está programa para o dia 9 de janeiro. No ciclo referente ao mês de dezembro, a companhia corrigiu 11 falhas de segurança em seus produtos.
Sony paga mais US$ 4,25 milhões em ações por rootkit nos EUA
A tentativa frustrada de impedir as cópias ilegais de música por meio de um software de rootkit da Sony BMG Music Entertainment resultou em um prejuízo adicional de 4,25 milhões de dólares,
Dois dias após chegar a acordos para encerrar processos no Texas e na California, desembolsando 1,5 milhão de dólares, a empresa concordou na quinta-feira (21/12) em pagar para encerrar investigações em outros 40 Estados ligadas ao uso dos softwares de proteção à cópia XCP (extended copy protection), da First 4 Internet, e MediaMax, da SunnComm International.
Em um comunicado, a Sony disse estar satisfeita com os acordos. Mais de 12 milhões de CDs da Sony BMG foram vendidos com os softwares, segundo a Promotoria Geral de Massachusetts.
Os problemas da Sony começaram no final de 2005, quando um pesquisador descobriu que o XCP usava uma perigosa técnica de rootkit para se camuflar após a instalação.
Mais tardes, investigações revelaram que mesmo usuários que recusavam a instalação do MediaMax tinham o software habilitado em suas máquinas. Além disso, uma das versões do programa abria portas para problemas de segurança.
A Sony tentou encerrar a investigação da Comissão Federal de Comércio dos Estados Unidos por meio de um acordo, reportou o mercado, mas nada foi anunciado na quinta-feira.
Como nas ações no Texas e na Califórnia, residentes dos 40 Estados que fizeram o acordo com a Sony receberam 175 dólares cada de indenização. O acordo também limita o uso futuro de tecnologias de proteção à cópia pela Sony, exigindo notificação aos usuários antes da instalação do software.
Leia mais...
Dois dias após chegar a acordos para encerrar processos no Texas e na California, desembolsando 1,5 milhão de dólares, a empresa concordou na quinta-feira (21/12) em pagar para encerrar investigações em outros 40 Estados ligadas ao uso dos softwares de proteção à cópia XCP (extended copy protection), da First 4 Internet, e MediaMax, da SunnComm International.
Em um comunicado, a Sony disse estar satisfeita com os acordos. Mais de 12 milhões de CDs da Sony BMG foram vendidos com os softwares, segundo a Promotoria Geral de Massachusetts.
Os problemas da Sony começaram no final de 2005, quando um pesquisador descobriu que o XCP usava uma perigosa técnica de rootkit para se camuflar após a instalação.
Mais tardes, investigações revelaram que mesmo usuários que recusavam a instalação do MediaMax tinham o software habilitado em suas máquinas. Além disso, uma das versões do programa abria portas para problemas de segurança.
A Sony tentou encerrar a investigação da Comissão Federal de Comércio dos Estados Unidos por meio de um acordo, reportou o mercado, mas nada foi anunciado na quinta-feira.
Como nas ações no Texas e na Califórnia, residentes dos 40 Estados que fizeram o acordo com a Sony receberam 175 dólares cada de indenização. O acordo também limita o uso futuro de tecnologias de proteção à cópia pela Sony, exigindo notificação aos usuários antes da instalação do software.
As piores ameaças à segurança digital de 2006
No seara de segurança digital, o ano de 2006 provou que qualquer avanço feito por usuários ou empresas ainda não será o suficiente em comparação à vastidão de possíveis brechas, ataques e armadilhas possíveis na internet.
Após anos de declínio, o mercado de segurança viu a ação dos vírus de massa praticamente desaparecerem em 2006, dando lugar a ataques financeiros focados em aparecer o mínimo possível e roubar a maior quantidade de dinheiro.
Reflexo disto é a constante presença de pragas como Netsky, Sober e Bagle na lista das fabricantes de segurança Symantec e Sophos, após mais de dois anos figurando em rankings de ameaças virtuais.
Mais recente, o Mytob foi descoberto em 2005 e ocupa nada menos que quatro posições na listagem final de ameaças para 2006 da Sophos, obtida com exclusividade pelo IDG Now!, além de constar tanto na lista da McAfee como da Symantec.
Mesmo com seu sucesso, o MyTob pode ser apontado como o último de uma linhagem de pragas que faziam barulhentos ataques em massa para que seus criadores atingissem o sucesso digital.
No lugar deles, rootkits, cavalos-de-tróia, spywares e phishings ganharam espaço silenciosamente entre os ataques digitais e, segundo previsões de empresas do setor, deverão ser popularizar à medida que os crackers se organizarem.
O viés financeiro deste novo perfil de ataques se divide entre redes de bots, micros infectados usados por crackers para coordenar ataques de “negação de serviço”, e pragas espiãs, como spywares e cavalos-de-tróia, que se camuflam no PC para registrar e enviar aos crackers dados confidenciais, como senhas de banco.
Nos rankings das principais ameaças, a primeira categoria vem representada pelas pragas IRCBots e SdBot, destaques na lista de McAfee, além da Spybot, alardeada pela Symantec.
Entre as ameaças que roubam dados, a amostra é ainda mais rica, com destaques para os códigos Banker, LDPinch, Banpaes e o brasileiro Bancos - todos roubam senhas bancárias da vítima após a infecção.
Por aprovarem falhas em softwares para infectar, ao invés da aprovação que vírus pedem ao usuário para infectar, as pragas espiãs deverão aumentar o mercado das brechas ainda sem correção em softwares.
O alerta feito por tendências da Websense para 2007 se materializou sem que o atual ano tenha acabado - uma brecha no Windows Vista foi posta à venda por crackers por 50 mil dólares, segundo a Trend Micro.
A dependência cada vez menor de crackers em códigos maliciosos para infectar o PC da vítima teve como ápice o explosivo crescimento de phishing durante 2006.
Dados do AntiPhishing Working Group apontam que o número de armadilhas pularam de 4.367 em outubro de 2005 para 37.444 durante o mesmo período em 2006, aumento de 757% em apenas um ano.
Mesmo que tenham se popularizado com lançamento dos navegadores Internet Explorer 7, da Microsoft, e Firefox, da Fundação Mozilla, ferramentas anitphishing ainda sofrem com a pouca precisão.
Do lado das empresas responsáveis por conter os ataques, a entrada da gigante Microsoft começou a moldar o mercado de antivírus de maneira diferente a que conhecemos.
Ao invés das caixas enfileiradas em prateleiras, o One Care Live da Microsoft apostava no preceito de software como serviço: usuários baixam o software e pagam taxas mensais para atualizações de segurança.
Na cola, as rivais Symantec e McAfee desenvolveram soluções similares, chamadas, respectivamente, de Norton 360 e Falcon, que deverão chegar ao mercado brasileiro ainda no primeiro semestre de 2007.
Confira a seguir as listas com as principais ameaças de 2006 elaboradas pelas empresas Symantec, McAfee e Sophos.
Symantec
1 - Sober.X
2 - Bancos
3 - Netsky.AD
4 - Bagle.DL
5 - BlackMail.E
6 - Mytob.DF
7 - Netsky.P
8 - Redlof.A
9 - Spybot
10 - Banpaes
McAfee
1 - IRC Bots
2 - Stration@MM
3 - HLLP.Philis
4 - Rontokbro.gen@MM
5 - Banker
6 - Sdbot
7 - Bacalid
8 - LDPinch
9 - Nuwar@MM
10 - Mytob.gen@MM
Sophos
1 - Sober-Z
2 - Netsky-P
3 - Zafi-B
4 - Nyxem-D
5 - Mytob-AS
6 - Bagle-Zip
7 - Netsky-D
8 - Mytob-FO
9 - Mytob-C
10 - Mytob-EX
Leia mais...
Após anos de declínio, o mercado de segurança viu a ação dos vírus de massa praticamente desaparecerem em 2006, dando lugar a ataques financeiros focados em aparecer o mínimo possível e roubar a maior quantidade de dinheiro.
Reflexo disto é a constante presença de pragas como Netsky, Sober e Bagle na lista das fabricantes de segurança Symantec e Sophos, após mais de dois anos figurando em rankings de ameaças virtuais.
Mais recente, o Mytob foi descoberto em 2005 e ocupa nada menos que quatro posições na listagem final de ameaças para 2006 da Sophos, obtida com exclusividade pelo IDG Now!, além de constar tanto na lista da McAfee como da Symantec.
Mesmo com seu sucesso, o MyTob pode ser apontado como o último de uma linhagem de pragas que faziam barulhentos ataques em massa para que seus criadores atingissem o sucesso digital.
No lugar deles, rootkits, cavalos-de-tróia, spywares e phishings ganharam espaço silenciosamente entre os ataques digitais e, segundo previsões de empresas do setor, deverão ser popularizar à medida que os crackers se organizarem.
O viés financeiro deste novo perfil de ataques se divide entre redes de bots, micros infectados usados por crackers para coordenar ataques de “negação de serviço”, e pragas espiãs, como spywares e cavalos-de-tróia, que se camuflam no PC para registrar e enviar aos crackers dados confidenciais, como senhas de banco.
Nos rankings das principais ameaças, a primeira categoria vem representada pelas pragas IRCBots e SdBot, destaques na lista de McAfee, além da Spybot, alardeada pela Symantec.
Entre as ameaças que roubam dados, a amostra é ainda mais rica, com destaques para os códigos Banker, LDPinch, Banpaes e o brasileiro Bancos - todos roubam senhas bancárias da vítima após a infecção.
Por aprovarem falhas em softwares para infectar, ao invés da aprovação que vírus pedem ao usuário para infectar, as pragas espiãs deverão aumentar o mercado das brechas ainda sem correção em softwares.
O alerta feito por tendências da Websense para 2007 se materializou sem que o atual ano tenha acabado - uma brecha no Windows Vista foi posta à venda por crackers por 50 mil dólares, segundo a Trend Micro.
A dependência cada vez menor de crackers em códigos maliciosos para infectar o PC da vítima teve como ápice o explosivo crescimento de phishing durante 2006.
Dados do AntiPhishing Working Group apontam que o número de armadilhas pularam de 4.367 em outubro de 2005 para 37.444 durante o mesmo período em 2006, aumento de 757% em apenas um ano.
Mesmo que tenham se popularizado com lançamento dos navegadores Internet Explorer 7, da Microsoft, e Firefox, da Fundação Mozilla, ferramentas anitphishing ainda sofrem com a pouca precisão.
Do lado das empresas responsáveis por conter os ataques, a entrada da gigante Microsoft começou a moldar o mercado de antivírus de maneira diferente a que conhecemos.
Ao invés das caixas enfileiradas em prateleiras, o One Care Live da Microsoft apostava no preceito de software como serviço: usuários baixam o software e pagam taxas mensais para atualizações de segurança.
Na cola, as rivais Symantec e McAfee desenvolveram soluções similares, chamadas, respectivamente, de Norton 360 e Falcon, que deverão chegar ao mercado brasileiro ainda no primeiro semestre de 2007.
Confira a seguir as listas com as principais ameaças de 2006 elaboradas pelas empresas Symantec, McAfee e Sophos.
Symantec
1 - Sober.X
2 - Bancos
3 - Netsky.AD
4 - Bagle.DL
5 - BlackMail.E
6 - Mytob.DF
7 - Netsky.P
8 - Redlof.A
9 - Spybot
10 - Banpaes
McAfee
1 - IRC Bots
2 - Stration@MM
3 - HLLP.Philis
4 - Rontokbro.gen@MM
5 - Banker
6 - Sdbot
7 - Bacalid
8 - LDPinch
9 - Nuwar@MM
10 - Mytob.gen@MM
Sophos
1 - Sober-Z
2 - Netsky-P
3 - Zafi-B
4 - Nyxem-D
5 - Mytob-AS
6 - Bagle-Zip
7 - Netsky-D
8 - Mytob-FO
9 - Mytob-C
10 - Mytob-EX
Websense divulga previsões para segurança online em 2007
Uma recente previsão divulgada pela firma de segurança Websense diz que a nova tendência é uma forte união entre a comunidade hacker com criminosos para formar uma economia cibercriminosa mais organizada.
De acordo com um artigo publicado no site inglês Computing, os criminosos comprarão, venderão e trocarão produtos como toolkits de ataques virtuais e arquivos para explorar falhas recém-descobertas.
Especialistas da Websense também prevêem que as brechas de segurança de sites da Web 2.0 (que permitem uma maior interação com usuários a partir de aplicações online) começarão a ser exploradas ainda mais à medida que os sites ficarem mais populares e a segurança de cada um deles, atualmente em segundo plano, passar a ser debatida.
Da lista dos 20 sites mais visitados da web, estima-se que 80% pertençam à chamada Web 2.0, entre eles sites como Wikipedia e MySpace, sites que por estarem sempre modificando seu conteúdo são mais difíceis de ter um controle efetivo de segurança, conforme noticiou o site ITP.net. O fato de atraírem milhões de visitantes os torna ainda mais atraentes para os criminosos.
Para Dan Hubbard, vice-presidente de pesquisas de segurança da Websense, os criminosos estão mais conscientes do que nunca de que a internet é um ótimo recurso para obter lucros reais. Com ganho financeiro em foco, métodos de ataque estão melhorando, e o número de pessoas envolvidas está aumentando, comentou.
Hubbard alertou que programas para roubar informações pessoais, profissionais e financeiras são os preferidos dos criminosos: No ano que vem, em particular, é altamente importante para organizações tomarem medidas preventivas para se protegerem da próxima onda de ataques furtivos e direcionados, que certamente irá se intensificar.
Também para 2007 pode ser que ocorra um aumento na exploração de falhas em tecnologias de ferramentas antiphishing e também um aumento no sigilo de dados para evitar que informações importantes vazem. Aumentará também o uso da criptografia e de BOTs, empregados para controlar as chamadas botnets, que são redes de computadores zumbis atacados por softwares maliciosos usados principalmente para ataques a outros servidores.
Leia mais...
De acordo com um artigo publicado no site inglês Computing, os criminosos comprarão, venderão e trocarão produtos como toolkits de ataques virtuais e arquivos para explorar falhas recém-descobertas.
Especialistas da Websense também prevêem que as brechas de segurança de sites da Web 2.0 (que permitem uma maior interação com usuários a partir de aplicações online) começarão a ser exploradas ainda mais à medida que os sites ficarem mais populares e a segurança de cada um deles, atualmente em segundo plano, passar a ser debatida.
Da lista dos 20 sites mais visitados da web, estima-se que 80% pertençam à chamada Web 2.0, entre eles sites como Wikipedia e MySpace, sites que por estarem sempre modificando seu conteúdo são mais difíceis de ter um controle efetivo de segurança, conforme noticiou o site ITP.net. O fato de atraírem milhões de visitantes os torna ainda mais atraentes para os criminosos.
Para Dan Hubbard, vice-presidente de pesquisas de segurança da Websense, os criminosos estão mais conscientes do que nunca de que a internet é um ótimo recurso para obter lucros reais. Com ganho financeiro em foco, métodos de ataque estão melhorando, e o número de pessoas envolvidas está aumentando, comentou.
Hubbard alertou que programas para roubar informações pessoais, profissionais e financeiras são os preferidos dos criminosos: No ano que vem, em particular, é altamente importante para organizações tomarem medidas preventivas para se protegerem da próxima onda de ataques furtivos e direcionados, que certamente irá se intensificar.
Também para 2007 pode ser que ocorra um aumento na exploração de falhas em tecnologias de ferramentas antiphishing e também um aumento no sigilo de dados para evitar que informações importantes vazem. Aumentará também o uso da criptografia e de BOTs, empregados para controlar as chamadas botnets, que são redes de computadores zumbis atacados por softwares maliciosos usados principalmente para ataques a outros servidores.
Laptop roubado põe dados de empresa aérea sob risco
Um notebook da Boeing, uma das principais montadoras de aviões e fabricantes de material aeronáutico do mundo, foi dado como perdido. Esta é a terceira vez em 13 meses que um aparelho da companhia desaparece. Este novo laptop foi furtado no começo de dezembro, após ter sido deixado sem supervisão por um dos funcionários da empresa. Nele estavam armazenados nomes e números da previdência social de aproximadamente 382 mil funcionários e aposentados, conforme noticiou o site BetaNews. A Boeing afirmou que nenhum dado de fornecedor ou cliente estava armazenado no computador.
A empresa, no entanto, não noticiou de qual escritório o equipamento foi roubado, mas sabe-se que suas principais fábricas estão estabelecidas em Seattle, no estado de Washington, enquanto a sede fica em Chicago, no estado de Illinois. Os funcionários e aposentados afetados pelo roubo já começaram a ser notificados do problema.
Segundo o site Chicago Tribune, o desaparecimento dos dados coloca os funcionários em risco de roubo de identidade ou fraudes de cartão de crédito. Entre os outros arquivos do computador estavam endereços residenciais, telefones de contato e datas de nascimento. Alguns dos arquivos traziam, também, informações salariais.
A Boeing afirma que o notebook estava desligado, e que exige uma senha na hora de ser operado, porém a quebra de um sistema desse tipo não é tarefa difícil para um hacker habilidoso. Para minimizar o problema, um serviço de monitoração de crédito será oferecido por um período de três anos àqueles que tiveram seus dados expostos.
Em abril de 2006 a empresa teve um notebook furtado com informações de 3,6 mil funcionários e aposentados e, meses antes, em novembro de 2005, outro laptop com informações de 160 mil empregados foi dado como desaparecido. Até o momento não foi encontrada nenhuma evidência de que os dados expostos anteriormente tenham sido utilizados.
Leia mais...
A empresa, no entanto, não noticiou de qual escritório o equipamento foi roubado, mas sabe-se que suas principais fábricas estão estabelecidas em Seattle, no estado de Washington, enquanto a sede fica em Chicago, no estado de Illinois. Os funcionários e aposentados afetados pelo roubo já começaram a ser notificados do problema.
Segundo o site Chicago Tribune, o desaparecimento dos dados coloca os funcionários em risco de roubo de identidade ou fraudes de cartão de crédito. Entre os outros arquivos do computador estavam endereços residenciais, telefones de contato e datas de nascimento. Alguns dos arquivos traziam, também, informações salariais.
A Boeing afirma que o notebook estava desligado, e que exige uma senha na hora de ser operado, porém a quebra de um sistema desse tipo não é tarefa difícil para um hacker habilidoso. Para minimizar o problema, um serviço de monitoração de crédito será oferecido por um período de três anos àqueles que tiveram seus dados expostos.
Em abril de 2006 a empresa teve um notebook furtado com informações de 3,6 mil funcionários e aposentados e, meses antes, em novembro de 2005, outro laptop com informações de 160 mil empregados foi dado como desaparecido. Até o momento não foi encontrada nenhuma evidência de que os dados expostos anteriormente tenham sido utilizados.
Atualização mensal da Microsoft corrigirá 6 falhas de segurança
A próxima atualização de segurança mensal da Microsoft, prevista para a terça-feira 12 de dezembro, resolverá seis problemas existentes em seus softwares. Segundo o site Ars Technica, cinco das atualizações serão para o sistema operacional Windows, sendo duas delas listadas como críticas.
A sexta atualização faz parte da ferramenta de programação Visual Studio, e acredita-se que esteja relacionada a uma falha descoberta no fim de outubro.
Apesar de ter sido recentemente descoberta uma falha que afeta o Microsoft Word 2003 e versões mais antigas do aplicativo, o pacote Office não receberá nenhuma atualização, muito embora a empresa já tenha anunciado estar trabalhando na resolução do problema.
Provavelmente o ciclo mensal de atualizações já estivesse previamente definido e a companhia não tenha conseguido incluí-lo a tempo no atual pacote. Isto não quer dizer que uma nova atualização fora do programa mensal não possa ser lançada, lembrou o site BetaNews.
Além das atualizações de segurança, a Microsoft planeja lançar uma versão atualizada de sua ferramenta contra programas maliciosos, Malicious Software Removal Tool.
Atualizações diversas serão lançadas, com quatro de alta prioridade através do Windows Update e outras dez via Microsoft Update, de acordo com a notificação oficial (www.microsoft.com/technet/security/bulletin/advance.mspx).
Na próxima quarta-feira, dia 13, a Microsoft fará um webcast (apresentação virtual) de 60 minutos discutindo os boletins de segurança de dezembro.
Leia mais...
A sexta atualização faz parte da ferramenta de programação Visual Studio, e acredita-se que esteja relacionada a uma falha descoberta no fim de outubro.
Apesar de ter sido recentemente descoberta uma falha que afeta o Microsoft Word 2003 e versões mais antigas do aplicativo, o pacote Office não receberá nenhuma atualização, muito embora a empresa já tenha anunciado estar trabalhando na resolução do problema.
Provavelmente o ciclo mensal de atualizações já estivesse previamente definido e a companhia não tenha conseguido incluí-lo a tempo no atual pacote. Isto não quer dizer que uma nova atualização fora do programa mensal não possa ser lançada, lembrou o site BetaNews.
Além das atualizações de segurança, a Microsoft planeja lançar uma versão atualizada de sua ferramenta contra programas maliciosos, Malicious Software Removal Tool.
Atualizações diversas serão lançadas, com quatro de alta prioridade através do Windows Update e outras dez via Microsoft Update, de acordo com a notificação oficial (www.microsoft.com/technet/security/bulletin/advance.mspx).
Na próxima quarta-feira, dia 13, a Microsoft fará um webcast (apresentação virtual) de 60 minutos discutindo os boletins de segurança de dezembro.
ONU alerta que reutilizar senha é perigoso
A ONU (Organização das Nações Unidas), por meio da União Internacional de Telecomunicações, organização que visa à padronização e regulamentação de ondas de rádio e telecomunicações internacionais, alertou para os riscos da reutilização de senhas. No relatório, a organização explica que o crescente número de sites e serviços que exigem cadastramento estimulam a reutilização de senhas facilitando o trabalho de ladrões de identidade.
Segundo nota da BBC, a organização pediu para que reguladores e empresas encontrem maneiras melhores de identificação online do que as tradicionais senhas e logins. O fenômeno apelidado de explosão de senhas pode causar brechas de segurança e deixar os sites vulneráveis. No Reino Unido, por exemplo, o prejuízo estimado com o roubo de identidade está em cerca de US$ 3,3 bilhões ao ano.
Leia mais...
Segundo nota da BBC, a organização pediu para que reguladores e empresas encontrem maneiras melhores de identificação online do que as tradicionais senhas e logins. O fenômeno apelidado de explosão de senhas pode causar brechas de segurança e deixar os sites vulneráveis. No Reino Unido, por exemplo, o prejuízo estimado com o roubo de identidade está em cerca de US$ 3,3 bilhões ao ano.