Download PDF
ads:
SEGURANÇA FRAUDE TECNOLOGIA SPAM IN
T
MALWARE PREVENÇÃO VÍRUS BANDA LARGA
TROJAN PRIVACIDADE PHISHING WIRELESS
SPYWARE ANTIVÍRUS WORM BLUETOOTH S
C
CRIPTOGRAFIA BOT SENHA ATAQUE FIREWA
L
BACKDOOR COOKIES KEYLOGGER PATCHES
R
INCIDENTE TECNOLOGIA SPAM INTERNET M
A
PREVENÇÃO VÍRUS BANDA LARGA TROJAN
PRIVACIDADE PHISHING WIRELESS SPYWARE
ANTIVÍRUS WORM BLUETOOTH SCAM
CRIPTOGRAFIA BOT SENHA ATAQUE FIREWA
L
BACKDOOR COOKIES KEYLOGGER PATCHES
R
INCIDENTE SEGURANÇA FRAUDE INTERNET
MALWARE PREVENÇÃO VÍRUS BANDA LARGA
TROJAN PRIVACIDADE PHISHING WIRELESS
SPYWARE ANTIVÍRUS WORM BLUETOOTH S
C
CRIPTOGRAFIA BOT SENHA ATAQUE FIREWA
L
BACKDOOR COOKIES KEYLOGGER PATCHES
R
INCIDENTE SEGURANÇA FRAUDE TECNOLOGI
A
Cartilha de Segurança
para Internet
Parte IV: Fraudes na Internet
Versão 3.0
Setembro de 2005
http://cartilha.cert.br/
ads:
Livros Grátis
http://www.livrosgratis.com.br
Milhares de livros grátis para download.
CERT.br – Centro de Estudos, Resposta e Tratamento
de Incidentes de Seguranc¸a no Brasil
Cartilha de Seguranc¸a para Internet
Parte IV: Fraudes na Internet
Esta parte da cartilha aborda quest
˜
oes relacionadas a fraudes na In-
ternet. S
˜
ao apresentadas algumas maneiras de prevenc¸
˜
ao contra ata-
ques de engenharia social, situac¸
˜
oes envolvendo fraudes comerciais e
banc
´
arias via Internet, bem como medidas preventivas que um usu
´
ario
deve adotar ao acessar sites de com
´
ercio eletr
ˆ
onico ou Internet Banking.
Tamb
´
em
´
e apresentado o conceito de boato (hoax) e s
˜
ao discutidas algu-
mas implicac¸
˜
oes de seguranc¸a e formas para se evitar sua distribuic¸
˜
ao.
Vers
˜
ao 3.0 – Setembro de 2005
http://cartilha.cert.br/
ads:
Parte IV: Fraudes na Internet
Sum
´
ario
1 Engenharia Social 3
1.1 Como me protejo deste tipo de abordagem? . . . . . . . . . . . . . . . . . . . . . . 3
2 Fraudes via Internet 3
2.1 O que
´
e scam e que situac¸
˜
oes podem ser citadas sobre este tipo de fraude?
. . . . . . 4
2.1.1 Sites de leil
˜
oes e de produtos com prec¸os “muito atrativos” . . . . . . . . . . 4
2.1.2 O golpe da Nig
´
eria (Nigerian 4-1-9 Scam) . . . . . . . . . . . . . . . . . . . 4
2.2 O que
´
e phishing e que situac¸
˜
oes podem ser citadas sobre este tipo de fraude? . . . . 5
2.2.1 Mensagens que cont
ˆ
em links para programas maliciosos . . . . . . . . . . . 5
2.2.2 P
´
aginas de com
´
ercio eletr
ˆ
onico ou Internet Banking falsificadas . . . . . . . 8
2.2.3 E-mails contendo formul
´
arios para o fornecimento de informac¸
˜
oes sens
´
ıveis . 9
2.2.4 Comprometimento do servic¸o de resoluc¸
˜
ao de nomes . . . . . . . . . . . . . 9
2.2.5 Utilizac¸
˜
ao de computadores de terceiros . . . . . . . . . . . . . . . . . . . . 10
2.3 Quais s
˜
ao os cuidados que devo ter ao acessar sites de com
´
ercio eletr
ˆ
onico ou Internet
Banking? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
2.4 Como verificar se a conex
˜
ao
´
e segura (criptografada)? . . . . . . . . . . . . . . . . . 11
2.5 Como posso saber se o site que estou acessando n
˜
ao foi falsificado? . . . . . . . . . 13
2.6 Como posso saber se o certificado emitido para o site
´
e leg
´
ıtimo? . . . . . . . . . . . 13
2.7 O que devo fazer se perceber que meus dados financeiros est
˜
ao sendo usados por
terceiros? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
3 Boatos 14
3.1 Quais s
˜
ao os problemas de seguranc¸a relacionados aos boatos? . . . . . . . . . . . . 15
3.2 Como evitar a distribuic¸
˜
ao dos boatos? . . . . . . . . . . . . . . . . . . . . . . . . . 15
3.3 Como posso saber se um e-mail
´
e um boato? . . . . . . . . . . . . . . . . . . . . . . 15
Como Obter este Documento 17
Nota de Copyright e Distribuic¸
˜
ao 17
Agradecimentos 17
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 2/17
Parte IV: Fraudes na Internet
1 Engenharia Social
Nos ataques de engenharia social, normalmente, o atacante se faz passar por outra pessoa e utiliza
meios, como uma ligac¸
˜
ao telef
ˆ
onica ou e-mail, para persuadir o usu
´
ario a fornecer informac¸
˜
oes ou
realizar determinadas ac¸
˜
oes. Exemplos destas ac¸
˜
oes s
˜
ao: executar um programa, acessar uma p
´
agina
falsa de com
´
ercio eletr
ˆ
onico ou Internet Banking atrav
´
es de um link em um e-mail ou em uma p
´
agina,
etc.
O conceito de engenharia social, bem como alguns exemplos deste tipo de ataque, podem ser
encontrados na parte
I: Conceitos de Seguranc¸a. Exemplos espec
´
ıficos destes ataques, envolvendo
diversos tipos de fraude, s
˜
ao abordados nas sec¸
˜
oes 2.1 e 2.2.
1.1 Como me protejo deste tipo de abordagem?
Em casos de engenharia social o bom senso
´
e essencial. Fique atento para qualquer abordagem,
seja via telefone, seja atrav
´
es de um e-mail , onde uma pessoa (em muitos casos falando em nome de
uma instituic¸
˜
ao) solicita informac¸
˜
oes (principalmente confidenciais) a seu respeito.
Procure n
˜
ao fornecer muita informac¸
˜
ao e n
˜
ao fornec¸a, sob hip
´
otese alguma, informac¸
˜
oes sen-
s
´
ıveis, como senhas ou n
´
umeros de cart
˜
oes de cr
´
edito.
Nestes casos e nos casos em que receber mensagens, procurando lhe induzir a executar programas
ou clicar em um link contido em um e-mail ou p
´
agina Web,
´
e extremamente importante que voc
ˆ
e,
antes de realizar qualquer ac¸
˜
ao, procure identificar e entrar em contato com a instituic¸
˜
ao envolvida,
para certificar-se sobre o caso.
2 Fraudes via Internet
Normalmente, n
˜
ao
´
e uma tarefa simples atacar e fraudar dados em um servidor de uma instituic¸
˜
ao
banc
´
aria ou comercial. Ent
˜
ao, atacantes t
ˆ
em concentrado seus esforc¸os na explorac¸
˜
ao de fragilidades
dos usu
´
arios, para realizar fraudes comerciais e banc
´
arias atrav
´
es da Internet.
Para obter vantagens, os fraudadores t
ˆ
em utilizado amplamente e-mails com discursos que, na
maioria dos casos, envolvem engenharia social e que tentam persuadir o usu
´
ario a fornecer seus dados
pessoais e financeiros. Em muitos casos, o usu
´
ario
´
e induzido a instalar algum c
´
odigo malicioso
ou acessar uma p
´
agina fraudulenta, para que dados pessoais e sens
´
ıveis, como senhas banc
´
arias e
n
´
umeros de cart
˜
oes de cr
´
edito, possam ser furtados. Desta forma,
´
e muito importante que usu
´
arios
de Internet tenham certos cuidados com os e-mails que recebem e ao utilizarem servic¸os de com
´
ercio
eletr
ˆ
onico ou Internet Banking.
A sec¸
˜
oes
2.1 e 2.2 ilustram algumas situac¸
˜
oes envolvendo estes tipos de fraudes. A sec¸
˜
ao 2.3
descreve alguns cuidados a serem tomados pelos usu
´
arios de Internet, ao acessarem sites de com
´
ercio
eletr
ˆ
onico ou Internet Banking. As sec¸
˜
oes 2.4, 2.5 e 2.6 apresentam alguns procedimentos para veri-
ficar a legitimidade de um site. E a sec¸
˜
ao
2.7 recomenda o que o usu
´
ario deve fazer se perceber que
seus dados financeiros podem estar sendo usados por terceiros.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 3/17
Parte IV: Fraudes na Internet
2.1 O que
´
e scam e que situac¸
˜
oes podem ser citadas sobre este tipo de fraude?
O scam (ou “golpe”)
´
e qualquer esquema ou ac¸
˜
ao enganosa e/ou fraudulenta que, normalmente,
tem como finalidade obter vantagens financeiras.
As subsec¸
˜
oes 2.1.1 e 2.1.2 apresentam duas situac¸
˜
oes envolvendo este tipo de fraude, sendo que
a primeira situac¸
˜
ao se d
´
a atrav
´
es de p
´
aginas disponibilizadas na Internet e a segunda atrav
´
es do re-
cebimento de e-mails. Observe que existem variantes para as situac¸
˜
oes apresentadas e outros tipos
de scam. Al
´
em disso, novas formas de scam podem surgir, portanto
´
e muito importante que voc
ˆ
e se
mantenha informado sobre os tipos de scam que v
ˆ
em sendo utilizados pelos fraudadores, atrav
´
es dos
ve
´
ıculos de comunicac¸
˜
ao, como jornais, revistas e sites especializados.
2.1.1 Sites de leil
˜
oes e de produtos com prec¸os “muito atrativos”
Voc
ˆ
e acessa um site de leil
˜
ao ou de venda de produtos, onde os produtos ofertados t
ˆ
em prec¸os
muito abaixo dos praticados pelo mercado.
Risco: ao efetivar uma compra, na melhor das hip
´
oteses, voc
ˆ
e receber
´
a um produto que n
˜
ao condiz
com o que realmente foi solicitado. Na maioria dos casos, voc
ˆ
e n
˜
ao receber
´
a nenhum produto, perder
´
a
o dinheiro e poder
´
a ter seus dados pessoais e financeiros furtados, caso a transac¸
˜
ao tenha envolvido,
por exemplo, o n
´
umero do seu cart
˜
ao de cr
´
edito.
Como identificar: fac¸a uma pesquisa de mercado sobre prec¸o do produto desejado e compare com
os prec¸os oferecidos. Ent
˜
ao, voc
ˆ
e deve se perguntar por que est
˜
ao oferecendo um produto com prec¸o
t
˜
ao abaixo do praticado pelo mercado.
´
E importante ressaltar que existem muitos sites confi
´
aveis de leil
˜
oes e de vendas de produtos, mas
nesta situac¸
˜
ao a intenc¸
˜
ao
´
e ilustrar casos de sites especificamente projetados para realizar atividades
il
´
ıcitas.
2.1.2 O golpe da Nig
´
eria (Nigerian 4-1-9 Scam)
Voc
ˆ
e recebe um e-mail em nome de uma instituic¸
˜
ao governamental da Nig
´
eria (por exemplo, o
Banco Central), onde
´
e solicitado que voc
ˆ
e atue como intermedi
´
ario em uma transfer
ˆ
encia internaci-
onal de fundos. O valor mencionado na mensagem normalmente corresponde a dezenas ou centenas
de milh
˜
oes de d
´
olares.
Como recompensa, voc
ˆ
e ter
´
a direito de ficar com uma porcentagem (que
´
e normalmente alta) do
valor mencionado na mensagem. Para completar a transac¸
˜
ao
´
e solicitado que voc
ˆ
e pague antecipa-
damente uma quantia, normalmente bem elevada, para arcar com taxas de transfer
ˆ
encia de fundos,
custos com advogados, entre outros.
Este tipo de golpe tamb
´
em
´
e conhecido como Advance Fee Fraud, ou “a fraude de antecipac¸
˜
ao de
pagamentos”, e j
´
a foram registrados casos originados ou que mencionavam a
´
Africa do Sul, Angola,
Eti
´
opia, Lib
´
eria, Marrocos, Serra Leoa, Tanz
ˆ
ania, Zaire, Zimb
´
abue, Holanda, Iugosl
´
avia, Austr
´
alia,
Jap
˜
ao, Mal
´
asia e Taiwan, entre outros.
No nome dado a este tipo de fraude, Nigerian 4-1-9 Scam, o n
´
umero “419” refere-se
`
a sec¸
˜
ao do
c
´
odigo penal da Nig
´
eria que
´
e violada por este golpe.
´
E equivalente ao artigo 171 do c
´
odigo penal
brasileiro, ou seja, estelionato.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 4/17
Parte IV: Fraudes na Internet
Risco: ao responder a este tipo de mensagem e efetivar o pagamento antecipado, voc
ˆ
e n
˜
ao s
´
o perder
´
a
o dinheiro investido, mas tamb
´
em nunca ver
´
a os milhares ou milh
˜
oes de d
´
olares prometidos como
recompensa.
Como identificar: normalmente, estas mensagens apresentam quantias astron
ˆ
omicas e abusam da
utilizac¸
˜
ao de palavras capitalizadas (todas as letras mai
´
usculas) para chamar a atenc¸
˜
ao do usu
´
ario.
Palavras como “URGENT” (urgente) e “CONFIDENTIAL” (confidencial) tamb
´
em s
˜
ao comumente
usadas no assunto da mensagem para chamar a atenc¸
˜
ao do usu
´
ario.
Voc
ˆ
e deve se perguntar por que foi escolhido para receber estes “milhares ou milh
˜
oes” de d
´
olares,
entre os in
´
umeros usu
´
arios que utilizam a Internet.
2.2 O que
´
e phishing e que situac¸
˜
oes podem ser citadas sobre este tipo de
fraude?
Phishing, tamb
´
em conhecido como phishing scam ou phishing/scam, foi um termo originalmente
criado para descrever o tipo de fraude que se d
´
a atrav
´
es do envio de mensagem n
˜
ao solicitada, que se
passa por comunicac¸
˜
ao de uma instituic¸
˜
ao conhecida, como um banco, empresa ou site popular, e que
procura induzir o acesso a p
´
aginas fraudulentas (falsificadas), projetadas para furtar dados pessoais e
financeiros de usu
´
arios.
A palavra phishing (de “fishing”) vem de uma analogia criada pelos fraudadores, onde “iscas”
(e-mails) s
˜
ao usadas para “pescar” senhas e dados financeiros de usu
´
arios da Internet.
Atualmente, este termo v
ˆ
em sendo utilizado tamb
´
em para se referir aos seguintes casos:
• mensagem que procura induzir o usu
´
ario
`
a instalac¸
˜
ao de c
´
odigos maliciosos, projetados para
furtar dados pessoais e financeiros;
• mensagem que, no pr
´
oprio conte
´
udo, apresenta formul
´
arios para o preenchimento e envio de
dados pessoais e financeiros de usu
´
arios.
A subsec¸
˜
oes a seguir apresentam cinco situac¸
˜
oes envolvendo phishing, que v
ˆ
em sendo utilizadas
por fraudadores na Internet. Observe que existem variantes para as situac¸
˜
oes apresentadas. Al
´
em
disso, novas formas de phishing podem surgir, portanto
´
e muito importante que voc
ˆ
e se mantenha
informado sobre os tipos de phishing que v
ˆ
em sendo utilizados pelos fraudadores, atrav
´
es dos ve
´
ıculos
de comunicac¸
˜
ao, como jornais, revistas e sites especializados.
Tamb
´
em
´
e muito importante que voc
ˆ
e, ao identificar um caso de fraude via Internet, notifique a
instituic¸
˜
ao envolvida, para que ela possa tomar as provid
ˆ
encias cab
´
ıveis
1
.
2.2.1 Mensagens que cont
ˆ
em links para programas maliciosos
Voc
ˆ
e recebe uma mensagem por e-mail ou via servic¸o de troca instant
ˆ
anea de mensagens, onde o
texto procura atrair sua atenc¸
˜
ao, seja por curiosidade, por caridade, pela possibilidade de obter alguma
vantagem (normalmente financeira), entre outras. O texto da mensagem tamb
´
em pode indicar que a
n
˜
ao execuc¸
˜
ao dos procedimentos descritos acarretar
˜
ao conseq
¨
u
ˆ
encias mais s
´
erias, como, por exemplo,
1
Veja detalhes sobre como realizar a notificac¸
˜
ao na parte VII: Incidentes de Seguranc¸a e Uso Abusivo da Rede.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 5/17
Parte IV: Fraudes na Internet
a inclus
˜
ao do seu nome no SPC/SERASA, o cancelamento de um cadastro, da sua conta banc
´
aria ou
do seu cart
˜
ao de cr
´
edito, etc. A mensagem, ent
˜
ao, procura induz
´
ı-lo a clicar em um link, para baixar
e abrir/executar um arquivo.
Alguns exemplos de temas e respectivas descric¸
˜
oes dos textos encontrados em mensagens deste
tipo s
˜
ao apresentados na tabela 1.
Tabela 1: Exemplos de temas de mensagens de phishing.
Tema Texto da mensagem
Cart
˜
oes virtuais UOL, Voxcards, Humor Tadela, O Carteiro, Emotioncard, Cri-
anc¸a Esperanc¸a, AACD/Teleton.
SERASA e SPC d
´
ebitos, restric¸
˜
oes ou pend
ˆ
encias financeiras.
Servic¸os de governo eletr
ˆ
onico CPF/CNPJ pendente ou cancelado, Imposto de Renda (nova
vers
˜
ao ou correc¸
˜
ao para o programa de declarac¸
˜
ao, consulta
da restituic¸
˜
ao, dados incorretos ou incompletos na declara-
c¸
˜
ao), eleic¸
˜
oes (t
´
ıtulo eleitoral cancelado, simulac¸
˜
ao da urna
eletr
ˆ
onica).
´
Albuns de fotos pessoa supostamente conhecida, celebridades, relacionado a
algum fato noticiado (em jornais, revistas, televis
˜
ao), traic¸
˜
ao,
nudez ou pornografia, servic¸o de acompanhantes.
Servic¸o de telefonia pend
ˆ
encias de d
´
ebito, aviso de bloqueio de servic¸os, detalha-
mento de fatura, cr
´
editos gratuitos para o celular.
Antiv
´
ırus a melhor opc¸
˜
ao do mercado, nova vers
˜
ao, atualizac¸
˜
ao de vaci-
nas, novas funcionalidades, eliminac¸
˜
ao de v
´
ırus do seu com-
putador.
Not
´
ıcias/boatos fatos amplamente noticiados (ataques terroristas, tsunami, ter-
remotos, etc), boatos envolvendo pessoas conhecidas (morte,
acidentes ou outras situac¸
˜
oes chocantes).
Reality shows
BigBrother, Casa dos Artistas, etc – fotos ou v
´
ıdeos envol-
vendo cenas de nudez ou er
´
oticas, discadores.
Programas ou arquivos diversos novas vers
˜
oes de softwares, correc¸
˜
oes para o sistema operaci-
onal Windows, m
´
usicas, v
´
ıdeos, jogos, acesso gratuito a ca-
nais de TV a cabo no computador, cadastro ou atualizac¸
˜
ao de
curr
´
ıculos, recorra das multas de tr
ˆ
ansito.
Pedidos orc¸amento, cotac¸
˜
ao de prec¸os, lista de produtos.
Discadores para conex
˜
ao Internet gratuita, para acessar imagens ou v
´
ıdeos
restritos.
Sites de com
´
ercio eletr
ˆ
onico
atualizac¸
˜
ao de cadastro, devoluc¸
˜
ao de produtos, cobranc¸a de
d
´
ebitos, confirmac¸
˜
ao de compra.
Convites convites para participac¸
˜
ao em sites de relacionamento (como o
orkut) e outros servic¸os gratuitos.
Dinheiro f
´
acil descubra como ganhar dinheiro na Internet.
Promoc¸
˜
oes diversos.
Pr
ˆ
emios loterias, instituic¸
˜
oes financeiras.
Propaganda produtos, cursos, treinamentos, concursos.
FEBRABAN cartilha de seguranc¸a, avisos de fraude.
IBGE censo.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 6/17
Parte IV: Fraudes na Internet
Cabe ressaltar que a lista de temas na tabela 1 n
˜
ao
´
e exaustiva, nem tampouco se aplica a todos os
casos. Existem outros temas e novos temas podem surgir.
Risco: ao clicar no link, ser
´
a apresentada uma janela, solicitando que voc
ˆ
e salve o arquivo. Depois
de salvo, se voc
ˆ
e abr
´
ı-lo ou execut
´
a-lo, ser
´
a instalado um programa malicioso (malware) em seu
computador, por exemplo, um cavalo de tr
´
oia ou outro tipo de spyware, projetado para furtar seus
dados pessoais e financeiros, como senhas banc
´
arias ou n
´
umeros de cart
˜
oes de cr
´
edito
2
. Caso o seu
programa leitor de e-mails esteja configurado para exibir mensagens em HTML, a janela solicitando
que voc
ˆ
e salve o arquivo poder
´
a aparecer automaticamente, sem que voc
ˆ
e clique no link.
Ainda existe a possibilidade do arquivo/programa malicioso ser baixado e executado no computa-
dor automaticamente, ou seja, sem a sua intervenc¸
˜
ao, caso seu programa leitor de e-mails possua
vulnerabilidades.
Esse tipo de programa malicioso pode utilizar diversas formas para furtar dados de um usu
´
ario, dentre
elas: capturar teclas digitadas no teclado; capturar a posic¸
˜
ao do cursor e a tela ou regi
˜
oes da tela, no
momento em que o mouse
´
e clicado; sobrepor a janela do browser do usu
´
ario com uma janela falsa,
onde os dados ser
˜
ao inseridos; ou espionar o teclado do usu
´
ario atrav
´
es da Webcam (caso o usu
´
ario a
possua e ela esteja apontada para o teclado). Mais detalhes sobre algumas destas t
´
ecnicas podem ser
vistos na sec¸
˜
ao de keyloggers, na parte VIII: C
´
odigos Maliciosos (Malware).
Depois de capturados, seus dados pessoais e financeiros ser
˜
ao enviados para os fraudadores. A partir
da
´
ı, os fraudadores poder
˜
ao realizar diversas operac¸
˜
oes, incluindo a venda dos seus dados para tercei-
ros, ou utilizac¸
˜
ao dos seus dados financeiros para efetuar pagamentos, transferir valores para outras
contas, etc.
Como identificar: seguem algumas dicas para identificar este tipo de mensagem fraudulenta:
• leia atentamente a mensagem. Normalmente, ela conter
´
a diversos erros gramaticais e de orto-
grafia;
• os fraudadores utilizam t
´
ecnicas para ofuscar o real link para o arquivo malicioso, apresentando
o que parece ser um link relacionado
`
a instituic¸
˜
ao mencionada na mensagem. Ao passar o cursor
do mouse sobre o link, ser
´
a poss
´
ıvel ver o real enderec¸o do arquivo malicioso na barra de status
do programa leitor de e-mails, ou browser, caso esteja atualizado e n
˜
ao possua vulnerabilidades.
Normalmente, este link ser
´
a diferente do apresentado na mensagem;
• qualquer extens
˜
ao pode ser utilizada nos nomes dos arquivos maliciosos, mas fique particular-
mente atento aos arquivos com extens
˜
oes “.exe”, “.zip” e “.scr”, pois estas s
˜
ao as mais utiliza-
das. Outras extens
˜
oes freq
¨
uentemente utilizadas por fraudadores s
˜
ao “.com”, “.rar” e “.dll”;
• fique atento
`
as mensagens que solicitam a instalac¸
˜
ao/execuc¸
˜
ao de qualquer tipo de arquivo/pro-
grama;
• acesse a p
´
agina da instituic¸
˜
ao que supostamente enviou a mensagem, seguindo os cuidados
apresentados na sec¸
˜
ao 2.3, e procure por informac¸
˜
oes relacionadas com a mensagem que voc
ˆ
e
recebeu. Em muitos casos, voc
ˆ
e vai observar que n
˜
ao
´
e pol
´
ıtica da instituic¸
˜
ao enviar e-mails
para usu
´
arios da Internet, de forma indiscriminada, principalmente contendo arquivos anexados.
2
O conceito de malware pode ser encontrado na parte I: Conceitos de Seguranc¸a. Os conceitos de cavalo de tr
´
oia e
spyware est
˜
ao dispon
´
ıveis na parte VIII: C
´
odigos Maliciosos (Malware)
.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 7/17
Parte IV: Fraudes na Internet
Recomendac¸
˜
oes:
• no caso de mensagem recebida por e-mail, o remetente nunca deve ser utilizado como pa-
r
ˆ
ametro para atestar a veracidade de uma mensagem, pois pode ser facilmente forjado pelos
fraudadores;
• se voc
ˆ
e ainda tiver alguma d
´
uvida e acreditar que a mensagem pode ser verdadeira, entre em
contato com a instituic¸
˜
ao para certificar-se sobre o caso, antes de enviar qualquer dado, princi-
palmente informac¸
˜
oes sens
´
ıveis, como senhas e n
´
umeros de cart
˜
oes de cr
´
edito.
2.2.2 P
´
aginas de com
´
ercio eletr
ˆ
onico ou Internet Banking falsificadas
Voc
ˆ
e recebe uma mensagem por e-mail ou via servic¸o de troca instant
ˆ
anea de mensagens, em
nome de um site de com
´
ercio eletr
ˆ
onico ou de uma instituic¸
˜
ao financeira, por exemplo, um banco.
Textos comuns neste tipo de mensagem envolvem o recadastramento ou confirmac¸
˜
ao dos dados do
usu
´
ario, a participac¸
˜
ao em uma nova promoc¸
˜
ao, etc. A mensagem, ent
˜
ao, tenta persuad
´
ı-lo a clicar
em um link contido no texto, em uma imagem, ou em uma p
´
agina de terceiros.
Risco: o link pode direcion
´
a-lo para uma p
´
agina Web falsificada, semelhante ao site que voc
ˆ
e real-
mente deseja acessar. Nesta p
´
agina ser
˜
ao solicitados dados pessoais e financeiros, como o n
´
umero,
data de expirac¸
˜
ao e c
´
odigo de seguranc¸a do seu cart
˜
ao de cr
´
edito, ou os n
´
umeros da sua ag
ˆ
encia e
conta banc
´
aria, senha do cart
˜
ao do banco e senha de acesso ao Internet Banking.
Ao preencher os campos dispon
´
ıveis na p
´
agina falsificada e clicar no bot
˜
ao de confirmac¸
˜
ao (em muitos
casos o bot
˜
ao apresentar
´
a o texto “Confirm”, “OK”, “Submit”, etc), os dados ser
˜
ao enviados para os
fraudadores.
A partir da
´
ı, os fraudadores poder
˜
ao realizar diversas operac¸
˜
oes, incluindo a venda dos seus dados
para terceiros, ou utilizac¸
˜
ao dos seus dados financeiros para efetuar pagamentos, transferir valores
para outras contas, etc.
Como identificar: seguem algumas dicas para identificar este tipo de mensagem fraudulenta:
• os fraudadores utilizam t
´
ecnicas para ofuscar o real link para a p
´
agina falsificada, apresentando
o que parece ser um link relacionado
`
a instituic¸
˜
ao mencionada na mensagem. Ao passar o cursor
do mouse sobre o link, ser
´
a poss
´
ıvel ver o real enderec¸o da p
´
agina falsificada na barra de status
do programa leitor de e-mails, ou browser, caso esteja atualizado e n
˜
ao possua vulnerabilidades.
Normalmente, este link ser
´
a diferente do apresentado na mensagem;
• acesse a p
´
agina da instituic¸
˜
ao que supostamente enviou a mensagem, seguindo os cuidados
apresentados na sec¸
˜
ao
2.3, e procure por informac¸
˜
oes relacionadas com a mensagem que voc
ˆ
e
recebeu;
• sites de com
´
ercio eletr
ˆ
onico ou Internet Banking confi
´
aveis sempre utilizam conex
˜
oes seguras
(vide sec¸
˜
ao
2.4) quando dados pessoais e financeiros de usu
´
arios s
˜
ao solicitados. Caso a p
´
agina
n
˜
ao utilize conex
˜
ao segura, desconfie imediatamente. Caso a p
´
agina falsificada utilize conex
˜
ao
segura, um novo certificado (que n
˜
ao corresponde ao site verdadeiro) ser
´
a apresentado e, pos-
sivelmente, o enderec¸o mostrado no browser ser
´
a diferente do enderec¸o correspondente ao site
verdadeiro.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 8/17
Parte IV: Fraudes na Internet
Recomendac¸
˜
oes:
• no caso de mensagem recebida por e-mail, o remetente nunca deve ser utilizado como pa-
r
ˆ
ametro para atestar a veracidade de uma mensagem, pois pode ser facilmente forjado pelos
fraudadores;
• se voc
ˆ
e ainda tiver alguma d
´
uvida e acreditar que a mensagem pode ser verdadeira, entre em
contato com a instituic¸
˜
ao para certificar-se sobre o caso, antes de enviar qualquer dado, princi-
palmente informac¸
˜
oes sens
´
ıveis, como senhas e n
´
umeros de cart
˜
oes de cr
´
edito.
2.2.3 E-mails contendo formul
´
arios para o fornecimento de informac¸
˜
oes sens
´
ıveis
Voc
ˆ
e recebe um e-mail em nome de um site de com
´
ercio eletr
ˆ
onico ou de uma instituic¸
˜
ao banc
´
aria.
O conte
´
udo da mensagem envolve o recadastramento ou confirmac¸
˜
ao de seus dados, a participac¸
˜
ao
em uma nova promoc¸
˜
ao, etc.
A mensagem apresenta um formul
´
ario, com campos para a digitac¸
˜
ao de informac¸
˜
oes envolvendo
dados pessoais e financeiros, como o n
´
umero, data de expirac¸
˜
ao e c
´
odigo de seguranc¸a do seu cart
˜
ao
de cr
´
edito, ou os n
´
umeros da sua ag
ˆ
encia e conta banc
´
aria, senha do cart
˜
ao do banco e senha de
acesso ao Internet Banking. A mensagem, ent
˜
ao, solicita que voc
ˆ
e preencha o formul
´
ario e apresenta
um bot
˜
ao para confirmar o envio das informac¸
˜
oes preenchidas.
Risco: ao preencher os dados e confirmar o envio, suas informac¸
˜
oes pessoais e financeiras ser
˜
ao
transmitidas para fraudadores, que, a partir da
´
ı, poder
˜
ao realizar diversas operac¸
˜
oes, incluindo a venda
dos seus dados para terceiros, ou utilizac¸
˜
ao dos seus dados financeiros para efetuar pagamentos,
transferir valores para outras contas, etc.
Como identificar: o servic¸o de e-mail convencional n
˜
ao fornece qualquer mecanismo de criptografia,
ou seja, as informac¸
˜
oes, ao serem submetidas, trafegar
˜
ao em claro pela Internet. Qualquer instituic¸
˜
ao
confi
´
avel n
˜
ao utilizaria este meio para o envio de informac¸
˜
oes pessoais e sens
´
ıveis de seus usu
´
arios.
2.2.4 Comprometimento do servic¸o de resoluc¸
˜
ao de nomes
Ao tentar acessar um site de com
´
ercio eletr
ˆ
onico ou Internet Banking, mesmo digitando o endere-
c¸o diretamente no seu browser, voc
ˆ
e
´
e redirecionado para uma p
´
agina falsificada, semelhante ao site
verdadeiro.
Duas poss
´
ıveis causas para este caso de phishing s
˜
ao:
• o atacante comprometeu o servidor de nomes do seu provedor (DNS), de modo que todos os
acessos a determinados sites passaram a ser redirecionados para p
´
aginas falsificadas;
• o atacante o induziu a instalar um malware, por exemplo, atrav
´
es de uma mensagem recebida
por e-mail (como mostrado na sec¸
˜
ao 2.2.1), e este malware foi especificamente projetado para
alterar o comportamento do servic¸o de resoluc¸
˜
ao de nomes do seu computador, redirecionando
os acessos a determinados sites para p
´
aginas falsificadas.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 9/17
Parte IV: Fraudes na Internet
Apesar de n
˜
ao ter uma definic¸
˜
ao consolidada na data de publicac¸
˜
ao desta Cartilha, os ve
´
ıculos
de comunicac¸
˜
ao t
ˆ
em utilizado o termo pharming para se referir a casos espec
´
ıficos de phishing, que
envolvem algum tipo de redirec¸
˜
ao da v
´
ıtima para sites fraudulentos, atrav
´
es de alterac¸
˜
oes nos servic¸os
de resoluc¸
˜
ao de nomes.
Risco: ao preencher os campos dispon
´
ıveis na p
´
agina falsificada e confirmar o envio dos dados, suas
informac¸
˜
oes pessoais e financeiras ser
˜
ao transmitidas para fraudadores, que, a partir da
´
ı, poder
˜
ao
realizar diversas operac¸
˜
oes, incluindo a venda dos seus dados para terceiros, ou utilizac¸
˜
ao dos seus
dados financeiros para efetuar pagamentos, transferir valores para outras contas, etc.
Como identificar: neste caso, onde fraudadores alteram o comportamento do servic¸o de resoluc¸
˜
ao
de nomes, para redirecionar acessos para p
´
aginas falsificadas, n
˜
ao s
˜
ao v
´
alidas dicas como digitar
o enderec¸o diretamente no seu browser, ou observar o enderec¸o apresentado na barra de status do
browser.
Deste modo, a melhor forma de identificar este tipo de fraude
´
e estar atento para o fato de que sites
de com
´
ercio eletr
ˆ
onico ou Internet Banking confi
´
aveis sempre utilizam conex
˜
oes seguras quando
dados pessoais e financeiros de usu
´
arios s
˜
ao solicitados. Caso a p
´
agina n
˜
ao utilize conex
˜
ao segura,
desconfie imediatamente. Caso a p
´
agina falsificada utilize conex
˜
ao segura, um novo certificado, que
n
˜
ao corresponde ao site verdadeiro, ser
´
a apresentado (mais detalhes sobre verificac¸
˜
ao de certificados
na sec¸
˜
ao
2.6).
Recomendac¸
˜
ao: se voc
ˆ
e ainda tiver alguma d
´
uvida e acreditar que a p
´
agina pode ser verdadeira,
mesmo n
˜
ao utilizando conex
˜
ao segura, ou apresentando um certificado n
˜
ao compat
´
ıvel, entre em
contato com a instituic¸
˜
ao para certificar-se sobre o caso, antes de enviar qualquer dado, principalmente
informac¸
˜
oes sens
´
ıveis, como senhas e n
´
umeros de cart
˜
oes de cr
´
edito.
2.2.5 Utilizac¸
˜
ao de computadores de terceiros
Voc
ˆ
e utiliza um computador de terceiros, por exemplo, em uma LAN house, cybercafe ou stand
de um evento, para acessar um site de com
´
ercio eletr
ˆ
onico ou Internet Banking.
Risco: como estes computadores s
˜
ao utilizados por muitas pessoas, voc
ˆ
e pode ter todas as suas ac¸
˜
oes
monitoradas (incluindo a digitac¸
˜
ao de senhas ou n
´
umero de cart
˜
oes de cr
´
edito), atrav
´
es de programas
especificamente projetados para este fim (como visto na sec¸
˜
ao 2.2.1) e que podem ter sido instalados
previamente.
Recomendac¸
˜
ao: n
˜
ao utilize computadores de terceiros em operac¸
˜
oes que necessitem de seus dados
pessoais e financeiros, incluindo qualquer uma de suas senhas.
2.3 Quais s
˜
ao os cuidados que devo ter ao acessar sites de com
´
ercio eletr
ˆ
onico
ou Internet Banking?
Existem diversos cuidados que um usu
´
ario deve ter ao acessar sites de com
´
ercio eletr
ˆ
onico ou
Internet Banking. Dentre eles, podem-se citar:
• realizar transac¸
˜
oes somente em sites de instituic¸
˜
oes que voc
ˆ
e considere confi
´
aveis;
• procurar sempre digitar em seu browser o enderec¸o desejado. N
˜
ao utilize links em p
´
aginas de
terceiros ou recebidos por e-mail;
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 10/17
Parte IV: Fraudes na Internet
• certificar-se de que o enderec¸o apresentado em seu browser corresponde ao site que voc
ˆ
e real-
mente quer acessar, antes de realizar qualquer ac¸
˜
ao;
• certificar-se que o site faz uso de conex
˜
ao segura (ou seja, que os dados transmitidos entre seu
browser e o site ser
˜
ao criptografados) e utiliza um tamanho de chave considerado seguro (vide
sec¸
˜
ao
2.4);
• antes de aceitar um novo certificado, verificar junto
`
a instituic¸
˜
ao que mant
´
em o site sobre sua
emiss
˜
ao e quais s
˜
ao os dados nele contidos. Ent
˜
ao, verificar o certificado do site antes de iniciar
qualquer transac¸
˜
ao, para assegurar-se que ele foi emitido para a instituic¸
˜
ao que se deseja acessar
e est
´
a dentro do prazo de validade (vide sec¸
˜
ao 2.6);
• estar atento e prevenir-se dos ataques de engenharia social (como visto na sec¸
˜
ao 1.1);
• n
˜
ao acessar sites de com
´
ercio eletr
ˆ
onico ou Internet Banking atrav
´
es de computadores de ter-
ceiros;
• desligar sua Webcam (caso voc
ˆ
e possua alguma), ao acessar um site de com
´
ercio eletr
ˆ
onico ou
Internet Banking.
Al
´
em dos cuidados apresentados anteriormente
´
e muito importante que voc
ˆ
e tenha alguns cuida-
dos adicionais, tais como:
• manter o seu browser sempre atualizado e com todas as correc¸
˜
oes (patches) aplicadas;
• alterar a configurac¸
˜
ao do seu browser para restringir a execuc¸
˜
ao de JavaScript e de programas
Java ou ActiveX, exceto para casos espec
´
ıficos;
• configurar seu browser para bloquear pop-up windows e permit
´
ı-las apenas para sites conheci-
dos e confi
´
aveis, onde forem realmente necess
´
arias;
• configurar seu programa leitor de e-mails para n
˜
ao abrir arquivos ou executar programas auto-
maticamente;
• n
˜
ao executar programas obtidos pela Internet, ou recebidos por e-mail.
Com estes cuidados adicionais voc
ˆ
e pode evitar que seu browser contenha alguma vulnerabili-
dade, e que programas maliciosos (como os cavalos de tr
´
oia e outros tipos de malware) sejam instala-
dos em seu computador para, dentre outras finalidades, furtar dados sens
´
ıveis e fraudar seus acessos
a sites de com
´
ercio eletr
ˆ
onico ou Internet Banking. Maiores detalhes sobre estes cuidados podem ser
obtidos nas partes II: Riscos Envolvidos no Uso da Internet e M
´
etodos de Prevenc¸
˜
ao e VIII: C
´
odigos
Maliciosos (Malware).
2.4 Como verificar se a conex
˜
ao
´
e segura (criptografada)?
Existem pelo menos dois itens que podem ser visualizados na janela do seu browser, e que signi-
ficam que as informac¸
˜
oes transmitidas entre o browser e o site visitado est
˜
ao sendo criptografadas.
O primeiro pode ser visualizado no local onde o enderec¸o do site
´
e digitado. O enderec¸o deve
comec¸ar com https:// (diferente do http:// nas conex
˜
oes normais), onde o s antes do sinal de
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 11/17
Parte IV: Fraudes na Internet
dois-pontos indica que o enderec¸o em quest
˜
ao
´
e de um site com conex
˜
ao segura e, portanto, os dados
ser
˜
ao criptografados antes de serem enviados. A figura 1 apresenta o primeiro item, indicando uma
conex
˜
ao segura, observado nos browsers Firefox e Internet Explorer, respectivamente.
Alguns browsers podem incluir outros sinais na barra de digitac¸
˜
ao do enderec¸o do site, que in-
dicam que a conex
˜
ao
´
e segura. No Firefox, por exemplo, o local onde o enderec¸o do site
´
e digitado
muda de cor, ficando amarelo, e apresenta um cadeado fechado do lado direito.
Figura 1: https - identificando site com conex
˜
ao segura.
O segundo item a ser visualizado corresponde a algum desenho ou sinal, indicando que a conex
˜
ao
´
e segura. Normalmente, o desenho mais adotado nos browsers recentes
´
e de um “cadeado fechado”,
apresentado na barra de status, na parte inferior da janela do browser (se o cadeado estiver aberto, a
conex
˜
ao n
˜
ao
´
e segura).
A figura 2 apresenta desenhos dos cadeados fechados, indicando conex
˜
oes seguras, observados
nas barras de status nos browsers Firefox e Internet Explorer, respectivamente.
Figura 2: Cadeado – identificando site com conex
˜
ao segura.
Ao clicar sobre o cadeado, ser
´
a exibida uma tela que permite verificar as informac¸
˜
oes referentes
ao certificado emitido para a instituic¸
˜
ao que mant
´
em o site (veja sec¸
˜
ao 2.6), bem como informac¸
˜
oes
sobre o tamanho da chave utilizada para criptografar os dados.
´
E muito importante que voc
ˆ
e verifique se a chave utilizada para criptografar as informac¸
˜
oes a
serem transmitidas entre seu browser e o site
´
e de no m
´
ınimo 128 bits. Chaves menores podem
comprometer a seguranc¸a dos dados a serem transmitidos. Maiores detalhes sobre criptografia e
tamanho de chaves podem ser obtidos na parte I: Conceitos de Seguranc¸a.
Outro fator muito importante
´
e que a verificac¸
˜
ao das informac¸
˜
oes do certificado deve ser feita
clicando
´
unica e exclusivamente no cadeado exibido na barra status do browser. Atacantes podem
tentar forjar certificados, incluindo o desenho de um cadeado fechado no conte
´
udo da p
´
agina. A
figura 3 ilustra esta situac¸
˜
ao no browser Firefox.
Figura 3: Cadeado forjado.
Compare as barras de status do browser Firefox nas figuras 2 e 3. Observe que na figura 3 n
˜
ao
´
e
apresentado um cadeado fechado dentro da barra de status, indicando que a conex
˜
ao n
˜
ao
´
e segura.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 12/17
Parte IV: Fraudes na Internet
2.5 Como posso saber se o site que estou acessando n
˜
ao foi falsificado?
Existem alguns cuidados que um usu
´
ario deve ter para certificar-se que um site n
˜
ao foi falsificado.
O primeiro cuidado
´
e checar se o enderec¸o digitado permanece inalterado no momento em que
o conte
´
udo do site
´
e apresentado no browser do usu
´
ario. Existem algumas situac¸
˜
oes, como visto
na sec¸
˜
ao 2.2, onde o acesso a um site pode ser redirecionado para uma p
´
agina falsificada, mas nor-
malmente nestes casos o enderec¸o apresentado pelo browser
´
e diferente daquele que o usu
´
ario quer
realmente acessar.
E um outro cuidado muito importante
´
e verificar as informac¸
˜
oes contidas no certificado emitido
para a instituic¸
˜
ao que mant
´
em o site. Estas informac¸
˜
oes podem dizer se o certificado
´
e ou n
˜
ao leg
´
ıtimo
e, conseq
¨
uentemente, se o site
´
e ou n
˜
ao falsificado (vide sec¸
˜
ao 2.6).
2.6 Como posso saber se o certificado emitido para o site
´
e leg
´
ıtimo?
´
E extremamente importante que o usu
´
ario verifique algumas informac¸
˜
oes contidas no certificado.
Um exemplo de um certificado, emitido para um site de uma instituic¸
˜
ao
´
e mostrado abaixo.
This Certificate belongs to: This Certificate was issued by:
www.example.org www.examplesign.com/CPS Incorp.by Ref.
Terms of use at LIABILITY LTD.(c)97 ExampleSign
www.examplesign.com/dir (c)00 ExampleSign International Server CA -
UF Tecno Class 3
Example Associados, Inc. ExampleSign, Inc.
Cidade, Estado, BR
Serial Number:
70:DE:ED:0A:05:20:9C:3D:A0:A2:51:AA:CA:81:95:1A
This Certificate is valid from Sat Aug 20, 2005 to Sun
Aug 20, 2006
Certificate Fingerprint:
92:48:09:A1:70:7A:AF:E1:30:55:EC:15:A3:0C:09:F0
O usu
´
ario deve, ent
˜
ao, verificar se o certificado foi emitido para o site da instituic¸
˜
ao que ele deseja
acessar. As seguintes informac¸
˜
oes devem ser checadas:
• o enderec¸o do site;
• o nome da instituic¸
˜
ao (dona do certificado);
• o prazo de validade do certificado.
Ao entrar pela primeira vez em um site que usa conex
˜
ao segura, seu browser apresentar
´
a uma
janela pedindo para confirmar o recebimento de um novo certificado. Ent
˜
ao, verifique se os dados do
certificado correspondem
`
a instituic¸
˜
ao que voc
ˆ
e realmente deseja acessar e se seu browser reconheceu
a Autoridade Certificadora que emitiu o certificado
3
.
3
Os conceitos de Autoridade Certificadora e certificados digitais, bem como as principais informac¸
˜
oes encontradas em
um certificado podem ser encontradas na parte I: Conceitos de Seguranc¸a.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 13/17
Parte IV: Fraudes na Internet
Se ao entrar em um site com conex
˜
ao segura, que voc
ˆ
e utilize com freq
¨
u
ˆ
encia, seu browser apre-
sentar uma janela pedindo para confirmar o recebimento de um novo certificado, fique atento. Uma
situac¸
˜
ao poss
´
ıvel seria que a validade do certificado do site tenha vencido, ou o certificado tenha
sido revogado por outros motivos, e um novo certificado foi emitido para o site. Mas isto tamb
´
em
pode significar que voc
ˆ
e est
´
a recebendo um certificado ileg
´
ıtimo e, portanto, estar
´
a acessando um site
falsificado.
Uma dica para reconhecer esta situac¸
˜
ao
´
e que as informac¸
˜
oes contidas no certificado normalmente
n
˜
ao corresponder
˜
ao
`
as da instituic¸
˜
ao que voc
ˆ
e realmente deseja acessar. Al
´
em disso, seu browser
possivelmente informar
´
a que a Autoridade Certificadora que emitiu o certificado para o site n
˜
ao p
ˆ
ode
ser reconhecida.
De qualquer modo, caso voc
ˆ
e receba um novo certificado ao acessar um site e tenha alguma
d
´
uvida ou desconfianc¸a, n
˜
ao envie qualquer informac¸
˜
ao para o site antes de entrar em contato com a
instituic¸
˜
ao que o mant
´
em, para esclarecer o ocorrido.
2.7 O que devo fazer se perceber que meus dados financeiros est
˜
ao sendo usa-
dos por terceiros?
Caso voc
ˆ
e acredite que terceiros possam estar usando suas informac¸
˜
oes pessoais e financeiras,
como o n
´
umero do seu cart
˜
ao de cr
´
edito ou seus dados banc
´
arios (senha de acesso ao Internet Banking
e senha do cart
˜
ao de banco), entre em contato com a instituic¸
˜
ao envolvida (por exemplo, seu banco ou
operadora do seu cart
˜
ao de cr
´
edito), informe-os sobre o caso e siga as orientac¸
˜
oes que ser
˜
ao passadas
por eles.
Monitore regularmente suas movimentac¸
˜
oes financeiras, por exemplo, atrav
´
es de extratos banc
´
a-
rios e/ou de cart
˜
oes de cr
´
edito, e procure por d
´
ebitos, transfer
ˆ
encias ou cobranc¸as inesperadas.
´
E recomendado que voc
ˆ
e procure uma delegacia de pol
´
ıcia, para registrar um boletim de ocorr
ˆ
en-
cia, caso tenha sido v
´
ıtima de uma fraude via Internet.
3 Boatos
Boatos (hoaxes) s
˜
ao e-mails que possuem conte
´
udos alarmantes ou falsos e que, geralmente, t
ˆ
em
como remetente ou apontam como autora da mensagem alguma instituic¸
˜
ao, empresa importante ou
´
org
˜
ao governamental. Atrav
´
es de uma leitura minuciosa deste tipo de e-mail, normalmente,
´
e poss
´
ıvel
identificar em seu conte
´
udo mensagens absurdas e muitas vezes sem sentido.
Dentre os diversos boatos t
´
ıpicos, que chegam
`
as caixas postais de usu
´
arios conectados
`
a Internet,
podem-se citar as correntes, pir
ˆ
amides, mensagens sobre pessoas que est
˜
ao prestes a morrer de c
ˆ
ancer,
entre outras.
Hist
´
orias deste tipo s
˜
ao criadas n
˜
ao s
´
o para espalhar desinformac¸
˜
ao pela Internet, mas tamb
´
em
para outros fins maliciosos.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 14/17
Parte IV: Fraudes na Internet
3.1 Quais s
˜
ao os problemas de seguranc¸a relacionados aos boatos?
Normalmente, o objetivo do criador de um boato
´
e verificar o quanto ele se propaga pela Internet
e por quanto tempo permanece se propagando. De modo geral, os boatos n
˜
ao s
˜
ao respons
´
aveis por
grandes problemas de seguranc¸a, a n
˜
ao ser ocupar espac¸o nas caixa de e-mails de usu
´
arios.
Mas podem existir casos com conseq
¨
u
ˆ
encias mais s
´
erias como, por exemplo, um boato que pro-
cura induzir usu
´
arios de Internet a fornecer informac¸
˜
oes importantes (como n
´
umeros de documentos,
de contas-corrente em banco ou de cart
˜
oes de cr
´
edito), ou um boato que indica uma s
´
erie de ac¸
˜
oes
a serem realizadas pelos usu
´
arios e que, se forem realmente efetivadas, podem resultar em danos
mais s
´
erios (como instruc¸
˜
oes para apagar um arquivo que supostamente cont
´
em um v
´
ırus, mas que na
verdade
´
e parte importante do sistema operacional instalado no computador).
Al
´
em disso, e-mails de boatos podem conter v
´
ırus, cavalos de tr
´
oia ou outros tipos de malware
anexados. Maiores detalhes podem ser encontrados na parte
VIII: C
´
odigos Maliciosos (Malware).
´
E importante ressaltar que um boato tamb
´
em pode comprometer a credibilidade e a reputac¸
˜
ao
tanto da pessoa ou entidade referenciada como suposta criadora do boato, quanto daqueles que o
repassam.
3.2 Como evitar a distribuic¸
˜
ao dos boatos?
Normalmente, os boatos se propagam pela boa vontade e solidariedade de quem os recebe. Isto
ocorre, muitas vezes, porque aqueles que o recebem:
• confiam no remetente da mensagem;
• n
˜
ao verificam a proced
ˆ
encia da mensagem;
• n
˜
ao checam a veracidade do conte
´
udo da mensagem.
Para que voc
ˆ
e possa evitar a distribuic¸
˜
ao de boatos
´
e muito importante checar a proced
ˆ
encia
dos e-mails, e mesmo que tenham como remetente algu
´
em conhecido,
´
e preciso certificar-se que a
mensagem n
˜
ao
´
e um boato (veja sec¸
˜
ao 3.3).
´
E importante ressaltar que voc
ˆ
e nunca deve repassar este tipo de mensagem, pois estar
´
a endos-
sando ou concordando com o seu conte
´
udo.
3.3 Como posso saber se um e-mail
´
e um boato?
Um boato normalmente apresenta pelo menos uma das caracter
´
ısticas listadas abaixo. Observe
que estas caracter
´
ısticas devem ser usadas apenas como guia. Nem todo boato apresenta uma destas
caracter
´
ısticas e mensagens leg
´
ıtimas podem apresentar algumas delas.
Muitas vezes, um boato:
• sugere conseq
¨
u
ˆ
encias tr
´
agicas se uma determinada tarefa n
˜
ao for realizada;
• promete ganhos financeiros ou pr
ˆ
emios mediante a realizac¸
˜
ao de alguma ac¸
˜
ao;
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 15/17
Parte IV: Fraudes na Internet
• fornece instruc¸
˜
oes ou arquivos anexados para, supostamente, proteger seu computador de um
v
´
ırus n
˜
ao detectado por programas antiv
´
ırus;
• afirma n
˜
ao ser um boato;
• apresenta diversos erros gramaticais e de ortografia;
• apresenta uma mensagem contradit
´
oria;
• cont
´
em algum texto enfatizando que voc
ˆ
e deve repassar a mensagem para o maior n
´
umero de
pessoas poss
´
ıvel;
• j
´
a foi repassado diversas vezes (no corpo da mensagem normalmente
´
e poss
´
ıvel observar cabe-
c¸alhos de e-mails repassados por outras pessoas).
Existem sites especializados na Internet onde podem ser encontradas listas contendo os boatos
que est
˜
ao circulando e seus respectivos conte
´
udos.
Alguns destes sites s
˜
ao:
• Hoaxbusters – http://hoaxbusters.ciac.org/
• QuatroCantos – http://www.quatrocantos.com/LENDAS/ (em portugu
ˆ
es)
• Urban Legends and Folklore – http://urbanlegends.about.com/
• Urban Legends Reference Pages – http://www.snopes.com/
• Stiller Research Virus Hoax News – http://www.stiller.com/hoaxes.htm
• TruthOrFiction.com – http://www.truthorfiction.com/
• Symantec Security Response Hoaxes – http://www.symantec.com/avcenter/hoax.html
• McAfee Security Virus Hoaxes – http://vil.mcafee.com/hoax.asp
Al
´
em disso, os cadernos de inform
´
atica dos jornais de grande circulac¸
˜
ao, normalmente, trazem
mat
´
erias ou avisos sobre os boatos mais recentes.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 16/17
Parte IV: Fraudes na Internet
Como Obter este Documento
Este documento pode ser obtido em http://cartilha.cert.br/. Como ele
´
e periodicamente
atualizado, certifique-se de ter sempre a vers
˜
ao mais recente.
Caso voc
ˆ
e tenha alguma sugest
˜
ao para este documento ou encontre algum erro, entre em contato
atrav
´
es do enderec¸o
[email protected].
Nota de Copyright e Distribuic¸
˜
ao
Este documento
´
e Copyright
c
2000–2005 CERT.br. Ele pode ser livremente copiado desde que
sejam respeitadas as seguintes condic¸
˜
oes:
1.
´
E permitido fazer e distribuir c
´
opias inalteradas deste documento, completo ou em partes,
contanto que esta nota de copyright e distribuic¸
˜
ao seja mantida em todas as c
´
opias, e que a
distribuic¸
˜
ao n
˜
ao tenha fins comerciais.
2. Se este documento for distribu
´
ıdo apenas em partes, instruc¸
˜
oes de como obt
ˆ
e-lo por completo
devem ser inclu
´
ıdas.
3.
´
E vedada a distribuic¸
˜
ao de vers
˜
oes modificadas deste documento, bem como a comercializac¸
˜
ao
de c
´
opias, sem a permiss
˜
ao expressa do CERT.br.
Embora todos os cuidados tenham sido tomados na preparac¸
˜
ao deste documento, o CERT.br n
˜
ao
garante a correc¸
˜
ao absoluta das informac¸
˜
oes nele contidas, nem se responsabiliza por eventuais con-
seq
¨
u
ˆ
encias que possam advir do seu uso.
Agradecimentos
O CERT.br agradece a todos que contribu
´
ıram para a elaborac¸
˜
ao deste documento, enviando co-
ment
´
arios, cr
´
ıticas, sugest
˜
oes ou revis
˜
oes.
Cartilha de Seguranc¸a para Internet –
c
2005 CERT.br 17/17
Livros Grátis
( http://www.livrosgratis.com.br )
Milhares de Livros para Download:
Baixar livros de Administração
Baixar livros de Agronomia
Baixar livros de Arquitetura
Baixar livros de Artes
Baixar livros de Astronomia
Baixar livros de Biologia Geral
Baixar livros de Ciência da Computação
Baixar livros de Ciência da Informação
Baixar livros de Ciência Política
Baixar livros de Ciências da Saúde
Baixar livros de Comunicação
Baixar livros do Conselho Nacional de Educação - CNE
Baixar livros de Defesa civil
Baixar livros de Direito
Baixar livros de Direitos humanos
Baixar livros de Economia
Baixar livros de Economia Doméstica
Baixar livros de Educação
Baixar livros de Educação - Trânsito
Baixar livros de Educação Física
Baixar livros de Engenharia Aeroespacial
Baixar livros de Farmácia
Baixar livros de Filosofia
Baixar livros de Física
Baixar livros de Geociências
Baixar livros de Geografia
Baixar livros de História
Baixar livros de Línguas
Baixar livros de Literatura
Baixar livros de Literatura de Cordel
Baixar livros de Literatura Infantil
Baixar livros de Matemática
Baixar livros de Medicina
Baixar livros de Medicina Veterinária
Baixar livros de Meio Ambiente
Baixar livros de Meteorologia
Baixar Monografias e TCC
Baixar livros Multidisciplinar
Baixar livros de Música
Baixar livros de Psicologia
Baixar livros de Química
Baixar livros de Saúde Coletiva
Baixar livros de Serviço Social
Baixar livros de Sociologia
Baixar livros de Teologia
Baixar livros de Trabalho
Baixar livros de Turismo