NUNCA confronte o vigarista. NUNCA lhe diga por que acha que é um vigarista. NUNCA questione partes suspeitas ou obviamente imperfeitas da sua história.
Se fizer isso, está a treiná-lo tornando-o um melhor burlão.
SIMPLESMENTE IGNORE e AFASTE-SE bloqueando e reportando a tentativa de contacto se essa funcionalidade estiver ao seu alcance na plataforma onde foi feito o contacto (SMS, WhatsApp, facebook, telegram, etc).
Se interagir com o burlão além de confirmar o contacto irá expor o seu contacto pessoal a subsequentes tentativas de burla e irá também dar formação ao burlão aumentando a sua eficácia em burlar outras e futuras dívidas.
Nunca conte a alguém que conheceu na internet qual é a dimensão dos seus rendimentos e poupanças. Nunca partilhe informação financeira ou bancária com alguém que conheceu apenas na Internet.
Todos dias os burlões enganam novas vítimas, desviando milhões de euros e com praticamente nenhumas hipóteses de recuperação: a sua melhor protecção é e será sempre: bloquear e reportar!
A CpC: Iniciativa de Cidadãos pela Cibersegurança tem sérias e fundadas dúvidas se a remoção da ArvanCloud, empresa de tecnologia de censura do Irão, da lista de sanções não será interpretada como um sinal de fraqueza na defesa dos Direitos Humanos e da Liberdade de Opinião e do acesso livre à Internet no Irão por parte da União Europeia (UE). A ArvanCloud, com efeito, apoia activamente o aparelho de censura cibernética do regime desde, pelo menos, 2022.
A Arvan Cloud (também conhecida como Abr Arvan; Noyan Abr Arvan Co.; Arwan Company; Arvancloud) tinha sido sancionada logo em 2022 devido ao seu papel na censura da internet no Irão. A decisão de acabar agora com este regime sancionatório terá sido motivada por pressões diplomáticas iranianas e da Arvan Cloud e devido à sua proclamação (não confirmada) de que teria terminado o seu contrato com o Ministério das Comunicações e Tecnologia da Informação da República Islâmica. A empresa esteve na base da censura no Irão com bloqueio de dezenas de milhares de sites, juntamente com plataformas como Facebook, Twitter e YouTube e foi instrumental e indispensável na repressão do regime contra a sua própria população e terá servido igualmente para as várias campanhas de cibercrime de APTs iranianos contra interesses e empresas ocidentais. Dado que a repressão do regime e actividade dos APTs relacionados com o governo de Teerão não tem cessado de aumentar: é pouco crível que tenha terminado todo o relacionamento e dependência da ArvanCloud para com o regime teocrático de Teerão. Por outro lado, se a ArvanCloud controla 49% do mercado de Cloud no Irão e se continua alojando muitos dos sites mais importantes da República Islâmica, incluindo a Presidência, a agência de notícias IRNA e o Ministério da Orientação Islâmica continuam a existir razões para que a UE mantenha a empresa na lista de sanções.
Por esta razão a CpC apela a que a UE reconsidere e mantenha a ArvanCloud na lista de organizações sancionadas.
Enviada a todos os eurodeputados portugueses no Parlamento Europeu.
Conselhos básicos: 1. Ao falar na rua nunca esteja completamente do que e de quem o rodeia 2. Não atenda o telemóvel se não estiver num local seguro para prevenir o roubo por esticão 3. Não deixe o seu telemóvel em balcões ou mesas fora do seu alcance e quando o fizer esteja sempre atento remova-o se se aproximar alguém estranho ao estabelecimento 4. Anote o IMEI do seu equipamento num local seguro 5. Instale e configure aplicações de geolocalização do seu telemóvel: o Android e o iOS têm já essas funcionalidades que pode reforçar com antivirus como BitDefender ou o Panda (entre outros que também oferecem essa funcionalidade) 6. Use palavras-passe ou padrões ou, melhor ainda, a impressão digital para desbloquear o seu equipamento.
Se lhe roubarem o seu telemóvel: 1. não perca a calma e não reaja com violência 2. tente chamar a atenção de alguém que esteja perto 3. se não correr riscos grite por socorro 4. procure fixar características do ladrão: cor da pele, vestuário, estatura, calçado, idade aparente, tipo de cabelo, óculos, chapéu/bone, sinais na pele, tatuagens. 5. Se se afastou num veículo anote a marca, modelo, cor e idealmente a matrícula 6. Ligue para o 112 ! E nunca deixe de apresentar Participação na Polícia! 7. Peça uma segunda via do cartão e informe o operador para que bloqueie todos os outros cartões no mesmo número. Se houve chamadas ou consumos de dados apresente a cópia da Participação na loja da sua operadora.
Desde o início de março de 2024, a Microsoft Threat Intelligence observou um aumento nas campanhas de phishing que distribuem o trojan bancário Grandoreiro. O Grandoreiro foi originalmente descoberto na América Latina e tem estado ativo pelo menos desde 2017. Anteriormente, o trojan era distribuído principalmente no Brasil, México, Argentina e Espanha.
Este aumento nas campanhas de phishing seguiu-se à operação de interrupção em janeiro de 2024 pela Polícia Federal do Brasil e por empresas de pesquisa em cibersegurança, que anunciaram a desativação da infraestrutura do trojan bancário Grandoreiro e a prisão de vários indivíduos que controlavam essa infraestrutura. Dados da Microsoft mostram que a desactivação visou um cluster de Grandoreiro caracterizado por uma cadeia de distribuição que envolvia a entrega de ficheiros .zip seguidos de ficheiros .msi.
A Microsoft rastreia as campanhas recentemente observadas sob um cluster diferente, que envolve a entrega de ficheiros .zip seguidos de ficheiros .exe. Nestas campanhas, os agentes de ameaças estão a expandir os seus alvos da América Latina para incluir vários sectores industriais nos Estados Unidos, Reino Unido, África do Sul e Austrália.
Os contratos com a Microsoft são, aliás, tão numerosos que a plataforma Base não é capaz de lidar com o seu volume e devolve um erro cada vez que os tentamos extrair para ficheiro para os podermos analisar. Ou seja, quem quiser trabalhar e processar estes dados não o consegue fazer o que, de per si, é um atentado à transparência que se exige às entidades públicas e à própria legislação (Decreto-Lei nº 111-B/2017, de 31 de agosto, que procedeu à nona alteração ao Código dos Contratos Públicos, aprovado pelo Decreto-Lei nº 18/2008, de 29 de janeiro).
Apesar desta falta “técnica” de transparência, não há qualquer dúvida que a Microsoft, é a principal fornecedora tecnológica do governo e autarquias portuguesas. Ora, actualmente, a empresa enfrenta muitas críticas por falhas de segurança que comprometeram dados públicos e, em particular, do governo dos EUA (https://www.crn.com/news/security/2024/cisa-publishes-emergency-order-on-microsoft-breach-by-russian-group-confirms-stolen-emails) sendo agora sabido que a agência de cibersegurança dos Estados Unidos (CISA) afirma que vários emails foram roubados de órgãos federais em conexão com o comprometimento do sistema de email corporativo da Microsoft pelo actor estatal de ameaças (APT) conhecido como Midnight Blizzard e que, geralmente, é associado à Rússia.
Estas falhas graves poderão já ter afectado ou vir a afectar no futuro também entidades públicas (autarquias e governo central) portuguesas e temos que sublinhar que um relatório recente do Cyber Security Council critica a Microsoft pela sua cultura de segurança inadequada e pela falta de investimento em medidas preventivas. A isto somamos uma dependência crescente da cultura de outsourcing massivo para países terceiros e uma obsessão na redução de custos operacionais que se traduz na perda de confiança e segurança por parte de muitos clientes.
Actualmente a Microsoft é essencial para o funcionamento das suas operações detendo um conhecimento profundo das infraestruturas digitais das entidades públicas, tornando-a um parceiro crucial na defesa contra ciberataques. Contudo, a falta de responsabilização da empresa norte-americana nesta vaga de ataques e a sua crescente perda de qualidade de suporte torna as entidades públicas portuguesas mais vulneráveis a ataques informáticos. Recordamos ainda que a Microsoft lucra com a venda de serviços de segurança adicionais, em vez de os tornar padrão para todos os clientes, criando um incentivo para manter um certo nível de risco.
A CpC acredita que: a) O governo português pode impor novas exigências aos fornecedores de serviços informáticos, como auditorias de segurança regulares e a obrigatoriedade de implementar medidas de segurança robustas. b) A sociedade civil portuguesa poderá pressionar a Microsoft a adotar práticas mais responsáveis em termos de segurança, protegendo os dados dos cidadãos e a infraestrutura digital do país. c) Existe uma necessidade urgente de investir em formação e capacitação em cibersegurança para os funcionários das entidades públicas portuguesas. d) É preciso promover a criação de uma cultura de segurança da informação em todo o setor público português. e) É preciso diversificar os fornecedores de serviços informáticos para reduzir a dependência da Microsoft. f) Em alguns sectores é possível abandonar a Microsoft e a sua plataforma de Office em lugar a distribuições Linux e de soluções baseadas em software equivalente mas em open source. g) O Estado central e as autarquias locais precisam de implementar um sistema de documentação interno similar ao modelo Linux, com maior abertura e acesso à informação para programadores e administradores. h) É urgente fazer uma redução de pontos únicos de falha através da implementação de mecanismos de autenticação multifactorial robusta, evitando o uso de passwords únicas como credenciais de adminstração (recentemente uma falha num datacenter no Texas impediu a autenticação a muitos serviços públicos e o mesmo pode repetir-se em breve na Europa). i) Investir em redundância de serviços críticos, tanto em soluções locais quanto na nuvem, para garantir disponibilidade em caso de falhas pontuais. j) Estabelecer planos de contingência para cenários de indisponibilidade de serviços terceirizados, como tai como os fornecedores de MFA.
Ao implementar estas medidas, o Governo e as autarquias podem fortalecer a sua segurança digital, proteger os dados dos cidadãos e garantir a continuidade dos serviços públicos. Acreditamos que a colaboração entre Governo, a sociedade civil e o sector privado é fundamental para construir um futuro digital mais seguro e resiliente para Portugal.
Não existem estudos sobre aumento ou baixa de crimes não registados mas as únicas estatísticas de crimes não registados, elaboradas em 2022 pela Câmara Municipal de Lisboa indicavam que menos de metade dos Lisboetas participaram crimes de que foram vítimas: https://www.dn.pt/sociedade/menos-de-metade-dos-lisboetas-participaram-crimes-de-que-foram-vitimas–15157451.htm. No que respeita ao crime cibernético, pela generalização, pelo carácter etário de muitas vítimas e pelos pequenos valores (inferiores a 50 euros) de muitos destes crimes a chamadas “cifras negras” deverão ser ainda maiores.
Os dados disponíveis evidenciam uma preocupante explosão de crimes cibernéticos em Portugal, especialmente durante os anos da COVID-19, reflectindo-se em fraudes com cartões bancários e outros tipos de delitos virtuais. É importante notar que estes dados provavelmente subestimam a verdadeira extensão do problema, já que muitos crimes não são denunciados. A falta de estudos sobre crimes não reportados, aliada à subnotificação já identificada em estatísticas anteriores, sugere que a chamada “cifra negra” de crimes cibernéticos pode ser ainda maior.
Diante desse cenário, é crucial que o legislador responda de forma ágil e eficaz a essa crescente ameaça, promovendo actualizações nas leis e regulamentos relacionados à segurança cibernética e garantindo que as forças policiais tenham os recursos e o foco adequados para investigar e combater esses delitos. Além disso, é fundamental investir em campanhas de conscientização pública sobre segurança digital, fornecendo orientações práticas para os cidadãos se protegerem contra fraudes e ataques online. Somente com uma abordagem coordenada e proactiva, envolvendo tanto o governo quanto a sociedade civil, poderemos enfrentar efectivamente os desafios apresentados pelo aumento dos crimes cibernéticos em Portugal.
Sete homens chineses foram acusados de realizar uma extensa campanha de ciberataques “maliciosos” desde há, pelo menos, 14 anos. A China já rejeitou as acusações dos EUA e Reino Unido de estar por trás de uma operação estatal de hacking visando milhões de pessoas em países ocidentais e que tinham como alvo políticos, as suas famílias e muitos organismos estatais e empresas de distribuição de água e energia e acusou os EUA e outros países de realizarem seus próprios ataques cibernéticos contra Pequim. Tanto o Reino Unido quanto os EUA culpam uma unidade cibernética estatal chinesa (o “APT31”) pelos ataques. O Reino Unido anunciou sanções contra dois indivíduos e uma empresa chineses, congelando os seus activos e impondo uma proibição de viagem.
O Reino Unido relatou ainda um ataque muito significativo à Comissão Eleitoral mas afirmou que a segurança das eleições não chegou a ser comprometida. Tanto o Reino Unido quanto os EUA prometeram continuar expor as actividades hostis contínuas de Pequim. Contudo, da União Europeia e, em particular, de Portugal que estão à beira de eleições europeias, nada de ouviu. Ou nenhum país europeu é alvo destas organizações chinesas (o que é altamente improvável) ou a Europa e Portugal estão a optar por não reagirem a estas agressões e intrusões.
Seria assim desejável que:
1. Sejam removidos todos os mails de todos os sites do Governo, CNE, órgãos do Estado, Assembleia da República (formulários de contactos com os deputados) e que todos os contactos com os cidadãos sejam feitos a partir de uma lista pré-determinada de domínios de mails de entidades “confiáveis” e converter estas comunicações em preenchimento de formulários onde a adição de anexos potencialmente perigosos ou a presença de URLs (http ou https) é proibida. As respostas dos cidadãos devem ser feitas através de um link presente em cada mensagem e não através da troca de mails por forma a não usar essa importante via de penetração nas redes.
2. Tanto o Parlamento Português quanto o Parlamento Europeu poderiam convocar audiências públicas para discutir as acusações de ciberataques atribuídas à China. Essas audiências permitiriam que especialistas em segurança cibernética, representantes do governo e membros da sociedade civil compartilhassem informações e perspectivas sobre a situação, possibilitando uma compreensão mais abrangente do impacto dos ataques e das medidas necessárias para enfrentar essa questão.
3. Os parlamentos português e europeu poderiam considerar a formação de uma comissão de investigação conjunta para examinar detalhadamente as alegações de ciberataques atribuídas à China. Essa investigação poderia incluir análises forenses de sistemas comprometidos, entrevistas com especialistas em segurança cibernética e cooperação com autoridades internacionais para reunir evidências adicionais. Os resultados dessa investigação poderiam ser usados para informar futuras políticas e ações contra o ciberataque.
4. Os parlamentos poderiam pressionar os governos português e europeu para coordenarem a adopção de sanções contra entidades chinesas e indivíduos envolvidos nestas actividades maliciosas. Estas sanções poderiam incluir restrições financeiras, proibições de viagens e outras medidas destinadas a responsabilizar os perpetradores e dissuadir futuros ataques cibernéticos.
5. Os parlamentos poderiam trabalhar em conjunto com os governos e o sector privado para fortalecer as capacidades de segurança cibernética em Portugal e, em geral, em todos os países da União Europeia. Isto poderia envolver investimentos adicionais em tecnologias de segurança, programas de conscientização cibernética e cooperação internacional para compartilhar informações e melhores práticas.
6. Os parlamentos poderiam instar os governos português e a Comissão Europeia a procurarem abordagens diplomáticas multilaterais para lidar com o problema dos ciberataques patrocinados pelo Estado chinês. Isto poderia incluir a promoção de normas internacionais de comportamento responsável no ciberespaço, a participação em fóruns de cooperação cibernética e o compromisso com parceiros internacionais para o desenvolvimento de respostas conjuntas aos desafios cibernéticos da actualidade.
Estas propostas visam propor uma acção coordenada e robusta para enfrentar os ciberataques atribuídos à China, protegendo os interesses de Portugal, da União Europeia e da comunidade internacional como um todo.
Enviada às Câmaras Municipais, Governo da República e aos partidos políticos portugueses com assento parlamentar.
“A CpC propõe que a ANACOM trabalhe no mesmo sentido e que proponha ao Parlamento a elaboração de alterações legislativas que determinem que os operadores das redes móveis: 1. Desenvolvam um sistema único de padrões de autenticação de identificação para o envio de mensagens SMS. 2. Seja criado um número único para onde possam ser encaminhadas todas as mensagens de SMS e chamadas de spam por forma a alimentar uma lista nacional de barramento de chamadas não autorizadas (de adesão voluntária por parte dos consumidores). 3. Sejam bloqueados todos os números de telefone inválidos, não alocados ou não utilizados, além daqueles em lista não originária (DNO). Para além das muitas horas perdidas em chamadas e mensagens deste tipo estes SMS são também um veículo de disseminação de malware e de burlas como a Olá Pai / Olá Mãe com dezenas de milhar de vítimas em Portugal e vários milhões de euros perdidos (sem recuperação possível) para as redes de burlões.” https://cidadaospelaciberseguranca.com/2024/01/02/combatendo-o-sms-de-spam-propostas-e-desafios-em-portugal-para-proteger-os-consumidores/
“É preciso resolver as lacunas que permitem a operação destes criminosos: 1. Se as empresas que vendem referências multibanco forem associadas a um grande surto de actividade criminosa devem ter a sua licença no Banco de Portugal suspensa até que a sua segurança interna seja reforçada. Embora muitas destas entidades (como a 21800 com sede na Holanda) estejam a vender serviços a burlões desde 2017 continuam a ter licença como operador financeiro no BdP. 2. A SIBS (Multibanco) deve mostrar nas ATMs o nome da entidade que gera as referências e o beneficiário final do pagamento. Se a entidade estiver associada a burlas esse alerta deve surgir na ATM. É o caso das 21800, 21312, 11249, 11893, 10241, 10611, 12167 ou 11893.” https://peticaopublica.com/pview.aspx?pi=referenciasMB
“Recomendação CpC – Iniciativa dos Cidadãos para a Cibersegurança ao Governo central e às autarquias locais portuguesas: 1. Reiteramos a necessidade de que todos os equipamentos (computadores, tablets e smartphones) entregues para uso profissional a colaboradores e representantes eleitos do Estado central e das autarquias locais tenham software de antivirus e um sistema de MDM: “Os telemóveis do Estado (pelo menos os iPhones) não têm sistemas de MDM (gestão de dispositivos móveis): Usando, por exemplo, o Microsoft Intune – uma solução de gestão de dispositivos móveis (MDM) que permite gerir dispositivos móveis – teria sido possível definir políticas de restrição de aplicações para impedir a instalação de determinados aplicativos, como o WhatsApp, nos dispositivos iOS geridos”: sendo que, assim sendo, a esta lista se deveria somar o TikTok, o WeChat e todo o software da Kaspersky. No Portal Base da contratação pública apenas o “Centro de Formação Profissional da Indústria Têxtil, Vestuário, Confecção e Lanifícios (Modatex)” e a “Fundação Casa da Música ” parecem ter adquirido este tipo de serviços MDM de gestão centralizada de equipamentos (não sendo claro se estão a ser usados para bloquearem aplicações deste tipo). 2. Todas as autarquias e hospitais públicos que adquiriram software da Kaspersky devem terminar imediatamente esses contratos e substituir este fornecedor” https://cidadaospelaciberseguranca.com/2023/11/02/proibicao-de-aplicacoes-wechat-e-kaspersky-pelo-governo-do-canada-desafios-de-seguranca-cibernetica-e-recomendacoes-para-portugal/
“O Parlamento Europeu também poderá replicar o “No Fakes Act” dos EUA e e que visa proteger actores e artistas do uso não autorizado da sua imagem por IA e produzir uma directiva que leve os países membros a penalizar todos os que utilizem as vozes de terceiros – designadamente por agentes políticos em contexto de eventos eleitorais – de forma fraudulenta no contexto europeu para criarem audios deepfake.” https://cidadaospelaciberseguranca.com/2023/10/17/prevenir-os-audio-deepfake-conselhos-e-propostas/
“1. Os telemóveis do Estado (pelo menos os iPhones) não têm sistemas de MDM (gestão de dispositivos móveis): Usando, por exemplo, o Microsoft Intune – uma solução de gestão de dispositivos móveis (MDM) que permite controlar e gerir dispositivos – teria sido possível definir políticas de restrição de aplicações para impedir a instalação de determinados aplicativos, como o WhatsApp, nos dispositivos iOS geridos. 2. Os telemóveis do Estado não têm sistemas de backup a funcionar: Como no ponto anterior, o uso da mesma ferramenta Microsoft Intune permitiria também realizar “Remote Wipe” para apagar remotamente os dados de um dispositivo perdido ou roubado, bem como recursos de backup e recuperação para garantir a segurança dos dados aqui conservados. 3. Existem comunicações sensíveis e de Estado a circular e a serem tomadas em redes sociais externas e sob controlo de potencias estrangeiras (WhatsApp): A instalação destas aplicações pode e devia ser barrada centralmente e de forma centralizada por MDM. Quanto a estas comunicações já tínhamos sugerido em que a. Que todos os políticos em funções electivas usem apenas telemóveis de Estado: com uma lista autorizada pré-determinada de aplicações e que excluem aplicações de encriptação ponto a ponto que dependem de estruturas ou organizações estrangeiras. b. Que seja criminalizado o uso de software de comunicações que não tenham encriptação de mensagens ponto-a-ponto, cujos servidores ou chaves estejam fora do controlo direto do governo, União Europeia ou da autarquia local onde são exercidas as funções electivas. c. Deve existir um sistema de comunicações nacional, seguro e de acesso reservado a políticos eleitos para instituições europeias, governo e parlamento da República e autarquias locais. Este sistema deve estar fora do alcance de empresas e potências estrangeiras e garantir o acesso aos historiadores do futuro assim como a investigações judiciais. Sugerimos que esta aplicação seja desenvolvida e mantida no contexto das instituições europeias. d. Que seja criminalmente responsabilizado quem efetuar comunicações de dados sensíveis ou instalar software em equipamentos do Estado Português susceptível de colocar em causa a segurança do equipamento. e. Que seja criado um arquivo de comunicação digital, com o objectivo de preservar as decisões realizadas entre governantes e políticos, de forma a um dia poderem ser consultadas pelo público e mantendo assim a capacidade de académicos e historiadores no futuro conhecerem a realidade de hoje.” Estas propostas foram enviadas a 24 de Abril a todos os grupos parlamentares na Assembleia da República, Câmaras Municipais (presidentes de executivo) e ao Ministério da Administração Interna: não recebemos nem sequer um aviso de recepção ou leitura. 4. Não existe (ou não foi aplicado) um procedimento formal de desligamento/apagamento de um utilizador que abandona a organização que incluísse a negação de acesso centralizada de acessos (conseguiu usar o cartão para entrar na garagem) nem permitisse o esquecimento da recolha imediata do telemóvel juntamente com o computador. 5. O laptop de Frederico Pinheiro estava em modo “standalone”: Isto é, não pertencia à estrutura de identidade, autenticação e gestão remota do Ministério (Active Directory), algo que deveria ser absolutamente proíbido e viola qualquer boa prática de segurança organizacional. 6. Frederico Pinheiro era administrador local do equipamento: Ora existem várias razões pelas quais um utilizador não deva ser um administrador local em um computador: Segurança: Ao conceder privilégios de administrador a um utilizador, este terá acesso total ao sistema operativo e poderá fazer alterações críticas, como instalar/remover software, modificar configurações de segurança e até mesmo apagar ficheiros essenciais. Isso aumenta o risco de comprometimento do sistema por malware, vírus ou outras ameaças cibernéticas especialmente em equipamentos – como o caso – com dados sensíveis para o interessa da República. Estabilidade do sistema: Um utilizador com privilégios de administrador pode inadvertidamente fazer alterações que afetem a estabilidade do sistema ou de outras aplicações. Isso pode levar a falhas, bloqueios e problemas de desempenho. Erros humanos: Mesmo que um utilizador seja experiente, erros podem acontecer. Um clique errado ou uma ação equívoca quando se é administrador pode ter consequências graves, como excluir arquivos importantes ou modificar configurações críticas sem intenção. Políticas de segurança: Em ambientes organizacionais, é comum aplicar políticas de segurança rígidas para proteger informações confidenciais. Ao limitar os privilégios dos utilizadores, o ministério poderia ter reduzido o risco de perda de dados e garantir a conformidade com as regulamentações de proteção de informações em vigor. Geralmente, restringir os privilégios de administrador para os utilizadores finais dos equipamentos é uma prática recomendada para manter a segurança, a estabilidade e a integridade do sistema operativo e dos dados armazenados. Os utilizadores devem ter apenas as permissões necessárias para realizar suas tarefas diárias, enquanto os privilégios de administrador devem ser reservados para administradores de sistemas informáticos. 7. Um laptop com dados sensíveis, confidenciais e estratégicos para a República não tinha o disco encriptado: Essa opção é gratuita e está disponível em todos os equipamentos MacOS, Windows e Linux. No Windows trata-se da “BitLocker Device Encryption in Windows” e quando é iniciada permita a gravação e conservação externa e em local seguro das chaves para eventual futura recuperação do acesso em caso de necessidade de acesso por parte das autoridades judiciais ou da hierarquia do ministério. 8. O laptop permitia a ligação de Storage Devices USB externos: Os quais usou várias vezes para copiar ficheiros importantes e que estavam no equipamento. Este uso pode ser bloqueado por Group Policy se o computador estiver ligado a uma Active Directory (não estava) e é igualmente possível enviar um mail alertando o utilizador para essa tentativa de uso em contrário aos procedimentos em vigor. 9. O laptop estava em modo “standalone”: isto é: não pertencia ao Domain AD do Ministério (?) e, logo, não podia receber um conjunto centralizado de políticas e configurações: Teria sido possível impedir que o equipamento tivesse em disco cópias únicas (assim o disse a Chefe de Gabinete) de determinadas extensões (.pdf, .docx, .xlsx) obrigando à sua presença única em shares de rede sob controlo do Ministério. 10. O laptop permitia a existência de cache profiles e, logo, permitia o logon sem o prévio estabelecimento de VPN para com a rede do Estado: Isto pode ser forçado centralmente através de uma Group Policy de Active Directory ou, se o computador não estiver em AD é possível também desligar estes logins com uma alteração de registry mas esta pode ser desfeita se o utilizador for um administrador local como parecia ser o caso de Frederico Pinheiro. 11. O laptop não tinha um sistema de AV ou MDM que permitisse o shutdown remoto/remote wipe ou lock em caso de perda de controlo nem a geolocalização do equipamento em caso de perda ou furto: Isto mesmo – por exemplo – é fornecido pela solução Panda de Antivírus e por outras soluções de MDM tais como AirDroid Business é um software de limpeza remota MDM compatível com dispositivos Android, iOS, Windows e macOS. Executa apagamentos remotos, bloqueia écrans e arquivos do dispositivo, força redefinições de senha e redefine automaticamente um dispositivo de fábrica. O Apple Business Manager que é uma plataforma baseada na web que faz apagamentos remotos de dispositivos iOS, iPadOS e macOS. Os arquivos ainda podem ser recuperados até 30 dias após a limpeza. O Google Workspace que permite que os administradores de TI dessas organizações limpem remotamente os dispositivos ou o Knox Manage, uma ferramenta semelhante para dispositivos Samsung que também possui uma opção de restauração e pode rastrear dispositivos perdidos. 12. Foram feitas impressões de documentos confidenciais: É possível impedir a impressão deste tipo de documentos sensíveis com políticas de segurança adequadas e usando, por exemplo, as etiquetas de confidencialidade do Office 365 (Microsoft Purview). Isto permitiria – se estas etiquetas tivessem sido usadas – encriptar e-mails, convites para reuniões e documentos para impedir que pessoas não autorizadas acedam a estes dados, usar marcas de água em documentos confidenciais dinâmicas e geridas centralmente. Por Group Policy – se o computador fosse parte de uma AD e já sabemos que não o era – teria sido possível impedir a impressão de documentos confidenciais ou de outro tipo. 13. Terá sido possível enviar documentos de trabalho para mails pessoais: É possível bloquear através de policies de restrição de mail o envio de documentos/anexos de mail para endereços de mail pessoais (gmail, hotmail, mail.com, etc).” https://cidadaospelaciberseguranca.com/2023/07/19/apresentada-a-ar-por-mais-ciberseguranca-nos-equipamentos-dos-gabinetes-dos-ministerios-e-dos-presidentes-de-camara-municipal/
“Há três principais razões pelas quais não deveriam existir comunicações envolvendo decisões ou dinheiros públicos em meios electrónicos não oficiais: 1. Segurança Sugerimos que todas as comunicações de Estado em meios que estão ao alcance de potências estrangeiras como o caso do Facebook e WhatsApp sejam feitas por canais seguros e não através de plataformas de redes sociais. 2. Justiça As decisões de aprovação com impactos financeiros devem estar sempre lavradas em atas oficiais. Sugerimos a ponderação de uma alteração legislativa que determine – por força de lei – que estas decisões não possam ser realizadas via redes sociais. Se há decisões que envolvem dinheiro dos impostos, sejam elas o pagamento de indemnizações a gestores da TAP, os preços de vacinas da Pfizer ou decisões de governo ao nível municipal, todas estas mensagens podem servir de forma de prova da inocência ou culpa em investigações judiciais. Colocar estas mensagens em meios cifrados como o iMessage (Apple), Telegram, Signal ou outros menos conhecidos como o Tox ou o Jami pode ser assim uma forma de um criminoso se furtar à investigação ou de impedir que um inocente veja provada a sua inocência. Por princípio e regra qualquer comunicação que envolva dinheiros públicos deve ficar ao alcance de investigações judiciais,. 3. História Actualmente os historiadores conseguem realizar o seu trabalho – essencial para a formação de uma cultura e preservação de uma identidade nacional – através de estudos e leituras nos arquivos. Daqui a 20, se todas ou se a maioria das comunicações dos nossos governantes tiverem sido feitas em plataformas no estrangeiro e associadas a perfis pessoais nestas plataformas, em equipamentos pessoais (sem cópias de segurança) ou forem feitas de forma cifrada, que material terão para trabalhar estes historiadores do futuro? O que propomos: 1. Que todos os políticos em funções electivas usem apenas telemóveis de Estado: com uma lista autorizada pré-determinada de aplicações e que excluem aplicações de encriptação ponto a ponto que dependem de estruturas ou organizações estrangeiras. 2. Que seja criminalizado o uso de software de comunicações que não tenham encriptação de mensagens ponto-a-ponto, cujos servidores ou chaves estejam fora do controlo direto do governo, União Europeia ou da autarquia local onde são exercidas as funções electivas. 3. Deve existir um sistema de comunicações nacional, seguro e de acesso reservado a políticos eleitos para instituições europeias, governo e parlamento da República e autarquias locais. Este sistema deve estar fora do alcance de empresas e potências estrangeiras e garantir o acesso aos historiadores do futuro assim como a investigações judiciais. Sugerimos que esta aplicação seja desenvolvida e mantida no contexto das instituições europeias. 4. Que seja criminalmente responsabilizado quem efetuar comunicações de dados sensíveis ou instalar software em equipamentos do Estado Português susceptível de colocar em causa a segurança do equipamento. 5. Que seja criado um arquivo de comunicação digital, com o objectivo de preservar as decisões realizadas entre governantes e políticos, de forma a um dia poderem ser consultadas pelo público e mantendo assim a capacidade de académicos e historiadores no futuro conhecerem a realidade de hoje. “ https://cidadaospelaciberseguranca.com/2023/04/24/comunicacoes-em-meios-electronicos-usados-por-politicos-ciberseguranca-justica-material-de-prova-e-historia-acessibilidade-a-arquivistas/
Se usa um telemóvel, se acede ao facebook, se está no twitter/X então já deve saber o que é a Temu da Pinduoduo Inc (PDD). A loja online alega ter preços fantásticos e tem em curso diversas campanhas de marketing muito agressivas. Rapidamente, tornou-se muito popular nos EUA onde já é a mais popular (mesmo mais que a Amazon). O que é mais curioso, não é nem este crescimento estrondoso, nem os seus preços baixos: é o facto de não operar na China.
A Grizzly Research, uma empresa de análise de Nova York, investigou a Temu e concluiu que “Acreditamos que a PDD é uma empresa fraudulenta em declínio e que a sua aplicação de compras TEMU é um spyware habilmente oculto que representa uma ameaça de segurança urgente para os interesses nacionais dos Estados Unidos“. Para estes investigadores a Temu é “o software malware e spyware mais perigoso actualmente em circulação” tendo, na investigação, sido identificados 18 “vulnerabilidades graves” na versão Android do App incluindo a possibilidade de “descarregar software de fontes desconhecidas” e até mesmo “criar e executar código arbitrariamente directamente no dispositivo” (!),
Aqui estão algumas das capacidades mais preocupantes da aplicação móvel (para Android) da Temu: 1. Acesso aos registos/logs (Crash logs, Diagnostics, etc) do sistema Android (para que efeitos?!) 2. Recolha do número de telemóvel e email 3. Captura de écran: Pode fazer capturas de écran no seu telemóvel. 4. Gravação de áudio: A Temu pode gravar áudio sem o seu conhecimento (para quê?!) 5. Acesso à câmara: Pode activar a câmara remotamente. 6. Obtenção de informações sobre arquivos no dispositivo: A aplicação pode consultar os seus arquivos pessoais no dispositivo.
A Temu contribui assim activamente para a exfiltração massiva de dados que hoje em dia assola o mundo e que está na raíz de várias campanhas de phishing. A aplicação está a crescer a níveis nunca antes vistos: mais de 100 milhões de downloads nos últimos 9 meses, todos nos EUA e Europa. A equipa de desenvolvimento do aplicação inclui 100 engenheiros que construíram o aplicativo Pinduoduo, que foi suspenso da Google Play Store e posteriormente reinstalado após a remoção das partes “perigosas”. No entanto, algumas destas partes foram usadas como componentes do aplicação, indicando uma intenção maliciosa.
Suspeita-se fortemente que a Temu já esteja, ou pretende, vender ilegalmente dados roubados de clientes de países ocidentais para sustentar um modelo de negócio que, de outra forma, estaria condenado ao fracasso.
Embora as ofertas da Temu possam parecer tentadoras, a segurança e a privacidade dos utilizadores devem ser prioridades. Acreditamos que a Temu deve ser removida das lojas de aplicações do Google e da Apple, uma vez que a empresa-mãe, PDD, é notoriamente muito pouco fiável, com práticas financeiras opacas e indícios de má conduta empresarial. É absolutamente inaceitável que esta aplicação ainda esteja disponível para uso e download e Portugal.
Iniciativa CpC: Cidadãos pela Cibersegurança 