Mês: Março 2023

Burlas com Referências Multibanco: Acções e iniciativas já tomadas e em curso pelos CpC [continuação]

~ Rui Martins ~ Comentar

Proposta à PGR para que avalie a tomada de medidas para com a MediaMedics 21800:Resposta a 24.03.2023“Muito obrigado pelo contacto com o Gabinete Cibercrime da Procuradoria-Geral da República, do qual tomámos boa nota.Da mensagem que remeteu, resultam factos com possível relevância criminal. Tais factos podem estar conexos com aqueles que se investigam num inquérito já em investigação, razão pela qual a mensagem foi encaminhada para o DIAP de Lisboa.Com os melhores cumprimentos.”

Resposta do Banco de Portugal:
Resposta do Banco de Portugal a “Referências Multibanco fraudulentas: Banco de Portugal e SIBS têm que agir” [Observador]

Resposta da Assembleia da República de 31.03.2023:
“Tendo recebido a vossa exposição infra através da 1.ª CACDLG, vimos acusar a receção da mesma e informar que esta será distribuída aos Senhores Deputados, membros da Comissão de Orçamento e Finanças.”

Resposta do Banco Central Holandês de 04.04.2023 (resposta a comunicação de 29.03.2023):
“Thank you for your email to De Nederlandsche Bank (DNB). With this message we would like to inform you that your e-mail has been processed. We expect to be able to send you a response within five working days.
We prefer to respond to every message we receive. We do have a number of guidelines. For example, we do not answer e-mails containing insults, profanity, discrimination, spam, advertising and e-mails that are sent to us for information and/or do not contain questions.
Yours sincerely,
De Nederlandsche Bank NV
Department of Communication – Public Information
For more information see www.dnb.nl.“

Enviada à SIBS e MediaMedics (21800) a 05.04.2023:
Uma lista de referências da MediaMedics holandesa (entidade multibanco 21800) usadas em fraudes e reportadas às autoridades, SIBS e MediaMedics.
Enviada a listagem de 15 referências multibanco usadas por burlões: a 19.04.2023 oito ainda estavam activas.

Resposta do Banco de Portugal a “Referências Multibanco fraudulentas: Banco de Portugal e SIBS têm que agir” [Observador]

~ Rui Martins ~ Comentar

“A propósito do artigo de opinião “Referências Multibanco fraudulentas: Banco de Portugal e SIBS têm que agir”, de Rui Martins, publicado no Observador a 22 de março de 2023, o Banco de Portugal gostava de esclarecer o seguinte:

  • Sobre a entidade “21800”

A responsabilidade pela criação, gestão e manutenção dos códigos relativos às entidades beneficiárias de pagamentos efetuados ao abrigo da funcionalidade “pagamento de serviços/compras”, disponível na rede Multibanco e no homebanking de alguns bancos, está cometida à SIBS Forward Payment Solutions, S.A. (SIBS FPS), pelo que o Banco de Portugal não detém informação sobre a identificação do titular do código identificador da entidade Multibanco em causa ou sobre os detalhes comerciais que possibilitam que essa entidade disponibilize os seus serviços a potenciais clientes.

Sem prejuízo, e assumindo que a informação ínsita no artigo de opinião está correta, esclarecemos que a entidade visada se encontra registada no Banco de Portugal, com o código n.º 9971, autorizada pelo Banco Central dos Países-Baixos e registada ao abrigo do regime de livre prestação de serviços na União Europeia.

A supervisão direta desta entidade compete, portanto, ao Banco Central dos Países-Baixos, onde a entidade tem a sua sede e onde obteve a sua autorização e registo para início de atividade. 

A figura da livre prestação de serviços no âmbito da prestação de serviços de pagamento, as atribuições das autoridades competentes de cada Estado-Membro e as regras de cooperação entre ambas, encontram-se definidas no quadro legal em vigor, estabelecido, a nível europeu, pela Diretiva (UE) 2015/2366 do Parlamento Europeu e do Conselho de 25 de novembro de 2015, e transposto em Portugal pelo Decreto-Lei n.º 91/2018, de 12 de novembro, que aprovou em anexo o Regime Jurídico dos Serviços de Pagamento e da Moeda Eletrónica (RJSPME). 

No âmbito do disposto no RJSPME, o Banco de Portugal investiga e dá sequência a todas as situações suscetíveis de incumprir com o quadro legal e regulamentar em vigor pelas entidades que operam em Portugal, mas não tem qualquer competência para revogar a autorização de instituições com sede fora de Portugal.

Continue a ler “Resposta do Banco de Portugal a “Referências Multibanco fraudulentas: Banco de Portugal e SIBS têm que agir” [Observador]” →

Deputados TikTok: Estudo, Conselhos, Riscos e Observações

~ Rui Martins ~ Comentar

Tendo em conta o “Apelo ao bloqueio da aplicação TikTok em equipamentos usados pelo Estado central e autarquias locais” (https://cidadaospelaciberseguranca.com/2023/03/23/apelo-ao-bloqueio-da-aplicacao-tiktok-em-equipamentos-usados-pelo-estado-central-e-autarquias-locais/) para o qual ainda não recebemos respostas por parte dos grupos parlamentares representados na Assembleia da República enviámos em 27.3.2023 estes “Conselhos da CpC: Iniciativa Cidadãos para a Cibersegurança para o uso do TikTok em telemóveis das autarquias locais, organismos do Estado e eleitos locais e na Assembleia da República” e para Carlos Moedas (presidente da CML e conhecido utilizador intensivo do TikTok):

Conselhos da CpC: para o uso do TikTok em telemóveis das autarquias locais, organismos do Estado e eleitos locais e na Assembleia da República

Posteriormente, os CpC realizaram uma análise da presença dos nossos representantes na Assembleia da República nesta rede social. Ter em conta que como já referimos (ver acima) em existem “preocupações legítimas de que a ByteDance, proprietária do TikTok, possa compartilhar dados dos utilizadores com o governo de Pequim tais como histórico de navegação, localização e identificação biométrica [cruzando as fotografias no TikTok com fotografias na Internet e captadas em CCTVs], havendo também fortes indícios de que a aplicação recolhe não só dados relacionados com a utilização da aplicação mas também dados guardados no próprio telemóvel.”

Estes “deputados TikTok” submetem-se assim – potencialmente – a este tipo de devassa por parte de uma potência estrangeira com grande interesse nas ligações de Portugal com a NATO, CPLP e UE. Desta forma expõem potencialmente as mensagens que trocam e recebem nesta rede social e os dados de GPS até 2020 (há deputados activos desde essa data). Ou seja: porque utilizam esta rede social são um risco para a segurança nacional. Recordemo-nos de que recentemente a Comissão Europeia, o Conselho e Parlamento Europeu indicaram aos seus utilizadores para removerem o TikTok dos seus telemóveis de trabalho.

Neste estudo apuramos que:

Quem tem mais seguidores? (top 10)

1 André Ventura CH 65000
2 Rita Matias CH 16500
3 Alexandre Poço PSD 7729
4 Joana Mortágua BE 10400
5 Inês de Sousa Real PAN 6803
6 André Pinotes Batista PS 6622
7 Bruno Nunes CH 5137
8 Ricardo Baptista Leite PSD 947
9 Rui Paulo Sousa CH 628
10 Ivan Gonçalves PS 326

André Ventura agrega tantos seguidos do que todos os outros deputados. Sendo que Rita Matias, também do Chega, segue logo em segundo e Bruno Nunes e Rui Paulo Sousa também figuram neste “top 10”. O Chega afirma-se assim como o partido com deputados mais seguidores nesta rede social preferida entre os jovens (a maioria abaixo dos 18 mas eleitores futuros) e numa rede social onde o segmento +35 é um dos que mais cresce. 

Quem tem mais gostos?

1 André Ventura CH 295500
2 Rita Matias CH 162800
3 Alexandre Poço PPD 161600
4 Inês de Sousa Real PAN 136800
5 Joana Mortágua BE 114100
6 André Pinotes Batista PS 109600
7 Ricardo Baptista Leite PSD 10800
8 Bruno Nunes CH 40000
9 Nuno Carvalho PSD 3713
10 Rui Paulo Sousa CH 2670

Também na quantidade de “gostos” o Chega assume uma posição dominante o que aliás resulta também do número de seguidores. Aqui, como na métrica anterior, André Ventura afirma-se como o líder incontestado e como o “deputado TikTok” mais influente de Portugal e, consequentemente, aquele que mais frequentemente aparece no feed desta rede social.

Que partido tem maior % de deputados no TikTok?

PAN 1 com 1 TikToker (100%)
CH 12 com 5 TikTokers (41.6%)
BE 5 com 2 TikTokers (40%)
IL 7 com 2 TikTokers (28.5%)
PSD 77 com 13 TikTokers (16.8%)
PS 120 com 12 TikTokers (10%)
PCP 6 com 0 TikTokers (0%)
LIVRE 1 com 0 TikTokers (0%)

A percentagem é aqui um elemento secundário, especialmente nos pequenos partidos onde basta que 1 em 1 deputado tenha TikTok (caso de Inês Real) para que o partido passe a “partido 100% TikTok”. Mas há elementos interessantes: confirma-se a aposta do Chega no TikTok como ferramenta comunicacional e o mesmo parece fazer o seu adversário mais clássico, o BE, com os seus 40%. Já a IL – com as suas campanhas muito mediáticas e humorísticas – parece, apesar disso, continuar a preferir outros meios e PS e PSD estão em presenças relativamente idênticas mas preocupantes dado que são dois partidos que habitualmente governam e os seus deputados (especialmente os do PS) oscilam frequentemente entre Parlamento e cargos no Governo, autarquias locais e empresas e institutos públicos. 

Quem tem mais vídeos? (Top 10)

1 André Pinotes Baptista 142 (a maioria de futebol)
2 Ricardo Baptista Leite 104 (um grande esforço mas que não é correspondido em número de seguidores)
3 Ivan Gonçalves 66 (idem)
4 André Ventura 49 vídeos (há 8 “Andrés Venturas” falsos e embora André Ventura não seja o TikToker mais prolífico é, sem dúvida, o mais popular sendo que, assim, os seus vídeos têm uma alta eficácia)
5 Joana Mortágua 48 (numa boa relação de eficácia)
6 Inês de Sousa Real 44
7 José Carlos Barbosa 37 (sendo que muitos são pessoais não políticos)
8 Bruno Nunes 33
9 Emília Cerqueira 26 
10 Rui Paulo Sousa 18

Ou seja, estes são os deputados que mais se esforçam para serem relevantes no TikTok: mas nem todos o conseguem… Por exemplo André Pinotes Baptista tem, de facto, muitos vídeos e um razoável número de seguidores mas os seus conteúdos recentes são todos sobre futebol. E o segundo deputado mais prolífero, Ricardo Baptista Leite apesar dos seus 104 vídeos (!) conseguiu cativar apenas 947 seguidores embora tenha 10800 Gostos)

O que pode saber destes deputados quem tem acesso aos dados no TikTok? (por exemplo, os engenheiros da ByteDance na China que os podem ceder – são obrigados por lei desde 2017 – aos serviços de informações de Pequim)

  1. Se a password no TikTok é partilhada com outras aplicações será possível entrar nessas aplicações com a password do TikTok.
  2. Se publicar vídeos privados de locais de segurança (bases militares, instalações de energia, fábricas ou qualquer local de interesse estratégico) mesmo sendo privado este conteúdo está ao alcance dos gestores da rede social.
  3. Os trackers do TikTok estão presentes em muitos sites permitindo conhecer o site, o histórico de navegação, a cidade do utilizador e como entrou e saiu do site.
  4. O TikTok ao ser instalado pede acesso à câmara e ao microfone: isso permite saber – potencialmente – informações ambientais e, eventualmente, o áudio do que rodeia o telemóvel.
  5. A criar uma conta o TikTok tenta aceder aos contactos (nomes e números) e Facebook no telemóvel: se tal foi autorizado a ByteDance pode passar a saber os nomes e números que constam no telemóvel: Se forem os de ministros, responsáveis de segurança ou de empresas críticas estes podem depois ser visados por campanhas de phishing e os serviços de informações podem criar “redes” de contactos que serão usadas para determinar padrões de influência e comportamento passíveis de serem usados em operações de recrutamento por chantagem (p.ex. se nestas listas constaram os nomes de conhecidos traficantes ou de serviços de acompanhamento ou prostituição).
  6. As mensagens trocadas no TikTok não são encriptadas end-to-end: isto é: podem ser lidas por quem controla a rede social: por isso quando um política recebe ou envia mensagens tem que ter em conta que, em tese, estas podem ser lidas pelos serviços de inteligência de Pequim e/ou pelos engenheiros da ByteDance.
  7. Até 2020 o TikTok recolhia a localização e o histórico do GPS (ou seja: sabia onde estava cada utilizador, a cada momento, com uma precisão de 6/10 metros). Estes dados deixaram de ser recolhidos mas continuam nos servidores da ByteDance.
  8. O TikTok sabe qual é o identificador (IMEI) e modelo do telemóvel o que permitirá a quem tem esta informação identificar o equipamento nas antenas das redes móveis (em visita a China: p.ex.) e direccionar campanhas de controlo do equipamento explorando vulnerabilidades do equipamento usado, neste caso, pelo político ou governante.
  9. O endereço de e-mail do utilizador fica ao alcance de quem tem acesso aos logs e este pode ser usado para campanhas de phishing muito direcionadas e, logo, de alta eficácia que poderão levar à instalação de backdoors ou de software malicioso.
  10. Dada a possibilidade de o feed do TikTok ser manipulado por forma a favorecer conteúdo que favoreça as posições do governo chinês e diminua a relevância de outros conteúdos (isto foi descoberto em 2019) o político que usar o TikTok pode ver a sua opinião condicionada ou orientada consoante o interesse desta potencia estrangeira.

Continue a ler “Deputados TikTok: Estudo, Conselhos, Riscos e Observações” →

Conselhos da CpC: para o uso do TikTok em telemóveis das autarquias locais, organismos do Estado e eleitos locais e na Assembleia da República

~ Rui Martins ~ Comentar
  1. Ter consciência que o uso e acesso ao TikTok e a outras redes sociais representa um risco para a privacidade e segurança.
  2. Utilize uma password única no TikTok com pelo menos 14 caracteres de extensão com letras e números e sem palavras de dicionário. Conserve a password numa ferramenta de gestão de palavras chave como o Bitwarden ou o Microsoft Authenticator e mude a password frequentemente. Sobretudo: não use esta password em mais nenhuma aplicação ou rede social: se alguém obtiver a sua password entra também no TikTok: e vice-versa.
  3. Compreender que publicar vídeos públicos ou privados com informação de segurança ou de instalações críticas ou de serviços essenciais é proibida.
  4. Se usar o Browser para aceder ao TikTok use o modo anónimo para limitar a acção dos sistemas de tracking por pixels e ter em conta que existem trackers do TikTok noutros sites.
  5. Não deve usar o TikTok em equipamentos profissionais mas mesmo se usar apenas um equipamento pessoal saiba que a sua localização aproximada (via IP e cookies) fica ao dispor de quem acede aos dados do TikTok.
  6. Quando acabar de usar o TikTok feche a aplicação para evitar que ele fique a correr em background
  7. Telemóveis com o TikTok instalado não devem ser usados em áreas com alto nível de segurança. Recorde-se que pode autorizar (não recomendamos) o acesso à câmara e ao microfone ao TikTok e que isso permite que a aplicação tenha acesso a dados ambientais sobre o local onde se encontra.
  8. Todos os utilizadores do TikTok devem recusar o acesso aos contactos do seu telefone. Se o fizerem concede acesso aos números e nomes no seu telemóvel. Com essa informação concede a quem tiver acesso a esses dados (nomeadamente aos serviços de informações de Pequim) o acesso à sua rede de contactos e que essa informação pode ser cruzada com a sua localização e com o seu calendário (cujo acesso pode também ceder ao TikTok).
  9. Recomende que não se usem outras contas noutras redes sociais para autenticar no TikTok (Facebook, Google ou Twitter). Se o fizer irá ceder dados pessoais de tipo demográfico e as suas ligações nesta rede social aos gestores do TikTok.
  10. Seja cuidadoso no que publica no TikTok: não coloque informação sobre a sua família. Limite ao máximo a informação sobre os seus amigos e os eventos em que participa. Evite ao máximo indicar a localização onde – actualmente – se encontra. Não revele informação pessoal ou sensível nas mensagens no TikTok (estas mensagens não são – como o WhatsApp – encriptadas ponto-a-ponto).
  11. Reveja se concedeu acesso a aplicações dentro do TikTok recusando o acesso a todas as que não conhecer e limitando a qua quantidade ao máximo.
  12. Se a sua organização usa ferramentas de gestão de equipamentos (MDM) garanta que aplicações como o TikTok são monitorizadas.
  13. Se a sua organização tem uma política de “traga o seu próprio equipamento (BYOD) use as opções para contentorizar aplicações como o TikTok: isto ajuda a separar dados pessoais de profissionais e permite a remoção remota em caso de incidente de segurança mas tenha em conta que o TikTok terá acesso (se o conceder) ao microfone e à câmara o que lhe concederá algum tipo de acesso ao seu contexto ambiental.

    Enviada a todos os grupos parlamentares da Assembleia da República a 27.03.2023

Apelo ao bloqueio da aplicação TikTok em equipamentos usados pelo Estado central e autarquias locais

~ Rui Martins ~ Comentar

Ao considerarmos que cada vez mais países estão restringindo o uso da aplicação TikTok em equipamentos sensíveis, como nos casos da Índia, EUA, Reino Unido e mais recentemente, a Comissão Europeia, os CpC: Cidadãos pela Cibersegurança sugerem que os grupos parlamentares representados na Assembleia da República avaliem a possibilidade de impor restrições similares em todos os telemóveis de serviço usados pelos membros de órgãos eleitos do Estado central e das autarquias.

Há preocupações legítimas de que a ByteDance, proprietária do TikTok, possa compartilhar dados dos utilizadores com o governo de Pequim tais como histórico de navegação, localização e identificação biométrica, havendo também fortes indícios de que a aplicação recolhe não só dados relacionados com a utilização da aplicação mas também dados guardados no próprio telemóvel.

Com mais de 1,8 milhões de utilizadores em Portugal, é extremamente provável que a aplicação esteja instalada em telemóveis de políticos, membros do governo e das autarquias locais, o que potencialmente pode entregar informações sensíveis ao governo chinês. Embora o TikTok não opere na China, segundo a legislação chinesa, qualquer empresa chinesa pode ser obrigada, de forma oculta, a ceder dados ao governo e, consequentemente, informações sobre seus utilizadores internacionais. Não está claro se isso já ocorreu, mas com o aumento da atividade da espionagem chinesa nos últimos anos, tal é extremamente provável.

A legislação chinesa estabelece que “todos os cidadãos e empresas na China” são obrigados a “apoiar, assistir e cooperar com o trabalho da Inteligência do Estado”. Isso significa que, se a ByteDance não ceder acesso aos dados, os seus responsáveis podem ser detidos e condenados a penas de prisão. Isso também significa que o regime de Pequim pode recolher informações sobre hábitos, deslocamentos, vícios e pontos de pressão, que seus agentes podem usar para extrair informações ou recrutar colaboradores.

Portugal é um país membro da NATO e está envolvido em assuntos da União Europeia e da CPLP, onde a China tem interesses prioritários. Além disso, as multinacionais chinesas têm uma forte presença económica em Portugal. Portanto, é necessário tomar as devidas precauções e impedir o uso do TikTok em equipamentos ligados ao governo central ou local.

CpC: Cidadãos pela Cibersegurança


Enviada aos Grupos Parlamentares da Assembleia da República