Mês: Março 2024

Propostas ao novo Governo da República para a área de Cibersegurança

~ Rui Martins ~ Comentar

Propostas:

“1. As empresas deviam parar de enviar SMS com URLs
2. Os operadores não deviam aceitar a comercialização de pacotes de envios de SMS em que é possível alterar a descrição da origem dos SMSs.
3. As propostas em https://cidadaospelaciberseguranca.com/2023/11/19/tacticas-de-fraude-cibernetica-em-portugal-a-campanha-cgd-de-outubro-chamadas-de-alerta-e-medidas-preventivas/ deviam ser implementadas.
4. Em particular, a ANACOM devia ser mais lesta na “proposta de projeto de regulamento o qual será objeto de consulta pública de acordo com o procedimento legalmente estabelecido para o efeito, e terá em linha de conta as boas práticas e as normas adotadas por organizações nacionais, da União Europeia ou internacionais” e o Parlamento nas medidas legislativas que se impõem para travar este tipo de burla.”
https://cidadaospelaciberseguranca.com/2024/01/23/alerta-de-scam-smss-dos-cttexpresso-a-sua-encomenda-encontra-se-retida-no-centro-alfandegario-mais-proximo-para-desalfandegar-visite-nos-em-https-ctt-app/

“A CpC propõe que a ANACOM trabalhe no mesmo sentido e que proponha ao Parlamento a elaboração de alterações legislativas que determinem que os operadores das redes móveis:
1. Desenvolvam um sistema único de padrões de autenticação de identificação para o envio de mensagens SMS.
2. Seja criado um número único para onde possam ser encaminhadas todas as mensagens de SMS e chamadas de spam por forma a alimentar uma lista nacional de barramento de chamadas não autorizadas (de adesão voluntária por parte dos consumidores).
3. Sejam bloqueados todos os números de telefone inválidos, não alocados ou não utilizados, além daqueles em lista não originária (DNO).
Para além das muitas horas perdidas em chamadas e mensagens deste tipo estes SMS são também um veículo de disseminação de malware e de burlas como a Olá Pai / Olá Mãe com dezenas de milhar de vítimas em Portugal e vários milhões de euros perdidos (sem recuperação possível) para as redes de burlões.”
https://cidadaospelaciberseguranca.com/2024/01/02/combatendo-o-sms-de-spam-propostas-e-desafios-em-portugal-para-proteger-os-consumidores/

“É preciso resolver as lacunas que permitem a operação destes criminosos:
1. Se as empresas que vendem referências multibanco forem associadas a um grande surto de actividade criminosa devem ter a sua licença no Banco de Portugal suspensa até que a sua segurança interna seja reforçada. Embora muitas destas entidades (como a 21800 com sede na Holanda) estejam a vender serviços a burlões desde 2017 continuam a ter licença como operador financeiro no BdP.
2. A SIBS (Multibanco) deve mostrar nas ATMs o nome da entidade que gera as referências e o beneficiário final do pagamento. Se a entidade estiver associada a burlas esse alerta deve surgir na ATM. É o caso das 21800, 21312, 11249, 11893, 10241, 10611, 12167 ou 11893.”
https://peticaopublica.com/pview.aspx?pi=referenciasMB

“Recomendação CpC – Iniciativa dos Cidadãos para a Cibersegurança ao Governo central e às autarquias locais portuguesas:
1. Reiteramos a necessidade de que todos os equipamentos (computadores, tablets e smartphones) entregues para uso profissional a colaboradores e representantes eleitos do Estado central e das autarquias locais tenham software de antivirus e um sistema de MDM: “Os telemóveis do Estado (pelo menos os iPhones) não têm sistemas de MDM (gestão de dispositivos móveis): Usando, por exemplo, o Microsoft Intune – uma solução de gestão de dispositivos móveis (MDM) que permite gerir dispositivos móveis – teria sido possível definir políticas de restrição de aplicações para impedir a instalação de determinados aplicativos, como o WhatsApp, nos dispositivos iOS geridos”: sendo que, assim sendo, a esta lista se deveria somar o TikTok, o WeChat e todo o software da Kaspersky. No Portal Base da contratação pública apenas o “Centro de Formação Profissional da Indústria Têxtil, Vestuário, Confecção e Lanifícios (Modatex)” e a “Fundação Casa da Música ” parecem ter adquirido este tipo de serviços MDM de gestão centralizada de equipamentos (não sendo claro se estão a ser usados para bloquearem aplicações deste tipo).
2. Todas as autarquias e hospitais públicos que adquiriram software da Kaspersky devem terminar imediatamente esses contratos e substituir este fornecedor”
https://cidadaospelaciberseguranca.com/2023/11/02/proibicao-de-aplicacoes-wechat-e-kaspersky-pelo-governo-do-canada-desafios-de-seguranca-cibernetica-e-recomendacoes-para-portugal/

“O Parlamento Europeu também poderá replicar o “No Fakes Act” dos EUA e e que visa proteger actores e artistas do uso não autorizado da sua imagem por IA e produzir uma directiva que leve os países membros a penalizar todos os que utilizem as vozes de terceiros – designadamente por agentes políticos em contexto de eventos eleitorais – de forma fraudulenta no contexto europeu para criarem audios deepfake.”
https://cidadaospelaciberseguranca.com/2023/10/17/prevenir-os-audio-deepfake-conselhos-e-propostas/

“1.
Os telemóveis do Estado (pelo menos os iPhones) não têm sistemas de MDM (gestão de dispositivos móveis):
Usando, por exemplo, o Microsoft Intune – uma solução de gestão de dispositivos móveis (MDM) que permite controlar e gerir dispositivos – teria sido possível definir políticas de restrição de aplicações para impedir a instalação de determinados aplicativos, como o WhatsApp, nos dispositivos iOS geridos.
2.
Os telemóveis do Estado não têm sistemas de backup a funcionar:
Como no ponto anterior, o uso da mesma ferramenta Microsoft Intune permitiria também realizar “Remote Wipe” para apagar remotamente os dados de um dispositivo perdido ou roubado, bem como recursos de backup e recuperação para garantir a segurança dos dados aqui conservados.
3.
Existem comunicações sensíveis e de Estado a circular e a serem tomadas em redes sociais externas e sob controlo de potencias estrangeiras (WhatsApp):
A instalação destas aplicações pode e devia ser barrada centralmente e de forma centralizada por MDM. Quanto a estas comunicações já tínhamos sugerido em que
a. Que todos os políticos em funções electivas usem apenas telemóveis de Estado: com uma lista autorizada pré-determinada de aplicações e que excluem aplicações de encriptação ponto a ponto que dependem de estruturas ou organizações estrangeiras.
b. Que seja criminalizado o uso de software de comunicações que não tenham encriptação de mensagens ponto-a-ponto, cujos servidores ou chaves estejam fora do controlo direto do governo, União Europeia ou da autarquia local onde são exercidas as funções electivas.
c. Deve existir um sistema de comunicações nacional, seguro e de acesso reservado a políticos eleitos para instituições europeias, governo e parlamento da República e autarquias locais. Este sistema deve estar fora do alcance de empresas e potências estrangeiras e garantir o acesso aos historiadores do futuro assim como a investigações judiciais. Sugerimos que esta aplicação seja desenvolvida e mantida no contexto das instituições europeias.
d. Que seja criminalmente responsabilizado quem efetuar comunicações de dados sensíveis ou instalar software em equipamentos do Estado Português susceptível de colocar em causa a segurança do equipamento.
e. Que seja criado um arquivo de comunicação digital, com o objectivo de preservar as decisões realizadas entre governantes e políticos, de forma a um dia poderem ser consultadas pelo público e mantendo assim a capacidade de académicos e historiadores no futuro conhecerem a realidade de hoje.”
Estas propostas foram enviadas a 24 de Abril a todos os grupos parlamentares na Assembleia da República, Câmaras Municipais (presidentes de executivo) e ao Ministério da Administração Interna: não recebemos nem sequer um aviso de recepção ou leitura.
4.
Não existe (ou não foi aplicado) um procedimento formal de desligamento/apagamento de um utilizador que abandona a organização que incluísse a negação de acesso centralizada de acessos (conseguiu usar o cartão para entrar na garagem) nem permitisse o esquecimento da recolha imediata do telemóvel juntamente com o computador.
5.
O laptop de Frederico Pinheiro estava em modo “standalone”:
Isto é, não pertencia à estrutura de identidade, autenticação e gestão remota do Ministério (Active Directory), algo que deveria ser absolutamente proíbido e viola qualquer boa prática de segurança organizacional.
6.
Frederico Pinheiro era administrador local do equipamento:
Ora existem várias razões pelas quais um utilizador não deva ser um administrador local em um computador:
Segurança: Ao conceder privilégios de administrador a um utilizador, este terá acesso total ao sistema operativo e poderá fazer alterações críticas, como instalar/remover software, modificar configurações de segurança e até mesmo apagar ficheiros essenciais. Isso aumenta o risco de comprometimento do sistema por malware, vírus ou outras ameaças cibernéticas especialmente em equipamentos – como o caso – com dados sensíveis para o interessa da República.
Estabilidade do sistema: Um utilizador com privilégios de administrador pode inadvertidamente fazer alterações que afetem a estabilidade do sistema ou de outras aplicações. Isso pode levar a falhas, bloqueios e problemas de desempenho.
Erros humanos: Mesmo que um utilizador seja experiente, erros podem acontecer. Um clique errado ou uma ação equívoca quando se é administrador pode ter consequências graves, como excluir arquivos importantes ou modificar configurações críticas sem intenção.
Políticas de segurança: Em ambientes organizacionais, é comum aplicar políticas de segurança rígidas para proteger informações confidenciais. Ao limitar os privilégios dos utilizadores, o ministério poderia ter reduzido o risco de perda de dados e garantir a conformidade com as regulamentações de proteção de informações em vigor.
Geralmente, restringir os privilégios de administrador para os utilizadores finais dos equipamentos é uma prática recomendada para manter a segurança, a estabilidade e a integridade do sistema operativo e dos dados armazenados. Os utilizadores devem ter apenas as permissões necessárias para realizar suas tarefas diárias, enquanto os privilégios de administrador devem ser reservados para administradores de sistemas informáticos.
7.
Um laptop com dados sensíveis, confidenciais e estratégicos para a República não tinha o disco encriptado:
Essa opção é gratuita e está disponível em todos os equipamentos MacOS, Windows e Linux. No Windows trata-se da “BitLocker Device Encryption in Windows” e quando é iniciada permita a gravação e conservação externa e em local seguro das chaves para eventual futura recuperação do acesso em caso de necessidade de acesso por parte das autoridades judiciais ou da hierarquia do ministério.
8.
O laptop permitia a ligação de Storage Devices USB externos:
Os quais usou várias vezes para copiar ficheiros importantes e que estavam no equipamento.
Este uso pode ser bloqueado por Group Policy se o computador estiver ligado a uma Active Directory (não estava) e é igualmente possível enviar um mail alertando o utilizador para essa tentativa de uso em contrário aos procedimentos em vigor.
9.
O laptop estava em modo “standalone”: isto é: não pertencia ao Domain AD do Ministério (?) e, logo, não podia receber um conjunto centralizado de políticas e configurações:
Teria sido possível impedir que o equipamento tivesse em disco cópias únicas (assim o disse a Chefe de Gabinete) de determinadas extensões (.pdf, .docx, .xlsx) obrigando à sua presença única em shares de rede sob controlo do Ministério.
10.
O laptop permitia a existência de cache profiles e, logo, permitia o logon sem o prévio estabelecimento de VPN para com a rede do Estado:
Isto pode ser forçado centralmente através de uma Group Policy de Active Directory ou, se o computador não estiver em AD é possível também desligar estes logins com uma alteração de registry mas esta pode ser desfeita se o utilizador for um administrador local como parecia ser o caso de Frederico Pinheiro.
11.
O laptop não tinha um sistema de AV ou MDM que permitisse o shutdown remoto/remote wipe ou lock em caso de perda de controlo nem a geolocalização do equipamento em caso de perda ou furto:
Isto mesmo – por exemplo – é fornecido pela solução Panda de Antivírus e por outras soluções de MDM tais como
AirDroid Business é um software de limpeza remota MDM compatível com dispositivos Android, iOS, Windows e macOS. Executa apagamentos remotos, bloqueia écrans e arquivos do dispositivo, força redefinições de senha e redefine automaticamente um dispositivo de fábrica.
O Apple Business Manager que é uma plataforma baseada na web que faz apagamentos remotos de dispositivos iOS, iPadOS e macOS. Os arquivos ainda podem ser recuperados até 30 dias após a limpeza.
O Google Workspace que permite que os administradores de TI dessas organizações limpem remotamente os dispositivos ou o Knox Manage, uma ferramenta semelhante para dispositivos Samsung que também possui uma opção de restauração e pode rastrear dispositivos perdidos.
12.
Foram feitas impressões de documentos confidenciais:
É possível impedir a impressão deste tipo de documentos sensíveis com políticas de segurança adequadas e usando, por exemplo, as etiquetas de confidencialidade do Office 365 (Microsoft Purview).
Isto permitiria – se estas etiquetas tivessem sido usadas – encriptar e-mails, convites para reuniões e documentos para impedir que pessoas não autorizadas acedam a estes dados, usar marcas de água em documentos confidenciais dinâmicas e geridas centralmente.
Por Group Policy – se o computador fosse parte de uma AD e já sabemos que não o era – teria sido possível impedir a impressão de documentos confidenciais ou de outro tipo.
13.
Terá sido possível enviar documentos de trabalho para mails pessoais:
É possível bloquear através de policies de restrição de mail o envio de documentos/anexos de mail para endereços de mail pessoais (gmail, hotmail, mail.com, etc).”
https://cidadaospelaciberseguranca.com/2023/07/19/apresentada-a-ar-por-mais-ciberseguranca-nos-equipamentos-dos-gabinetes-dos-ministerios-e-dos-presidentes-de-camara-municipal/

“Há três principais razões pelas quais não deveriam existir comunicações envolvendo decisões ou dinheiros públicos em meios electrónicos não oficiais:
1. Segurança
Sugerimos que todas as comunicações de Estado em meios que estão ao alcance de potências estrangeiras como o caso do Facebook e WhatsApp sejam feitas por canais seguros e não através de plataformas de redes sociais.
2. Justiça
As decisões de aprovação com impactos financeiros devem estar sempre lavradas em atas oficiais. Sugerimos a ponderação de uma alteração legislativa que determine – por força de lei – que estas decisões não possam ser realizadas via redes sociais. Se há decisões que envolvem dinheiro dos impostos, sejam elas o pagamento de indemnizações a gestores da TAP, os preços de vacinas da Pfizer ou decisões de governo ao nível municipal, todas estas mensagens podem servir de forma de prova da inocência ou culpa em investigações judiciais. Colocar estas mensagens em meios cifrados como o iMessage (Apple), Telegram, Signal ou outros menos conhecidos como o Tox ou o Jami pode ser assim uma forma de um criminoso se furtar à investigação ou de impedir que um inocente veja provada a sua inocência. Por princípio e regra qualquer comunicação que envolva dinheiros públicos deve ficar ao alcance de investigações judiciais,.
3. História
Actualmente os historiadores conseguem realizar o seu trabalho – essencial para a formação de uma cultura e preservação de uma identidade nacional – através de estudos e leituras nos arquivos. Daqui a 20, se todas ou se a maioria das comunicações dos nossos governantes tiverem sido feitas em plataformas no estrangeiro e associadas a perfis pessoais nestas plataformas, em equipamentos pessoais (sem cópias de segurança) ou forem feitas de forma cifrada, que material terão para trabalhar estes historiadores do futuro?
O que propomos:
1. Que todos os políticos em funções electivas usem apenas telemóveis de Estado: com uma lista autorizada pré-determinada de aplicações e que excluem aplicações de encriptação ponto a ponto que dependem de estruturas ou organizações estrangeiras.
2. Que seja criminalizado o uso de software de comunicações que não tenham encriptação de mensagens ponto-a-ponto, cujos servidores ou chaves estejam fora do controlo direto do governo, União Europeia ou da autarquia local onde são exercidas as funções electivas.
3. Deve existir um sistema de comunicações nacional, seguro e de acesso reservado a políticos eleitos para instituições europeias, governo e parlamento da República e autarquias locais. Este sistema deve estar fora do alcance de empresas e potências estrangeiras e garantir o acesso aos historiadores do futuro assim como a investigações judiciais. Sugerimos que esta aplicação seja desenvolvida e mantida no contexto das instituições europeias.
4. Que seja criminalmente responsabilizado quem efetuar comunicações de dados sensíveis ou instalar software em equipamentos do Estado Português susceptível de colocar em causa a segurança do equipamento.
5. Que seja criado um arquivo de comunicação digital, com o objectivo de preservar as decisões realizadas entre governantes e políticos, de forma a um dia poderem ser consultadas pelo público e mantendo assim a capacidade de académicos e historiadores no futuro conhecerem a realidade de hoje. “
https://cidadaospelaciberseguranca.com/2023/04/24/comunicacoes-em-meios-electronicos-usados-por-politicos-ciberseguranca-justica-material-de-prova-e-historia-acessibilidade-a-arquivistas/

Alerta: A aplicação Temu aparenta ser um spyware! Não use! Não instale!

~ Rui Martins ~ Comentar

Se usa um telemóvel, se acede ao facebook, se está no twitter/X então já deve saber o que é a Temu da Pinduoduo Inc (PDD). A loja online alega ter preços fantásticos e tem em curso diversas campanhas de marketing muito agressivas. Rapidamente, tornou-se muito popular nos EUA onde já é a mais popular (mesmo mais que a Amazon). O que é mais curioso, não é nem este crescimento estrondoso, nem os seus preços baixos: é o facto de não operar na China.

A Grizzly Research, uma empresa de análise de Nova York, investigou a Temu e concluiu que “Acreditamos que a PDD é uma empresa fraudulenta em declínio e que a sua aplicação de compras TEMU é um spyware habilmente oculto que representa uma ameaça de segurança urgente para os interesses nacionais dos Estados Unidos“. Para estes investigadores a Temu é “o software malware e spyware mais perigoso actualmente em circulação” tendo, na investigação, sido identificados 18 “vulnerabilidades graves” na versão Android do App incluindo a possibilidade de “descarregar software de fontes desconhecidas” e até mesmo “criar e executar código arbitrariamente directamente no dispositivo” (!),

Aqui estão algumas das capacidades mais preocupantes da aplicação móvel (para Android) da Temu:
1. Acesso aos registos/logs (Crash logs, Diagnostics, etc) do sistema Android (para que efeitos?!)
2. Recolha do número de telemóvel e email
3. Captura de écran: Pode fazer capturas de écran no seu telemóvel.
4. Gravação de áudio: A Temu pode gravar áudio sem o seu conhecimento (para quê?!)
5. Acesso à câmara: Pode activar a câmara remotamente.
6. Obtenção de informações sobre arquivos no dispositivo: A aplicação pode consultar os seus arquivos pessoais no dispositivo.

A Temu contribui assim activamente para a exfiltração massiva de dados que hoje em dia assola o mundo e que está na raíz de várias campanhas de phishing. A aplicação está a crescer a níveis nunca antes vistos: mais de 100 milhões de downloads nos últimos 9 meses, todos nos EUA e Europa. A equipa de desenvolvimento do aplicação inclui 100 engenheiros que construíram o aplicativo Pinduoduo, que foi suspenso da Google Play Store e posteriormente reinstalado após a remoção das partes “perigosas”. No entanto, algumas destas partes foram usadas como componentes do aplicação, indicando uma intenção maliciosa.

Suspeita-se fortemente que a Temu já esteja, ou pretende, vender ilegalmente dados roubados de clientes de países ocidentais para sustentar um modelo de negócio que, de outra forma, estaria condenado ao fracasso.

Embora as ofertas da Temu possam parecer tentadoras, a segurança e a privacidade dos utilizadores devem ser prioridades. Acreditamos que a Temu deve ser removida das lojas de aplicações do Google e da Apple, uma vez que a empresa-mãe, PDD, é notoriamente muito pouco fiável, com práticas financeiras opacas e indícios de má conduta empresarial. É absolutamente inaceitável que esta aplicação ainda esteja disponível para uso e download e Portugal.

Ler mais:
https://noticiasetecnologia.com/alerta-temu-spyware-disfarcado/.
https://www.deco.proteste.pt/familia-consumo/orcamento-familiar/noticias/temu-que-e-cuidados-antes-comprar.
https://www.tudoacustozero.net/2023/12/temu-que-e-cuidados-antes-comprar.html.
https://pplware.sapo.pt/internet/plataforma-temu-atencao-antes-de-comprar-o-quer-que-seja/.
https://www.snopes.com/news/2023/06/05/temu-shopping-app-scam-china-spyware/.
https://www.usatoday.com/story/tech/columnist/komando/2023/04/20/delete-temu-app-cybersecurity-expert-advice/11667796002/.
https://edition.cnn.com/2023/02/16/tech/temu-shopping-app-us-popularity-intl-hnk/index.html
https://grizzlyreports.com/we-believe-pdd-is-a-dying-fraudulent-company-and-its-shopping-app-temu-is-cleverly-hidden-spyware-that-poses-an-urgent-security-threat-to-u-s-national-interests/
https://en.wikipedia.org/wiki/Pinduoduo

Perigos das Portas USB Públicas: Alerta Contra o ‘Juice Jacking’ em Lisboa (paragens de autocarro da JC Decaux, Aeroportos, Restaurantes, Centros Comerciais, etc)

~ Rui Martins ~ Comentar

Começamos a encontrar por Lisboa nas novas paragens de autocarros da Carris – em obras de execução muito contestada – portas USB para carregamento de dispositivos móveis. Ora, muito bem, a ideia parece boa. O problema é que não devemos carregar os nossos dispositivos em portas USB públicas.

Recentemente, o FBI alertou os cidadãos norte-americanos: “não deve carregar o seu telemóvel numa porta USB pública” devido ao risco de “juice jacking”. É verdade que, quando estamos em viagem é frequente precisarmos de carregar a bateria dos novos dispositivos sejam eles telemóveis ou tablets e se nos encontrarmos num hotel, aeroporto ou paragem de autocarro com uma porta USB a tentação de a usar para esse efeito é grande. O problema é que isso irá expor o dispositivo a uma técnica conhecida como “juice jacking”, em que se podem usar as portas USB públicas para instalar malware e software de monitorização nos dispositivos aqui ligados. Teoricamente, o tipo de ferramentas que podem ser instaladas desta forma pode permitir o acesso ao conteúdo do smartphone e o furto de palavras-passe, para uso em operações de roubo de identidade, acesso à conta bancária ou simplesmente a venda de informações pessoais na dark web.

Para ser uma vítima de “juice jacking” é suficiente ligar o smartphone a uma porta USB num aeroporto, hotel, centro comercial ou qualquer outra localização pública: A FCC (Comissão Federal de Comunicações dos Estados Unidos) alertou que devemos considerar que qualquer porta USB pública pode estar comprometida. Há, contudo, grandes diferenças entre portas USB públicas: dependendo do tipo e do que está do outro lado da porta o risco pode ser elevado ou praticamente nulo (mas nunca de zero): Os mais perigosos são certamente os de hotéis e restaurantes onde não há confiança no que existe do outro lado da cablagem podendo ser um computador utilizado por alguém mal intencionado ou comprometido por uma entidade terceira. Também é possível usar uma destas portas para ligar um computador (se tiverem os pinos de dados activos) e entrar no equipamento que se encontra do outro lado e, se este for um computador, invadir e comprometer esta máquina, afectando posteriormente os equipamentos móveis que aqui forem ligados. Num aeroporto ou paragem de autocarro esta operação exige a participação da empresa de manutenção ou de alguém que tenha acesso aos equipamentos o que é um risco também longe de displiciente (o contrato da JC Decaux em Lisboa assume que a empresa irá manter estas portas algo que fará, obviamente, através de uma empresa terceira).

A prudência dita então que devemos assumir que todas as portas USB públicas são perigosas.

O raiz do problema reside no próprio padrão USB: Os cabos USB-A têm 4 pinos — 2 para transferência de energia e 2 para transferência de dados. Ligar o smartphone a uma porta USB com um cabo USB normal potencialmente significa conectá-lo directamente a um dispositivo que pode transferir dados para ou a partir dele.

Práticas recomendadas:
1. Tenha sempre consigo um banco USB e carregue-o em tomadas públicas e use apenas este equipamento para carregar os seus dispositivos.
2. Perante portas USB públicas use-as apenas para carregar bancos USB: nunca telemóveis ou tablets.
3. Lembre-se que os portáteis também têm portas USB que pode usar para carregar os seus dispositivos.
4. Há cabos USB especiais que bloqueiam a transferência de dados USB: se tiver um destes cabos pode usá-lo com segurança em qualquer portas USB pública.
5. Se apesar de tudo ligar o seu equipamento numa destas portas: esteja atento ao seu smartphone: verifique se aparece alguma pop-up a perguntar se confia no dispositivo, se aparece algum storage ou se alguém de incomum acontece ao telemóvel.

Razões para – nunca – ligar um dispositivo móvel numa porta USB pública como as que a JC Decaux colocou nas paragens de autocarro em Lisboa:
1. Portas USB públicas podem ser alvo de hackers que usam técnicas como “juice jacking” para instalar malware nos dispositivos conectados, potencialmente comprometendo a segurança destes equipamentos.
2. Ao ligar o nosso telemóvel a uma porta USB pública, corremos o risco de ter os nossos dados pessoais roubados, incluindo informações sensíveis como palavras-passe, dados bancários e informações de identidade.
3. Mesmo que os nossos dispositivos estejam actualizados com as últimas correcções de segurança (o que deve acontecer: sempre), ainda assim podem ser vulneráveis a ataques “zero day” ou outras formas de exploração de vulnerabilidades desconhecidas.
4. É seguro carregar o nosso telemóvel com um carregador próprio e uma tomada de parede, ou usarr bancos portáteis USB em vez de confiar em portas USB públicas.

Em suma, conectar um telemóvel a uma porta USB numa paragem de autocarro representa um risco significativo para a segurança dos nossos dados pessoais e é melhor evitar fazê-lo sempre que possível.

Ler também:
https://repositorio.ual.pt/bitstream/11144/2640/1/TESE%20COMPLETA2.pdf
https://www.fcc.gov/juice-jacking-tips-to-avoid-it
https://www.publico.pt/2023/04/13/tecnologia/perguntaserespostas/juice-jacking-quao-perigoso-ligar-telemovel-estacoes-carregamento-publicas-2046013
https://uk.style.yahoo.com/fbi-warns-against-using-public-170616785.html
https://www.concorrencia.pt/sites/default/files/processos/ccent/AdC-CCENT_2021_36-Decisao-VNC-final-net.pdf

Coincidência ou DDoS sobre sites de partidos portugueses a 19.03.2024?

~ Rui Martins ~ Comentar

Ontem, 19 de março de 2024, os sites do PS (https://ps.pt/) e PSD (https://www.psd.pt) estiveram em baixo durante horas na parte da manhã e, no caso do PSD, pelo menos uma hora no começo da tarde.
O site do Chega continua em aparente contenção de tráfego na cloudflare.
Coincidência ou ataque DDoS (negação de serviço por botnet) dois depois do anúncio do contributo português de 110 milhões de euros para a aquisição de munições de artilharia para a Ucrânia?

Scam usando os nomes “Immediate Vortex”, “BTC 6.0 Avage”, “Trade Forex 500”, etc (cripto scam) com várias campanhas activas usando as identidades de celebridades (João Baião, Cristina Ferreira, Jorge Gabriel, Tony Carreira, Goucha, Filomena Cautela, André Ventura (!) entre outros)

~ Rui Martins ~ Comentar

Scam usando os nomes comerciais “Immediate Vortex”, “BTC 6.0 Avage”, “Trade Forex 500”, “Trade Cipro 360”, “Meridian Finance”, não sendo claro se estas entidades existem mesmo ou estão a par deste uso do seu nome: Várias campanhas activas usando as identidades de celebridades (João Baião, Cristina Ferreira, Jorge Gabriel, Tony Carreira, Goucha, Filomena Cautela, André Ventura (!) entre outros)

Estão neste momento activas várias campanhas de anúncios nas redes sociais Twitter, Microsoft Advertising e Google Ads que usam abusivamente nomes de figuras públicas (Celebrity Scam), especialmente daquelas que participam nos programas da manhã das televisões portuguesas. Todos estes anúncios e sites surgem nos primeiros resultados do Google: o que revela uma operação muito profissional). Todos foram denunciados a estas plataformas mas ainda todos – sem excepção – continuam online.

A escolha destas figuras públicas não é inocente: é um produto de campanhas profissionais e muito direccionadas que visam as poupanças dos reformados que assistem aos programas da manhã. Com os frutos das poupanças de uma vida inteira, desiludidos com a rentabilidade das formas convencionais de poupança e cercados de notícias sobre os “lucros das criptomoedas”, esta população tem predisponibilidade para cair nestes esquemas. 

As campanhas foram lançadas a 15 de janeiro de 2024 e começaram por um anúncio no Twitter alegando que a “Casa Feliz” na “Entrevista de João Baião a Pedro Andersson foi interrompida pelo Banco de Portugal”. A partir daqui o texto foi copiado para vários sites e – com pequenas alterações – publicado em vários sites falsos de “notícias de famosos” para onde são direccionados todos estes anúncios. A campanha activa em Portugal é uma réplica de várias outras campanhas (com celebridades locais) que começaram em Outubro de 2023 numa operação que incluiu França, Reino Unido, Austrália, Canadá e Turquia. Nesta primeira campanha era usado – entre outros – o nome da futebolista australiana Sam Kerr.

Nos vários sites da rede que são exibidos em Portugal encontramos alegações falsas ou absurdas nas centenas de textos nos sites de uma rede que usa o nome “Immediate Vortex” (alguns escritos pelo ChatGPT): “orgulhamo-nos das medidas de segurança da nossa plataforma de negociação. Vamos além da encriptação com 2FA” o que não faz, tecnicamente, nenhum sentido. A alegação “estamos constantemente a monitorização do nosso site para sermos proactivos para os nossos utilizadores” está escrita num péssimo português (tradução automática) e pretende induzir um falso sentido de segurança na vítima da burla. Várias pistas no texto indicam que os sites em português foram traduções a partir de sites lançados no Reino Unido.

As redes de burlões como esta que usa o nome da Vortex (pode ser, ou não, esta empresa) usam a moda das criptomoedas e o seu mediatismo como forma de captar investidores inexperientes que tentam assim a sua sorte embarcando neste mundo muito complexo e opaco. Se forem expostas estas redes como a da Vortex podem ameaçar denunciar a vítima às Finanças por “mais valias não declaradas” (o que é falso: não existem ganhos de nenhum tipo).

Depois do registo na plataforma o esquema começa pelo pedido de um “depósito inicial” mínimo de “€250 ou $250” para que a vítima possa “começar a negociar“. Uma vez feita a transferência (por visa ou mb way/mbnet) a vítima perde para sempre essa verba e todos os alegados ganhos são virtuais expondo-se a burla quando se tenta fazer o levantamento dos ganhos acumulados. Algumas vítimas reforçam o depósito – iludidas pelos supostos ganhos – mas são uma minoria. São estas as vítimas que caem nos vários estímulos criados pelo “agente especializado” que depois do contacto inicial o contactam e que são vítimas do Pig Butchering Scam.

Alguns dos (muitos) sites da rede que usa o nome “Vortex” (entre outros):

https://immediatevortex.com (que o BitDefender bloqueia), https://immediate-edge.software e https://immediatevortex.io

Alguns dos sites de falsos reviews para credibilizar a utilização do nome “Vortex” (e outros) e contaminar as páginas de resultados do Google:

https://www.biztechafrica.com/article/immediate-vortex-review/49671/#:~:text=Immediate%20Vortex%20is%20not%20a%20scam&text=Make%20sure%20you%20register%20only,with%20only%20CySEC%2Dlicensed%20brokers

https://advancedoffersapp.com/immediate-vortex/index-pt.html?transaction_id=U0FTRGoyTVF6Nk09

https://ag.aimlcoy.shop/t5Jkh8gJ?utm_term=immediate%20vortex&gclid=CjwKCAiAkp6tBhB5EiwANTCx1ILtL6YmknoZ49OjKPGDf5D8qzLY03Qb4waq8H4r6YUmqo652vwlDBoCefkQAvD_BwE
https://growthinvestingpros.com/immediate-vortex-crypto-robots?language=pt&currency=EUR&clickId=d1c358418d4946138ae7959006a95841&referringHostname=invezz.com
Immediate Vortex Reviews – Is Immediate Vortex Platform A Scam?

Na prática a maioria destes sites de “reviews” avaliam toda a rede de muitos outros “scams de criptomoedas” com avaliações falsas que visam credibilizar toda a rede mas que, no processo, expõe a grande dimensão desta operação internacional. A qual não é nítido se a empresa registada na CMVM grega é mesmo a que está por detrás desta rede ou não.

É preciso, contudo, ter em conta que embora um dos sites da alegada “Vortex” mencionam que possuem mais de 1,2 milhões de “clientes” (vítimas), há mais redes a explorar este filão dos “cripto scam”. Olhando apenas para números de 2021, mais de 14 mil milhões de dólares foram perdidos. Ou seja: esta rede que usa este nome (entre outros) não é única: É apenas a mais activa, actualmente, em Portugal.

A operação realizada por esta organização é profissional e muito especializada: as campanhas financiam anúncios no Twitter, Google e na Microsoft. No Facebook existem alguns grupos mas de pequena escala:

https://www.facebook.com/groups/immediatevortex

https://www.facebook.com/groups/immediatevortexplatformreview

https://www.facebook.com/groups/immediatevortexscam

https://www.facebook.com/groups/immediatevortexplatform

https://www.facebook.com/groups/immediatevortextradingplatform

Parecem existir pelo menos 5 “departamentos”: IT, Web developpers e Conteúdos, Gestão de anúncios (através de “Campanhas de Afiliados”), um Call Center que, dizem os operadores está sediado em Londres e em Paris (é impossível saber) e que faz chamadas a partir de indicativos da Roménia, Irlanda e Chipre para acolher os novos contactos e “Agentes Especializados” (“operadores financeiros”) que gerem a maior parte da operação. O serviço de vendas de dados pessoais a brokers parece funcionar de forma paralela existindo vários relatos de vítimas da rede que passaram a receber chamadas de outros scammers nos seus telemóveis desde que se registaram num dos sites da burla.

Um dos métodos para aumentar o alcance e a credibilidade destas campanhas é o uso de contas Twitter “blue“: Trata-se de um modo de assinatura paga e que deveria garantir mais confiança e a fácil identificação dos burlões. Contudo, tal não acontece uma vez que os mecanismos de controlo desta rede social são cada vez mais débeis e que as suas ferramentas de reporte funcionam mal ou, simplesmente, não funcionam (como comprovámos quando tentámos denunciar várias destas contas).

Outra campanha publicitária – além da no Twitter – foi também lançada na página de arranque do browser Edge da Microsoft usando a plataforma “Microsoft Advertising” e o EngageYa: aqui surgem notícias falsas de celebridades tais como “Portugal em Choque! Rumores Sobre Filomena Cautela Foram Confirmados”, “Filomena Cautela: Lamento Essa Ação”, “Adeus a Jorge Gabriel. Portugal chocado”, “Jorge Gabriel: Tenho Vergonha do que fiz!”, “EXCLUSIVO: Tony Carreira Quebra o Silêncio: Não acredito no que fiz!”, “Roubo na TVI! Cristina Ferreira afirma: Foi o Goucha!”. “Portugal em luto! O impactante adeus a Jorge Gabriel”. Estes anúncios surgem entre notícias (em carrocel) de sites reais o que credibiliza os anúncios.

Se hoje em dia temos sites com notícias e imagens reais publicadas em sites falsos com o crescimento da inteligência artificial teremos vídeos e áudios deepfake com as vozes destas celebridades. A tecnologia hoje em dia já existe e está ao alcance de umas dezenas de dólares. 

Os links onde caiam estes anúncios nada tinham a ver com os títulos. Trata-se de Clickbaits (conteúdo online projectado de forma sensacionalista ou enganosa para atrair cliques). Geralmente o título ou descrição exagera informações ou usa estratégias chamativas para incentivar os utilizadores a clicarem, muitas vezes sem entregar o conteúdo relevante ou prometido. O seu principal objetivo é apenas o de gerar tráfego para o site.

A rede que usa o nome “Vortex” (entre outros) tem uma excelente gestão de SEO (Search Engine Optimization ou “Optimização para Mecanismos de Busca”: Um conjunto de práticas e técnicas para melhorar a visibilidade e a classificação de um site nos resultados orgânicos do Google). De facto, na primeira página de resultados todos os resultados são elogiosos para a Immediate Vortex: em 20 resultados só 2, (no fundo da página de resultados) são negativos e um é do reddit... Esta rede usa de forma muito eficaz um conjunto de métodos de “SEO Spam” e a Google está a perder a guerra contra estes spammers. De sublinhar que nunca ninguém vai além dos primeiros 3 ou 4 resultados pelo que quem procurar pelo nome da rede só encontrará, praticamente, avaliações positivas.

A manipulação do Google segue, contudo, outro nível: Quem procurar no google por “immediate vortex” encontra a secção do próprio Google:

“People also ask Is immediate vortex legit or not?” onde surgiu o texto “Immediate Vortex is not a scam: However, you should be aware that a few fake copycat websites using similar names have popped up on the internet, which are most definitely scams. Make sure you register only through the official website”. O que credibiliza (e muito) a rede de cripto scammers.

Nos sites da rede e no twitter os burlões usam o método “like farming” multiplicando em contas (muitas delas certificadas) com mensagens positivas sobre a Immediate Vortex com o objectivo de aumentar o alcance e a credibilidade dos anúncios. Isto reforça os conteúdos que usam “Celebrity scams” e dos quais vimos alguns exemplos mais acima.

De notar que estas campanhas de Clickbait vivem muito dos fracos mecanismos de controlo de anúncios de: Google, Microsoft e Twitter. Há também anúncios em redes de menor dimensão que surgem nos sites falsos como nas réplicas falsas do jornal “ECO” mas pela sua escala não são significativas.

O registo inicial por parte da vítima é feito numa das muitas versões do formulário em https://immediate-edge.software/ pedindo-se o nome da vítima, o mail e o nº de telefone. O formulário adapta-se à lingua do browser (são suportados: português, húngaro, dinamarquês, alemão, espanhol, francês, italiano, japonês, holandês, norueguês, polaco e sueco). No código HTML surge o “author” “Dominik Howe” (não é visível na página pelo que pode ser uma pista deixada por esquecimento da identidade de quem faz estas páginas): O nome é comum nos EUA, país onde esta operação global parece estar baseada (embora os call centers pareçam estar na Europa). Isso mesmo é indicado pela presença na Califórnia dos servidores, de registos DNS de domínios na namecheap, dos alojamentos na cloudflare (Califórnia) e – sobretudo – da informação os “supported countries”: “Most countries Except USA”. Aplicando a regra “don’t shit where you eat” os burlões ficam assim fora de processos judiciais e investigações mais profundas à natureza do negócio e sobre a sua identidade.

Após o registo da potencial vítima, minutos depois caem chamadas de call centers que usam números romenos, cipriotas e irlandeses: +353870584332, +40737957601, +442039964082, +35725341901, +35799722979 e +35724647177 (entre outros). Se a chamada do call center for recusada é feita uma chamada a partir do 937869616 (que no sync.me aparece associado a “Ulisses”) ou partir de um outro número com indicativo estrangeiro. Os operadores do call center usam um sotaque africano ou português sem sotaquem e “trabalham” numa sala onde se ouve em fundo outras conversas em várias línguas, o que indica que a rede opera várias campanhas por país em simultâneo. O operador dá informações sobre como aderir ao “trading de criptomoedas” e diz que o contacto seguinte será feito por um dos vários “experientes gestores de investimentos”, prometendo lucros substanciais com criptomoedas.

O operador do Call Center alega que o “depósito” não tem comissões e que pode ser facilmente levantado (o que é falso). Na prática este depósito é o scam: uma vez que poucos investidores o reforçam logo que compreende que se trata de uma burla.

Após o registo é enviado por SMS um link para acesso a
https://www.liquidityx.com/redirects/ud/?data=<editado já que muda a cada registo e apontará directamente para o perfil da vítima>

Esta entidade “financeira” alega estar

registada na CMVM grega (o que não implica que pode exercer actividade financeira em Portugal).

Indica a forma de receber as verbas (Visa sendo que este cartão pode ser gerado através da aplicação MBWAY).

Surge aqui o valor que é o padrão em todas estas burlas: 250 euros (ou dólares ou libras) o que é uma das marcas distintivas de todas estas organizações e que indiciam que, de facto, tudo se resume à mesma organização com vários nomes “comerciais”.

Numa nota que revela algum sentido de humor diz-se, neste site, que

A “empresa não promove os seus serviços através do patrocínio de celebridades” o que é manifestamente falso como comprovam os clickbaits de notícias de celebridades como Goucha, André Ventura ou Tony Carreira. É apenas uma tentativa de credibilizar o site e de afastar a ligação à promoção original que levou as vítimas ao registo.

Aqui é requerido o upload de documentos pessoais: do Cartão de Cidadão digitalizado, frente e verso (!): ou seja a vítima entrega os seus dados pessoais, fotografia e assinatura ficando assim estes totalmente acessíveis à redes destes cripto scammers. Além de tudo o mais isto é um risco de segurança (grave) e uma flagrante violação do RGPD dado que os servidores deste domínio estão alojados na Cloudflare em São Francisco (EUA).

Esta variante tem vários alertas na Internet:

https://portaldaqueixa.com/brands/liquidityx/complaints (atenção que parecem existir aqui comentários falsos)

https://comoinvestirforex.com/evite-a-corretora-liquidityx-fraude/

Esta entidade alega estar autorizada pela CMVM grega: “Hellenic Capital Market Commission (“HCMC”)” mas uma visita a  http://www.hcmc.gr/en_US/web/portal/search?a_terms=LiquidityX# 

não devolve resultados para este nome. Obviamente, também não é encontrada na CMVM portuguesa em https://www.cmvm.pt/PInstitucional/Content?Input=7FDEB614BB37BB7F9236A4239A55D7D7B3621FD753AC96CE8E332FC41998D293 

De sublinhar que esta rede usa muitos nomes e que estes mudam em ciclos de alguns dias. Os mesmos servidores são usados apenas mudando os conteúdo. Essa manobra foi observada a 19.09.2024 no https://tradesimplex.com/HCTM/ quando em vez de Trade Urex 500 começou a aparecer a página de registo da plataforma “BTC 6.0 Avage”. 

Sinais de Alerta (red flags):

1. Se na plataforma não encontra uma morada ou telefone e se apenas existe um formulário de contacto isso é uma bandeira vermelha (red flag) de que algo está errado. Significa que quem gere esta operação não quer ser contactado e que todos os contactos serão unidireccionais (apenas na direcção do alvo).

2. Se alguém o contacta do nada seja por whatsapp, telegram ou Facebook é provável um esquema que visa – a prazo – conquistar a sua confiança e roubar o seu dinheiro. 

3. Se algo parece demasiado bom para ser verdade: Não o é. Mais uma “red flag”.

3. Se promete total segurança e absoluta segurança contra perdas financeiras é uma “red flag”: todos os produtos financeiros legítimos têm uma determinada taxa de risco. Nenhum garante – também – um rendimento.

4. Outra “red flag”: Se o site do “produto” ou “serviço” não mostra informações claras e precisas sobre a empresa, se a sua liderança é anónima e se a localização da sede é desconhecida: é um esquema. Se nas diversas chamadas os operadores indicam várias moradas e se nunca indicam a morada exacta: Toda essa opacidade é uma defesa contra eventuais processos legais (raros mas que já aconteceram: “Chefe da criptomoeda Thodex é condenado a 11.196 anos de prisão na Turquia por fraude” (BBC)).

O que fazer para evitar cair num “golpe de criptomoedas” (cripto scam)?

1. Instale um antivírus comercial com uma boa extensão de browser como a do BitDefender.

2. Antes de investir procure na internet por avaliações da criptomoeda ou da plataforma. Tenha em conta que no caso da suposta “Vortex” a maioria dos resultados do Google foram contaminados e manipulados.

3. Se chegou aos burlões através de anúncios em plataformas como as da Google ou Microsoft denuncie os anúncios a estas empresas.

4. Reporte a tentativa de burla às autoridades através, p. ex. do https://queixaselectronicas.mai.gov.pt/Queixas/Burla e https://www.cncs.gov.pt/pt/notificacao-incidentes/ (há uma categoria para “utilização ilegítima de nomes de terceiros”).

5. Se não domina totalmente o mundo das criptomoedas: não invista. Muitos acreditam que o próprio conceito das criptomoedas é um scam, um esquema de Ponzi que, mais tarde ou mais cedo, vai explodir arrastando atrás todos os que até agora aqui investiram. Actualmente o seu uso principal na “economia real” são ataques de ransomware.

6. Se, ainda assim, investir em cripto, use VPNs para impedir ataques “Man-in-the-middle” por captura de credenciais.

7. Não contrate empresas de recuperação de fundos dados que estas, frequentemente, são também esquemas.

8. No Twitter pode adicionar em Mutted words as palavras que não quer ver: P.ex. “Banco de Portugal processa”.

Se já foi vítima:

1. Lute: não seja uma vítima: Execute todos os passos acima descritos e, se a perda for grande: contacte um advogado para avaliar a possibilidade de processar gigantes como a Microsoft ou a Google pela sua incompetência em travarem estas campanhas de anúncios nas suas redes.

2. Todos já caímos ou iremos cair numa burla: não se vitimize e procure aconselhamento profissional. As verbas perdidas praticamente nunca são recuperadas mas não deve perder também a sua saúde porque se deixou enganar por uma rede muito profissional e experiente de burlões internacionais.

3. Se foram recolhidos dados pessoais como o nome, cartão de cidadão, a sua assinatura, mail, dados bancários e o nº de telefone essa informação será mais tarde vendida a outras redes de burlões. Se puder mude o mail e troque de nº de telemóvel.

4. Se o burlão usou Bitcoin reporte-o em https://www.bitcoinabuse.com/reports. Se o pagamento foi feito em Ethereum: https://info.etherscan.com/report-address/. Pode também ver qual foi a quantia total já enviada à wallet do burlão em https://www.blockchain.com/explorer

Alguns Esquemas Relacionados:

1. Golpes “Rug Pull”: que partem da promoção exagerada de novos projetos, tokens não fungíveis (NFT) ou moedas para obter financiamento. Depois de receber o dinheiro, os golpistas desaparecem, deixando os investidores com um investimento sem valor. Um exemplo conhecido é o do golpe da moeda Squid, inspirado na série da Netflix “Squid Game”, onde os investidores perderam cerca de 3 milhões de dólares num jogo online.

2. Golpes Românticos: Ocorrem em aplicações de relacionamentos envolvendo relacionamentos online de longa distância. Uma das partes ganha a confiança da outra e convence a vítima a comprar ou doar dinheiro em criptomoeda. Depois de receber o dinheiro, o golpista desaparece. Este golpe também é conhecido como “golpe do abate do porco” e frequentemente demora vários meses a revelar-se.

3. Golpes de Phishing que dependem do envio de mails com links maliciosos para sites falsos, visando obter informações pessoais, tais como chaves de carteiras de criptomoedas.

4. Ataques de Homem no Meio: Em locais públicos, os golpistas podem realizar ataques de “homem no meio”, interceptando informações sensíveis, como passwords e chaves de carteiras, quando os utilizadores acedem às suas contas de criptomoedas.

5. Golpes de Doação em Criptomoedas nas Redes Sociais: Muitas publicações fraudulentas em redes sociais prometem doações de Bitcoin, mas não passam de golpes.

6. Golpe do “abate do porco”: Os esquemas com sites falsos de criptomoedas estão a tornar-se cada vez mais comuns. Por vezes, o golpe começa com um alguém que finge estar disponível para um relacionamento e promete ajudar a vítima a investir em criptomoedas. As vítimas são instruídas a comprar criptomoedas numa exchange legítima e, em seguida, enviá-la para um endereço de carteira de um site falso para investimento. Em outros casos, o golpe começa com a notificação de que a vítima ganhou criptomoedas num site. Em ambos os casos, o golpista controla o site, simulando um saldo na conta da vítima. Posteriormente, a vítima é informada de que precisa depositar mais dinheiro no site para retirar os seus supostos ganhos. Todas as quantias enviadas vão directamente para a carteira do burlão, e as informações sobre o dinheiro retido no site são falsas. Este golpe também é conhecido como o golpe do “abate do porco” ou “pig butchering” scam.

Estes múltiplos golpes destacam a importância de estar ciente e tomar muitas precauções ao lidar com criptomoedas e investimentos online em geral.

Para saber mais:

https://comoinvestirforex.com/evite-a-corretora-liquidityx-fraude/
https://scambrokersreviews.com/crypto-scams/immediate-vortex-review/

https://www.techtarget.com/whatis/feature/Common-cryptocurrency-scams

https://learn.microsoft.com/en-us/answers/questions/1431981/i-need-to-add-my-commercial-at-ms-edge-start-page

Descubra o que é clickbait e por que você não deve usá-lo na sua estratégia

Reforçando a Segurança nos ATMs: A Importância da Autenticação por Múltiplo Factor na Rede da SIBS

~ Rui Martins ~ Comentar

O uso de um sistema de autenticação por múltiplos factores (MFA) em ATMs (caixas eletrónicos) é de extrema importância para aumentar a segurança das operações realizadas. Actualmente, basta conhecer 4 dígitos, em sequência, para ter acesso às operações bancárias numa qualquer ATM do país. Se esse tipo de segurança existisse, por exemplo, nos nossos computadores e contas teríamos muitas mais intrusões. De facto, um nível tão básico e mínimo de segurança é hoje inaceitável em qualquer sistema moderno de autenticação. Contudo, é aquele que – em pleno século XXI – ainda temos nas ATMs da SIBS.

A adição de uma camada adicional de autenticação nas operações na rede de Multibanco gerida pela SIBS permitiria:
1. que se o PIN fosse comprometido (por exemplo através de furto) o criminoso precisaria de usar outro factor de autenticação (como um token gerado, um dispositivo de autenticação, um pin enviado por SMS para um telemóvel ou biometria) para aceder à conta e realizar transacções.
2. um sistema de MFA reduziria de forma muito significativa os riscos de acesso não autorizado, dado que um invasor teria que ultrapassar vários obstáculos de segurança para realizar as suas actividades fraudulentas.
3. A autenticação por múltiplos fatores dificultaria a eficácia dos ataques de engenharia social formando assim uma barreira adicional que daria mais tempo para que a vítima se apercebesse da situação e fosse capaz de reagir.
4. Sobretudo, a autenticação de múltiplos factores dificultaria os ataques de força bruta, nos quais um invasor tenta adivinhar a senha através de tentativas repetidas. Mesmo se a senha for descoberta, o segundo fator impede o acesso. A hipótese parece remota mas um pin de apenas 4 dígitos pode ser acertado em 9999 vezes algo que é – hoje em dia – totalmente inaceitável em qualquer sistema de autenticação moderno.

Em suma: um sistema de autenticação de múltiplos factores nos ATMs da rede da SIBS é vital para mitigar os actuais riscos de segurança e proteger as informações financeiras dos utilizadores. Criaria uma barreira adicional que tornaria mais difícil para os invasores comprometerem as contas dos utilizadores e realizarem as suas actividades fraudulentas.

“O software moderno de caixas electrónicos permite e, por política, deve exigir autenticação de dois fatores. Não há desculpa para uma autenticação tão fraca, a não ser a preguiça.”
https://duo.com/blog/default-passwords-breaching-atms-highway-signs-and-pos-devices

Para saber mais:
https://ieeexplore.ieee.org/document/8998716
https://duo.com/blog/default-passwords-breaching-atms-highway-signs-and-pos-devices
https://blog.hidglobal.com/2022/02/improving-atm-and-banking-experience-biometric-multi-factor-authentication

A CpC nas notícias

~ Rui Martins ~ Comentar

Mais Ribatejo: “Cidadãos pela Cibersegurança denunciam scam de Facebook “Your Page Has Been Reported”
Funchal Notícias: “Nome da “Electricidade da Madeira” era usado em esquema de burla”
Tek Sapo: “Cibersegurança: Investimento das autarquias marcado por desequilíbrios e falhas na implementação”
Leak: “Autor da burla Olá Mãe/Pai tinha em casa 8500 cartões SIM”
Tek Sapo: “Deputados TikTok: Iniciativa analisa presença dos deputados portugueses na rede social e avisa para riscos de segurança”
Notícias de Aveiro: “Burlões que usam referências fraudulentas de Multibanco”
Techbit: “Mensagens enviadas como M‌e‌t‌a‌ S‌e‌c‌u‌r‌i‌t‌y‌ T‌e‌a‌m‌ ou The Meta Business Support são scam”
Tek Sapo: “Como o áudio Deepfake pode interferir nas eleições: Governos e cidadãos devem estar atentos à desinformação”
Tek Sapo: “Parque das Nações, Alvalade e Arroios são as freguesias mais digitais de Lisboa”
Techbit: “Costuma ler códigos QR colocados em locais públicos?”

Passwords (Senhas) Fortes e Seguras

~ Rui Martins ~ Comentar

Alguns conselhos e recomendações:

1. Opte por utilizar mais de 8 caracteres nas suas senhas:
Esta é uma regra básica mas crucial ao escolher uma nova senha. A extensão da senha é directamente proporcional à sua segurança. Quanto mais caracteres utilizar, mais difícil será para alguém descobri-la em caso de um ataque.

2. Varie entre letras maiúsculas, minúsculas, números e símbolos ou use frases longas:
Esta regra complementa a anterior. Evite sequências óbvias, como “abcdefghi” ou “123456789”, porque são fáceis de deduzir. O ideal é misturar letras, números e símbolos, tornando a senha mais complexa e difícil de ser hackeada. Idealmente, escolha palavras-frases, longas e fáceis de memorizar que, portanto, não precisa de escrever. Portanto, combine diferentes elementos em suas senhas e evite escolhas previsíveis, como nomes de familiares ou animais de estimação.

3. Nunca escreva as suas senhas em papel:
As suas senhas são informações confidenciais que só você deve conhecer. Evite anotá-las em papel, pois isso pode expô-las a pessoas não autorizadas, tanto internas quanto externas ao seu ambiente.
Note que transportar senhas por escrito entre casa e escritório aumenta ainda mais o risco de perdê-las em locais públicos. Se o fizer não anote os nomes de utilizador a que correspondem essas senhas.

4. Não repita a mesma senha em diferentes sites.
Essa regra é fundamental. Mesmo que a sua senha seja forte, nunca a use em mais de um site ou serviço. Se uma senha for comprometida num, pode ser usada para aceder a outros serviços importantes, tais como contas de redes sociais ou bancos.

5. Altere as suas senhas a cada 3-6 meses.
Embora esta prática tenha sido comum no passado, a sua eficácia tem sido questionada nos últimos anos. Em vez de mudar regularmente por obrigação, é mais seguro mudar as senhas periodicamente, garantindo que cada nova senha seja tão segura quanto ou mais do que a anterior e, sobretudo, que use senhas mais longas (e memorizáveis).
Além disso, sempre que houver indícios de comprometimento de uma senha, altere-a imediatamente.

6. Regra Extra: Utilize um gestor de senhas.
Considerar o uso de um gestor de senhas é tão importante quanto as outras regras. Com a quantidade de contas que actualmente todos temos, é impossível recordar de todas as senhas, principalmente se estas seguirem padrões complexos.

Os gestores de senhas, como Bitwarden, LastPass, Dashlane, Secrets, KeepPass ou RoboForm, permitem criar senhas fortes, armazená-las de forma segura e partilhá-las de maneira privada. Desta forma, só precisa lembrar-se da senha do seu gestor, mantendo as demais protegidas numa base de dados criptografada.

Proibir o pagamento de resgates de ransomware

~ Rui Martins ~ Comentar

Os peticionários acreditam que proibir o pagamento de ransomware por lei pode ser uma estratégia eficaz para combater este tipo de crime cibernético:
1. Incentivo à criminalidade: Permitir o pagamento de resgates encoraja os criminosos a continuarem com as suas actividades. Se as organizações (públicas e privadas) continuarem a pagar, isso só aumentará a incidência de ataques de ransomware.
2. Financiamento de atividades ilícitas: O pagamento de resgates pode financiar outras formas de crime organizado, incluindo o tráfico de drogas, tráfico humano e terrorismo e, naturalmente, as próximas campanhas de ransomware. Ao proibir esses pagamentos, limitamos efectivamente a capacidade dos criminosos de financiar as suas actividades.
3. Não há garantia de recuperação dos dados: Mesmo que o resgate seja pago, não há garantia de que os dados serão restaurados. São muito numerosos os casos que demostraram que os criminosos não cumpriram suas promessas após a vítima ter feito o pagamento.
4. Impacto económico: O pagamento de resgates tem um custo significativo para as organizações afectadas. Além do resgate em si, há custos associados à interrupção dos negócios, imagem pública e credibilidade junto de clientes e fornecedores, recuperação de dados e reparo de sistemas comprometidos. Proibir os pagamentos pode reduzir esses custos.
5. Fomento à preparação e segurança cibernética: Ao proibir os pagamentos de resgate, as organizações são incentivadas a investir em medidas proativas de segurança cibernética, como backups regulares, sistemas de detecção de intrusões e treinamento de funcionários em conscientização sobre segurança.
6. Cooperação internacional: Proibir o pagamento de resgate pode facilitar a cooperação internacional na investigação e aplicação da lei contra os perpetradores de ransomware. Isto pode levar a uma maior eficácia na identificação e punição dos responsáveis.

Esses argumentos demonstram como proibir o pagamento de resgates pode ser uma estratégia fundamental na luta contra o crime cibernético e na proteção das organizações e da sociedade como um todo.

Por esta razão os peticionários apelam a que a Assembleia da República legisle no sentido de proibir e incorpore coimas pesadas a todas as organizações públicas e privadas que realizem o pagamento de resgates em operações de ransomware.

https://peticaopublica.com/pview.aspx?pi=proibirransomware