Tecnologia IPV6

Os atuais riscos da Engenharia Social
Os Riscos das Redes Sociais
Não há como negar que as redes sociais vêm revolucionando as
comunicações entre empresas e consumidores, mais ainda, está
mudando a forma com que as pessoas interagem com os amigos
e família de uma forma geral. Entretanto, assim como toda ferramenta
que é criada para uma determinada finalidade, pode também
se tornar uma arma contra o próprio usuário, caso não seja
manuseada com responsabilidade. O que é possível notar é que as
redes sociais estão cada vez mais sendo usadas para obtenção de
informações de usuários para diversos fins, entre eles podemos
citar comprometimento da privacidade, estabelecer perfil para fins
maliciosos, obter informações de preferências (restaurante onde
almoça, lugares que frequenta, etc.) e localização geográfica.
Existem diversos programas na Internet já disponíveis para
facilmente criar um perfil do usuário baseado nas localidades
de onde ele frequenta (devido a serviços de localização como o
Foursquare), rotinas e hábitos mais comuns (informação que pode
ser obtida através dos posts do Twitter) até mesmo, em alguns
casos extremos, obtenção de informações pessoais (como data de
nascimento e telefone), através de redes sociais como o Facebook.
Um exemplo de uma ferramenta que pode ser usada para obter
maiores informações de usuários do Twitter é o Cree.py (http://
ilektrojohn.github.com/creepy/), apresentado na Figura 1.
Figura 1. Interface do Cree.py
Com essa ferramenta você pode encontrar informações geográficas
de onde está o usuário e os locais de onde ele efetuou o
acesso (de onde ele “Tuitou”). Com isso é possível construir um
mapa das localidades comumente frequentadas pelo usuário.
Tendo posse destas informações, um criminoso terá uma área de
atuação muito mais focada, pois ele conhecerá os passos da sua
vítima e poderá planejar como e onde atacar.
Um número importante a ser citado vem do Relatório de Inteligência
de Segurança da Microsoft (Volume 10). Nele é informado
que o ataque do tipo “Phishing” (que é um ataque que utiliza o
correio eletrônico para enviar uma mensagem falsa, porém com
assunto e formato que parecem ser de uma origem confiável)
usando redes sociais cresceu de 8.3% em Janeiro de 2010 para
52 Infra Magazine • Edição 03
84.5% em Dezembro de 2010. Em suma, isso demonstra que usuários
ficam mais vulneráveis a ataques desta natureza vindo de
origem que eles confiam, como o ciclo de amigos das redes sociais
que eles frequentam. Muitos destes ataques visam à obtenção do
nome do usuário e senha.
Uso da Engenharia Social em Ataques
Durante muito tempo o termo “Engenharia Social” foi sinônimo
exclusivamente de ações envolvendo o ato de ludibriar pessoas
através de conversas por telefone ou pessoalmente. Apesar destes
vetores de ataque ainda serem usados na engenharia social,
outras formas de explorar as fraquezas humanas vêm crescendo
a cada dia. Trata-se dos ataques eletrônicos com uso de conceitos
de engenharia social.
Conforme citado no início deste artigo, o envio de e-mail falso
com teor verdadeiro para atiçar a curiosidade do usuário e fazer
com que o mesmo execute uma ação, que por sua vez pode ser
um simples clique, é o um ataque crescente.
Os ataques do tipo Phishing, por exemplo, tentam usar da engenharia
social para ludibriar o usuário afirmando que no seu último acesso
à conta bancária foi detectado um vírus, sugerindo o download de
uma solução para curar este vírus, conforme mostra a Figura 2.
Figura 2. Um e-mail falso com a tentativa de ludibriar o usuário
No e-mail mostrado na Figura 2 existem três áreas onde é possível
identificar a farsa:
• O endereço de origem do e-mail geralmente vem de um domínio
que não é o do banco em questão;
• O corpo do e-mail geralmente sugere algo que não está em acordo
com as normas de segurança do banco que você frequenta;
• O link para download da solução sugerida redireciona para uma
URL que não tem nada haver com o banco onde você tem conta
(ver barra de status na parte inferior da tela).