Site falso ameaça usuário de liberar todas as suas senhas

Quando você precisa checar a integridade da sua senha, um dos sites mais recomendados para isso é o Have I Been Pwned — um site seguro que dirá se sua senha ou email acabou vazando nas centenas de leaks que ocorreram nos últimos anos. Mas o perigo continua rondando: um site falso, copiando o Have I Been Pwned, foi desenvolvido para roubar seu dinheiro.

Você não precisa pagar o “ransomware”

Como ele funciona: assim que você entra no site e insere o endereço de email para checagem, ele exibirá senhas vazadas linkadas com o email. Então, o site exigirá um pagamento de US$ 10 em criptomoedas como doação, caso a “doação” não ocorra, ele ameaça vazar as senhas.

O Hardfork nota que, caso você caia em um golpe desses, pode ser melhor ir até os sites em questão e trocar a sua senha rapidamente. Dessa maneira, você não precisa pagar o “ransomware”.

Segundo o domínio falso, ele possui mais de 1,4 bilhões de contas comprometidas com senhas associadas. Após a publicação da matéria sobre o caso no Hardfork, o site falso ainda incluiu um minerador de criptomoedas no código do domínio.

Fonte: Tecmundo

Cuidar bem das suas senhas: Fundamental, sabe por que?

Há algumas semanas, talvez você tenha visto algumas notícias preocupantes: pesquisadores analisaram cada cantinho da dark web e encontraram uma coletânea secreta com 1,4 bilhão de logins e senhas violados.

É isso mesmo: 1,4 BILHÃO. Seus dados de acesso podem estar entre eles e, caso você use a mesma senha para várias contas, você está desprotegido contra os hackers. Há anos os usuários encontram dificuldades para administrar suas senhas, então – digamos – que já passou da hora de melhorar sua segurança online.

O que aconteceu?

A descoberta da semana passada é um alerta para todos que usam a Internet e enfrentam dificuldades para administrar suas senhas online. O banco de dados de 41 GB foi encontrado em um fórum clandestino. Além disso, pacotes com logins/senhas foram armazenados em texto simples para que os hackers possam facilmente encontrar o que procuram.

De acordo com a análise feita até o momento, a maioria das senhas violadas é verdadeira e foi obtida por meio de centenas de violações de dados de sites como o LinkedIn, MySpace, Last.FM, e Netflix. Muitos nomes de usuários e senhas podem ser antigos, talvez de sites e serviços que você nem use mais. Mas, considerando que os usuários geralmente usam as mesmas senhas em diversas contas, ainda assim elas podem ser muito valiosas para os hackers, possibilitando violações de contas em uso.

Resumindo, o banco de dados fornece aos cibercriminosos uma forma rápida de realizar fraudes e roubar identidades.

O problema com as senhas

A descoberta evidenciou um problema de longo prazo com as senhas. Elas foram muito úteis nos primórdios da Internet, quando só precisávamos lembrar de uma ou duas senhas. Mas tudo mudou. Há dez anos, a Microsoft notou que um usuário da internet tinha cerca tinha 25 contas online. Esse número deve ter crescido absurdamente.

Cerca de 80% dos americanos fazem compras pela internet e não pensamos duas vezes antes de criar uma nova conta online. Afinal, salvar nossas informações nestas contas torna nossas vidas mais fáceis, certo? A resposta é sim até sua conta ser hackeada e suas informações de pagamento serem roubadas.

Bom, mas o que pode ser feito?

Como tornar a vida mais fácil… e mais segura

Felizmente, há uma solução: use um administrador de senhas. Ele ajuda a gerar senhas muito seguras, exclusivas e difíceis de usar para cada uma das suas contas online. Além disso, a ferramenta:

• Armazena e insere seus dados de acesso com segurança para que possa acessar a conta quando navega na web, ou seja, você não precisa se lembrar delas;

• Fornece uma maneira fácil de mudar senhas. Se já usou mais de uma vez ou alguma informação vazou ou foi roubada, o Password Manager da Trend Micro, por exemplo, pode te ajudar a atualizar todas as suas contas com senhas fortes e exclusivas;

• Agiliza e facilita a administração de suas senhas em qualquer local, em qualquer dispositivo ou navegador, incluindo um Mac – e pode ser aberto com um simples toque em dispositivos Android e iOS;

• Te ajuda a importar as senhas salvas em seu navegador, que não é um lugar seguro;

• Identifica e reporta senhas fracas;

Não importa o quão bem você acha que protegeu a sua vida digital, as organizações com as quais você interage online continuam a ser violadas, expondo seus logins no processo. Os administradores de senha devolvem o controle da situação para que você possa economizar tempo (e memória!) para fazer o que realmente importa na vida. Guardar senhas, definitivamente, não precisa ser uma delas.

Fonte: IDG Now!

Vazam milhões de senhas na rede

Pesquisadores da empresa de segurança 4iQ encontraram uma base de dados coletiva na dark web que possui cerca de 1,4 bilhão de logins de senhas de diversos serviços. As senhas são de plataformas, games e sites, como: Bitcoin, Pastebin, LinkedIn, MySpace, Netflix, YouPorn, Last.FM, Zoosk, Badoo, RedBox, Minecraft, Runescape, Anti Public e Exploit.in.

De acordo com os pesquisadores, a base de dados pode ser encontrada na dark web ou em plataformas de compartilhamento de torrent. O arquivo facilmente acessado possui nomes de usuário, emails e combinações de senhas. É interessante notar que a base de dados é refinada: fragmentada, as senhas e informações são divididas em diretórios para que nada seja perdido e, na verdade, seja facilmente encontrado — tudo é organizado em ordem alfabética, por exemplo.

No total, o arquivo possui 41 GB e foi atualizado pela última vez em novembro deste ano. O que não está claro é o seguinte: como as senhas foram obtidas? Provavelmente, estamos vendo uma combinação de vazamentos sistemáticos após invasão de sistemas e golpes de phishing.

“Nenhuma senha está encriptada, e o assustador é que testamos uma amostragem dessas senhas e vimos que a maioria é verdadeira. O vazamento é quase duas vezes maior que o maior já registrado, com 797 milhões de logins”.

Não há indicações de autores sobre a publicação do documento. Contudo, o cibercriminoso deixou um link para a própria carteira de Bitcoin (e Dogecoin) para receber doações pelo vazamento.

Agradecemos ao Augusto, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: Tecmundo

Como saber se suas senhas já foram vazadas na rede?

Você pode seguir todas as dicas possíveis para proteger as suas contas de fóruns e redes sociais, mas em alguns casos não tem jeito: invasões e vazamentos acontecem e dados como login e senha acabam disponibilizados em bancos postados ou comercializados na internet.

Mas como saber se você é uma dessas vítimas? Uma das soluções é o site “Have I Been Pwned?” (sendo a última palavra um erro proposital de digitação de “owned”, que é humilhado ou dominado). Ele existe desde 2014, mas acaba de ganhar uma função bem interessante.

Antes, ele vasculhava em listas de vazamentos e hacks se o seu email que serve de login em serviços estava disponível por aí. Agora, ele também faz o reverso: busca senhas liberadas por criminosos para que você tenha uma ideia ainda maior sobre a sua vulnerabilidade.

Ficou curioso? Clique aqui para acessar o serviço. É só colocar a senha na caixa de texto e clicar em “pwned?”

Mas isso é seguro?

“Eu não vou botar a minha senha nesse negócio aí!”

À primeira vista, essa reação é normal. Afinal, por que alguém colocaria o próprio código de acesso em uma página qualquer? Calma, esse questionamento faz todo sentido e é respondido pelo próprio site.

Para começar, o “Have I Been Pwned?” é um serviço de utilidade pública e que utiliza dados já existentes — ou seja, nada aí é novidade. Só que ele mesmo não recomenda que você coloque senhas que você ainda usa nos mais diversos serviços.

Ou seja, é recomendado que você confira por lá apenas senhas antigas e busque por alternativas seguras. Se estiver com tempo livre, dá ainda para brincar com as possibilidades e descobrir que tipo de senha malucas as pessoas usam por aí.

Mesmo que o conteúdo digitado não apareça em texto, todo cuidado é pouco. Se as sequências constarem na lista, não precisa entrar em pânico: o ideal é trocar todas as senhas imediatamente. Se elas não estiverem, não é exatamente motivo de comemoração: ela pode não ser segura e apenas não constar no banco de dados do site.

Fonte: Tecmundo

Falha no Chrome possibilita o roubo de senhas

Se explorada com sucesso, a falha no navegador permite que o criminoso instale e execute automaticamente um arquivo malicioso que poderá roubar senhas e nomes de usuário.

O pesquisador de segurança Bosko Stankovic, da DefenseCode, detalhou o processo para o roubo de credenciais, que começa com o usuário sendo enganado para que ele baixe e execute um arquivo no formato . scf (Windows Explorer Shell Command File) disfarçado como um ícone para mostrar a área de trabalho. Esse formato existe desde a época do Windows 98.

O arquivo pode então ser usado para enganar o Windows e fazer com que ele tente se logar em um servidor SMB controlado remotamente pelo criminoso. Este servidor capturará o hash da senha do usuário usada para autenticação.

O hash poderá ser quebrado offline ou usado pelo criminoso para se passar pela vítima em um serviço, como o Microsoft Exchange, que aceita o mesmo tipo de autenticação baseada em NTLM.

O ataque se aproveita da forma como o navegador do Google e o Windows lidam com arquivos no formato .scf. O problema no Google Chrome é que ele não toma os mesmos cuidados com arquivos .scf que toma com os no formato .lnk, que recebem uma extensão .download.

Os arquivos .lnk começaram a receber a extensão depois que foi descoberto que hackers a serviço de agências governamentais estavam utilizando arquivos neste formato para infectar dispositivos com Windows com o malware Stuxnet.

O Google confirmou que está trabalhando em uma correção para a falha no Google Chrome e que ela também afeta outras versões do Windows além do Windows 10.

Um segundo problema com o navegador é que ele depende do comportamento padrão do Windows após o download de arquivos no formato formato .scf. Segundo Stankovic, o Google Chrome baixa automaticamente arquivos considerados como “seguros”.

Isso pode parecer algo positivo caso o usuário precise executar manualmente o arquivo, mas no Windows o arquivo .scf iniciará a requisição de autenticação no servidor SMB do criminoso assim que o diretório de download for aberto no Explorador de Arquivos.

Não é necessário clicar nele ou abrir o arquivo – o Explorador de Arquivos tentará exibir o “ícone” automaticamente.

Stankovic testou o diversos antivírus e nenhum deles foi capaz de barrar os arquivos formato .scf.

Até que uma correção definitiva seja disponibilizada, os usuários do navegador do Google podem se proteger temporariamente desativando os downloads automáticos, o que pode ser feito marcando a opção abaixo, ou restringindo/desativando o tráfego do protocolo SMB:Esta falha depende de dois fatores, que aparentemente podem facilmente ser encontrados. Por um lado, a facilidade nos downloads oferecida pelo Chrome e por outro, a falta de controle sobre os arquivos SCF e suas ações.

Agradecemos ao Domingos, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fontes: R7 e  pplware

Descoberta base de dados com 560 milhões de senhas roubadas

Publicação descoberta pela MacKeeper reúne logins vazados de ataques variados contra serviços como LinkedIn, Dropbox, Tumblr e LastFM.

Hora de trocar as senhas. Isso porque a empresa de segurança MacKeeper descobriu nesta semana uma base de dados anônima com centenas de milhões de senhas roubadas.

A base reúne mais de 560 milhões informações de login, com e-mails e senhas de acesso, que teriam origem em vazamentos separados, de datas variadas, de serviços como LinkedIn, Dropbox, Tumblr e LastFM.

O site Have I Been Pwned possui uma ferramenta para você verificar se o seu endereço de e-mail aparece em alguma das base de dados que foi comprometida pelos criminosos.

Além de habilitar a autenticação de dois fatores sempre que possível, também é recomendado utilizar programas de gerenciamento de senhas – apesar de que nem mesmo esses softwares são 100% seguros como provado pelo recente hack contra o LastPass.

Agradecemos ao Domingos, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: IDGNow!

Apps para guardar senhas com falhas de segurança: correção veio à tempo

SegurançaRecomendados por especialistas em segurança na internet, os gerenciadores de senhas são formas seguras de guardar seus dados de acesso a sites de redes sociais, páginas web e até mesmo internet banking. Era o que se pensava até que eles foram pegos com brechas de segurança que poderiam facilitar o vazamento das suas credenciais.

Um estudo publicado nesta semana por pesquisadores do Instituto Fraunhofer de Tecnologia de Segurança da Informação mostra que 9 apps Android populares que gerenciam senhas são vulneráveis a uma ou mais brechas de segurança.

Foram analisados os seguintes aplicativos: LastPass, Keeper, 1Password, My Passwords, Dashlane Password Manager, Informaticore’s Password Manager, F-Secure KEY, Keepsafe, e Avast Passwords.

Cada um deles tem entre 100 mil e 50 milhões de instalações em smartphones.

Fonte: Exame