Site expõe publicamente dados privativos de usuários

O quanto preocupado você ficaria se o seu telefone, e-mail e endereço pudessem ser consultados por qualquer pessoa na internet? Pois é esse tipo de informação que o site Telefone.Ninja oferece gratuitamente a qualquer um que fizer uma pesquisa em sua base de dados.

Para consultar os dados basta digitar o nome completo da pessoa. Apesar de ser gratuito, o site permite um número limitado de buscas. Após dez pesquisas, ele informa que o usuário estourou seu limite de buscas gratuitas. “Por favor, aguarde alguns dias para ter seu acesso liberado novamente”, informa o Telefone.Ninja.

Será que a divulgação desse tipo de informação pode ser considerada um crime? Depende da base de dados utilizada, segundo Renato Opice Blum, professor-coordenador do curso direito digital do Insper.

“Se o site utilizou dados públicos, não é crime. A informação sobre endereço, por exemplo, pode ser consultada no cartório, é um dado público”, afirma Opice Blum.

Por outro lado, se a base de dados não for pública, pode haver indícios de crime. “Com as informações disponíveis, não é possível afirmar que existe uma ilegalidade. Hoje, as pessoas deixam informações pessoais em diversos formulários”, diz o especialista.

Uma coisa é certa: os dados informados estão desatualizados. Opice Blum consultou seus próprios dados no site. “Foi informado um endereço antigo e um telefone que não uso mais.”

Outro indício de que as informações estão velhas é que os telefones divulgados estão com oito dígitos. “Hoje, a maioria dos telefones tem nove dígitos”, afirma Fabio Assolini, analista de segurança na Kaspersky Lab.

Ele pesquisou o Telefone.Ninja para verificar se o site estava sendo usado para contaminar o computador ou celular das pessoas que fizessem pesquisa nele. “O site não possui nenhum script malicioso, nada que possa infectar o computador.”

Assolini descobriu também que o site está hospedado em Budapeste, na Hungria. “Isso acontece porque dificulta um pedido para tirar o site do ar. Se ele estivesse hospedado no Brasil, ficaria mais fácil derrubá-lo.”

Segundo ele, o dono do Telefone.Ninja possui outros domínios de pesquisa de dados: o CPF Ninja e o CNPJ Ninja. “O CPF Ninja não está em operação, mas o CNPJ Ninja está no ar.”

Assolini diz que o Telefone.Ninja não é o único site que expõe dados pessoais das pessoas. O Tudo Sobre Todos chegou a ser alvo de investigação do Ministério Público em 2015. “Esse site continua no ar. É só fazer uma busca. A diferença entre o Telefone.Ninja e o Tudo Sobre Todos é que o primeiro é de graça e outro cobra.”

Se o Telefone.Ninja não cobra, como ganha dinheiro então? Assolini afirma que é pela venda de anúncios. “Quanto mais pessoas entrarem no site, mais o site vai ganhar. Nada impede que no futuro ele passe a cobrar pela pesquisa de dados.”

Investigação

Para o procurador da Justiça do Núcleo de Suporte a Investigação de Delitos Cibernéticos do Ministério Público de São Paulo, Paulo Marco Ferreira Lima, uma investigação pode ser aberta sobre o caso, pois o servidor comete “crimes comuns”, apesar da carapuça cibernética.

“As informações dos bancos de dados foram obtidas por meio de hackeamento ou via um insider [alguém de dentro das empresas que possuía os dados] ou ainda por spam”, afirma Lima.

Essa conduta, segundo ele, classificaria a existência de crimes previstos no Código Penal, como o de receptação, por exemplo. “Essas informações foram obtidas de alguma forma, então receptação ou outros crimes normais que podem ser investigados aí”, conta.

Para Lima, é necessário atenção sobre criminosos que se utilizam das redes para cometer delitos.

“O Marco Civil da Internet diz que cada pessoa é responsável por aquilo que posta e o servidor não. Mas, minha opinião, é que prevalece o Código Civil, pois existe uma responsabilidade objetiva aí”, afirma ele.

“Quando você contrata uma empresa de encanadores, e aí um encanador estraga o encanamento ao invés de concertar, quem você processa é a agência, não o encanador”, exemplifica. “É por aí que podemos tipificar esses crimes”, completa o procurador.

Outro lado

Procurada por e-mail, o site Telefone.Ninja não respondeu ao pedido de informações da reportagem.

Em seu site, a empresa informa que obteve os dados por meio do cadastro de operadoras de telefonia. O site informa ainda que o consumidor que quiser ter seus dados excluídos da base de dados deve entrar em contato com sua operadora.

“Para garantir a exclusão definitiva de suas informações você deve entrar em contato com sua operadora e solicitar a não-divulgação de seus dados”, diz o site.

O SindiTelebrasil (Sindicato das Empresas de Telefonia) informa que não repassa os dados de seus clientes. “Ressaltamos ainda que, diferentemente de outras empresas, as prestadoras de serviços de telecomunicações não exploram comercialmente os dados de seus usuários, tanto na sua utilização como contrapartida à prestação de serviços quanto na comercialização direta dos mesmos a terceiros.”

Segundo a entidade, as prestadoras de serviços de telecomunicações atendem a todas determinações legais vigentes, como as constantes na Lei Geral de Telecomunicações e no Marco Civil da Internet.

Agradecemos ao Celso, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: Veja

Golpe busca atingir usuários de iPhones roubados

Se você teve seu iPhone roubado, sua maré de azar pode não terminar por aí. Um golpe virtual é promovido contra as vítimas de roubo ou furto dos smartphones da Apple com o objetivo de capturar dados de login e senha do iCloud, serviço de nuvem da Apple. Com esses dados, um ladrão pode redefinir o iPhone e revendê-lo.

A Apple tem um serviço online e grátis de localização de smartphones chamado Find My Phone. Por meio dele, é possível encontrar o aparelho, caso ele esteja ligado.

De acordo com a empresa de segurança digital Trend Micro, cibercriminosos enviam um SMS dizendo que o dispositivo foi encontrado e um link falso para o Find My Phone. Quando o usuário faz login com a sua conta do iCloud, seus dados, na verdade, são enviados para essa quadrilha.

Para Fernando Mercês, pesquisador sênior da Trend Micro, que analisou o caso, as pessoas envolvidas no roubo de celulares nas ruas provavelmente não são as mesmas que promovem golpes online, que são mais elaborados e exigem conhecimentos de programação.

Ele afirma que a segurança da Apple se mostra efetiva para proteger os iPhones roubados. “Eles não conseguem driblar a necessidade da senha e, por isso, tentam contornar o problema com o phishing [técnica que consiste no roubo de dados pessoais com uso de páginas falsas]”, declara Mercês a EXAME.com. Mercês conta ainda que é comum que celulares sejam roubados quando estão em uso nas mãos das vítimas. Com isso, os aparelhos estão desbloqueados, dispensando a necessidade da senha para acessar os dados contidos nele.

A Trend Micro informa também que encontrou uma página de phishing que é alugada por 43 dólares. Ela tem até um manual de como usá-la para roubar dados de contas da Apple.

Em um caso recente registrado em São Paulo, a Trend Micro identificou tentativas de roubo de contas de e-mail e de Facebook de vítimas que tiveram iPhones roubados. A empresa não sabe exatamente o objetivo dos cibercriminosos, mas considera possibilidades de extorsão para reaver as contas ou mesmo o uso delas para promover outros golpes virtuais.

Como reagir

Se você receber um SMS com o link para a localização do seu iPhone após ser roubado, o melhor é não clicar nele e, sim, acessar diretamente o site oficial do iCloud para checar se o aparelho apresentou novos dados de GPS que indiquem onde ele está.

“O procedimento mais adequado nesse caso é denunciar a página falsa e jamais clicar no link que leva a ela. A Apple ã onmanda SMS. O bandido vê onúmero antes de desligar o produto e faz uso dele para tentar o golpe”, disse o pesquisador.

Fonte: Exame

Cuidado com esse malware disfarçado de “pack de fontes”

alert_fakeOs crackers utilizam diferentes métodos para tentar levar os internautas a realizar o download e instalação de malwares em seus sistemas. Recentemente foi descoberto um novo que pode passar de forma despercebida, mesmo aos mais atentos.

A empresa de segurança NeoSmart Technologies revelou ter descoberto um novo método utilizado em sites maliciosos, tendo como alvo os usuários do Google Chrome. Os criminosos utilizam um falso site malicioso para apresentarem uma notificação sobre a falta de fontes no sistema operacional, apresentando um site com seus elementos desconfigurados. Para resolver o problema, os usuários são aconselhados a baixarem um “Pack de fontes”, que nada mais é que um malware disfarçado.

O que se destaca neste novo método de ataque é o formato como a mensagem é apresentada, que além de possuir uma interface similar aquela que se encontra no Google Chrome, apresenta também um alerta aparentemente inofensivo.

O arquivo baixado acaba não sendo filtrado pelo sistema de proteção do Google Chrome, mas é apresentado um alerta para o fato do mesmo não ser descarregado com regularidade. Além disso, a grande maioria dos sistemas de proteção/antivírus ainda não detecta este arquivo como uma ameaça.

Como sempre, é importante ter atenção redobrada em qualquer site desconhecido que lhe venha sugera o download ou instalação de algo em seu sistema. Regra geral, o conteúdo nada mais é que malware.

Agradecemos ao Paulo Sollo, colaborador amigo do seu micro seguro, pela referência a essa notícia.

Fonte: Tugatech

App Meitu rouba dados dos smartphones

meituComo todo app que vira modinha, o Meitu deve cair no esquecimento dentro de algumas semanas. Mas, quando isso acontecer, os usuários já terão “vendido a alma” aos responsáveis pelo aplicativo: uma investigação aponta que o Meitu coleta discretamente diversos dados críticos do smartphone.

Para quem não sabe do que eu estou falando, o Meitu é uma app chinês com filtros e ferramentas que deixam as pessoas nas fotos com visual “fofinho”, cheio de brilho, maquiagem e olhos grandes. É uma brincadeira para selfies que atende, basicamente, a um público mais jovem. Deve servir também para quem quer sacanear os amigos, é claro.

Apesar de existir há algum tempo, o Meitu se tornou, nos últimos dias, um dos apps mais baixados do Google Play e da App Store. Você já deve ter notado isso: as redes sociais estão cheias de imagens modificadas por esse app.

Tamanha popularidade fez o Meitu cair no conhecimento de especialistas em segurança que, por alguma razão, decidiram analisá-lo minuciosamente. Foi aí que eles descobriram que o aplicativo está bem longe de ser inofensivo.

Segundo as análises, o Meitu coleta diversos dados do aparelho. Isso acontece com a maioria dos aplicativos, mas aqui a coisa atinge proporções muito grandes, começando pelo monte de permissões que o app pede no momento de sua instalação — não está claro o porquê de tantas permissões serem solicitadas.

A versão para Android se mostrou a mais intrusiva, mas a versão para iOS pode obter mais informações em aparelhos com jailbreak. De modo geral, o Meitu consegue coletar e enviar para servidores na China dados como IMEI do celular, modelo do aparelho, resolução de tela, versão do sistema operacional, IP, endereço MAC, lista de contato, mensagens SMS, entre outros.

São coletados dados suficientes para que um usuário seja identificado e localizado. E olha que a empresa responsável (também de nome Meitu) comemora em seu site o fato de ter 456 milhões de usuários no mundo todo (considerando todos os seus apps), embora a maioria deva estar na China — os aplicativos da Meitu já eram populares por lá.

O que a empresa faz com dados de tantas pessoas? Uma possibilidade forte é a venda de informações para companhias que elaboram estratégias de publicidade altamente segmentada e, portanto, potencialmente intrusiva.

À CNET, a Meitu se defendeu dizendo que, como a empresa está baseada na China, precisa incluir recursos de coleta de dados nos aplicativos para contornar os bloqueios que os serviços de rastreamento do Google Play e da App Store sofrem no país. A companhia também assegurou que os dados são enviados aos seus servidores de forma criptografada e com proteção contra ataques. Ata.

Não há planos para o lançamento de uma versão do app sem os recursos de captura de dados, pois, segundo a Meitu, ela teria que atuar fora da China para poder oferecer isso. Sair da China também não está nos planos.

Fonte: Tecnoblog

Microsoft busca forçar usuários a trocar o Chrome pelo Edge

msn_shop_assistA Microsoft fez um grande esforço para convencer os usuários do Chrome e de outros navegadores a mudarem para o Edge, mas esse browser, até o momento, não tem conseguido cooptar muita gente. Agora, a empresa parece estar com uma nova estratégia para, pelo menos, fazer os usuários do Chrome usarem uma extensão feita pela empresa.

De acordo com relatos de usuários ao Myce e ao Engadget, uma popup estaria aparecendo na Área de trabalho das pessoas assim que elas fixam o Chrome na Barra de tarefas — ação que dá a entender que elas pretendem usar esse browser mais frequentemente. A popup, como você pode conferir, traz a seguinte mensagem:

quick_compare_msn

“Compare preços online rapidamente. Obtenha o Personal Shopping Assistant da Microsoft para Chrome”.

Ao clicar na tal janelinha, que é praticamente um spam, a pessoa é levada para a Chrome Web Store, onde elas podem adicionar a extensão feita pela criadora do Windows. Vale notar que a aplicação ainda está em fase beta, mas consegue comparar preços e permite aos usuários favoritarem produtos em lojas online, bem como receberem aletas de mudanças nos valores.

Já estava lá…

Essa possibilidade de trazer popups diretamente na área de trabalho do Windows 10 já estava presente no sistema há praticamente um ano. Contudo, uma atualização estaria ativando a novidade, que aparentemente foi testada com a tal extensão para Chrome.

Por conta disso, usuários que receberam a notificação estão enchendo a página de download do Personal Shopping Assistant com reviews negativas. Isso na versão em inglês da página, pois em português não há qualquer comentário ou avaliação. Portanto, supomos que usuários brasileiros ainda não receberam a popup em seus sistemas.

Vale lembrar que, em algumas regiões, anúncios também já começaram a aparecer no Menu Iniciar do Windows 10. Fora isso, existe agora a preocupação de a Microsoft abrir para anunciantes essas popups e acabar tornando a experiência com o Windows mais complicada.

Fonte: Tecmundo

Evernote volta atrás e desiste de mudança grave

evernote

O Evernote publicou nos últimos dias uma mensagem no Twitter dizendo que iria modificar a sua Política de Privacidade. Evidentemente o público não gostou muito dessas alterações que aconteceriam em janeiro, por isso a empresa voltou atrás na decisão.

Em uma mensagem publicada pela companhia em seu blog oficial, ela explicou os motivos que a levaram a mudar esse posicionamento, e que nenhum funcionário vai ler o conteúdo das notas como parte de seu processo de aprendizado – isso só vai acontecer caso o usuário concorde com tal ação.

Após ouvir as opiniões dos consumidores expressando suas preocupações com a nossas mudanças na Política de Privacidade nos últimos dias, [a] Evernote está reafirmando o seu compromisso de manter a privacidade no centro de tudo que faz. Como resultado, nós não vamos implementar a Política de Privacidade anunciada anteriormente e que estava agendada para entrar em vigor a partir de 23 de janeiro de 2017.

Em vez disso, nos próximos meses nós vamos rever a nossa Política de Privacidade existente para que ela represente as preocupações dos usuários, reforçar que suas informações permanecem privadas por padrão e confirmar que a confiança que eles depositaram na Evernote está amparada. Adicionalmente, vamos deixar as tecnologias de aprendizado disponíveis para os nossos usuários, mas nenhum funcionário vai ler o conteúdo da anotação como parte deste processo a menos que você permita isso. Convidamos os nossos usuários a nos ajudarem a criar um produto melhor participando do programa.

Em uma mensagem publicada no Twitter, a Evernote reforçou esse comprometimento com a confiança conquistada, e que às vezes é preciso “ser transparente e admitir os tropeços”.
Trust is at the heart of our service. That means we need to be transparent and admit our missteps. https://t.co/Fa61KPERNR
— Evernote (@evernote) 16 de dezembro de 2016

Fonte: Tecmundo e Evernote

Yahoo: vazam dados de 1 bilhão de usuários

Yahoo_sad_face

Novo roubo é duas vezes maior que o ataque revelado no começo do ano

O Yahoo revelou nesta quarta-feira, 14/12, novas violações de segurança que afetam dados de mais de 1 bilhão de usuários. Trata-se de um novo ataque, duas vezes maior que a invasão revelada no início deste ano – a invasão anunciada nesta semana já pode ser considerada a maior falha de segurança de um serviço deste tipo na história.

Nesta quarta-feira, a empresa disse que “usuários não autorizados” roubaram dados associados a contas de mais de 1 bilhão de usuários, em agosto de 2013. Em setembro, o Yahoo culpou “hackers patrocinados por governos” de roubar dados de 500 milhões de usuários em 2014. À época, esse era o maior caso de roubo de dados pessoais da história.

Segundo o Yahoo, o incidente é “provavelmente” diferente do que foi reportado em setembro, e que as informações roubadas pelos hackers podem ter incluído dados como “nomes, endereços de e-mail, números de telefone, datas de nascimento, senhas e, em alguns casos, questões e respostas de segurança, estejam elas encriptadas ou não”. A empresa garantiu, porém, que dados bancários e de cartões de crédito de seus usuários não foram violados.

Em julho, a Verizon Communications havia concordado em comprar os negócios de internet do Yahoo por US$ 4,8 bilhões. No entanto, depois que os dois ataques à base de dados do Yahoo foram revelados, a operadora norte-americana sinalizou que poderia desistir da transação, e que está ainda avaliando o impacto dos ataques. Já o Yahoo informou que tomou medidas para proteger as contas dos usuários e que está trabalhando em conjunto com as autoridades.

Além disso, o Yahoo pediu para seus usuários resetem suas senhas e escolham novas palavras-passe, usando métodos de segurança mais fortes do que os utilizados depois que o último ataque foi revelado.

Estratégia. Na quarta-feira, o Yahoo disse que hackers responsáveis pelo ataque de 2014, revelado em setembro, tinham conseguido ter acesso ao código da empresa, aprendendo a forjar “cookies”. “Cookies” são elementos usados em páginas na web para ter acesso e salvar dados de usuários com seu consentimento. Disfarçados dentro do código do Yahoo, os cookies falsos ajudavam os hackers a ter acesso a contas sem necessariamente precisar de uma senha.

“O Yahoo fez tudo errado”, disse Bruce Schneier, criptoglogista e especialista em cibersegurança. “Eles não estavam levando a segurança a sério, e isso agora está claro. Acredito que os usuários terão problemas em confiar no Yahoo no futuro.”.

O ataque é mais um golpe duro para o Yahoo, pioneiro da internet que perdeu espaço para rivais mais novos como o Google e o Facebook. Horas antes do anúncio, executivos do setor de tecnologia foram convidados para um encontro com o presidente eleito dos Estados Unidos Donald Trump em Washington. Segundo fontes próximas ao assunto, o Yahoo não foi convidado para a reunião – de acordo com a empresa, sua presidente executiva, Marissa Mayer, passou o dia na Califórnia.

Fonte: Estadão