Categoria: Fraude

Categorias
Data Breach FinTech Fraude Meios de Pagamento Payments Serviços Financeiros Startups

A vulnerabilidade das CPU’s

Meltdow

por Pedro Milanez:

Recentemente, foi divulgado uma nova falha de segurança presente em processadores Intel, AMD e ARM.

A vulnerabilidade, permite que um software tenha acesso a áreas protegidas da memória do kernel – núcleo do sistema operacional – e do usuário expondo informações sensíveis.

Na quarta-feira, dia 3, os pesquisadores de segurança do Google divulgaram um estudo detalhado sobre essas falhas, descrevendo como Meltdown e Spectre. Elas estão vindo a público somente agora, mas foram descobertas e reportadas para a Intel, a AMD e a ARM em junho de 2017.

O Meltdown, a princípio só atinge processadores Intel e consiste em quebrar um mecanismo de segurança que previne aplicativos de acessarem a memória reservada ao kernel do sistema operacional.

Com áreas da memória do kernel – a ponte entre os software e o hardware da máquina – exposta, a falha é considerada grave. Em teoria, ela permite que um aplicativo comum (inclusive um malware ou até mesmo um código em JavaScript rodando no navegador) tenha acesso a senhas e outras informações restritas.

Meltdown in Action: Dumping memory https://www.youtube.com/watch?v=bReA1dvGJ6Y

A proporção piora uma vez que todos os processadores Intel desde 1995 (com exceção dos Intel Itanium e Intel Atom produzidos antes de 2013) são vulneráveis ao ataque, ou seja, desktops, laptops e servidores do dia a dia.

A correção para a falha já está sendo implementada por software em todos os sistemas operacionais do mercado. No entanto, como o patch consiste em isolar completamente os processos de usuários e a memória do kernel, é possível que haja redução no desempenho entre 5 e 30%. Em um contexto onde servidores trabalham constante com carga elevadas, qualquer perda de desempenho afetará em grande escala todas as indústrias.

Cloud providers como AWS, Azure e Google Cloud já estão aplicando os patches em seus sistemas e máquinas virtuais e impactos já podem ser sentidos. Um estudo feito com o banco de dados PostgreSQL demonstrou uma perda de performance significativa em processos de indexação de tabelas.

O Spectre é uma falha mais difícil de corrigir, porque, para ser totalmente resolvida, exigiria que os chips fossem reprojetados. No entanto, as empresas já trabalham para mitigar o problema por software.

O nome do Spectre está relacionado à causa do problema, que é a execução especulativa (speculative execution, em inglês). Para acelerar o desempenho dos softwares, os processadores modernos tentam adivinhar qual código será executado em seguida. Caso a previsão esteja errada, o resultado é simplesmente descartado; caso esteja certa, há uma economia de tempo.

No entanto, a tecnologia também pode induzir um processador a executar uma operação “adivinhada” que não seria executada em condições normais. Isso permite que um aplicativo vaze uma informação confidencial para outro aplicativo, quebrando vários mecanismos de segurança de softwares, como o sandbox do Chrome, que separa as abas de sites e o resto do sistema operacional, por exemplo.

Com informações: The New York Times, The Verge, ZDNet, Axios e Tecnoblog

Pedro Milanez é ex-CTO da Beblue (www.beblue.com.br), responsável por tecnologia e produto. Foi o primeiro funcionário do Nubank onde foi responsável pelo produto de mobile e pela operação do cartão de crédito. Formado em Sistemas de Informação pela PUC-Rio, abriu a primeira empresa do Rio de Janeiro de desenvolvimento para iOS e Android.

Categorias
Carteira Digital Data Breach Empreendorismo Fraude Meios de Pagamento Mobile Payments Moeda Virtual Segurança Startups

Microchip Party

AA

Ainda me lembro que em 2014 um reporter me pediu para reportar algo inovador que havia revelado no meu livro, para que ele pudesse fazer uma matéria. Quando lhe falei sobre a implantação de microchips debaixo da pele, para auxiliar nas tarefas do dia a dia, ele acho muito bizarro e não quis publicar :).

No próximo dia 1/08/2017, uma empresa de Wisconsin – USA, realizará a “Microchip Party”, onde 50 funcionários voluntários irão implantar um microchip RFID, debaixo da pela das mãos. A Three Square Market produz e comercializa micro mercados, self-service, para salas de escritórios.

Todd Westby, CEO da Three Square Market, diz: “Prevemos o uso da tecnologia RFID para ser utilizado em quase tudo, desde fazer compras em nossa cantina, abertura de portas, uso de copiadoras, acesso aos nossos computadores e sistemas, desbloqueio de telefones, compartilhamento Cartões de visita, armazenamento de informações médicas / de saúde e usado como pagamento em outros terminais RFID.”

“Eventualmente, esta tecnologia se tornará padronizada, permitindo que você a use como seu passaporte, transporte público, todas as oportunidades de compra, etc.”, o diretor executivo Todd Westby escreveu em um blog, anunciando o programa.

O programa também é uma oportunidade real para a empresa de Westby testar e expandir a tecnologia para seus próprios produtos. “Nós vemos isso como outra opção de pagamento e identificação que não só pode ser usada em nossos mercados, mas também em nossas outras aplicações de auto-atendimento que estamos implantando, que incluem lojas de conveniência e centros de fitness”, disse outro executivo da empresa.

O Three Square Market afirma que será a primeira empresa nos Estados Unidos a implantar chips em seus funcionários. assista a entrevista do Todd Westby na CNBC.

Em Janeiro de 2017, publicamos neste blog uma matéria mostrando como a tecnologia funciona, veja em  “I’ve got you under my skin”

 

Categorias
Empreendorismo Fraude Startups

Sua voz pode ser clonada

Voice

Matéria de James Vincent, publicada no site THE VERGE.

Na semana passada, uma startup canadense chamada Lyrebird revelou seu primeiro produto: um conjunto de algoritmos que a empresa alega poder clonar a voz de qualquer pessoa ouvindo apenas um minuto de áudio de amostra.

Alguns anos atrás isso seria impossível, mas a proeza analítica da aprendizagem mecânica provou ser um ajuste perfeito para as idiossincrasias da fala humana. Usando inteligência artificial, empresas como a Google foram capazes de criar vozes sintetizadas incrivelmente “life-like”, enquanto a Adobe revelou seu próprio protótipo de software chamado Project VoCo que pode editar o discurso humano como Photoshop ajusta imagens digitais.

Mas enquanto o Project VoCo requer pelo menos 20 minutos de áudio de amostra antes que ele possa imitar uma voz, o Lyrebird reduz esses requisitos para apenas 60 segundos. Os resultados certamente não são indistinguíveis da fala humana, mas eles são impressionantes mesmo assim, e sem dúvida melhorarão com o tempo. Ouça aqui as vozes sintetizadas de Donald Trump, Barack Obama e Hillary Clinton discutindo a startup.

Lyrebird diz que seus algoritmos também podem alterar a emoção do discurso que ele cria, deixando os clientes fazerem as vozes parecerem zangadas, simpáticas ou estressadas. A fala resultante pode ser colocada em uma ampla gama de usos, diz Lyrebird, incluindo leitura de livros com vozes famosas, para dispositivos conectados de qualquer tipo, para síntese de voz para pessoas com deficiência, para filmes de animação ou para estúdios de videogame. “É preciso um pouco de poder de computação para gerar uma voz de impressão, mas uma vez feito, o discurso é fácil de fazer – Lyrebird pode criar mil frases em menos de meio segundo.

Há usos mais preocupantes também. Já sabemos que os geradores sintéticos de voz podem enganar o software biométrico usado para verificar a identidade. Programas de AI podem gerar fotos e videos falsos muito convincentes de qualquer pessoa. Por exemplo, esta pesquisa de 2016 usa mapeamento 3D para transformar vídeos de políticos famosos, incluindo George W. Bush e Vladimir Putin, em “fantoches” em tempo real. Combine isso com um sintetizador de voz realista e você poderia ter um vídeo no Facebook de Donald Trump anunciando que os EUA estão bombardeando a Coréia do Norte viralizado antes que você saiba.

Em uma seção de “Ética” no site da empresa, os fundadores da Lyrebird (três estudantes universitários da Universidade de Montréal) reconhecem que sua tecnologia “levanta importantes questões sociais”, inclusive questionando a veracidade das gravações de áudio usadas no tribunal. “Isto poderia potencialmente ter conseqüências perigosas tais como fraude e problemas causado pelo roubo de identidade de alguma outra pessoa,” escrevem.

Sua solução é liberar a tecnologia publicamente e torná-la “disponível para qualquer pessoa”. Dessa forma, dizem eles, o dano será diminuído porque “todos logo estarão cientes de que tal tecnologia existe”. Falando a The Verge, Alexandre de Brébisson, da Lyrebird, acrescenta: “A situação é comparável ao Photoshop. As pessoas estão agora cientes de que as fotos podem ser falsificadas. Acho que no futuro, as gravações de áudio vão se tornar cada vez menos confiáveis ​​[como evidência].”

Por enquanto, a tecnologia Lyrebird ainda está em desenvolvimento, e a empresa não quer discutir preços. Mas de Brébisson diz que mais de 6.000 pessoas já se inscreveram para acesso antecipado às suas APIs, e o Lyrebird está trabalhando para melhorar seus algoritmos, incluindo adicionar suporte para diferentes idiomas como o francês. “Esta tecnologia vai acontecer”, diz de Brébisson. “Se não somos nós, será outra pessoa.”

 

Categorias
Data Breach Fraude Google Pay Meios de Pagamento Segurança Serviços Financeiros

BankBot trojan no Google Play

pirata3

O InterContinental Hotel Group afirmou ter encontrado malwares projetados para roubar detalhes do cartão de pagamento em cerca de 1200 de seus hotéis de franquias nos EUA. Essa é uma péssima notícias, mas a novidade que me deixou assustado hoje foi outra: Cyber criminosos encontraram uma maneira de burlar a segurança do Google e instalaram APP no Google Play infectados com o trojan BankBot.

Como o trojan funciona?

BankBot funciona mostrando uma janela de login falsa em cima do aplicativo bancário legítimo, instalado no dispositivo de um usuário. Em suma, BankBot pode ser usado para roubar credenciais de login para aplicativos bancários. Também pode ser usado para roubar detalhes de login para outros aplicativos, incluindo Facebook, YouTube, WhatsApp, Snapchat, Instagram, Twitter e até mesmo a Google Play Store.

A empresa de segurança holandesa Securify postou uma lista de 424 aplicativos bancários legítimos para os quais as versões do BankBot detectadas recentemente foram codificadas para segmentar. A lista inclui aplicações para bancos como Santander, ING, Erste, Volksbank, ING, Eurobank, ABN AMRO, Garanti, HSBC, BNP Paribas e assim por diante. A lista completa pode ser verificada em  Pastebin.

BankBot Android Trojan foi descoberto pela primeira vez em janeiro de 2017 (veja relato de Doug Olenick em BankBot created with leaked banking trojan source code), logo após um exemplo de código-fonte do Android Trojan bancário foi publicado em fóruns na “dark web”. Esses códigos-fonte captam rapidamente a atenção dos criminosos, pois  podem ser rapidamente editadas e transformadas em um vírus personalizado. Pouco depois da publicação do código fonte, criminosos criaram o BankBot Trojan, que conseguiu enganar o scanner de segurança do Google e entrar no Google Play Store. Em abril, os pesquisadores já sabiam sobre três campanhas associadas a este vírus e, consequentemente, as aplicações mal-intencionadas foram retiradas da loja

No entanto, cyber criminosos não pararam neste momento e substituíram essas aplicações por novas. A Securify detectou duas novas campanhas BankBot que conseguiram escapar das verificações de segurança da Google Play Store. Um dos aplicativos mal-intencionados que continham o Trojan bancário era chamado de HappyTime Videos 2017, e já foi retirado. Como explica Niels Croese da Securify: “Aparentemente, o aplicativo foi atualizado recentemente (8 de abril de 2017) e provavelmente foi quando o malware foi adicionado. Comuniquei o aplicativo por meio de seu sistema de relatórios, mas no momento em que escrevo ele ainda está disponível no Google Play. Como você pode ver, parece ter instalações de 1k a 5k, o que não é muito para um aplicativo normal, mas muito para malware (pelo menos em comparação com as contagens de instalação que vimos até agora em outros malwares de banca móvel).”  Veja o post em: Banking malware in Google Play targeting many new apps.

A nova versão do Trojan também é capaz de bloquear o dispositivo da mesma forma que o ransomware faz, ou controlar e escanear as mensagens de entrada para ler com êxito os códigos de verificação enviados pelo banco (para ignorar a verificação em duas etapas procedimento). Ele pode basicamente roubar login e senhas usadas para qualquer aplicativo no telefone, incluindo Facebook, Instagram, Twitter, Snapchat e outros.

Ransomware é um tipo de código malicioso que torna inacessíveis os dados armazenados em um equipamento, geralmente usando criptografia, e que exige pagamento de resgate (ransom) para restabelecer o acesso ao usuário.

Claramente os criadores de malware encontraram uma maneira de enganar o serviço de segurança do Google e agora os engenheiros da empresa estão tentando encontrar uma maneira de resolver este programa e detectar aplicações que contêm este cavalo de Tróia de forma mais eficiente.

Até agora, parece que os usuários do Android não tem muita sorte quando se trata de segurança – há muitos casos a mencionar a respeito de malware na Play Store oficial. A loja já estava comprometida por adware, trojans, como HummingWhale, Svpeng ou mesmo ransomware. Veja o post do Oren Koriat sob o título A Whale of a Tale: HummingBad Returns, no blog Check Point.

Se quiser evitar a instalação de malware é necessário aprender a identificar aplicativos críticos e não deixar falsos comentários e classificações nos enganar em instalá-los!

Categorias
Data Breach Fraude Meios de Pagamento Segurança Serviços Financeiros

Mas bah, tchê! Que barbaridade

Cybercrime

Quase todos os dias recebemos informações de um novo “data breach” (violação de dados). Hoje foi o dia de saber que Wonga, uma FinTech Inglesa de empréstimos contra folha de pagamento (Payday Loan), teve seus sistemas invadidos na semana passada, expondo os dados de 270 mil clientes.

De acordo com a Finextra, o porta-voz da empresa disse ao site de notícias TechCrunch que “a Wonga está investigando urgentemente o acesso ilegal e não autorizado aos dados pessoais de alguns de seus clientes no Reino Unido e na Polônia. Estamos trabalhando em estreita colaboração com as autoridades e estamos no processo de informar os clientes afetados. Pedimos sinceras desculpas pelo inconveniente causado”.

São tantos os casos que, para muitos de nós, se trata de rotina. Entretanto, o que ocorreu com um banco brasileiro no dia 22 de outubro de 2016 é assustador. Embora não confirmado oficialmente, tudo indica de que se trata do banco Banrisul.

No dia 4 de abril, o site Wired publicou matéria de Andy Greenberg, sob o título: How Hackers Hijacked a Bank’s Entire Online Operation, descrevendo o ataque detectado pela empresa de segurança digital Kaspersky, cujo caso foi apresentado em seu congresso anual na semana passada.

A matéria de Natalia Viri, no site Brazil Journal, sob o título: “Hackers montam ataque ‘sem precedentes’ a banco brasileiro”, revela os detalhes de como a fraude ocorreu.

O assunto é assustador! Bestuzhev, da Kaspersky, disse à WIRED que “absolutamente todas as operações online do banco ficaram sob o controle dos hackers por cinco a seis horas.” Num ataque assim, do ponto de vista do hacker, “você se torna o banco. Tudo pertence a você.”

Em outra matéria publicada pela Wired em 04/04/2017, Alex Bennett estima que o custo global do crime cibernético (Cybercrime)  chegue a 4,9 trilhões de Libras por ano em 2021(cerca de US$ 6 trilhões) e, informa também que dois terços das grandes empresas do Reino Unido foram alvos de cibercriminosos em 2016.

Sua empresa investe em CyberSecurity? Que competências devemos adquirir para combater fraudes? As do passado não serve mais, concorda? Imagine o que as novas tecnologias podem gerar de oportunidades para os cibercriminosos, como por exemplo, Internet das Coisas (IoT) e carros autônomos (self-drive cars).

Tecnologias com Inteligência Artificial (IA), já estão sendo utilizadas para descobrir  brechas e falhas sistêmicas, numa tentativa de prevenis antes de sofrer um ataque. Entretanto, os criminosos também tem acesso às mesmas tecnologias e as utilizam, as vezes com mais eficiência.

Categorias
Carteira Digital Cartões de Pagamento Data Breach Fraude Meios de Pagamento Segurança

Fraude de identidade

fraude

O estudo sobre fraude de identidade nos Estado Unidos da América, divulgado por Javelin Strategy & Research, em Fevereiro de 2017, revelou que o número de vítimas de fraude de identidade aumentou em 16%, atingindo um total de 15,4 milhões de consumidores no ano passado. O estudo descobriu que, apesar dos esforços da indústria, os fraudadores adaptaram-se com sucesso. O estudo aponta um aumento no montante de fraude de quase um bilhões de dólares sobre 2015, atingindo um total de US $ 16 bilhões em 2016.

Assim como aconteceu no Brasil, o aumento de cartões com chip e terminais EMV no mercado note americano, foi um catalisador para conduzir os fraudadores a mudar para a abertura de contas falsas, assim como um aumento de 40% na fraude com cartão-não-presente (e-commerce). Em uma nota positiva, enquanto fraudadores estão se tornando melhores em evadir a detecção, os consumidores com uma presença on-line estão ficando melhores na detecção de fraude mais rápido, levando a uma redução global de roubo por tentativa.

O estudo de fraude de identidade de 2017 encontrou quatro tendências significativas:

  • A fraude salta para um recorde de incidência – Em 2016, 6,15% dos consumidores tornaram-se vítimas de fraude de identidade, um aumento de mais de 2 milhões de vítimas sobre ano anterior. A taxa de incidência cresceu 16% sobre 2015, a incidência mais elevada desde que Javelin começou a seguir a fraude da identidade. Este aumento foi impulsionado pelo crescimento da fraude de cartão existente, assim como viu um aumento significativo nas transações de cartão-não-presente.
  • A fraude com cartão-não-presente sobe significativamente – Impulsionada pela implantação de chip EMV no ponto de venda e pelo crescimento do comércio eletrônico, os fraudadores estão se movendo cada vez mais on-line, aumentando dramaticamente as fraudes com cartão-não-presente em 40% .
  • Controle (takeover) de contas existentes voltou a crescer – Após atingir um ponto baixo em 2014, tanto a incidência de controle de conta e as perdas subiram notavelmente em 2016. Total de perdas atingiu US $ 2,3 bilhões, um aumento de 61% sobre 2015, enquanto a incidência subiu 31%. O controle de contas continua a ser um dos tipos de fraude mais desafiadores para os consumidores, com vítimas pagando uma média de US $ 263 em custos e gastando um total de 20,7 milhões de horas para resolvê-lo em 2016 – 6 milhões a mais que em 2015.
  • A fraude de novas contas continua inalterada – À medida que os cartões e terminais EMV continuam permeando o ambiente de POS dos EUA, os fraudadores mudam para a abertura de contas fraudulenta. Ao mesmo tempo, os fraudadores tornaram-se melhores em fugir à detecção, sendo que as vítimas da fraude de novas contas foram mais propensas a descobrir fraudes através da revisão de seu relatório de crédito (15%) ou quando foram contatadas por um cobrador de dívidas (13%).