Hoje eu ouvi na rádio CBN pela manhã que uma pesquisa feita pela Symantec (a desenvolvedora do famoso Norton Antivirus) indicou que cerca de 76% dos usuários brasileiros de internet já sofreram algum tipo de crime virtual. Além de a própria CBN ser uma fonte confiável, uma pesquisa rápida no Google mostrou que o site IDG Now! também noticiou os números dessa pesquisa, que não se restringiu apenas ao Brasil.Na minha humilde opinião, isso mostra como o brasileiro está despreparado para usar uma ferramenta tão útil quanto a internet, mas que também oferece alguns riscos. Não acho que ninguém tem que passar a pagar suas contas na fila do banco para evitar golpes cibernéticos, mas sim aprender como agir para não cair nesses golpes. Muitas pessoas não têm acesso à informação e não conhecem os riscos aos quais elas estão expostas quando navegam pela internet, acessam seus e-mails, fazem compras online ou mesmo quando acessam suas contas bancárias pela grande rede.
Isso me motivou a escrever esse artigo. O meu objetivo é apenas tentar transmitir, por meio deste meu (mais humilde ainda) blog, uma parcela do que eu conheço e ponho em prática. Apesar de eu ter formação técnica (para quem não leu a página sobre mim, sou engenheiro eletrônico) eu não sou um especialista em segurança de rede, mas para compartilhar as dicas que listo a seguir isso não chega a ser um pré-requisito. Muitas delas são coisas relativamente óbvias, mas que nós geralmente subestimamos. O artigo ficou um pouco longo, mas acho que todos sairão ganhando se dedicarem um pouquinho do seu tempo à leitura dele. Entretanto, antes de qualquer coisa preciso avisar que todas essas dicas foram coletadas de fontes confiáveis (orientações sobre segurança da informação dadas pelo setor de TI da empresa onde trabalho, além de pesquisas divulgadas em sites/meios de reconhecida reputação) e não de qualquer site da internet. Além disso, achei interessante incluir algumas informações “basiconas”, pois eu percebo que isso anda meio difícil de ser encontrado por usuários (e não experts em informática), principalmente por quem não tem formação técnica.
1. Senhas
Apesar de já existirem tecnologias mais avançadas, como tokens e biometria, as senhas ainda são onipresentes na grande rede. Muita gente tem medo de que suas senhas sejam descobertas por alguém e usadas para fins ilícitos. Contudo, se tomarmos alguns cuidados nós reduziremos bastante a probabilidade de alguém mal intencionado descobrir nossas senhas.
Há algum tempo atrás, um hacker contratado para um serviço de espionagem nos EUA comentou, sobre o serviço online que deveria fuçar: “a senha era mole, só uma palavra e uns números”. Por isso, nunca é demais repetir: crie senhas complexas. É trabalhoso? É, mas vale a pena prevenir. Se o serviço online onde você estiver se registrando puder fazer uma crítica da senha recém-criada, permita que ele o faça. Assim você terá a certeza de estar criando uma senha mais forte.
Algumas dicas sobre senhas:
- Nunca use a mesma senha para diferentes serviços. Procure ter uma senha para cada um. Se possível, use logins (nomes de usuário) diferentes também.
- Naturalmente, coisas de que gostamos ajudam a memorizar senhas. Todavia, não use senhas baseadas em coisas que podem ser facilmente rastreadas num site de relacionamento (aniversários, data de casamento, nomes de filhos…). Se você precisa de algo para lembrar a senha, pense em algo mais pessoal, que não esteja disseminado por aí em nenhum bate-papo, online ou não. Ou seja: a senha deve ser óbvia para você, mas sem sentido e aparentemente aleatória para qualquer outra pessoa.
- Troque de senha regularmente (a cada dois meses, por exemplo). E troque direito. Já vi casos em que uma pessoa tinha a senha fulana1 e a trocava, mensalmente, por fulana2, fulana3…
- A senha deve ter no mínimo 8 caracteres. Misture alfanuméricos (maiúsculos e minúsculos, pois para os computadores são coisas diferentes) com símbolos aleatórios (#, $, %, @…). Nunca use uma senha puramente numérica ou alfabética. As senhas mais usadas contêm as palavras “deus”, “Jesus”, “amor”, “alegria”, “paixão” e até mesmo alguns palavrões.
- Sei que ter dezenas de senhas diferentes seguindo estas diretrizes torna impossível memorizá-las todas, mas tente decorar pelo menos as mais importantes, para os serviços mais delicados (como finanças). Não é seguro escrever sua senha num papel e deixá-lo numa gaveta. Já vi casos em que senhas foram anotadas em um post-it colado no monitor do computador (isso é o pesadelo de todo gerente de TI e o sonho de todo hacker). E jamais as guarde dentro do computador (ou seja, deixe de ser preguiçoso e desative o recurso de auto completar do seu navegador de internet – o que ele faz é armazenar a senha no seu computador). Se tiver que anotar, o que deve ser evitado, guarde a anotação em um lugar onde só você saiba.
- Não empreste a sua senha para ninguém. Pense nela como um cartão de banco. Senhas são pessoais e intransferíveis.
- Nunca repita o seu login (nome de usuário), mesmo que embaralhado ou invertido, como senha.
- Nunca use nomes ou sobrenomes, seus ou de quem quer que seja.
- Nunca use seqüências do teclado, como qwerty, como senha.
- Nunca use um exemplo de senha que alguém lhe passou ou que esteja num livro.
Vejam alguns exemplos de senhas fracas e de senhas fortes:
Senhas fracas: brasilcampeao, naomelembro, 12345678, password, deusehpoder.
Senhas fortes: S&nh@984, S3cr3t@_%, P3rn@mbuc0%, 123!@#abc$, Pr0deb853.
2. Phishing
O phishing é uma técnica através da qual vários hackers tentam obter sua senha ou outras informações pessoais para fins ilícitos. Não há maneira melhor para explicar o phishing do que através de alguns exemplos e mostrando como identificar a ameaça. Veja o exemplo a seguir de um e-mail supostamente enviado pelo banco Itaú:
Phishing utilizando o nome do banco Itaú - Clique para ver maior
Esse é muito fácil de identificar a ameaça. Observem:
- Hackers não sabem português. Eles não têm tempo para estudar isso porque se dedicam demais a aprender o máximo que podem sobre computadores, redes, protocolos, sistemas operacionais, programação e assuntos correlatos. Em um e-mail enviado por uma instituição como o Itaú (no exemplo acima) nós jamais encontraremos a quantidade (absurda) de erros (absurdos) de língua portuguesa contidos na mensagem falsa do exemplo. No exemplo acima, não há um único parágrafo que esteja livre de erros de português.
- O e-mail apresenta um link e induz o destinatário a clicar nele. Nem todos os clientes de e-mail possuem esse recurso, mas quem usa Microsoft Outlook pode posicionar o ponteiro do mouse em cima do link para visualizar o link REAL. A imagem acima mostra claramente que o link real não é o mostrado no corpo da mensagem. Notem, inclusive, que o link real termina em “Itoken.exe”, que é um arquivo executável (.exe), isto é, um programa que não se sabe exatamente para que foi feito. Outra extensão potencialmente perigosa é a .scr, que geralmente é usada para identificar arquivos de proteção de tela do Windows, mas que nada mais são do que arquivos executáveis.
- Os dispositivos que geram senhas numéricas aleatórias (os tokens) não necessitam de atualização nenhuma. Caso haja algum problema com o token, o banco simplesmente o substitui por outro.
- Ah, sim… o mais óbvio: você é cliente do Itaú? Não? Então porque o Itaú enviaria um e-mail desses para você?
Recebeu um e-mail como esse? Não tenha dúvidas: DELETE IMEDIATAMENTE e NÃO CLIQUE EM NENHUM LINK APRESENTADO POR ELE.
Outro exemplo (esse melhor elaborado que o anterior) é o que andou circulando recentemente sobre a promoção Não Tem Preço da Mastercard. Vejam:
E-mail falso sobre promoção Mastercard - Clique para ver maior
E clicando no anúncio ou acessando o link informado (que é falso), a vítima é direcionada para o site abaixo:
Página utilizada pelo falsário para coletar dados das vítimas - Clique para ver maior
A primeira pergunta a ser feita é: você possui um cartão Mastercard? Não? Então delete essa mensagem, pois você não deveria ter recebido nada parecido com isso.
Se a resposta para a primeira pergunta for “sim”, faça a segunda pergunta: você cadastrou o seu e-mail na base de dados deles autorizando o envio de mensagens para ele? Não? Então mande essa mensagem para o limbo.
Se ainda assim a resposta for afirmativa, vamos para a terceira pergunta: o link é verdadeiro? Na dúvida basta acessar o site da Mastercard (quem não souber acha fácil no Google) por fora do e-mail, isto é, digitando direto na barra de endereços do seu navegador, e conferir se a promoção Não Tem Preço realmente existe (lembrem-se: não cliquem em nenhum link do e-mail até saber se ele pode ser confiável ou não). Vocês verão que essa promoção de fato existe. Porém, ao clicar no banner da promoção lá no site da Mastercard, vocês irão notar que ele irá direcionar os visitantes para um link diferente do informado no anúncio recebido por e-mail.
Além do mais, porque a Mastercard criaria um domínio com terminação .net (como o informado no falso anúncio) se ela é uma empresa presente em todo o Brasil e o seu site possui domínio .com.br? Estranho, não? Só isso já é o suficiente para concluir que o e-mail mostrado acima é falso. Fiquem atentos aos endereços dos sites informados nesses e-mails! Isso é realmente importante.
Vejam bem quais as informações que o falsário pede para a vítima. Vocês já imaginaram o que ele poderá fazer com todos os dados do seu cartão de crédito, seu nome completo e o seu CPF? Pois é. Outro ponto que pode ser notado é que em nenhum momento telefone ou endereço de contato. Porque? Porque eles não precisam disso. Mas se mesmo assim estivessem pedindo, olhe com desconfiança. A Mastercard precisa realmente pedir todos esses dados para que você participe de uma promoção deles se eles já têm todos eles? O máximo que eles pediriam seria o seu nome e sua data de nascimento.
Hoje em dia os clientes de e-mail possuem filtros para detectar essas mensagens e classificá-las como spam (e-mail não desejados). Até mesmo alguns serviços gratuitos de e-mail fazem esse tipo de filtragem. Um deles é o Gmail que, por sinal, possui um excelente filtro anti-spam. Entretanto, não podemos esperar que esses filtros identifiquem corretamente todos os e-mails. Às vezes passa um ou outro. Até mesmo o contrário acontece: vira e mexe um e-mail que não é spam acaba sendo classificado como tal. Por isso é que existe a pasta de spam, senão os e-mails seriam deletados direto, sem chances de recuperação.
Por falar em deletar direto, dica para quem usa o Microsoft Outlook: se você selecionar uma mensagem e teclar Del ela será apagada e com isso movida da sua Caixa de Entrada para a Lixeira. Porém, ela só será apagada de fato quando você limpar a Lixeira. Para apagar definitivamente a mensagem sem nem mesmo movê-la para a Lixeira, basta selecionar a mensagem e digitar Shift e Del simultaneamente e confirmar a operação em seguida.
Muitos desses e-mails não pedem à vítima que ela digite os seus próprios dados pessoais. Ao invés disso, eles redirecionam a vítima para um site que contém um programa (como o do primeiro exemplo) que, se autorizado, será instalado no computador dela. Periodicamente ele enviará informações sobre tudo o que a vítima faz no computador e nesse bolo vão um monte de informações (senhas de banco, de contas de e-mail etc).
Nesses casos vale um aviso importante: todo (eu disse TODO) programa que baixado da internet só é instalado no computador se o usuário autorizar a instalação. No exemplo do Itaú, se o usuário clicasse no link do programa Itoken.exe, uma janela solicitando a confirmação do usuário para a instalação do programa seria exibida. Nesse momento, se o usuário responder “Não”, o programa não é instalado.
3. Anti vírus e outros programas para sua proteção
Há vários anti vírus disponíveis para todos os gostos, alguns pagos outros gratuitos (e nem por causa disso são ruins). Eu gosto muito do Avast!. É gratuito, apesar de exigir um registro que deve ser renovado periodicamente.
Há outros programas que também auxiliam na proteção do seu computador, como por exemplo o ótimo SpyBot Search & Destroy. Ele procura por programas maliciosos instalados no computador e bloqueia a instalação de muitos deles. Muitas vezes esses pequenos programas (trojans, trackers e até mesmo alguns cookies) são instalados nos computadores ao acessarmos determinados sites na internet. O SpyBot bloqueia a instalação automaticamente em caso de tentativa.
O Windows possui um programa chamado Windows Defender que tem uma função similar à do SpyBot. Ele também é uma boa alternativa. Eu tenho os dois instalados no meu computador.
Além disso, ao acessar a internet é importante ter um bom firewall instalado na sua máquina. Ele bloqueia muitas tentativas de invasão. O Windows já tem um firewall residente, mas quem achar necessário pode instalar o que mais gostar. Assim como os anti vírus, há pagos e gratuitos. Uma boa opção gratuita é o Zone Alarm.
Mais seguro ainda do que um firewall por software é um firewall por hardware, ou seja, um equipamento que faz essa mesma função. Em casa meu computador não fica conectado diretamente à internet, mas sim a um roteador doméstico e este conectado à grande rede. Esse roteador possui, entre outras funções, um firewall.
Espero que com essas dicas eu possa contribuir de alguma forma para aumentar a segurança de vocês quando estiverem navegando na internet. Se tiverem alguma dúvida deixem um comentário aqui no blog para mim.
Até mais!
Escrito por Marcelo 
