[Tempest Talks] Minha senha vazou. E dai?

Com o tema “Minha senha vazou. E daí?”, o líder técnico da área de Threat Intelligence da Tempest Renato Malta falou sobre suas pesquisas à cerca de vazamentos bases de dados e credenciais ao apresentar a segunda palestra do Tempest Talks São Paulo, realizado no dia 23 deste mês, no bairro de Pinheiros.

Malta iniciou sua fala alertando sobre os volumes crescentes de vazamentos, já que a quantidade de dados parece ser maior a cada incidente e novos milhões de usuários tem suas credenciais vazadas. Nesse cenário, ele falou sobre diversas bases de credenciais que foram expostas, como MySapace, LinkedIn, entre outros, e explicou o que acontece antes e depois da exposição.

Como os vazamentos acontecem?

“Quando a base de um site vaza para o público, isso é descoberto de duas formas: ou a empresa assume publicamente e notifica os usuários solicitando o reset de senha, ou quando a base aparece sendo vendida no mercado ilegal. E quando essa base aparece sendo vendida ilegalmente significa que a base já foi utilizada e monetizada, e está sendo passada para a mão de outros fraudadores”, explicou Malta.

Logo após o vazamento, ele explica, o valor de compra e venda desses dados é altíssimo e vai caindo de preço à medida em que vão sendo disseminados em fóruns, no Twitter, etc. Seja pelo motivo que for, ou por divergência entre os “donos” da base de dados ou porque o “mérito” por divulgar esses dados era superior ao valor de venda.

“O reuso de senha é um problema muito sério porque há muitos atores que estão esperando vazamentos para checar as senhas e testar se funciona em todos os serviços disponíveis na internet. Isso aconteceu com vários CEOs, como o próprio Mark Zuckeberg. A empresa não tem como controlar se o funcionário vai utilizar seu e-mail corporativo para fazer um cadastro e se ela faz reuso de senha, e isso pode ser a porta de entrada para invadir a empresa”, detalhou Malta.

Para Grazi Freitas, que atua na Diretoria de Tecnologia da Informação do Hospital Israelita Albert Einstein, poder participar do Tempest Talks e assistir a palestras como a de Malta faz repensar as estratégias em segurança da informação. “Eu trabalho com Segurança na área de Saúde e não é uma questão só sobre pacientes, é sobre dados também. Para mim é muito bom ouvir essas experiências porque a gente sai daqui pensando em tudo isso. Vou levar esses conhecimentos para a minha equipe e trabalhar com ela esse tipo de comportamento”, comentou.

A partir de um vazamento podem ocorrer diversos tipos de fraudes, de acordo com Malta. Uma delas é o aplicativo Find My iPhone, que pode ajudar o atacante a travar o aparelho e extorquir a vítima em troca do resgate. Outro exemplo é que o atacante pode tentar fazer uma compra fraudulenta em um site de e-commerce que o usuário tenha cadastro.

Assim surgiu um serviço dentro do mercado de vazamentos, que é o serviço de testadores vem crescendo no mercado underground. O serviço tem ficado cada vez mais sofisticado e estruturado enquanto modelo de negócio. Por isso ele alerta sobre a importância de nunca reutilizar senhas, renovar as credenciais, utilizar senhas fortes e fatores de autenticação.

“A parte boa desses vazamentos é que toda vez que isso acontece a gente volta a conversar sobre isso. E a melhor forma da gente conscientizar as pessoas é com exemplos reais, como esses”, finalizou Renato Malta.

*O Tempest Talks é um evento criado pela Tempest para reunir clientes, parceiros e convidados para um bate-papo sobre as novidades na área de cibersegurança.

**Renato Malta é líder técnico da área de Threat Intelligence da Tempest Security Intelligence.

Comentários
Aceita-se formatação à la TWiki. HTML e scripts são filtrados. Máximo 15KiB.

 
Enviando... por favor aguarde...
Comentário enviado com suceso -- obrigado.
Ele aparecerá quando os moderadores o aprovarem.
Houve uma falha no envio do formulário!
Deixei uma nota para os admins verificarem o problema.
Perdoe-nos o transtorno. Por favor tente novamente mais tarde.