Introdução

Estamos vivendo em uma época cercada de fraudes de diversas origens e formas. Uma das fraudes mais comuns atualmente na Internet é a prática conhecida como Phishing Scam, que consiste basicamente no envio de e-mails fraudulentos, onde o autor, através de Engenharia Social, convence o usuário a baixar e executar um programa malicioso.

A Fraude

O usuário recebe um email fingindo tratar-se de uma notificação de dívida, uma irregularidade em seu CPF, um álbum de fotos de uma pessoa conhecida, cartões virtuais da pessoa amada, etc. Conforme os temas vão sendo abordados na web e ficando conhecidos, os autores criam novos temas com outros apelos, utilizando, por exemplo, a curiosidade do usuário. Podemos encontrar e-mails com textos que lembram da banda da banda Mamonas Assassinas, oferecendo o download de fotos do desastre que ocorreu com seus integrantes.

Muitas vezes o email finge ser uma mensagem autêntica, proveniente de uma grande empresa, trazendo uma boa formatação, logotipos e outras características de cada empresa. Em outras ocasiões, é apenas um assunto curioso que leva a vítima a efetuar o download e executar o arquivo. Quase sempre estes arquivos ficam hospedados em servidores gratuitos ou comprometidos fora do Brasil, o que dificulta o rastreamento ou mesmo a remoção do arquivo para diminuir o número de pessoas infectadas.

O arquivo nem sempre é barrado por um antivírus, o que aumenta o poder do golpe. Como são feitas inúmeras versões dos programas, existe uma demora para que eles sejam reconhecidos pelos antivírus. Esse tempo é explorado pelos fraudadores.

Depois que o usuário executa o trojan, nada acontece. Em alguns casos ocorre uma mensagem de erro, obviamente falsa, apenas para que o usuário pense que o programa não funcionou e não suspeitar da verdadeira origem do software executado. Agora este trojan vai ficar monitorando o acesso aos sites da Internet e irá “acordar” quando o usuário estiver acessando a sua conta bancária.

Como os bancos constantemente estão aumentando a segurança em seus sites, os trojans têm que se adaptar à essa situação. No passado, a técnica utilizada para adquirir os dados de correntistas era baseada na gravação das teclas digitadas e posterior envio por email. Com o advento dos teclados virtuais e outras técnicas desenvolvidas pelos bancos, os keyloggers foram substituídos por programas que alteram ou mesmo sobrepõe as telas originais dos bancos. Temos a falsa sensação de segurança quando clicamos nossas senhas ao invés de digitarmos, pois os trojans atuais imitam a tela do sistema de login do banco.

Mas atenção: o sistema de login pede apenas informações básicas para o acesso à conta. Já os trojans solicitam todos os seus dados, além da senha de acesso. É comum solicitarem CPF, data de nascimento a senha do cartão como números de seu cartão (isso pode variar em cada banco). Essa solicitação é única em uma só tela ou dividida em várias telas (normalmente seguidas). É fácil identificar que algo está errado. Se você for vítima, pare a operação e comunique o banco.

Quando o usuário coloca todas as informações de acesso completo à sua conta, normalmente o trojan exibe uma falsa informação de erro e fecha o navegador. Neste momento, o trojan envia, normalmente através de email, as informações do correntista. Em grande maioria, são utilizados emails em provedores gratuitos e quase sempre fora do Brasil. Assim como na hospedagem dos programas, isso dificulta o rastreamento e identificação dos crackers.

A mecânica destes programas é diferente de outros trojans que abrem uma BackDoor no sistema. Ao invés de termos uma porta aberta esperando que o computador seja invadido, o próprio trojan envia as informações para o destinatário (cracker).

Já de posse dos dados do correntista, o cracker vai testar as informações no própio site do banco. Ele analisa saldo e datas de eventuais recebimentos (como salários). Avalia ainda as restrições da conta, como limites de valores para transferências, DOCs, etc. Os dados serão guardados para posterior utilização de acordo com o perfil da conta.

Retirando os valores

Os crackers subtraem valores das contas de várias formas:

• Através de transferências para outras contas da mesma rede bancária (*)

• Através de DOCs para outros bancos (*)

• Efetuando pagamentos de títulos e boletos de compras efetuadas na própria internet

• Efetuando pagamentos de boletos criados por laranjas que possuem esquemas de cobrança

• Carregando celulares pré-pagos registrados com nomes falsos

• Em casos de contas sem saldo mas com crédito pré-aprovado chegam a tomar empréstimos para efetuar as transações acima

(*) estas transações normalmente são efetuadas para contas de laranjas que possuem contas com nomes e documentos falsos e até mesmo para suas próprias contas.

Os crackers programam suas operações de forma que farão a maior quantidade de transações permitidas em um ou dois dias seguidos, sendo que quando o correntista nota o golpe, já é tarde demais. Assim que o correntista comunica o fato ao banco, normalmente o acesso à sua conta é bloqueado por vários dias, enquanto o banco pratica a perícia para comprovar se houve fraude.

Normalmente o correntista é ressarcido pelo banco, que devolve à C/C a quantia total da fraude. Entretanto, são vários dias com a conta bloqueada e sem cartão. Quem é que paga por toda essa dor de cabeça?

Dicas para evitar esses golpes

• Um bom firewall pode impedir o envio de seus dados para o cracker pois pode bloquear o o trojan de acessar Internet, emitindo um aviso que um programa está tentando um acesso suspeito à internet. Se isso ocorrer durante um acesso à contas bancárias, pare o processo e comunique ao banco imediatamente.

• Antes de abrir um email ou efetuar o download de um arquivo executável (.exe, .scr, .bat, .pif, .com), procure verificar a sua origem. Caso a mensagem seja anônima, pense: devo mesmo correr o risco e abrir esse programa? Caso a mensagem seja de uma grande empresa, onde você seja cliente, consulte o site da empresa. Quase nenhuma empresa de telefonia, instituição financeira ou qualquer outro tipo notifica débitos ou expõe seus dados em email. Telefone para a empresa e verifique se o email é autêntico.

• Verifique também o destinatário da mensagem no campo Para. A mensagem é para você? Normalmente é feito um spam de mensagens para inúmeras pessoas de uma lista. Observe se o email realmente tem aspecto verdadeiro.

• Se você achar seguro efetuar o download do arquivo, observe na barra de status de seu navegador ou programa de e-mail o endereço do arquivo ao apontar o mouse para o link, ou copie o atalho e cole na barra de endereços do navegador. Sendo um provedor gratuito, com nomes e endereços estranhos, desconfie. Será que uma grande empresa com sólida estrutura precisa utilizar provedores assim?

• Evite informar seu email em sites duvidosos, em salas de chat, em anúncios na internet. Utilize um segundo email para assuntos secundários e lazer na web. Assim, você mantém seu email ‘oficial’ para assuntos mais delicados. Descarte mensagens duvidosas que chegarem em seu email opcional.

• Evite a utilização de senhas simples e procure mudá-las com frequência.

• Observe atentamente como funciona o sistema de internet de seu banco. Em caso de dúvidas ou suspeitas, não hesite! Caso tenha notado que caiu em golpe, não demore. Vá imediatamente à sua agência e mude todas as suas senhas. É a forma mais segura de evitar prejuízos.

• Indique aos seus amigos essas dicas. Denuncie. A informação é a arma mais poderosa contra fraudes deste e outros tipos. Antes de divulgar qualquer as informação, é importante consultar sua veracidade. Há vários boatos circulando na internet.

• Mantenha seu sistema operacional sempre atualizado, bom como seu antivírus e softwares de proteção.

• Visite a seção Downloads, baixe e instale programas para a prevenção e diagnóstico.

• Visite também nosso Fórum,verifique as dúvidas já publicadas e tire as suas.

• Leia também o artigo Segurança pessoal na rede

Sobre o autor

Especialista em redes, servidores Microsoft e segurança da informação, Marcus Vinicius F. Beltran atua como consultor de empresas na prevenção e investigação de fraudes.