Como as empresas podem se proteger dos ataques via internet?As empresas precisam investir em três níveis de proteção. O primeiro é tecnológico, com utilização de tecnologia mesmo para proteção da empresa. Isso envolve antivírus, anti-spyware, firewall, IDS, entre outros. O segundo é de processos, ou seja, elaborando normas específicas sobre Segurança da Informação na empresa, que vão desde normas de autenticação na rede, de e-mails, de internet, até de uso de dispositivos móveis. E o terceiro nível é o das pessoas, ou seja, conscientização. Não há como se falar em segurança da informação sem orientação do usuário. E isso precisa ser feito de modo claro, simples, sem uso de termos técnicos complexos. Uma boa dica é usar expressões como “não deixe a porta de casa aberta, nem seu micro aberto”, “não passe informações para estranhos no telefone nem no e-mail, chat, comunidade”, “diga-me com quem navegas, que te direi quem és”. A linguagem, a forma de fazer a conscientização, faz toda a diferença no sucesso ou fracasso da segurança da informação. Não há tecnologia nem processo que segure um usuário que não conhece os riscos ou as conseqüências de uma conduta insegura ou ingênua nos dias de hoje. O phishing é uma forma de disseminar vírus e arquivos maliciosos de todo o tipo. Tornou-se mais comum por explorar justamente a vulnerabilidade do usuário. Os ataques ocorrem normalmente com envio de um e-mail falso, com vários tipos de apelo e uso de marcas famosas para dar credibilidade ao conteúdo, e isso faz com que o usuário acabe instalando um vírus em sua máquina sem saber. O phishing pode vir em vários formatos: um e-mail de corrente, uma de foto, uma comunicação de prêmio em promoção ou até mesmo uma intimação online da delegacia. Todos falsos, claro. É possível responsabilizar judicialmente os colaboradores por um eventual roubo de informações ocasionado pela abertura de documentos com vírus?A responsabilidade jurídica para este tipo de caso deve envolver, em geral, a intenção (dolo) direta ou indireta (quando facilita ou favorece). Dependendo do caso, é possível responsabilizar o colaborador, mas desde que fique comprovada a negligência ou a omissão. O que os colaboradores precisam fazer para evitar ou diminuir o risco dos ataques?O principal é ligar o “desconfiômetro”. Isso mesmo. Não acreditar em tudo que vê na internet, não navegar pelas “ruas escuras” do mundo digital, em geral repletas de piadas, fotos, vídeos, músicas. Estar atento e, ao primeiro sinal de infecção da máquina, solicitar apoio técnico para a limpeza dela. Fora isso, trocar a senha periodicamente e não clicar em “clique aqui” de e-mail, além de ter muito cuidado com downloads, especialmente em sites de Web 2.0, que têm sido o principal alvo atual, após a moda do phishing. É possível encontrar e punir o autor do e-mail phishing? Sim, é possível. Mas é bem difícil. Normalmente, são usados computadores zumbis, ou seja, há uma série de máquinas de terceiros, que foram contaminadas para depois fazerem o ataque, tornando seus usuários verdadeiros “laranjas digitais”. Acabamos chegando nestas pessoas, mas não no verdadeiro autor do ataque. Por isso, o ideal é combater quem faz vírus ou arquivo malicioso. Os sites que disponibilizam esse tipo de coisa também precisam ser responsabilizados. Mas, para que isso aconteça, precisamos atualizar a Lei Penal Brasileira. Pelo nosso código atual, fazer vírus não é crime. O crime está apenas em enviá-lo, se houver dano, ou uso de identidade falsa. Phishing, então, é crime?O praticante do phishing incorre na prática de diversos ilícitos, principalmente criminais, como falsidade ideológica, fraude, estelionato, furto de dados, uso não autorizado de marca e imagem, propaganda enganosa, entre outros. Ou seja, há leis para punir quem pratica o phishing. Mas a dificuldade estáem descobrir a autoria, uma vez que o envio é feito de modo a gerar o maior anonimato possível. Mas, como hoje as testemunhas são as máquinas, é possível pegar o infrator através dos dados de cabeçalho, de IP, de logs. Tudo começa na denúncia, passa pela investigação e quando possível, se converte em punição. É preciso conscientizar para prevenir, e, se ocorrer o problema, denunciar. Isso é exercitar a cidadania digital. Dicas para não ser “fisgado” Manter firewall ativado e atualizado. Manter o antivírus sempre atualizado. Não fornecer informações pessoais por e-mail ou através de links presentes nestes. Prestar atenção ao português. Alguns phishings apresentam graves erros de ortografia e gramática. Se estiver em dúvida, entre em contato com a empresa remetente do e-mail ou veja se a informação consta do site oficial (especialmente em casos de promoção ou ofertas, até mesmo para vagas de emprego). Navegue em sites seguros. Esteja atento, pois já há phishings no Messenger, em blogs, em comunidades do Orkut, no Youtube, na Wikipedia, no Second Life. E a tendência é isso chegar também aos celulares. Se for vítima de um ataque entre em contato com o CERT.br – Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil pelo e-mail
[email protected] ou com a delegacia de crimes eletrônicos de seu estado.
