RNP > Serviços > Segurança em redes > Alertas do CAIS

Alerta do CAIS ALR-02042003

Fraudes em Internet Banking

[CAIS, 02.04.2003, revisão 01]

Recentemente, o CAIS tem registrado um aumento nas denúncias de fraudes envolvendo Internet Banking. Neste contexto, este alerta tem o intuito de esclarecer o usuário sobre algumas das técnicas mais usadas pelos atacantes, assim como recomendar procedimentos básicos de prevenção a ataques deste gênero.

Os principais artifícios usados pelos atacantes são:

• envio de e-mails, usando engenharia social para convencer o usuário a enviar dados como número da conta e senha para determinado endereço, ou ainda, preencher formulários anexados ao e-mail com tais dados. Os formulários ou e-mails são enviados ao atacante.

• envio de e-mails falsos, usando engenharia social para convencer o usuário a acessar determinada URL, onde se encontra uma página falsa solicitando dados sensíveis do usuário, tais como: número da conta, senha de acesso, senha do cartão, etc.

• uso de domínios similares ao original para legitimar os e-mails enviados e as páginas falsas usadas para coletar os dados. Alguns exemplos são: www.banco.com.br é o site original e www.banco.com é o site falso. Analogamente, o e-mail original do banco pode ser banco@banco.com.br e o e-mail falso pode ser sac@banco.com.br ou banco@banco.com.

• contaminação do servidor de nomes, redirecionando o usuário do Internet Banking a uma página falsa, semelhante à página original do Banco, de onde o atacante possa extrair dados sensíveis do usuário, tais como: número da conta, senha de acesso, senha do cartão, etc.

• ligações telefônicas, usando engenharia social para obter os dados do usuário (número da conta, senha, etc).

Ressalta-se que engenharia social é o termo usado para caracterizar um tipo de ataque onde o atacante explora a ingenuidade ou confiança do usuário, apresentando estórias e situações que o levam a fornecer dados sigilosos, posteriormente usados para se obter acesso não autorizado a computadores ou informações. As técnicas de engenharia social podem ser usadas em contatos pessoais, por telefone, e-mail, mensagens instantâneas ou chats.

O CAIS recomenda aos usuários de Internet Banking:

• Manter bem guardadas e seguras suas senhas bancárias, seguindo as recomendações de seu banco.

• Não fornecer detalhes de sua conta bancária ou senhas a terceiros quando abordados por qualquer meio, seja pessoalmente, telefone ou e-mail.

• Usar senhas fortes e não triviais, trocar as senhas com freqüência, seguindo as normas e recomendações de seu banco.

• Ao acessar o site de seu banco, dedicar algum tempo a verificar a página, propagandas e dados solicitados, em busca de algo suspeito. Recomenda-se também verificar se o endereço mostrado pelo navegador corresponde ao endereço acessado, por exemplo: www.banco.com.br.

• Ficar atento aos comunicados oficiais do seu banco. Alguns bancos têm destacado nos seus sites, mensagens de advertência sobre recentes tentativas de fraude.

• Ao ser alvo de situações suspeitas (e-mails do banco, contatos telefônicos solicitando senha ou conta bancária, erros consecutivos no acesso ao site do banco), notificar o ocorrido ao serviço de suporte ao usuário do respectivo banco.

• Manter sempre atualizado o navegador utilizado, por exemplo Netscape e Internet Explorer.

• Verificar o certificado digital do site do banco, confirmando se este foi realmente emitido para o referido banco e seu prazo de validade. Recomenda-se também ficar atento às mensagens emitidas pelo seu navegador, verificando se este reconheceu a autoridade certificadora que emitiu o certificado ao site que você está acessando.

• Não descartar automaticamente as mensagens de aviso geradas pelo navegador em relação a certificados digitais e páginas criptografadas. A prática recomendada é ler atentamente tais mensagens e em caso de dúvidas interromper o processo, consultando o serviço de suporte ao usuário do banco.

São listadas, a seguir, as referências de alguns bancos brasileiros contendo recomendações sobre segurança em Internet Banking:

http://www.bradesco.com.br/html/prodserv/homeoffice/internetbank.html
http://www.bb.com.br/appbb/portal/bb/ds/problemas.jsp
http://www.itau.com.br/bankline/seguranca.htm
https://internetcaixa.caixa.gov.br/InternetCaixa/index.asp
http://www.bancoreal.com.br/pessoas/real_ate_voce/tpl_rib_duvidas.shtm
http://galeriadeinvestimentos.unibanco.com.br/url.asp?nu_texto=142
http://www.banespa.com.br/site/servicos/atendimento/sn_netbanking_pessoas.jsp

Finalmente, seguem dois documentos relacionados ao tema abordado neste alerta.

"AL-2003.04 – Increase in fraudulent activity targeting users of online
banking and electronic payment sites"
http://www.auscert.org.au/render.html?it=2909

"Cartilha de Seguranca para Internet, Parte IV: Fraudes na Internet"
http://www.nbso.nic.br/docs/cartilha/cartilha-04-fraudes.html

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais