Safe Money: um cofre virtual para dinheiro virtual que realmente funciona

Além das moedas e notas que costumamos levar nos bolsos, onde é que o dinheiro é armazenado a maior parte das vezes?

Os bandidos continuam preferindo guardar o dinheiro num buraco e a nossa avó ainda o guarda debaixo do colchão. Mas, para a maioria das pessoas, a melhor opção é converter o dinheiro vivo em dinheiro virtual, depositando-o nos bancos, onde é seguro. E os bancos costumam guardar o dinheiro em grandes cofres. Uma opção sensata que gera a oferta de vários outros serviços úteis como os bancos on-line, comércio eletrônico… um mundo de possibilidades on-line.

E, é claro, quando grandes quantidades de dinheiro e a Internet estão juntas, há sempre cibercriminosos por perto para tentar chegar a esse dinheiro – seja o das nossas contas correntes, poupanças ou cartões de crédito. E não estamos falando de ameaças ocasionais vindas de marginais do submundo cibernético. Trata-se de um problema sério de escala mundial. Uma indústria do crime bem organizada e discreta, com volumes de negócio multimilionários. Não é à toa que a segurança das transações financeiras na Internet se tornou o problema número 1 (pdf) no mundo para a maioria dos usuários.

Assim, como os bancos têm cofres para o dinheiro vivo, este dinheiro virtual acessível através da Internet também precisa de um cofre – um cofre virtual, mas não menos seguro que uma caixa-forte de segurança máxima. É aqui que entra a nossa nova tecnologia Safe Money, que aparecerá na próxima versão do KIS, até o final de agosto/início de setembro (dependendo do país).

<!–moreAntes de falar dos detalhes e das vantagens da tecnologia Safe Money…–>Antes de falar dos detalhes e das vantagens da tecnologia Safe Money, o melhor é explicar de que forma os cibercriminosos tentam passar a mão no nosso dinheiro virtual. Ou, dito de outra forma, de que maneira conseguem os nossos nomes de usuário e senha para terem acesso à nossa conta bancária ou outras contas relacionadas com transações financeiras.

Cito aqui três métodos que os cibercriminosos utilizam para ter acesso às nossas contas:

• Infectando o computador da vítima com um Trojan para roubar dados, fazer capturas da tela e atacar o nosso teclado. As infecções geralmente acontecem através de vulnerabilidades no software mais popular;
•  e engenharia social: imitando lojas on-line verdadeiras, sites de bancos, caixas de diálogo, chamadas telefônicas, etc…
• Vários ataques sofisticados: sniffing (interceptar tráfego de dados em redes), substituição de servidores DNS/Proxy, uso fraudulento de certificados, etc., para interceptar o tráfego utilizando ataques “man-in-the-middle” e ameaças “man-in-the-browser”, wardriving, etc.

E agora apresento os três principais problemas em termos de segurança contra a ciberfraude financeira:

• Falta de identificação de sites confiáveis;
• Falta de conexões de confiança entre os serviços on-line e os clientes;
• A não-existência de garantias de que o software instalado num computador não contém vulnerabilidades que podem ser exploradas por malware.

Felizmente, muitos aspectos deste problema são resolvidos com os produtos mais recentes de segurança para Internet. Só um fabricante de produtos de segurança de TI muito preguiçoso é que não ofereceria uma proteção incorporada contra ataques de phishing; no entanto, a qualidade dessa proteção é outra questão. Mas isso não é de nenhuma forma suficientemente seguro em cenários reais (consulte sobre cenários abaixo). Ainda assim, a maioria dos produtos não tem todas as funcionalidades necessárias para proporcionar uma proteção completa. E o pior, as funcionalidades que têm não trabalham em conjunto para resolver problemas específicos, quando o necessário é exatamente uma solução multifacetada e de ampla ação.

Sendo assim, apresento… a tecnologia Safe Money.

A tecnologia Safe Money está integrada na última versão do KIS. O que o usuário precisa fazer é digitar o endereço de um serviço on-line que lide com dinheiro e que precise de proteção (o site de um banco, uma loja, sistema de leilões, sistema de pagamento, etc.). Ou poderá escolher um site da base de dados integrada, que inclui 1500 bancos diferentes e 84 domínios. Ao entrar no site terá que escolher a opção “Abrir o browser protegido automaticamente” e, a partir desse momento, todas as sessões iniciadas nesse site serão abertas automaticamente no modo especial “browser protegido”.

Como funciona o modo “browser protegido”?

Primeiro, esse modo oferece ao usuário uma gama de tecnologias anti-phishing, incluindo a verificação da reputação dos sites através da KSN – Kaspersky Network Security (vídeo, detalhes) baseada na nuvem, e a análise heurística dos sites. Desta forma, mesmo que um cibercriminoso engane um usuário com um e-mail supostamente enviado pelo seu banco e este acabe abrindo a página de um site falso, a tecnologia Safe Money reconhece o ataque, avisa o usuário e bloqueia a ameaça. O mesmo acontece com as tentativas de “spoofing” (substituir os nomes dos sites), que também não conseguem contornar a tecnologia Safe Money.

Em segundo lugar, o novo KIS verifica a validade dos certificados digitais (também com a base de dados da KSN), para estabelecer conexões seguras e de confiança com os sites e prevenir o uso de certificados falsos.

Em terceiro lugar, a cada site que é aberto, o KIS inicia uma verificação do sistema operacional para descobrir vulnerabilidades críticas que podem ser utilizadas por cibercriminosos para atacar o computador e contornar a proteção. Se for encontrada uma vulnerabilidade, o usuário é informado e aconselhado a rodar o Windows Update para fazer o download e instalar as atualizações para corrigir o problema.

E, por fim, o modo “browser protegido” inclui um melhorado Controle de Aplicações (HIPS), especial para sites, e protege os caracteres introduzidos com a ajuda do nosso (i) teclado virtual, herdado das versões anteriores do nosso produto; e agora também com a ajuda da (ii) nova tecnologia Secure Keyboard, que protege contra keyloggers em termos de controladores do sistema operacional.

Assim, com a tecnologia Safe Money proporcionamos uma proteção integrada, multicamada, criada especificamente para combater a fraude financeira e o malware especializado. É importante destacar que a proteção sincroniza todos os componentes do produto (incluindo [esqueci de mencionar?] Prevenção Automática contra Exploits, para bloquear tanto os ataques conhecidos como os desconhecidos através de vulnerabilidades), permitindo operações seguras em serviços financeiros on-line. Para simplificar, sob a “gestão” da tecnologia Safe Money, as várias tecnologias de proteção já não trabalham separadamente. Pelo contrário, trabalham em conjunto, trocando informações entre elas, seguindo uma estratégia unificada, mas cada uma mantendo a sua tarefa específica.

A tecnologia Safe Money tem várias outras vantagens.

A tecnologia é completamente transparente para os usuários. Não é necessário ligar manualmente nenhum modo de proteção cada vez que a utiliza – ele liga-se automaticamente, e o browser assinala visualmente essa ativação, fazendo sobressair a janela, para que se saiba sempre o que se passa. A tecnologia não tem parâmetros que precisem ser ajustados e não incomoda o usuário com questões desnecessárias. O usuário apenas recebe avisos de ataques bloqueados. E, claro, a tecnologia Safe Money é compatível com os browsers mais populares (e, por isso, também os mais atacados) – Internet Explorer, Chrome e Firefox.

E agora, os cenários reais acima mencionados.

Pedimos ao laboratório independente checo Matousec que realizasse um teste comparativo imitando os ataques mais comuns a serviços on-line que utilizam transações de dinheiro para testar a qualidade dos cofres virtuais de vários produtos de segurança. O laboratório Matousec testou 15 cenários comuns (pdf) e verificou como 14 produtos diferentes lidam com eles:

Como podem verificar, a situação de segurança, em geral, é um pouco sombria. Metade dos cofres virtuais não preveniu nenhum ataque; na outra ponta do gráfico os resultados foram de 100% de proteção para apenas dois produtos, um dos quais, o KIS, com a tecnologia integrada Safe Money.  O segundo produto é uma solução para sistemas de internet banking altamente personalizada, com uma aplicação muito limitada (a única do gênero no teste), que os bancos oferecem gratuitamente. Não contém nenhuma – zero! – funcionalidade para a proteção completa contra qualquer outro tipo de ameaça.

Pode parecer lógico, pelo menos para aqueles que têm alguma experiência com os bancos on-line, perguntar qual é a vantagem da tecnologia Safe Money, uma vez que os bancos de confiança utilizam autenticação multifator, senhas de utilização única, notificações por SMS, conexões seguras, verificam a força das senhas, e, algumas vezes, até disponibilizam teclados virtuais. A tecnologia Safe Money não seria redundante?

Bem, é verdade que os bancos de confiança têm feito um bom trabalho ao melhorar a segurança com as medidas que me referi. Bom trabalho! Mas…

Em primeiro lugar, assim como os bancos, os cibercriminosos também não ficam parados; estão constantemente aprendendo novas formas de contornar os métodos de confirmação das operações on-line. Por exemplo, existe o Zeus in The Mobile, mais conhecido no Brasil como Zitmo, um malware criado especificamente para roubar códigos de acesso de utilização única enviados por SMS.

Em segundo lugar, não há assim tantos bancos on-line em que se possa confiar. E no que se refere a lojas on-line, elas são, em geral, muito más: o interesse principal do comércio eletrônico não é a segurança, mas sim a usabilidade; por isso a segurança é muito negligenciada. Basta olhar para a Amazon e o seu método “1-Click” para processar uma encomenda e pagar com cartão: tudo o que precisa fazer é introduzir uma senha!

Por último, além das operações on-line que envolvem dinheiro ainda serem muito suscetíveis a ataques, as novas ameaças dirigidas a elas são as que mais rapidamente se desenvolvem e também as mais imprevisíveis. Assim, uma camada extra de proteção nunca é demais.

Dessa maneira, aqui está o novo KIS!

Mais detalhes sobre a tecnologia Safe Money (pdf)