Segurança de Dispositivos Móveis – 4 Dicas sobre Como proteger Smartphones & Tablets

Destaca-se que o crescente aumento nas vendas de dispositivos móveis atraiu cibercriminosos e levou à criação de mais de 50 milhões de novas ameaças. O Android, sistema operacional do Google, concentra quase 80% das ameaças criadas para dispositivos móveis. Cuidados simples, antes de acessar um link ou instalar um app, podem evitar a maioria das infecções.

Na coluna anterior, foi descrita a ciberespionagem global e a necessidade de inovação na cibersegurança, em seu conceito mais holístico e estratégico, evitando as armadilhas dos pontos cegos nas corporações. Neste artigo, abordaremos um tema comum ao nosso cotidiano: a segurança de dispositivos móveis, categoria que inclui desde smartphones até tablets.

Há dois anos, a tecnologia móvel se consolidou de vez no Brasil. Segundo pesquisa da consultoria Morgan Stanley, as vendas somadas de smartphones e tablets em 2013 superaram pela primeira vez a de PCs e notebooks, e os tablets se tornaram o segundo tipo de computador mais popular do País, ultrapassando os desktops (PCs). Mas apesar de trazerem avanços, os dispositivos móveis não conseguiram evitar problemas que há anos atormentam os usuários de PCs: os vírus e os chamados malwares (softwares maliciosos).

Desde então, as principais empresas de segurança emitiram alerta sobre o crescimento do número de ameaças. A McAfee advertiu que, nos primeiros nove meses de 2013, o número de novos códigos maliciosos cresceu 50 milhões, chegando a 172 milhões em setembro. O principal motivo seria o crescimento do mercado móvel – ao todo, mais de 70 milhões de celulares em uso no Brasil, segundo a Morgan Stanley – o que levaria os cibercriminosos a ter como alvo tablets e smartphones, deixando os PCs e notebooks em segundo plano.

Segundo o Instituto Ponemon, os dispositivos móveis foram o maior foco das ameaças em 2014. Os principais ataques teriam origem em três fontes: SMS, phishings e aplicativos falsos, a maioria baixada fora de lojas oficiais de aplicativos como a App Store, do sistema iOS da Apple, e o Google Play, do Android.

Destaca-se que mais de 90% das infecções de vírus em dispositivos móveis podem ocorrer pela falta de atualização dos sistemas operacionais dos aparelhos. E podem ser evitadas se o usuário adotar hábitos de prevenção. Contudo, muitas pessoas são “clicadoras” compulsivas e, como resultado, não prestam atenção onde clicam. E, via de regra, os aplicativos só são instalados quando o usuário autoriza. De certa forma, instalar um aplicativo do qual não se sabe a procedência é o mesmo que abrir a porta de casa à noite para um estranho.

Portanto, baixar aplicativos ou apps somente de lojas oficiais é uma boa maneira de minimizar as chances de instalar arquivos maliciosos em tablets e smartphones. Apesar de haver riscos envolvidos, as empresas responsáveis por tais lojas costumam remover rapidamente aplicativos com problema, visando proteger o usuário.

Ao instalar aplicativos de outra fonte, o usuário promove uma quebra da proteção do sistema operacional por permitir a instalação de aplicativos não autorizados pela empresa, o que torna o sistema mais vulnerável a ameaças. E, muitas das vezes, o problema fica tão sério que o usuário se vê obrigado a formatar todo o celular.

Ressalta-se que há vários tipos de malwares para celulares, incluindo Cavalos de Tróia, spywares e vírus destrutivos. Uma das ameaças mais recentes é o Fake Defender, um malware exclusivo para Android, que trava o aparelho do usuário e exige o pagamento de um determinado valor como resgate.

No Brasil, ao invés de apps falsos, o que mais acontece é o ataque de phishing, em formato específico para usuários de smartphones e tablets, que manda uma mensagem falsa, via SMS ou redes sociais, como armadilha para “fisgar” vítimas incautas. Outra fonte de problemas para usuários de tablets e smartphones são redes Wi-Fi em locais públicos, como shoppings, aeroportos e restaurantes. 

Há o risco de haver, nestes lugares, falsos pontos de acesso Wi-Fi implantados por criminosos. O brasileiro precisa parar de usar tais redes sem preocupação. Não é recomendado usar aplicativos de bancos ou redes sociais nessas redes. Há sério risco de roubo da senha.

A adoção da prática conhecida como BYOD (sigla em inglês para “traga seu próprio dispositivo”) nas empresas também traz problemas para companhias e funcionários. As empresas ficam vulneráveis aos hábitos digitais dos colaboradores. De acordo com a Symantec, o custo médio anual causado às empresas brasileiras por incidente cibernético advindo de dispositivos móveis é de US$ 296 mil. Um cenário que tende a se agravar, já que a Gartner estima que, até 2018, 70% dos trabalhadores do mundo usarão dispositivos móveis no trabalho.

Observa-se que o sistema operacional móvel mais usado no mundo, o Android, é hoje também o principal alvo de vírus do mercado. Em 2012, o sistema do Google concentrou 79% das ameaças digitais criadas para dispositivos móveis, segundo pesquisa da finlandesa F-Secure. Na sequência, estaria o Symbian da Nokia, que foi descontinuado, com 19%, seguido pelo iOS da Apple, com 0,7%.

Além de ser a plataforma mais usada no mundo, com cerca de 70% do mercado – o equivalente a sete em cada dez smartphones –, o Android é um sistema aberto, o que pode aumentar os riscos.

Sistemas como Windows Phone e Blackberry OS, embora também sujeitos a infecções, são fechados e atualmente possuem menos vírus. Já o usuário de Android não pode se dar ao luxo de não usar antivírus, como os disponibilizados (gratuitamente) pela PSafe e pela Avast.

Muitas pessoas hoje enfrentam problemas de segurança no smartphone mesmo tendo instalado aplicativos diretamente da loja oficial Google Play. Em alguns casos, depois da instalação, as pastas do smartphone (como as de música, vídeos, entre outras) começam a se multiplicar sozinhas.

Quando se tenta apagar algumas, elas todas desaparecem e se perde todo o conteúdo. A solução muitas vezes passa por restaurar o sistema inteiro. Muitos aplicativos também carregam spam e propagandas que deixam o celular lento, ocupando um enorme espaço na memória do telefone.

Mas vírus e malwares não são mais privilégio de um único sistema operacional. Todos estão sendo cada vez mais visados, com ataques concentrados no Android e nos dispositivos móveis da Apple.

Até 2012, havia o mito da “imunidade a vírus” no sistema iOS. Este mito se desfez quando surgiu naquele ano o cavalo de Tróia Flashback, que se disfarça como um plugin do Adobe Flash. Foi um pesadelo para os devotos dos dispositivos móveis da Apple, pois este cavalo de Tróia conseguiu roubar milhares de nomes de usuários e senhas.

Um estudo da empresa SourceFire apontou, no ano passado, que o iOS acumulou um número maior de vulnerabilidades do que todos os seus concorrentes juntos nos últimos anos – 81%, contra 6% do Android. Mas o mesmo estudo destaca que a utilização do iTunes e as regras da Apple para apps em sua loja virtual acabam ajudando a proteger usuários e a reduzir casos de malware.

Veja agora a que se deve ficar atento, em relação a ameaças e proteção dos dispositivos móveis. Seguem nossas 4 dicas:

• Sinais de que um dispositivo foi infectado por vírus: a bateria descarrega rapidamente; o aparelho tenta se conectar sozinho a outros, via Bluetooth; a conta do celular fica mais alta do que a de costume ou os créditos acabam muito rápido.
• Riscos a que o usuário está exposto, se o dispositivo for infectado: vazamento de informações pessoais, como senhas e dados bancários; furto de imagens do álbum de fotografias; vazamento de dados da lista de contatos; destruição do sistema operacional do aparelho, podendo causar danos também ao hardware; ter ligações interrompidas ou impedidas.
• Como remover vírus de tablets ou smartphones: apague o aplicativo suspeito de causar a infecção; instale um antivírus no aparelho e faça uma varredura; conecte o celular ao computador e faça uma varredura com um antivírus, como em um pen drive; se os passos anteriores não resolverem, restaure as configurações originais do aparelho (esta operação apaga todos os dados salvos no dispositivo).
• Como proteger o dispositivo e evitar possíveis infecções: use senha para bloqueio e desbloqueio do aparelho; desconfie de SMS, mensagens de WhatsApp, redes sociais e e-mails que peçam senhas de acesso; procure instalar aplicativos somente de fontes seguras, tais como lojas oficiais; mantenha o sistema operacional atualizado; use um antivírus; jamais clique em links suspeitos; evite usar Wi-Fi gratuito; busque referências de outros usuários antes de instalar um aplicativo em seu dispositivo; verifique a lista de permissões do aplicativo (por exemplo, um app de alarme não deve solicitar acesso aos contatos para ser instalado).

Por fim, esperamos que tenhamos contribuído com nossas explicações e dicas de segurança para aparelhos móveis. Bons ventos a todos vocês, queridos leitores, e até o nosso próximo artigo!

Ciberespionagem e Inovação em CiberSegurança - 3 Passos para Obter um Círculo Virtuoso

Os avanços e desafios da nova era da ciberespionagem e a necessidade

de inovações urgentes no mundo da segurança da informação

No artigo anterior, foi descrita a Internet profunda, com seus segredos, riscos e ameaças. Neste artigo, abordaremos a ciberespionagem global e a necessidade de inovação na cibersegurança, em seu conceito mais holístico e estratégico, evitando armadilhas dos pontos cegos nas corporações, que muitos executivos de alto nível (C-Level) podem não se interessar em enxergar, mas que episódios recentes os estão obrigando a rever conceitos.

Entre eles, destacam-se as revelações de Edward Snowden[1] sobre o fato de que a NSA e outras agências de inteligência governamentais que formam os “Five Eyes” (EUA, Reino Unido, Canadá, Austrália e Nova Zelândia) têm agido fora do padrão esperado. Ou seja, coletam e fazem uso massivo da informação que emerge do “big data” gerado pelo mundo cada vez mais digital, tendo como foco não mais somente alvos militares, diplomáticos, de terrorismo ou crime organizado, como esperado. Porém, quebrando este paradigma, obtêm vantagens econômicas e competitivas para seus países, golpeando a privacidade de líderes e órgãos de Estados, empresas e, em última instância, de todos os cidadãos do planeta.

Isto ocorre pela coleta e armazenamento massivo e indiscriminado de posts, e-mails, vídeos, fotografias, áudios, telefonemas e mensagens em provedores de acesso e serviços à Internet e em empresas de telecomunicações. Tive inclusive a oportunidade de acessar parte do material revelado por Snowden, durante entrevistas concedidas ao programa “Fantástico”. Fiquei assombrado com o poderio observado, ainda que na última década já viesse fazendo este tipo de pesquisa para palestras e entrevistas, pela experiência como oficial da Marinha ciberespecialista.

Sempre soube, por exemplo, que celular é um aparelho de espionagem que também faz ligações (mesmo desligado, pode ser usado para escuta clandestina se permanecer com bateria, ao ser ativado velada e remotamente). E que, quando todas as demais barreiras são ultrapassadas, uma criptografia forte se torna o obstáculo extremo para proteção dos dados cibernéticos.

O impacto do caso da NSA/Snowden nos negócios brasileiros foi enorme. Segundo pesquisa da Alvarez & Marsal (A&M), 66% das empresas do país afirmam que o caso tem afetado seu nível de confiança em transações na Internet. Corporações e clientes passaram a ter mais cuidado ao fazer negócios com entidades em que não podem confiar para proteger seus dados de forma eficaz.

Mas não foram somente as agências de espionagem que mudaram o modo de agir. Como se não bastasse essa alteração de paradigma na espionagem global, os hackers também modificaram seus métodos de operação ao longo do tempo, passando do uso de vírus destrutivos bastante ruidosos no passado a acessos remotos acobertados e silenciosos, lançando hoje ataques cada vez mais diversificados, direcionados e especializados.

Neste cenário, o crescimento contínuo de ataques cibernéticos acarreta duas implicações chave. A primeira é que, em dado momento, toda organização se verá diante de uma crise cibernética. Como resultado, todo líder corporativo deve conhecer e assumir os riscos cibernéticos. A segunda, é que há necessidade urgente da organização efetuar mudanças radicais no modelo atual e amplamente aceito de Cibersegurança, baseado em compliance com padrões tradicionais. Esta abordagem, simplesmente, não funciona mais.  Para estar preparado para as ameaças cibernéticas emergentes e responder a elas de forma proativa e precisa, as corporações devem desenvolver inteligência das ameaças baseada nas evidências e na consciência situacional.

Neste cenário de novas ameaças, os líderes devem tomar para si a responsabilidade dos riscos cibernéticos de sua empresa. Não é mais suficiente para o CEO simplesmente dizer à equipe de TI: “consertem isso”. Na mesma pesquisa da A&M citada, 52% dos brasileiros entrevistados afirmam que Cibersegurança deve ser preocupação prioritária dos líderes empresariais. No entanto, 28% ainda acha que é uma responsabilidade da TI, o que é um amplo ponto cego. Além disto, 74% das empresas brasileiras afirmam que aumento do orçamento reduzirá nível de risco em Cibersegurança. Porém, este é outro ponto cego: mais dinheiro não é necessariamente a solução, pois antes de se gastar mais, é preciso garantir investimento disponível aplicado em recursos adequados, visando os riscos certos, na hora certa.

Fazer com que a organização esteja preparada para lidar com problemas de cibersegurança não é tarefa fácil e requer iniciativa de toda a organização, que só vem com uma mudança a partir dos altos escalões. Neste contexto, a necessidade de unir negócios e tecnologia exige que a equipe executiva desempenhe um novo papel na intersecção entre tecnologia, negócios e risco, a fim de poder iluminar os pontos cegos existentes. No entanto, 47% das empresas brasileiras, conforme a pesquisa da A&M, afirmam que existe um baixo nível de diálogo entre as equipes de segurança e os líderes empresariais. Os líderes de hoje devem ser preparados para lidar com riscos de tecnologia juntamente com os riscos do negócio, ao invés de deixar os problemas de Cibersegurança sob a responsabilidade do CIO.

Outro ponto cego: 60% das organizações não sentem que têm recursos humanos necessários para se proteger e responder a um ataque. Sem a devida competência, não há defesa cibernética, somente uma ilusão dela, e este é o pior cenário para toda corporação – pensar que está segura, quando de fato não está. Pois, como costumamos afirmar, neste ramo não há espaço para amadores.

Os cenários de ameaças são cada vez mais complexos e não estão apenas correlacionadas à tecnologia, na verdade muitas vezes o uso da tecnologia é parte do problema. Assim, não adianta dispor somente de um bom time técnico, pois há necessidade de envolver toda a corporação de forma holística na defesa cibernética. Como resultado, cresce a importância do CISO para a corporação, que deve ser educado para construir uma estratégia dinâmica e abrangente de Cibersegurança, que una os mundos anteriormente distintos de TI e negócios.

No atual e complexo ambiente operacional, as corporações precisam de um modelo de Cibersegurança inovador e dinâmico. Ao invés de confiar em compliance, elas precisam construir um processo de ciberproteção que se adapte e responda continuamente às suas mudanças, das interfaces com clientes, da cadeia de fornecedores e no universo das ameaças cibernéticas.

Segundo um relatório do Information Security Forum (ISF), nos últimos anos, em muitas organizações a equipe de segurança cibernética tem se concentrado em alinhar a estratégia da função de segurança da informação à do negócio. No entanto, nesta era de espionagem globalizada e de cibercriminosos especializados, isso não é mais suficiente: a crescente dependência do negócio ao ciberespaço colocou uma demanda sobre a função de segurança para definir e executar uma estratégia de segurança da informação que vá mais longe rumo à efetiva integração com o negócio.

A transição do alinhamento para a integração é vital para a função de segurança da informação poder fornecer o que o negócio precisa. Em nosso método, definimos três passos que formam um “círculo virtuoso” para levar às corporações uma estratégia integrada de segurança da informação:

1. Compromisso: pois a função de segurança da informação deve ficar perto do núcleo do negócio e adequadamente representada em fóruns de tomadores de decisões-chave, incluindo o conselho de desenvolvimento da estratégia corporativa.

2. Antecipação: para identificar mudanças no cenário de negócios e ameaças que poderiam comprometer ou aumentar a chance de sucesso do negócio.

3. Resiliência: devido à necessidade de reconhecer que é impossível de se defender contra todos os ataques, mas que o planejamento e preparação podem reduzir o impacto potencial. 

Deixamos para o final uma pergunta derradeira, para reflexão do leitor: qual a importância que governos e empresas que lidam com nossos dados utilizem uma estratégia de cibersegurança inovadora, que possa sanar os pontos cegos? Muita gente pensa: “ah, para mim, tanto, faz; vou levando minha vida e esta história não me afeta em nada, não tenho nada a esconder, é problema do governo e das grandes empresas”. Nossa linha de pensamento é que, sem uma adequada estratégia de segurança cibernética, não há privacidade. Sem privacidade, não há liberdade de expressão. E, finalmente, sem liberdade de expressão, não há democracia. E este não é o futuro que sonhamos para nossas próximas gerações, não é mesmo?

Em nosso próximo artigo, abordaremos um tema comum ao nosso cotidiano: a segurança de dispositivos móveis, categoria que inclui desde smartphones até tablets. Aguardem, queridos leitores, e até lá. Bons ventos!

Paulo Pagliusi, Ph.D., CISM

Palestrante e Consultor em CiberSegurança Estratégica

---

[1] Veja em: http://www.mpsafe.com.br/2014/05/fantastico-entrevista-edward-snowden-na.html . Uma notícia recente é a de que o novo livro do Glenn, “No Place to Hide” (Sem Lugar para se Esconder) será utilizado em uma nova produção de Hollywood, do mesmo produtor de “Skyfall”, o último filme de James Bond. http://www.hollywoodreporter.com/news/sony-nabs-film-rights-edward-704063