Fraude em nome de Diners

Relato aqui mais uma fraude eletrônica que observei hoje, e destaco os pontos importantes.

A mensagem de fraude é esta:

[photopress:fraude_diners.png,full,centered]

Assunto: Parabéns! Seu Diners foi sorteado para participar da promoção Presente Toda Hora.
Remetente (alegado): dinersbrasil@open.art.br
Imagem da mensagem hospedada em: http://lh3.ggpht.com/…/dinersdef32x.jpg
Link de destino apontado pela mensagem: http://www.redirecionadiners.com/www.diners.com.br.php
Link leva ao download de um executável Windows: Diners.exe

Como reconhecer que se trata de uma fraude do tipo “pesca trouxas” (phishing scam):

  • Tema suspeito. Faça a si mesmo perguntas como as seguintes: Você possui esse cartão? Inscreveu-se em alguma promoção? Forneceu e autorizou este endereço de e-mail a receber notificações? Existe mesmo essa promoção, e consta divulgada no site oficial do cartão? Fui sorteado, não está fácil demais? Lembre-se do ditado: “Quando a esmola é grande, o santo desconfia.”
  • Remetente suspeito (embora isso pudesse ser forjado). Por que o domínio “open.art.br”? Por que não um endereço do domínio do site oficial do cartão?
  • Link de destino suspeito, embora pareça verossímil a um leigo.
  • E o principal: Ao invés de levar a uma página de informações, ou cadastro, leva ao download de um executável. Desde quando uma promoção via internet vai exigir instalar e/ou executar um programa em seu computador, para o cadastro? Por que não apenas levar a uma página web de adesão, de preferência no site oficial do cartão? Downloads, ainda mais de arquivos executáveis (programas), são SEMPRE suspeitos até que se prove em contrário.

Aí o preguiçoso e crédulo pode pensar: Se é um arquivo executável, então o antivírus deve detectar vírus ou outro código malicioso.

Não é bem assim. Lembre-se que o antivírus em geral é como um “agente de polícia que procura bandidos baseado exclusivamente em uma lista de procurados; se o sujeito não está na lista, não é considerado bandido ou suspeito”. A “lista de procurados” são os dados recebidos nas atualizações do antivírus.

Se o antivírus não estiver recentemente atualizado, ou se o código malicioso ainda é muito recente e “o bandido não foi denunciado, descoberto e fichado pela polícia”, ou seja, ainda não foi detectado e analisado pelo fabricante do antivírus, o malware não constará na lista e o antivírus não detecta!

Esse é exatamente o caso. A fraude é muito recente, e analisei o arquivo executável nos 43 utilitários antivírus do site VirusTotal.com e nenhum deles ainda reconhece como malicioso no momento em que escrevo este artigo.

Veja reprodução do resultado atual da análise:

[photopress:malware_diners_virustotal.png,full,centered]
(PDF do resultado)

A conclusão é a mesma de sempre: Na internet, desconfie sempre, tenha muito cuidado!

Fraude “Bradesco” – cara de pau passo a passo

Exibo neste artigo o passo a passo de uma fraude do tipo phishing scam (pesca-bobos) que chega por e-mail, para alertar a todos de o que é e como pode aparentar um dos muitos tipos de fraude bancária existentes na Internet.

A mensagem de e-mail

Chega por e-mail um spam, enviados a milhões de pessoas, a seguinte mensagem fraudulenta.

[photopress:fraude_bradesco_email.png,full,centered]

Uma parcela dos destinatários será realmente usuário do banco em questão (Bradesco). Destes, alguns serão ingênuos e desprevenidos o bastante para cair na farsa.

A página web

Quem clica no link da mensagem de correio eletrônico, cujo domínio é muito duvidoso (Pense: por que o banco legítimo usaria um desconhecido atendimento-v6.com e não o domínio do próprio banco bradesco.com.br? Indício claro de fraude) é direcionado para uma página web onde o Passo 1 é escolher o tipo de cliente.

A página web exibe inicialmente uma janela de diálogo para tentar “tranquilizar” o cliente otário…

[photopress:fraude_bradesco_web_01.png,full,centered]

[photopress:fraude_bradesco_web_01_dlg.png,full,centered]

“FIQUE TRANQUILO – Você está operando em um ambiente seguro e criptografado, apartir (sic) de agora somente o seu computador e os nossos servidores centrais entendem as informações digitadas.”

Ambiente seguro??? Não existe ambiente seguro se não há o protocolo HTTPS (observe nesta página de fraude o http comum, sem s, na barra de endereço), quando aparece o famoso cadeado exibido pelo próprio navegador. O cadeado vermelho exibido é uma mera imagem fajuta na página, não significa nada.

Veja a seguir imagens no Firefox (3.6) e Internet Explorer (8) exibindo uma conexão segura real. O endereço começa sempre com https (S de seguro) e o navegador exibe um cadeado. O do Firefox é no canto inferior direito da janela, na barra de estado; o do Internet Explorer 8 passou a ser exibido no final da barra de endereço.

[photopress:https_firefox.png,full,centered]

[photopress:https_ie8.png,full,centered]

Pessoa física – passo a passo

Os passos para pessoa física, ou clientes Prime e Private são praticamente idênticas. Veja a seguir os passos exibidos quando se escolhe Pessoa Física.

[photopress:fraude_bradesco_web_pf_02.png,full,centered]
[photopress:fraude_bradesco_web_pf_02_dlg.png,full,centered]

A digitação da conta inclui o requinte de efetivamente validar o dígito verificador. Se digitado incorreto, a janela de diálogo acima é exibida e não se pode prosseguir.

Na tela de digitação da senha de quatro dígitos, uma mensagem ameaçadora incentiva o usuário a continuar:

“Não cancele a atualização do Plugin de Segurança, pois ocorrerá o bloqueio imediato de sua conta por medidas de segurança.”

[photopress:fraude_bradesco_web_pf_03.png,full,centered]
[photopress:fraude_bradesco_web_pf_03_dlg.png,full,centered]

O script de digitação pelo telcado virtual não funciona no Firefox. No Internet Explorer a digitação funcionou, embora a diagramação da tela é que ficou incorreta, por causa de um número de controle exibido no alto. Veja a seguir.

[photopress:fraude_bradesco_web_pf_03_ie.png,full,centered]

No Passo 4 seguinte, o auge do indício total de fraude: Todos os 70 códigos do cartão de segurança emitido pelo banco são solicitados, e não apenas um como é a medida de segurança nas transações legítimas. Só o fraudador é que precisa de todos os códigos, para usar um deles que for solicitado pelo banco quando ele for utilizar os dados que está roubando aqui.

[photopress:fraude_bradesco_web_pf_04.png,full,centered]
[photopress:fraude_bradesco_web_pf_04_dlg.png,full,centered]

Mais uma vez, a validação. Nenhum código pode ser deixado em branco, senão uma mensagem é exibida e a fraude não prossegue.

O toque final, a senha de seis dígitos do cartão magnético. Novamente, a digitação só funciona no IE.

[photopress:fraude_bradesco_web_pf_05.png,full,centered]
[photopress:fraude_bradesco_web_pf_05_dlg.png,full,centered]

[photopress:fraude_bradesco_web_pf_06.png,full,centered]
[photopress:fraude_bradesco_web_pf_07.png,full,centered]

Pronto, fraude completa! Para quem digitou direitinho e pacientemente tudo, agora o fraudador tem todos os dados secretos da sua conta bancária e está apto a fazer qualquer transação eletrônica nesta conta.

Em um requinte de sofisticação, mais uma validação feita na fraude. Ela salva na sessão do navegador que a fraude foi concluída. Se você fizer tentativa de iniciá-la novamente, é exibida a mensagem a seguir, informando que “sua conta já foi cadastrada (isto é, roubada) com sucesso” pelo programa do fraudador.

[photopress:fraude_bradesco_web_01_again.png,full,centered]

Pessoa Jurídica

Na opção para pessoa jurídica, o Passo 2, em duas etapas, é ligeiramente diferente.

[photopress:fraude_bradesco_web_pj_02A.png,full,centered]
[photopress:fraude_bradesco_web_pj_02B.png,full,centered]

Conclusão

Banco nenhum faz recadastramento ou validação desta forma, muito menos solicitando todos os seus dados sigilosos!

Este tipo de fraude é por formulário, induzindo o próprio usuário a informar docilmente todos os seus dados em uma página de fraude que será enviada ao ladrão.

Outra técnica de fraude existente, quase sempre iniciada por uma mensagem de spam por e-mail, apresenta algum pretexto impactante/alarmante que o faça clicar em um link, baixar e instalar um programa. Este programa tipicamente é um cavalo-de-tróia (trojan) espião, que fica em execução para tentar capturar em seu computador dados bancários ou outras informações sigilosas, para enviá-las ao fraudador via internet.

Para ver mais exemplos de fraude de todos os tipos e organizadas por temas dos pretextos, veja meu artigo: Phishing Scam – A fraude inunda o correio eletrônico.

Nota: os avisos de página falsa e de classificação ruim exibidos no alto de algumas imagens são exibidos pelo Antiphishing nativo do Firefox e pelo plugin WOT, respectivamente. Para saber mais, consulte o artigo Quem avisa amigo é – Classificação de sites.

Fraude Surpreendo – Proteja seus dados pessoais

As fraudes, às vezes, tem aparência realista. Esta que recebi recentemente manteve texto e formatação verossímeis tanto no e-mail quanto na página web apontada pelo link da mensagem. Além disso, ainda conseguiram registrar um domínio com nome convincente. A fraude usa como tema a promoção Surpreenda MasterCard, e para a fraude registraram o domínio supreendo.com.

Conforme lembrou minha amiga e tuiteira Maria Inês, o domínio fraudulento, surpreendo.com, é perigosamente muito parecido com o legítimo, que é surpreendamc.com.br.

Então, qual indício deve deixar o usuário recebedor desconfiado e alerta, a ponto de reconhecer a fraude e não seguir em frente? O excesso de informações pessoais sigilosas solicitadas. Neste caso: nome completo, CPF, e todos os dados do cartão de crédito (número, validade e código de segurança).

Basta raciocinar o seguinte: só com estes três dados do cartão, alguém consegue hoje em dia fazer qualquer compra on-line ou por telefone. E ainda com seu nome completo e — principalmente — CPF, pode criar um cadastro falso (e válido!) em lojas (físicas e virtuais), financeiras e sabe-se lá onde e para que mais.

De fato, todas vez que lhe solicitarem este tipo de informações pessoais sigilosas, seja em que situação for (inclusive fora da internet, pessoalmente ou em um telefonema), pense e confirme cuidadosamente se você confia, acredita e tem segurança integral em quem está solicitando e para que está solicitando, pois são informações das mais valiosas e sensíveis que uma pessoa pode possuir nos dias atuais.

Minha recomendação permance: na Internet, desconfie e tenha cuidado sempre! Infelizmente, pode existir maldade e más intenções em todo lugar.

Veja as imagens (inócuas, são meras reproduções visuais da fraude, sem os links maliciosos) da mensagem de e-mail e da página web:

[photopress:scam_surpreendo.png,full,centered]

[photopress:scam_surpreendo_web.png,full,centered]

Os serviços colaborativos de segurança web no combate à fraude PhishTank e WOT classificaram esta página como fraude, de acordo com a avaliação de vários usuários.

A seguir, dados técnicos e administrativos publicados no registro do domínio. Note que mensagem foi enviada em 16 de fevereiro, e o domínio criado poucos dias antes, dia 10. [Os dados do contato de registro foram mascarados aqui porque foram roubados de uma pessoa e utilizados de forma fraudulenta e ilegítima pelo(s) fraudador(es).]

WHOIS information for surpreendo.com :

[Querying whois.verisign-grs.com]
[whois.verisign-grs.com]

Whois Server Version 2.0

Domain names in the .com and .net domains can now be registered
with many different competing registrars. Go to http://www.internic.net
for detailed information.

   Domain Name: SURPREENDO.COM
   Registrar: UNIVERSO ONLINE LTDA
   Whois Server: whois.host.uol.com.br
   Referral URL: http://registrar.host.uol.com.br
   Name Server: NS1.DOMINIOS.UOL.COM.BR
   Name Server: NS2.DOMINIOS.UOL.COM.BR
   Name Server: NS3.DOMINIOS.UOL.COM.BR
   Status: clientTransferProhibited
   Updated Date: 10-feb-2010
   Creation Date: 10-feb-2010
   Expiration Date: 10-feb-2011

Registrant/Administrative Contact/Technical Contact:
   Name:                ********************************
   Organization:        ********************************
   E-mail:              surpreend@uol.com.br
   Address:             *** ****** *** ****
   Address:             ********
   Address:             RIO DE JANEIRO - RJ
   Phone:               55 21 ********
   Country:             BRASIL
   Created:             2010-02-10
   Updated:             2010-02-10

Há pouco mais de um mês, outra fraude usando a marca MasterCard como tema também circulou na internet. A fraude alegava um recadastramento e levava a um site que também foi registrado com um domínio convincente: mastercardbrasil.com.

Até o momento deste artigo, o endereço continuava ativo, embora felizmente os serviços de combate a fraudes já o tem cadastrado, de forma que tanto o recurso de proteção/notificação contra fraudes nativo do Firefox quanto o serviço WOT alertam para o endereço fraudulento.

Veja a seguir as imagens da fraude.

[photopress:scam_mc_recadastro.png,full,centered]

Observe, no texto da mensagem, certo descuido com a redação, indício comum a muitas fraudes. Vários erros de pontuação, acentuação (fráude, indesejaveis, usuarios), uso de maiúscula no meio da frase (… combate Contra qualquer …) etc. Dificilmente uma mensagem legítima, elaborada por profissionais de marketing, deixaria passar esse tipo de descuido, pois isso poderia prejudicar a boa imagem da marca.

[photopress:scam_mc_recadastro_web.png,full,centered]

No endereço web de destino, observe que são exibidos apenas os alertas sobrepostos do Firefox e do WOT, em lugar da página fraudulenta.

Por fim, apresento a imagem de uma mensagem legítima da promoção “Programa Surpreenda Mastercard”, para que o leitor compare as semelhanças e diferenças com as fraudes anteriormente apresentadas aqui.

[photopress:legitima_surpreenda.png,full,centered]

Para saber mais:

Cuidado – A fraude evoluiu

Desde 2004, venho monitorando fraudes que circulam na Internet brasileira.

Desde então, cresce e se multiplica a fraude mais típica no Brasil até agora: Uma mensagem enviada como spam em larga escala, com um assunto fraudulento qualquer que possa convencer e atrair a atenção de parte dos destinatários, para que cliquem em um link que os fará instalar e deixar em execução um programa espião, tipicamente um “roubador” de dados bancários.

Ao longo destes cinco anos coletando e analisando fraudes, eu mantenho o artigo Phishing Scam – A fraude inunda o correio eletrônico, que lista imagens de mais de duzentos exemplos de fraude, organizados por temas.

As fraudes começaram grosseiras. Mas, inevitavelmente como em qualquer área de conhecimento, para o bem ou para o mal, as coisas evoluem. E a fraude evoluiu.

Ontem, recebi a primeira fraude em que vi uma mensagem personalizada, ou seja, onde incluíram o meu nome verdadeiro na mensagem, para aumentar a verossimilhança.

Isso significa que, ao invés do fraudador usar uma base de dados de spam simples de e-mails para enviar a fraude, agora eles estão utilizando uma base de dados de spam com nome e e-mail.

[photopress:scam_gol_pessoal.png,full,centered]

Figura 1: Reprodução da mensagem de fraude recebida.

Indícios

Dos cinco indícios típicos principais que listo para se identificar fraudes, mais um deles foi suplantado: a impessoalidade. Vamos analisar esta mensagem quanto a estes indícios:

  • Apresentação descuidada: NEGATIVO.

    Esta mensagem tem um layout HTML razoável e inclusive utiliza uma imagem de cabeçalho extraída do próprio site real da Gol Linhas Aéreas. Não apresenta erros grosseiros de português. O texto não está acentuado, mas algumas mensagens legítimas também não utilizam acentos (por razões de compatibilidade). Só há pequenos descuidos, que eventualmente poderiam existir em uma mensagem legítima — e que dificilmente um usuário leigo ou pouco observador perceberia — como: os dados da suposta passagem exibem hora, mas não data nem número do voo; não houve tratamento adequado para que a imagem bem larga (970 pixels) não gerasse barra de rolagem (scroll) lateral.
  • Link destino não confiável: POSITIVO.
    Observe na figura o endereço do link de destino na barra de estado: fotosnovidades.net/d2/GOL_TICKET_Marcio.txt. O domínio Fotosnovidades.net não tem nada a ver com a Gol. Mas isso é um detalhe sutil. Infelizmente, muitos usuários clicam em links sem avaliar antes o endereço destino. E já vi outras fraudes que dissimulam esse indício, usando endereços com nomes mais plausíveis.
  • Informação improvável: NEGATIVO.
    O tema, aquisição de passagens de uma das principais empresas aéreas brasileiras, é perfeitamente plausível a milhares de brasileiros que podem ter recebido a fraude. Além do mais, mesmo uma pessoa que nunca viajou de avião pode ser atraído pela mensagem temendo estar sendo vítima de um roubo de identidade e/ou de uso indevido de seus dados na suposta aquisição de passagem aérea.
  • Impessoalidade: NEGATIVO.
    A atual evolução. A fraude usou uma base de dados de spam mais “apurada”, que contém não só e-mails, mas os respectivos nomes das pessoas, enviando mensagens pessoais e individualizadas. Assim, a fraude utilizou o meu nome verdadeiro.
  • Remetente suspeito: NEGATIVO.
    Esse infelizmente é fácil de fraudar. Assim como em uma carta em papel qualquer um pode escrever o que quiser como remetente, é possível forjar nome e endereço eletrônico do remetente no cabeçalho “De” (From) da mensagem de e-mail. Esta fraude identificou o remetente como "SAC GOL" <noreply@voegol.com.br>, que aparenta ser originado da Gol. Um técnico que inspecione o cabeçalho completo no código-fonte da mensagem pode identificar um servidor SMTP de onde a mensagem partiu suspeito. Mas essa informação é bastante técnica, de difícil compreensão ou análise por um leigo e não é exibida na visualização básica de mensagens.

Ou seja, o único indício de fraude foi o endereço de destino suspeito do link, e mesmo assim esse eventualmente poderia não ser observado ou poderia ter sido dissimulado.

Malware

Neste caso, o endereço de destino levava ao download do malware que meu antivírus (Kaspersky Internet Security 2009) identificou como o programa cavalo-de-tróia espião Trojan-Downloader.Win32.Agent.byij.

Contudo, a detecção dos programas maléficos pelos antivírus depende de uma amostra desse programa ser interceptada na Internet, identificada pelos centro de análise do fornecedor do antivírus e a devida atualização da base de dados do antivírus ser distribuída aos usuários. Isso pode levar alguns ou até muitos dias para ocorrer para cada empresa de antivírus e, até lá, os usuários estão desprotegidos por parte dos antivírus ou outros utilitários antimalware.

Além disso, cientes dessa sistemática, os fraudadores em geral alteram frequentemente o programa espião utilizado na fraude, para dificultar a detecção. Em palavras mais simples, os antivírus e programas de proteção se baseiam em uma “lista de programas malfeitores procurados”; quando o programa malware utilizado na fraude não está na lista do antivírus, ele não é detectado como malfeitor. A situação é ainda mais grave para quem não usa um bom antivírus ou não o mantém constantemente atualizado.

[photopress:scam_gol_web_malware.png,full,centered]

Figura 2: Malware apontado pelo link malicioso, nesta caso detectado pelo antivírus.

Quando submeti o programa malware para análise pelo excelente serviço gratuito VirusTotal.com, ele informou que este arquivo já havia sido analisado (outra pessoa o submeteu antes).

Talvez por isso — já que o VirusTotal.com notifica as empresas antivírus participantes do serviço sobre malwares detectados por algum dos programas — a taxa de identificação do malware tenha sido razoavelmente alta neste caso, em que foi detectado por 27 dos 39 programas antivírus testados (quase 70% deles, portanto).

[photopress:scam_gol_analise_virustotal.png,full,centered]

Conclusão

Portanto, a lei e a segurança evoluem, o crime também. A única arma que sempre continua valendo para o usuário que quer se prevenir nessa guerra é a prática de cautela, atenção, cuidado e desconfiança constantes.

Fraude do dia

Mais um exemplo de fraude por e-mail, dessa vez na onda do processo eletrônico no Brasil.

A fraude se faz passar como originado do Ministério Público Federal, mas usa um endereço remetente (De) stradion.servicos@globo.com que nada tem a ver com o MPF.

Também manda baixar uma suposta “intimação”, mas aponta para um endereço destino ainda mais suspeito, em h1.ripway.com, igualmente nada relacionado com o Ministério Público Federal, cujo sítio real é em mpf.gov.br. Por sinal, no sítio real do MPF, um quadro em destaque no centro da página informa:

O MPF não envia e-mails. Se receber mensagem eletrônica com intimação ou divulgação de brasão, apague-a imediatamente.

Eis a imagem de reprodução da mensagem de fraude:

[photopress:scam_mpf.png,full,centered]

Ironicamente, o brasão exibido na mensagem de fraude é extraído do portal Denunciar.org.br – SaferNet Brasil, que oferece o serviço de Central Nacional de Denúncias de Crimes Cibernéticos.

Para saber mais:

Mais fraudes na selva da Internet

Há muito tempo que eu não comentava ou alertava sobre fraudes circulantes na Internet. Não que elas tenham diminuído, pelo contrário, continuam circulando por e-mail todos os dias aos milhões, inundando caixas postais de todo mundo.

É que as fraudes por e-mail haviam se proliferado tanto nos últimos, e já há tanta informação e alertas sobre elas, que assumi que o assunto já não representava grande novidade e utilidade. Que nada!

As fraudes circulantes no Brasil praticamente sempre têm uma regra geral: Fazem proliferar em grande escala mensagens de correio eletrônico (spam) com um texto mentiroso qualquer — chamado de isca pesca-bobo ou phishing scam — que induza o usuário a clicar em um link, baixar e executar em seu computador um programa espião roubador de dados bancários e pessoais.

Monitorei e coletei por quase três anos (2004 a 2007) centenas de exemplos dessas mensagens de fraude, resultando no artigo Phishing Scam – A fraude inunda o correio eletrônico, que exibe imagens (inócuas) das amostras, que classifiquei em sete grupos de temas:

  • Cartões e Mensagens
  • Notificações Financeiras e Cadastrais
  • Informações e Notícias Bombásticas & Apelos Dramáticos
  • Download de Aplicativos/Utilitários
  • Prêmios, Promoções e Campanhas
  • Temas Adultos
  • Formulários bancários

Também nesse artigo, listei os principais indícios de fraude, um ou mais aspectos que costumam ocorrer em uma mensagem fraudulenta e que devem aguçar a atenção e desconfiança do destinatário:

  • Link destino suspeito
  • Apresentação descuidada
  • Informação improvável
  • Impessoalidade
  • Remetente desconhecido

Pode acontecer, porém, de uma fraude ser sofisticada de forma a evitar a maioria ou até todos desses aspectos. Por exemplo, o texto e a aparência da mensagem de fraude podem ser copiados de alguma mensagem legítima de algum serviço ou fonte notória, conferindo-lhe uma apresentação bem cuidada e conteúdo verossímil.

Outras fraudes podem combinar a técnica de capturar os dados do catálogo de endereços de e-mail de um computador infectado, fazendo parecer que o remetente e o destinatário sejam pessoas realmente conhecidas entre si, mitigando assim os aspectos de impessoalidade e uso de um remetente desconhecido aleatório. E é importante lembrar que a informação de remetente de um e-mail pode ser fraudada com certa facilidade, da mesma forma que se pode escrever qualquer coisa no campo de remetente ao enviar uma carta (papel) pelo Correio convencional.

Mesmo o aspecto de endereço destino suspeito em links apresentados nas mensagens às vezes podem ser dissimulados quando a fraude utiliza um domínio ou endereço que tenham correspondência lógica com o texto da fraude (por exemplo, a fraude fala de uma promoção da loja X e o fraudador consegue utilizar um endereço do tipo http://promolojax.atalho.com).

Programas antivírus e outros mecanismos de proteção Internet automatizada dificilmente conseguem ser muito efetivos para proteger os usuários nesses casos, pois fraudes diferentes se proliferam aos milhões a todo momento, com pequenas variações e mudanças entre uma e outra, o que dificulta a identificação de padrões comuns que permitam aos programas de proteção interceptarem com precisão toda a diversidade de fraudes.

Assim, o único instrumento realmente efetivo é o discernimento do usuário de Internet, ou seja, o exercício constante da desconfiança, da cautela e do bom-senso por todos que usam Internet.

No meu artigo citado, eu apresento mais informações que podem ajudar qualquer usuário a ser mais cuidadoso. Para lidar com os links suspeitos, por exemplo, a dica de segurança é relativamente simples: Sempre verifique o endereço de destino de um link antes de clicar nele. E, na dúvida, não clique.

Como quase todas as fraudes no Brasil tentam executar um programa malicioso em seu computador, outra dica central de extrema efetividade é a seguinte: se um link de uma mensagem solicitar a execução de um programa, não execute prontamente. Mesmo que a mensagem pareça ter vindo do seu melhor amigo, do seu banco, do Governo ou da sua loja preferida na Internet, duvide, questione, pergunte antes, mas não execute!

E um alerta adicional sobre a execução de programas a partir de links: Para piorar a situação, vez por outra ainda surgem fraudes que descobrem e se valem de uma falha ou vulnerabilidade de segurança de um programa de e-mail ou navegador Internet popular para conseguir fazer com que, uma vez que o link seja clicado, o programa consiga executar sem confirmação ou aviso prévio. Ou seja, é realmente melhor nem clicar em um link de uma mensagem suspeita de fraude.

Ficou assustando(a)? Infelizmente, é para ficar mesmo. A imensidão da Internet de hoje em dia é como viver nas grandes metrópoles: existe perigo em cada esquina e cada cidadão (e internauta) precisa ficar permanentemente alerta.

Apresento agora uma fraude brasileira que anda circulando por correio eletrônico nos últimos dias e que me motivou a escrever o presente post. Vi, com tristeza, que alguns conhecidos meus caíram na lorota e foram infectados!…

A fraude se faz parecer como o envio de uma charge (ilustração ou animação de humor) do UOL Charges, com um link para a suposta visualização (na verdade, instalação do programa malicioso). Esse é o tipo de tema que classifico como “Cartões e Mensagens”. Além disso, a fraude ainda combina o uso de nomes e endereços de e-mail de computadores infectados e, por isso, costuma indicar como remetente alguém que você realmente conhece.

Conforme citação que encontrei no fórum portal de segurança Linha Defensiva, esta fraude já circula há muito tempo. Eis um exemplo que coletei ontem (há variações do assunto e do texto da mensagem em circulação):

Assunto: Muito boa essa precisa ver
Remetente: (Alguém conhecido com computador infectado )

Olá fulano@dominio.com ,

Seu Amigo (a) Beltrano – ( beltrano@provedor.com )
Enviou uma WebCharges do UOLCharges no dia 15/02/2008!.

Para a visualização da Animação Utilize:

[:: Visualizar UOL Charge de fulano@dominio.com – lN4AIaCEGZkh5Sa::]

Caso o link não responda, Tente:

[:: Visualizar UOL Charge de fulano@dominio.com – lN4AIaCEGZkh5Sa_9::]

Veja uma imagem reproduzida da mensagem (por questão de privacidade, omiti o nome e e-mails do remetente e destinatário originais):

[photopress:scam_uolcharges.png,full,centered]

Note que o link destino (destacado em vermelho na barra de endereço, na imagem), nesse caso é suspeito e dá claro indício que nada tem a ver com o real portal de humor UOL Charges, cujos endereços são www.charges.com.br ou charges.uol.com.br. O link destino está no suspeitíssimo domínio restauracionesfr.com (existem variações desta fraude apontando para diversos outros domínios, todos eles sem nenhuma ligação ou sequer semelhança com o real Charges.com.br).

Por sinal, o portal UOL Charges já foi tão vitimado como tema freqüente de fraudes que desde 2006 tomou uma medida radical: parou de incluir links nas mensagens legítimas que o serviço permite a alguém enviar convidando um conhecido a ver uma charge. Eis a seguir reprodução do Aviso Importante divulgado no portal Charges.com.br:

Prezado(a) Internauta,

Devido o aumento do número de SPAM e vírus utilizando de forma criminosa nossa marca e a de vários outros sites de sucesso, o Charges.com.br modificou a sua forma de enviar os cartões.

À partir do dia 12/01/2006 o cartão do Charges.com.br terá apenas o código que deverá ser inserido no campo correspondente do endereço: http://charges.uol.com.br/cartao/.

O Charges.com.br está adotando a Política de Segurança de não enviar links nos cartões virtuais. Caso você receba um cartão que tenha um link, pedimos que apague, pois trata-se de um e-mail falso.

Uma sugestão final: Atualmente recomendo o uso do antivírus Kaspersky, que utilizo pessoalmente (não, não recebo nada por recomendar esse programa) há vários anos e posso atestar que é um dos mais rápidos e efetivos em detectar programas maliciosos usados nesse tipo de fraude. O Kaspersky, por sinal, foi recentemente avaliado como o melhor programa de proteção pessoal pela revista INFO Exame (fevereiro/2008) e a empresa Kaspersky Lab eleita como melhor desenvolvedor de soluções de segurança pelos leitores da revista em junho de 2007. Mas nunca se esqueça que as fraudes sempre surgem primeiro que as proteções contra elas, ou seja, nenhum programa garante proteção total nem instantânea.

É, a Internet continua uma selva.

Para saber mais:

Exemplos de fraude (scam) atualizados

Desde o início deste ano eu não atualizava meu artigo Scam – A fraude inunda o correio eletrônico.

Depois de dois anos coletando e categorizando fraudes que circulam por correio eletrônico, os mais de 350 exemplos contidos no artigo já são referência suficiente para ilustrar e esclarecer, de forma muito clara, a todos sobre a verdadeira indústria das fraudes pega-bobos que circulam aos montes no Brasil e no mundo.

No caso do Brasil, praticamente todas essas fraudes têm sempre o mesmo objetivo: roubar dados pessoais da vítima, especialmente senhas bancárias. O que muda basicamente são só os temas de mentiras usados para atrair a vítima e fazer com baixe/execute um programa espião (“roubador” de senhas) ou mesmo forneça diretamente os dados em um formulário.

Hoje porém resolvi adicionar dois exemplos de fraude detectadas recentemente, por se tratar de marcas amplamente conhecidas: cartões Credicard Citi + Itaucard e Caixa Econômica Federal (FGTS).

A primeira fraude leva a um formulário na web que solicita diversos dados pessoais e bancários da vítima, fingindo tratar-se de um recadastro. As imagens (cópia de tela) de exemplo estão as rotuladas com “Credicard” e “Web: Credicard”, na seção Exemplos: Formulário – Nacionais da página principal.

Na página de exemplos sobre Notificações Financeiras e Cadastrais foi adicionado o da fraude “Caixa FGTS”, do tipo download de programa cavalo-de-Tróia espião, que usa a mentira de um suposto crédito de FGTS na Caixa para levar ao programa Trojan-Downloader.Win32.Banload.esq (classificação Kaspersky Lab, 2007-11-03).

Mensagem: Credicard Web: Credicard Mensagem: Caixa FGTS

Tranqüilizo o leitor que as imagens de exemplo aqui e no artigo são inofensivas, apenas cópias de tela (printscreen) das fraudes reais, sem apontar para os programas ou formulários maliciosos originais. Os links das minuaturas acima levam à respectiva página do artigo com mais exemplos. Nas páginas do artigo, clicar em uma miniatura apenas abre a imagem ilustrativa em tamanho real.