Combatendo Fraudes Bancárias na Internet (III)

[Este é o terceiro artigo da série. Para ler o primeiro clique aqui.]

Como em qualquer outra guerra, conhecer o inimigo é fundamental para se conseguir vencê-lo. Vamos começar entendendo como a maior parte das fraudes bancárias são feitas no Brasil, e em seguida mostrar o que a Microsoft está fazendo para evitá-las.

A fraude bancária no Brasil tradicionalmente era feita através de phishing: o fraudador envia um email para a vítima em potencial contendo uma falsa comunicação feita pelo banco, e um link para uma página web mantida pelo fraudador. Esta página web imita o site do banco e pede os dados do cliente (conta, senha, número de cartão, etc.), que são então usados para fazer a fraude.

Esta é a forma usada ainda na maior parte das fraudes nos Estados Unidos, mas que já caiu em desuso no Brasil. A maior parte dos ataques por aqui agora são feitos usando cavalos-de-tróia (trojans) instalados no computador das vítimas. A fraude acontece da seguinte forma:

Primeiro o fraudador envia o email para as vítimas em potenciais, contendo um link para um arquivo trojan armazenado em algum site gratuito , e todo tipo de falsa comunicação que induza a vítima a clicar nesse link. Qualquer coisa vale: cartões de admiradores secretos, recadastramento com a Receita Federal, dívidas com empresa telefônica, etc. O que importa é fazer a vítima clicar no link, e em seguida abrir o arquivo obtido do site.

Se a vítima clica no link e abre o arquivo, o trojan é executado e instalado no computador. Ele faz isso se programando para ser iniciado toda vez que o micro for ligado, e fica rodando em background e monitorando todos os sites que são acessados pelo usuário. Para fazer isso é necessário que o usuário que clicou no link e abriu o arquivo tenha permissões de administrador no Windows - isso é um detalhe muito importante e vamos voltar a ele em breve.

Quando a vítima eventualmente entrar no site do seu banco, o trojan mostrará uma janela pop-up solicitando os dados da vítima (conta, senha, número de cartão, etc.). Note que essa janela pop-up não é um pop-up normal aberto pelo browser, e sim criada pelo próprio trojan. Após a vítima informar os seus dados para o trojan, ele envia um email para o fraudador com estas informações que são então usadas para consumar a fraude.

De tudo isso, quero que você leitor preste atenção em três pontos que são portanto absolutamente necessários para que este ataque seja bem sucedido:

1. O usuário tem que clicar no link enviado pelo email, e em seguida abrir o arquivo que é baixado.

2. O trojan tem que se instalar no computador da vítima para que seja iniciado toda vez que o computador é ligado.

3. O usuário tem que ter direitos de administrador no seu computador quando abrir o arquivo.

Se estas três condições não forem todas verdadeiras o ataque vai falhar, e é sobre elas que se baseia a estratégia de combate da Microsoft.

[Clique aqui para ler post seguinte sobre esse assunto.]