Denúncia TECMUNDO: TIM é hackeada e brecha permite exploração por cibercriminosos

A operadora TIM sofreu uma invasão hacker no dia 14 de fevereiro, uma quinta-feira. De acordo com documentos exclusivos recebidos pelo TecMundo, cibercriminosos poderiam se aproveitar de falhas na cibersegurança da empresa para roubar dados pessoais, sensíveis, senhas e perpetuar ataques de spear phishing contra funcionários e clientes da operadora.

A TIM, que foi alertada no dia 15 de fevereiro, enviou um posicionamento sobre o caso, sem muitas explicações, que você acompanha mais abaixo. Os documentos recebidos revelam três ataques diferentes sofridos pela TIM: HTML injection, XSS e XSS com redirect. 

"É possível colocar uma foto na página da TIM se alguém utilizar a URL que eu enviar. Se você mandar esse link para a pessoa, ela realmente vai clicar e vai aparecer a foto, mas isso não alterou o servidor. Só ‘enxerga’ essa alteração quem clicar no meu link”, explica a fonte ao TecMundo. “Imagine um pop-up falso de alerta para todos os funcionários trocarem a senha e adicionarem a senha antiga no pop-up. Isso tudo acontecendo sobre o site real da TIM. O impacto é enorme, é uma informação crítica".

• Os domínios envolvidos e mais detalhes não serão revelados, visto que não sabemos se a TIM já realizou a correção do problema e ainda analisa o material recebido no dia 15 de fevereiro
• 
  
• Atualização: a TIM enviou um posicionamento inicial: "A TIM informa que o caso em questão foi analisado e esclarece que os seus sistemas estão protegidos. A empresa reitera seu compromisso com os mais altos padrões de segurança da informação".

Página da TIM

• A demonstração dos ataques recebe a assinatura do hacker Krypt0n

Isso significa que clientes e funcionários da TIM poderiam acessar o site oficial da operadora e se deparar com um pop-up falso para roubar informações, dados e senhas. Os ataques decorrentes dessa ação envolvem desde o phishing, para roubar dados de bancos e redes sociais, até o credential stuffing, para roubar logins e senhas corporativas.

Sobram questões não respondidas sobre o ataque: 

Há quanto tempo essa falha existia? Já foram feitas vítimas? Alguém já vinha usando essa falha para golpes?

Em miúdos

O XSS (cross-site scripting) e HTML injection são tipos de ataques que enviam comandos maliciosos em páginas na internet. Esses ataques se aproveitam de vulnerabilidades no processo entre a validação de dados recebidos de um usuário e a resposta do servidor de um site.

Cibercriminosos se aproveitam da boa reputação de sites na internet para introduzir códigos que executarão ações maliciosas, como roubar cookies de autenticação dos usuários, credenciais de acesso ou, ainda, direcionar as vítimas para páginas perigosas.

"O fato de o usuário achar que está acessando uma página confiável tende a aumentar o potencial desse tipo de golpe"

Esses tipos de ataques podem ser persistentes ou não. Quando são persistentes, os cibercriminosos consegue enviar comandos maliciosos para serem executados sempre que um usuário abrir aquele determinado site. Um exemplo bem comum são comentários em uma determinada matéria contendo um código malicioso. Nesse caso, sempre que a notícia for aberta por um usuário, o comentário será carregado junto com o ataque.

No caso do ataque ser não persistente, o cibercriminoso precisa enviar a URL do site vulnerável já com o código malicioso introduzido para as vitimas. O uso de engenharia social é bem comum nesse caso.

"O fato de o usuário achar que está acessando uma página confiável tende a aumentar o potencial desse tipo de golpe, que muitas vezes chega a passar por diversas barreiras de segurança", alerta Emilio Simoni, diretor do dfndr lab, laboratório especializado em segurança digital da PSafe.

É tudo uma ilusão

Esse golpe que ilude clientes e funcionários a pensarem que estão no site oficial da TIM pode causar outros dois ataques: phishing direcionado e credential stuffing.

"O Brasil é o país que mais sofre e cai em golpes de phishing no mundo, título recebido em 2018 de acordo com pesquisa da Kaspersky"

Phishing é um dos métodos de ataque mais antigos, já que "metade do trabalho" é enganar o usuário de computador ou smartphone. Como uma "pescaria", o cibercriminoso envia um texto indicando que você ganhou algum prêmio ou dinheiro (ou está devendo algum valor) e, normalmente, um link acompanhante para você resolver a situação. O phishing também pode ser caracterizado como sites falsos que pedem dados de visitantes. A armadilha acontece quando você entra nesse link e insere os seus dados sensíveis — normalmente, há um site falso do banco/ecommerce para ludibriar a vítima —, como nome completo, telefone, CPF e números de contas bancárias.

Quando o phishing é direcionado, o perigo aumenta: o cibercriminoso utiliza informações pessoais que tornam o golpe mais crível, como o local de emprego de uma pessoa.

Já o credential stuffing acontece quando um atacante rouba senhas e emails de outros vazamentos (ou golpes como esse) e força esses logins no site alvo esperando que a vítima não utilize senhas diferentes.

Documentos

Como fazer denúncias ao TecMundo

• Nossos canais são: denuncia@tecmundo.com.br ou felipepayao@protonmail.com

Fonte: TECMUNDO

TIM: leilão do 5G tem que acontecer logo e redes 3G/2G podem ser unificadas

A TIM quer que o leilão das frequências dedicadas ao 5G no Brasil aconteça o quanto antes, segundo declarou Sami Foguel, presidente da operadora no país. Para ele, a nova tecnologia é uma oportunidade de forçar a concorrência baseada em qualidade de serviço e não em preço, como tem sido o caso nos últimos meses.

Foguel falou com jornalistas e investidores durante uma conferência para publicar os resultados fiscais da operadora referentes ao quarto trimestre de 2018. "O ideal é que o leilão aconteça em no máximo um ano para termos mais um ano para a implementação da rede e dos serviços", comentou o executivo.

"Parece que a TIM é a única operadora ansiosa para operar o 5G no Brasil"

Infelizmente, parece que a TIM é a única operadora ansiosa para operar o 5G no Brasil. As outras três grandes estariam, de acordo com o Convergência Digital, sugerindo que o leilão das frequências acontecesse só no fim de 2020, em praticamente dois anos. Vários países já começaram a operar com o 5G em 2019, e os primeiros celulares compatíveis têm sido lançados nos últimos meses.

Em 2018, a Anatel falava em um possível leilão para 2019, mas considerando que as maiores operadoras poderiam ter alguma influência nesse cronograma, existe a possibilidade de ficarmos esperando dois anos para as definições de frequências e, então, mais um ano para as primeiras cidades começarem a receber a tecnologia.

Rede antigas unificadas

Outra proposta revelada pela TIM durante a conferência é a de que todas as grandes operadoras possam unificar sua estrutura nas tecnologias 2G e 3G para que houvesse apenas uma rede compartilhada por todas elas. O objetivo, de acordo com Leonardo Capdeville, chefe de inovação na TIM, é economizar.

Com apenas uma rede, os custos de manutenção seriam compartilhados, fazendo com que as redes mais antigas não gerassem prejuízo a nenhuma empresa. Isso porque o 3G e o 2G estão sendo abandonados pelos usuários rapidamente, mas não se sabe exatamente quando essas tecnologias poderão ser totalmente desligadas.

"Ainda não está claro quando haverá um desligamento"

“Ainda não está claro quando haverá um desligamento. O que está clara é a vontade de buscar um compartilhamento dessas redes para ter algum tipo de rede única ou ran sharinge evitarmos altos custos de manutenção”, defendeu Capdeville.

A TIM também estuda realocar parte das faixas de frequência que ela dedica hoje ao 2G e 3G para que reforcem a crescente demanda pelo 4G. Não se sabe, contudo, se isso afetaria de alguma forma o desempenho das tecnologias mais antigas.

Fonte: TELESINTESE  CONVERGENCIADIGITAL

Vivo, NET e Oi são notificadas pelo Idec após denúncia do TecMundo

As operadoras Vivo, NET e Oi foram notificadas pelo Instituto Brasileiro de Defesa do Consumidor (Idec) após denúncia do TecMundo de que as três empresas estariam compartilhando dados de clientes entre si sem autorização.

O Instituto cita a reportagem do jornalista Felipe Payão detalhando o esquema em que uma base de dados aberta é utilizada pelas três operadoras para prospectar clientes. Segundo as fontes do TecMundo, a base seria de propriedade da Vivo, que teria a compartilhado com concorrentes.

Com isso, quando alguma pessoa liga para alguma das três empresas para pedir a instalação de internet, telefone fixo ou outro serviço de telecomunicação, Vivo, NET e Oi ficam automaticamente cientes do interesse do consumidor.

A base de dados registra todo tipo de informação pessoal, tais como nome completo, CPF, endereço e até uma renda mensal estimada de acordo com o plano de serviços que o cliente havia escolhido.

"Vítimas ficam passíveis de receberem ligações insistentes de centrais de telemarketing oferecendo serviços que elas podem não querer"

Da mesma forma que nossa reportagem, o Idec chega a conclusão de que a prática é ilegal e fere a privacidade dos consumidores em vários níveis.

Isso porque, compartilhando os dados dos usuários com outras empresas sem autorização, as vítimas ficam passíveis de receberem ligações insistentes de centrais de telemarketing oferecendo serviços que elas podem não querer. Isso sem contar a perturbação que isso causa.

Ilegalidade

Segundo Bárbara Simão, analista do Idec, a prática de compartilhamento de dados, além de contrariar regulamentos, viola o Código de Defesa do Consumidor. "No artigo 43, que trata especificamente sobre cadastros, está previsto que qualquer registro de dados pessoais deve ser feito mediante comunicação prévia e por escrito ao consumidor", contou Simão.

Ela também destaca que consumidores devem ser informados sobre como suas informações foram parar em determinados bancos de dados. "Esse compartilhamento representa uma grave violação à legislação consumerista não só pela ausência de comunicação prévia, mas também porque isso configura um desvio da finalidade de sua coleta. Essa prática rompe, também, de maneira mais abrangente, com a boa-fé nas relações de consumo, princípio que é orientador do CDC", completa.

Mais spam

De 2017 para 2018, houve um aumento de 81% no total de ligações não solicitadas feitas por empresas para usuários de telefone celular no Brasil. Os dados são do TrueCaller, principal plataforma de filtragem de chamadas de spam para Android e iOS.

Com isso, nosso país passou a ter a maior quantidade de ligações não solicitadas do mundo, e o aumento pode ser atribuído, em parte, ao compartilhamento de dados entre as três operadoras.

"As companhias notificadas têm um prazo de 10 dias para responder à notificação com argumentos cabíveis"

A notificação do Idec solicita explicações de Vivo, NET e Oi, deixando bem claro que a prática de compartilhamento de dados sem autorização é criminosa.

Todas as companhias notificadas têm um prazo de 10 dias para responder à notificação com argumentos cabíveis. Caso contrário, o Idec pretende levar o caso à justiça.

Colaborou Felipe Payão

Fonte: IDEC

TIM Beta libera novos convites limitados até o final de fevereiro

O TIM Beta é um programa que por enquanto é fechado. Ele oferece diferentes planos para quem vive conectado o tempo todo e para participar é preciso participar realizar um cadastro e aguardar o convite ou ser chamado por alguém que já participa do TIM Beta Labs. Agora, a companhia volta a distribuir algumas “entradas” até o final de fevereiro.

"Para chegar à categoria “Beta Lab” é preciso ganhar pontos com algumas atividades"

Mas o que é exatamente esse TIM Beta? Bem, é uma espécie de “clube de vantagens” com elementos “gamificados”. Qualquer um pode entrar como Beta Basic, desembolsando R$ 29,90 via central de atendimento. Com relação a esse plano, ele entrega 1,5 GB por mês a R$ 55 e te dá mais 500 minutos para qualquer operadora usando o mesmo código de área, SMS à vontade para qualquer operadora no Brasil, Deezer ilimitado e backup protegido. É possível escolher modalidades por dia ou por semana.

Já para ser Beta "normal", é preciso entrar com convite ou ganhar pontos, o que pode ser realizado com recursos como o “Blablablâmetro”. A “classe” Beta Lab é o posto mais alto — com direito de distribuir alguns convites, entre outras coisas.

O Beta Lab de 20 GB por mês custa os mesmos R$ 55 mensais, mas com 2 mil minutos para qualquer operadora com o mesmo código de área e os outros mimos. Além disso, nessa categoria há várias ações envolvendo eventos, como mamatas em atrações internacionais, participação e hackatons e convenção de quadrinhos, entre outras coisas.

O registro não dá a garantia ao convite e a atual ação, “Quero Ser Beta”, é válida somente para clientes do Pré-Pago — planos Pós e Controle não podem participar. Caso você receba um e-mail ou SMS, então pode passar para outra pessoa ou usar com dados de sua residência CPF. Se já é usuário TIM é possível fazer a migração para o novo plano, o que demora até 10 dias úteis.

Para ver o regulamento completo, acesse este link. Já para participar, entre neste outro.

Fonte: MINHA OPERADORA

Denuncia do Canal TecMundo: Vivo, Net e Oi trocam dados pessoais de clientes sem autorização

Dias ou semanas depois de você consultar planos de uma operadora de telefonia, internet ou TV por assinatura, o telefone toca. Do outro lado da linha, está um vendedor de uma companhia concorrente oferecendo os mesmos serviços. Esse cenário vem se tornando cada vez mais comum.

Operadoras de telecomunicações estão supostamente trocando dados pessoais de cidadãos sem cobertura específica para alavancar o número de clientes atendidos. 

O TecMundo recebeu gravações de chamadas ativas em que atendentes da NET e Oi ofereciam planos de banda larga para potenciais clientes que não puderam ser atendidos pela internet de fibra ótica da Vivo. Como eles conseguiram o contato? Supostamente, por meio de uma base de dados aberta e compartilhada pela Vivo.

"A alegação de ambas as operadoras, por meio dos atendentes, foi o compartilhamento de dados entre concorrentes"

Rafael Silva* entrou em contato com o TecMundo afirmando que havia realizado cadastro no site da Vivo para adquirir um plano de fibra ótica, contudo, a região de sua residência não era atendida. No dia seguinte, Silva começou a receber a ligações da Oi e NET oferecendo outros planos de internet.

O posicionamento das operadoras envolvidas nos casos toca na legislação vigente, afirmando que as práticas são legais. Contudo, a Anatel confirmou ao TecMundoque "as prestadoras de serviços de telecomunicações estão proibidas de compartilhar dados de clientes". O Instituto Brasileiro de Defesa do Consumidor (Idec) também foi consultado e afirmou que prática fere o Código de Defesa do Consumidor.

Ouça:

‘Isso não é legal’ x ‘É assim que acontece’

Em uma das ligações recebidas, um atendente da NET foi questionado sobre como eles conseguiram o número. Ele afirma que isso aconteceu “porque você fez um cadastro com a operadora Vivo e, quando ela não tem disponibilidade de atender, outras operadoras atendem”.

“Mas isso é não é legal, né?”, pergunta a mulher. “É assim que acontece”, responde o atendente, que completa: “Aqui tem um cadastro seu pronto que chega para a gente... É só quando não consegue atender né. Aí a gente entra em contato com o cliente pra ver se tem interesse. A própria Anatel faz essa autorização pro cliente não ficar sem serviço”.

"Sim, o senhor não passou. A operadora que o senhor contatou passou para o sistema de todas as operadoras, entendeu?"

Na segunda ligação recebida, o atendente da Oi segue com a mesma resposta para nossa fonte, Rafael. “Por que a Oi tá me ligando?”, pergunta Silva. “Quando o senhor tem interesse por algum serviço de internet, todas as operadoras ligam para o senhor oferecendo serviços de internet. Entendeu? Quando o senhor faz alguma contratação, a gente liga pro senhor oferecendo o serviço”, responde o atendente da Oi.

“Sim, mas eu não passei meu telefone para a Oi”, novamente, pergunta Silva. A resposta do atendente é a seguinte: “Sim, o senhor não passou. A operadora que o senhor contatou passou para o sistema de todas as operadoras, entendeu? Fica no sistema. Mas se o senhor já possui um serviço de internet, eu coloco aqui no sistema que você já possui um serviço de internet. Tá bom?”

Segundo Bárbara Simão, analista do Instituto Brasileiro de Defesa do Consumidor (IDEC), a prática de compartilhamento de dados, além de contrariar regulamentos, viola o Código de Defesa do Consumidor. "No artigo 43, que trata especificamente sobre cadastros, está previsto que qualquer registro de dados pessoais deve ser feito mediante comunicação prévia e por escrito ao consumidor. Ainda, o mesmo artigo prevê que consumidores devem ter clareza sobre as fontes de informação que originaram o banco de dados. Esse compartilhamento, portanto, representa uma grave violação à legislação consumerista não só pela ausência de comunicação prévia, mas também porque isso configura um desvio da finalidade de sua coleta. Um consumidor que preenche um cadastro de uma operadora apenas para a manutenção de sua relação comercial com a fornecedora não pode ter os seus dados posteriormente compartilhados e utilizados por outras empresas para finalidades diversas. Essa prática rompe, também, de maneira mais abrangente, com a boa-fé nas relações de consumo, princípio que é orientador do CDC".

Bárbara Simão adiciona que o caso também envolve "violações evidentes à Lei Geral de Proteção de Dados Pessoais, aprovada em agosto de 2018. Embora ainda não esteja em vigor, é triste que operadoras de telefonia, ao invés de se ajustarem às novas regras, estejam caminhando à sua contramão. Princípios como o da finalidade, necessidade e adequação vão passar a ser norteadores do tratamento de dados pessoais no Brasil, e seria importante e necessário para todos que empresas se adequassem à legislação o quanto antes".

Ouça:

Dados nas mãos erradas

O grande problema desse possível compartilhamento de dados entre empresas é a troca de informações pessoais, como nome completo, endereço, número telefônico, CPF e até uma possível renda mensal baseada na escolha de plano.

Todos estes dados, em um primeiro olhar, parecem inofensivos. Contudo, bases de dados que contém essas informações devem ser tratadas com segurança, notando que a privacidade é a máxima.

Nas mãos erradas, informações como essas são perfeitas para golpes de phishing — que enganam vítimas usando dados atraentes — e até engenharia social.

Outro ponto: quem gerencia estes dados compartilhados, na maioria das vezes, são empresas terceiras contratadas para fazer o telemarketing de ativação.

O que dizem as operadoras

• A Vivo, que supostamente seria responsável por repassar uma base de dados de clientes cadastrados, não negou nem afirmou a existência da base ao TecMundo. Por meio de sua assessoria, a companhia disse que não compartilha dados: "A Vivo atua conforme a legislação vigente e não compartilha com terceiros quaisquer informações que envolvam dados pessoais de seus clientes ou prospecções. A empresa revisa constantemente as suas políticas e procedimentos de segurança, na busca permanente pelos mais rígidos controles nos acessos aos dados dos seus consumidores, e no combate a práticas que possam ameaçar a sua privacidade".

• Enquanto isso, a Oi, que utilizaria essa suposta base, enviou um discurso institucional similar: "A Oi informa que segue a Legislação vigente em relação aos serviços de telemarketing e que preserva o sigilo dos dados pessoais de seus clientes. A companhia acrescenta que vai averiguar o caso relatado pelo veículo".

• A NET seguiu o mesmo caminho: "A NET esclarece que cumpre rigorosamente todas as leis e normas estabelecidas pela Agência Nacional de Telecomunicações (ANATEL) em relação ao atendimento de seus clientes e dos interessados em adquirir os produtos que comercializa. No entanto, está buscando mais detalhes para apurar o caso específico mencionado pelo TecMundo".

O compartilhamento é proibido

A Agência Nacional de Telecomunicações (Anatel) respondeu as questões levantadas pelo TecMundo e enviou detalhes sobre a legislação no que toca operadoras. O órgão deixou claro: "As prestadoras de serviços de telecomunicações estão proibidas de compartilhar dados de clientes, salvo exceções previstas em lei", citando inc. IX do art. 3º da Lei nº 9.472, de 16 de julho de 1997, conhecida como Lei Geral de Telecomunicações (LGT).

"As prestadoras de serviços de telecomunicações estão proibidas de compartilhar dados de clientes"

O órgão também deixa claro que os cidadãos devem ter a privacidade respeitada, segundo artigo 3°: "O usuário de serviços de telecomunicações tem direito ao respeito de sua privacidade nos documentos de cobrança e na utilização de seus dados pessoais pela prestadora do serviço". No âmbito regulamentar, a proteção dos dados pessoais dos clientes está albergada pelo inc. VII do art. 3º do Regulamento Geral de Direitos do Consumidor de Serviços de Telecomunicações, aprovado pela Resolução nº 632, de 7 de março de 2014:

"Exemplos de exceções em que é possível o compartilhamento de dados pessoais entre prestadoras de serviços de telecomunicações tem a ver com a necessidade de tal compartilhamento para o cumprimento de uma obrigação específica. Podem ser mencionados:

• envio de dados pessoais coletados pela prestadora receptora à doadora para possibilitar a portabilidade do número do celular, situação prevista no art. 49 do Regulamento Geral de Portabilidade (RGP), aprovado pela Resolução nº 460, de 19 de março de 2007;

• compartilhamento de dados para permitir o cofaturamento de serviços, isto é, o lançamento de débitos do consumidor de uma prestadora de telecomunicações no documento de cobrança emitido por outra prestadora, hipótese é coberta pelo art. 12 do Regulamento do Serviço Móvel Pessoal (SMP), aprovado pela Resolução nº 477, de 7 de agosto de 2007".

O compartilhamento de dados feito, neste caso, entre operadoras concorrentes, não se enquadra nos exemplos de exceções entregues pela Anatel.

Cidadãos que se sintam lesados podem buscar seus direitos, afirma Bárbara Simão, do Idec. "Caso uma pessoa esteja preocupada com um possível compartilhamento de seus dados (porque tem recebido muitas ligações suspeitas de telemarketing ou qualquer outro motivo), pode perguntar isso para a própria empresa que ligou. Caso não respondam, é possível abrir uma reclamação no Procon ou na Anatel. Se responderem e confirmarem o compartilhamento de bancos de dados, é necessário indicar que a prática é ilegal de acordo com o Código de Defesa do Consumidor e as normas da Anatel e pedir para que os dados sejam eliminados de quaisquer bancos de dados compartilhados com terceiros. 

Caso se recusem a fazer isso, cabe, novamente, fazer uma reclamação no Procon ou na Anatel para que possam iniciar um procedimento administrativo quanto a isso. Esses órgãos podem investigar mais a fundo essas ocorrências e impor as sanções adequadas", finaliza.

Como fazer denúncias ao TecMundo

• Nossos canais são: denuncia@tecmundo.com.br ou felipepayao@protonmail.com

• *Os nomes reais não foram revelados; pedido expresso das fontes 

Fonte: https://www.tecmundo.com.br