Denúncia TECMUNDO: TIM é hackeada e brecha permite exploração por cibercriminosos

A operadora TIM sofreu uma invasão hacker no dia 14 de fevereiro, uma quinta-feira. De acordo com documentos exclusivos recebidos pelo TecMundo, cibercriminosos poderiam se aproveitar de falhas na cibersegurança da empresa para roubar dados pessoais, sensíveis, senhas e perpetuar ataques de spear phishing contra funcionários e clientes da operadora.

A TIM, que foi alertada no dia 15 de fevereiro, enviou um posicionamento sobre o caso, sem muitas explicações, que você acompanha mais abaixo. Os documentos recebidos revelam três ataques diferentes sofridos pela TIM: HTML injection, XSS e XSS com redirect. 

"É possível colocar uma foto na página da TIM se alguém utilizar a URL que eu enviar. Se você mandar esse link para a pessoa, ela realmente vai clicar e vai aparecer a foto, mas isso não alterou o servidor. Só ‘enxerga’ essa alteração quem clicar no meu link”, explica a fonte ao TecMundo. “Imagine um pop-up falso de alerta para todos os funcionários trocarem a senha e adicionarem a senha antiga no pop-up. Isso tudo acontecendo sobre o site real da TIM. O impacto é enorme, é uma informação crítica".

• Os domínios envolvidos e mais detalhes não serão revelados, visto que não sabemos se a TIM já realizou a correção do problema e ainda analisa o material recebido no dia 15 de fevereiro
• 
  
• Atualização: a TIM enviou um posicionamento inicial: "A TIM informa que o caso em questão foi analisado e esclarece que os seus sistemas estão protegidos. A empresa reitera seu compromisso com os mais altos padrões de segurança da informação".

Página da TIM

• A demonstração dos ataques recebe a assinatura do hacker Krypt0n

Isso significa que clientes e funcionários da TIM poderiam acessar o site oficial da operadora e se deparar com um pop-up falso para roubar informações, dados e senhas. Os ataques decorrentes dessa ação envolvem desde o phishing, para roubar dados de bancos e redes sociais, até o credential stuffing, para roubar logins e senhas corporativas.

Sobram questões não respondidas sobre o ataque: 

Há quanto tempo essa falha existia? Já foram feitas vítimas? Alguém já vinha usando essa falha para golpes?

Em miúdos

O XSS (cross-site scripting) e HTML injection são tipos de ataques que enviam comandos maliciosos em páginas na internet. Esses ataques se aproveitam de vulnerabilidades no processo entre a validação de dados recebidos de um usuário e a resposta do servidor de um site.

Cibercriminosos se aproveitam da boa reputação de sites na internet para introduzir códigos que executarão ações maliciosas, como roubar cookies de autenticação dos usuários, credenciais de acesso ou, ainda, direcionar as vítimas para páginas perigosas.

"O fato de o usuário achar que está acessando uma página confiável tende a aumentar o potencial desse tipo de golpe"

Esses tipos de ataques podem ser persistentes ou não. Quando são persistentes, os cibercriminosos consegue enviar comandos maliciosos para serem executados sempre que um usuário abrir aquele determinado site. Um exemplo bem comum são comentários em uma determinada matéria contendo um código malicioso. Nesse caso, sempre que a notícia for aberta por um usuário, o comentário será carregado junto com o ataque.

No caso do ataque ser não persistente, o cibercriminoso precisa enviar a URL do site vulnerável já com o código malicioso introduzido para as vitimas. O uso de engenharia social é bem comum nesse caso.

"O fato de o usuário achar que está acessando uma página confiável tende a aumentar o potencial desse tipo de golpe, que muitas vezes chega a passar por diversas barreiras de segurança", alerta Emilio Simoni, diretor do dfndr lab, laboratório especializado em segurança digital da PSafe.

É tudo uma ilusão

Esse golpe que ilude clientes e funcionários a pensarem que estão no site oficial da TIM pode causar outros dois ataques: phishing direcionado e credential stuffing.

"O Brasil é o país que mais sofre e cai em golpes de phishing no mundo, título recebido em 2018 de acordo com pesquisa da Kaspersky"

Phishing é um dos métodos de ataque mais antigos, já que "metade do trabalho" é enganar o usuário de computador ou smartphone. Como uma "pescaria", o cibercriminoso envia um texto indicando que você ganhou algum prêmio ou dinheiro (ou está devendo algum valor) e, normalmente, um link acompanhante para você resolver a situação. O phishing também pode ser caracterizado como sites falsos que pedem dados de visitantes. A armadilha acontece quando você entra nesse link e insere os seus dados sensíveis — normalmente, há um site falso do banco/ecommerce para ludibriar a vítima —, como nome completo, telefone, CPF e números de contas bancárias.

Quando o phishing é direcionado, o perigo aumenta: o cibercriminoso utiliza informações pessoais que tornam o golpe mais crível, como o local de emprego de uma pessoa.

Já o credential stuffing acontece quando um atacante rouba senhas e emails de outros vazamentos (ou golpes como esse) e força esses logins no site alvo esperando que a vítima não utilize senhas diferentes.

Documentos

Como fazer denúncias ao TecMundo

• Nossos canais são: denuncia@tecmundo.com.br ou felipepayao@protonmail.com

Fonte: TECMUNDO

TIM: leilão do 5G tem que acontecer logo e redes 3G/2G podem ser unificadas

A TIM quer que o leilão das frequências dedicadas ao 5G no Brasil aconteça o quanto antes, segundo declarou Sami Foguel, presidente da operadora no país. Para ele, a nova tecnologia é uma oportunidade de forçar a concorrência baseada em qualidade de serviço e não em preço, como tem sido o caso nos últimos meses.

Foguel falou com jornalistas e investidores durante uma conferência para publicar os resultados fiscais da operadora referentes ao quarto trimestre de 2018. "O ideal é que o leilão aconteça em no máximo um ano para termos mais um ano para a implementação da rede e dos serviços", comentou o executivo.

"Parece que a TIM é a única operadora ansiosa para operar o 5G no Brasil"

Infelizmente, parece que a TIM é a única operadora ansiosa para operar o 5G no Brasil. As outras três grandes estariam, de acordo com o Convergência Digital, sugerindo que o leilão das frequências acontecesse só no fim de 2020, em praticamente dois anos. Vários países já começaram a operar com o 5G em 2019, e os primeiros celulares compatíveis têm sido lançados nos últimos meses.

Em 2018, a Anatel falava em um possível leilão para 2019, mas considerando que as maiores operadoras poderiam ter alguma influência nesse cronograma, existe a possibilidade de ficarmos esperando dois anos para as definições de frequências e, então, mais um ano para as primeiras cidades começarem a receber a tecnologia.

Rede antigas unificadas

Outra proposta revelada pela TIM durante a conferência é a de que todas as grandes operadoras possam unificar sua estrutura nas tecnologias 2G e 3G para que houvesse apenas uma rede compartilhada por todas elas. O objetivo, de acordo com Leonardo Capdeville, chefe de inovação na TIM, é economizar.

Com apenas uma rede, os custos de manutenção seriam compartilhados, fazendo com que as redes mais antigas não gerassem prejuízo a nenhuma empresa. Isso porque o 3G e o 2G estão sendo abandonados pelos usuários rapidamente, mas não se sabe exatamente quando essas tecnologias poderão ser totalmente desligadas.

"Ainda não está claro quando haverá um desligamento"

“Ainda não está claro quando haverá um desligamento. O que está clara é a vontade de buscar um compartilhamento dessas redes para ter algum tipo de rede única ou ran sharinge evitarmos altos custos de manutenção”, defendeu Capdeville.

A TIM também estuda realocar parte das faixas de frequência que ela dedica hoje ao 2G e 3G para que reforcem a crescente demanda pelo 4G. Não se sabe, contudo, se isso afetaria de alguma forma o desempenho das tecnologias mais antigas.

Fonte: TELESINTESE  CONVERGENCIADIGITAL

TIM Beta libera novos convites limitados até o final de fevereiro

O TIM Beta é um programa que por enquanto é fechado. Ele oferece diferentes planos para quem vive conectado o tempo todo e para participar é preciso participar realizar um cadastro e aguardar o convite ou ser chamado por alguém que já participa do TIM Beta Labs. Agora, a companhia volta a distribuir algumas “entradas” até o final de fevereiro.

"Para chegar à categoria “Beta Lab” é preciso ganhar pontos com algumas atividades"

Mas o que é exatamente esse TIM Beta? Bem, é uma espécie de “clube de vantagens” com elementos “gamificados”. Qualquer um pode entrar como Beta Basic, desembolsando R$ 29,90 via central de atendimento. Com relação a esse plano, ele entrega 1,5 GB por mês a R$ 55 e te dá mais 500 minutos para qualquer operadora usando o mesmo código de área, SMS à vontade para qualquer operadora no Brasil, Deezer ilimitado e backup protegido. É possível escolher modalidades por dia ou por semana.

Já para ser Beta "normal", é preciso entrar com convite ou ganhar pontos, o que pode ser realizado com recursos como o “Blablablâmetro”. A “classe” Beta Lab é o posto mais alto — com direito de distribuir alguns convites, entre outras coisas.

O Beta Lab de 20 GB por mês custa os mesmos R$ 55 mensais, mas com 2 mil minutos para qualquer operadora com o mesmo código de área e os outros mimos. Além disso, nessa categoria há várias ações envolvendo eventos, como mamatas em atrações internacionais, participação e hackatons e convenção de quadrinhos, entre outras coisas.

O registro não dá a garantia ao convite e a atual ação, “Quero Ser Beta”, é válida somente para clientes do Pré-Pago — planos Pós e Controle não podem participar. Caso você receba um e-mail ou SMS, então pode passar para outra pessoa ou usar com dados de sua residência CPF. Se já é usuário TIM é possível fazer a migração para o novo plano, o que demora até 10 dias úteis.

Para ver o regulamento completo, acesse este link. Já para participar, entre neste outro.

Fonte: MINHA OPERADORA

TIM é multada em R$ 9,7 mi por cobrar serviços não contratados pelos clientes

Em decisão divulgada nesta quarta-feira (30) no Diário Oficial da União, a Secretaria Nacional do Consumidor (Senacon) impôs uma multa de pouco mais de R$ 9,7 milhões para a TIM, pela prática de cobranças indevidas a seus clientes.

A empresa foi condenada por, ao invés de cobrar apenas o serviço contratado de seus clientes, também embutir nas cobranças os chamados SVAs (Serviços de Valor Adicionados) — como música, horóscopo, tradutor de idiomas e jogos — sem a autorização do consumidor.

A prática foi mais recorrente no período entre 2008 e 2015, mas as cobranças indevidas de serviços pela TIM continuam afetando alguns clientes da operadora até hoje — principalmente os que possuem aparelhos pré-pago. Durante esse período, a empresa ofereceu 80 desses SVAs de maneira indevida aos consumidores.

Além da multa de R$ 9,7 milhões, a empresa devolver em dobro o valor cobrado indevidamente para todos os clientes afetados. Caso persista neste tipo de cobrança, o Senacon poderá também solicitar a suspensão das atividades da TIM no Brasil. Essa decisão levou em consideração uma decisão correspondente ocorrida em setembro de 2018, quando as companhias Vivo, Oi e Claro foram condenadas por cometer o mesmo tipo de cobrança abusiva.

Por meio de nota oficial, a TIM anunciou que ainda não foi formalmente notificada da decisão e que só irá se manifestar após tomar conhecimento dos detalhes da ação. Vale lembrar ainda que essa não é uma decisão em última instância, e segundo a Senacon a empresa possui um prazo de dez dias para recorrer na justiça.

Fonte: Diário Oficial