A cibersegurança tornou-se um pilar fundamental em nossa vida diária, abrangendo desde o trabalho e a educação até interações sociais online. Com o avanço tecnológico, o número de dispositivos conectados à internet em um lar médio americano aumentou significativamente, passando de 14 em 2019 para 25 em 2021. Este cenário expande o escopo para cibercriminosos causarem danos, tornando crucial a compreensão das regras de segurança na internet para proteger você e sua família de ameaças que possam comprometer seus dados e dispositivos.
A Segurança da Informação é a área da informática que se dedica a proteger informações contra acesso não autorizado. Seus princípios básicos são amplamente cobrados em concursos públicos e são a base para qualquer estratégia de defesa cibernética:
Disponibilidade: Garante que a informação esteja acessível para uso quando necessário e desejado por pessoas autorizadas.
Integridade: Assegura que a informação não seja alterada indevidamente no trajeto da origem ao destino, mantendo sua precisão e completude.
Confidencialidade/Privacidade: Determina que a informação seja acessível apenas por pessoas autorizadas, protegendo dados sensíveis.
Autenticidade: Confirma a identidade de quem está enviando os dados, assegurando que a informação é genuína. Este princípio gera o não-repúdio, que significa que o emissor não pode negar a autoria da mensagem.
Dica para concursos: Memorizar e entender esses cinco pilares é crucial, pois são conceitos recorrentes em provas de diversas carreiras.
Os cenários digitais estão em constante evolução, e com eles, surgem novas formas de ataque cibernético. Estar ciente dessas ameaças é o primeiro passo para se proteger:
Roubo de identidade.
Violações de dados.
Malware e vírus.
E-mails de phishing e golpes.
Sites falsos.
Golpes online e de romance.
Conteúdo inadequado.
Cyberbullying.
Configurações de privacidade defeituosas.
Vamos detalhar alguns dos mais comuns e complexos:
Malware é um termo geral para qualquer programa malicioso cuja função é enganar o usuário. Abaixo, os tipos mais comuns:
Vírus: Rotinas programáveis que danificam arquivos ou alteram o funcionamento da máquina. Exemplos incluem:
Vírus de Arquivos: Substituem ou se anexam a arquivos como .COM ou .EXE.
Macro Vírus: Escritos em linguagem de programação macro e anexados a documentos (Word, Excel).
Vírus Mutantes: Modificam-se ao contaminar arquivos, dificultando a identificação.
Vírus de Boot: Infectam o setor de inicialização da máquina (Master Boot Record - MBR).
Stealth Vírus (Vírus Secreto): Disfarçam sua aparência para evitar detecção por antivírus.
Retrovírus: Têm como alvo programas antivírus.
Time Bomb: Projetados para serem executados em data e hora específicas.
Ransomware: Um tipo de malware que bloqueia o acesso do usuário a arquivos valiosos e exige um "resgate" para devolvê-los.
Worm (Verme): Programas parasitas que se multiplicam, criando cópias ilimitadas de seus arquivos ou enviando-os para outros usuários (geralmente via chats), diferente dos vírus que precisam de um hospedeiro.
Spyware (Programa Espião): Monitora as informações de um sistema e as envia para um invasor.
Adware: Softwares que exibem propagandas indesejadas no computador.
Keylogger: Registra tudo que é digitado no teclado para capturar dados como números e senhas de cartão.
Screenlogger: Captura imagens da tela quando o usuário clica com o mouse para obter dados visíveis.
Trackware: Rastreia atividades do sistema e hábitos do cliente, enviando informações para terceiros, geralmente associado a Adwares.
Backdoor: Um programa que permite o retorno do invasor a um computador, criando uma "porta dos fundos".
Rootkits: Escondem ou camuflam procedimentos maliciosos dos métodos de proteção, permitindo acesso exclusivo a um computador e suas informações.
A Engenharia Social é um termo usado para descrever um método de ataque em que o invasor utiliza a persuasão, abusando da ingenuidade ou confiança do usuário, para obter informações sigilosas ou acesso não autorizado a sistemas. É uma "segunda rota de invasão" que explora o erro humano, mesmo em sistemas com políticas de segurança rigorosas.
Os cibercriminosos usam as redes sociais para gerar confiança e obter dados. Com frequência, o objetivo final é a extorsão ou o roubo.
Métodos Comuns de Engenharia Social:
Disfarces: O atacante assume a identidade de alguém com acesso à informação desejada.
Informações Descartadas Incorretamente: Análise de lixeiras físicas ou digitais para obter dados.
Redes de Contato: Amigos e conhecidos podem ser fontes valiosas de informação.
Apelo Sentimental: Histórias convincentes que levam a vítima a crer que está fazendo o bem ou que ganhará algo.
Programação Neurolinguística: Uso de jargões e maneirismos artificiais para dar credibilidade ao disfarce.
Pesquisas na Internet: Coleta de informações em redes sociais e outros sites para construir perfis detalhados das vítimas.
Meios Físicos: Invasores entram em locais de alta segurança bem vestidos, aparentando inocência ou poder, abusando da pressa e gentileza de funcionários.
Como empresas podem se proteger: Treinamento adequado dos funcionários, técnicas de verificação, manutenção da calma e conhecimento básico na interação com o computador. A consciência sobre engenharia social é crucial, pois melhora a proteção do indivíduo contra a auto-infecção.
Dica para concursos: A Engenharia Social é um tema central, pois demonstra a vulnerabilidade humana, que é explorada por golpes como phishing e pharming.
Phishing e Pharming são duas das táticas mais traiçoeiras da engenharia social, amplamente utilizadas para obter dados de forma ilegal. Embora ambas busquem manipular e direcionar o usuário para informar dados que serão usados indevidamente, principalmente para golpes financeiros, suas abordagens são distintas.
Phishing é uma técnica fraudulenta que utiliza mensagens falsas para obter dados sensíveis das vítimas. É caracterizado pelo envio de mensagens via e-mail, SMS, WhatsApp ou outros canais, com propagandas ou avisos enganosos. O objetivo é induzir o usuário a clicar em links, abrir anexos ou fornecer informações pessoais.
Como identificar um ataque de Phishing:
E-mails inesperados ou mensagens com caráter de urgência: Muitas vezes, eles criam uma sensação de pânico, prometendo vantagens mirabolantes ou solicitando confirmação de dados bancários.
Endereço do remetente incorreto ou incomum: O domínio pode não ser o correto ou o formato do nome pode ser estranho.
Erros óbvios de ortografia e gramática: Mesmo em e-mails que supostamente vêm de grandes organizações como bancos. Marcas legítimas se esforçam para garantir que seus sites e comunicações sejam bem escritos e revisados.
Solicitação de informações confidenciais: Bancos e outras instituições financeiras legítimas nunca solicitam informações pessoais, senhas ou detalhes bancários por e-mail.
Links suspeitos: Passe o mouse sobre o link (sem clicar!) para verificar se o endereço de destino corresponde ao que é exibido. Links com erros de digitação ou formatação incorreta são sinais de alerta. Se estiver em um site, verifique se os links direcionam para tópicos relevantes ou esperados; caso contrário, feche a página.
Anexos não solicitados: Especialmente aqueles com nomes de arquivos incomuns.
Pretextos: Mensagens que afirmam que suas credenciais de login estão prestes a expirar e devem ser alteradas imediatamente usando o link do e-mail.
O que fazer: Se não tiver certeza se um e-mail é legítimo, não clique em nenhum link ou anexo. Em vez disso, entre em contato diretamente com a fonte (seu banco, a empresa) por meio de um canal de comunicação oficial (telefone, site oficial digitado no navegador).
Esses são subconjuntos mais sofisticados do phishing.
Spear Phishing: Ataques altamente personalizados que visam indivíduos ou empresas específicas. Os invasores realizam pesquisas extensas sobre seus alvos, utilizando técnicas de engenharia social para criar e-mails excepcionalmente convincentes, que parecem vir de pessoas ou empresas com as quais o destinatário interage regularmente. O objetivo é roubar credenciais de login, informações de cartão de crédito, ou infectar dispositivos com malware.
Dica: Compartilhar muitos dados pessoais online facilita esses ataques. Revise perfis de mídia social e defina configurações de privacidade em níveis altos.
Whaling: Um tipo de ataque de phishing que visa especificamente indivíduos de alto perfil, como altos executivos (C-level), membros do conselho, celebridades e políticos. Esses ataques são projetados para roubar informações financeiras ou confidenciais de empresas, podendo causar danos financeiros e de reputação significativos.
Business Email Compromise (BEC): Ataques que se fazem passar por funcionários da empresa (muitas vezes executivos de alto escalão) para perpetrar fraudes financeiras, solicitando transferências de fundos fraudulentas ou pagamentos de faturas falsas.
Dica para concursos: A distinção entre phishing genérico e spear phishing (ou whaling) está no nível de personalização e pesquisa sobre o alvo, sendo spear phishing muito mais direcionado e elaborado.
Pharming é um tipo de ataque mais sorrateiro e difícil de ser percebido que o phishing. Ele redireciona os usuários de sites legítimos para páginas falsas de forma que o usuário não consegue identificar que a página acessada não é a oficial. Isso geralmente está associado a golpes financeiros, falsificando sites de bancos ou empresas do setor financeiro e de compras online para obter dados bancários.
Como funciona o Pharming:
A grande diferença do pharming é que ele envolve alterações computacionais que atacam a rede do usuário, geralmente através da manipulação do serviço DNS (Domain Name System). O DNS é um serviço que transforma um número de IP em um endereço válido (ex: google.com.br para o IP do servidor). Em um ataque de pharming, o criminoso ataca o servidor DNS, fazendo uma mudança (envenenamento do cache DNS) para que, ao requisitar um site legítimo, o usuário seja redirecionado para um site falso, mesmo que digite o endereço correto. Para o usuário, tudo parecerá normal, incluindo o endereço na barra do navegador.
Como identificar um ataque de Pharming:
Apesar de ser muito difícil de identificar, algumas dicas podem ajudar:
Verifique o certificado de segurança/SSL: Procure por URLs que comecem com "HTTPS" em vez de "HTTP" (o "S" significa "seguro") e que tenham um ícone de cadeado na barra de endereço. Sites falsos podem ter certificados inválidos ou ausentes.
Detalhes do site: Observe erros de ortografia, gramática, imagens pixelizadas, anúncios avassaladores ou mudanças repentinas de cor/tema.
Padrões de pagamento: Sites de comércio eletrônico legítimos usam portais de cartão de crédito/débito ou PayPal. Se um site usa outra forma de transferência digital de dinheiro, pode ser fraudulento.
Dica para concursos: A chave para diferenciar phishing e pharming é a percepção e o método de ataque. No phishing, a vítima é enganada pela mensagem e clica em um link óbvio. No pharming, a vítima é redirecionada para um site falso sem sua percepção, geralmente por manipulação do DNS.
Para evitar os perigos online e reforçar sua segurança, é fundamental seguir um conjunto de práticas de segurança na internet:
Evite Wi-Fi público para transações sensíveis: Conexões Wi-Fi públicas não oferecem controle direto sobre a segurança, deixando você vulnerável a ataques cibernéticos. Se precisar realizar transações pessoais (bancos, compras online) em Wi-Fi público, use uma Rede Privada Virtual (VPN). Uma VPN criptografa seus dados em tempo real, protegendo-os em redes inseguras.
Verifique a confiabilidade dos sites: Qualquer site visitado, especialmente para transações, deve ser confiável. Sempre procure por "HTTPS" no URL e o ícone de cadeado na barra de endereço. Além disso, observe a qualidade do texto (sem erros de ortografia/gramática), imagens (não pixelizadas), anúncios (orgânicos, não avassaladores) e consistência no design.
Cuidado com links suspeitos: Um clique descuidado pode expor seus dados pessoais ou infectar seu dispositivo. Evite clicar em links de fontes não confiáveis, e-mails de spam, questionários ou ofertas "gratuitas". Se receber um e-mail de um banco e estiver em dúvida, ligue para o banco diretamente para verificar, em vez de clicar no link.
Escolha senhas fortes e use um gerenciador de senhas: Senhas fracas são um dos maiores pontos de vulnerabilidade. Uma senha forte deve ter pelo menos 12 caracteres, ser uma combinação de letras maiúsculas e minúsculas, símbolos e números, e evitar o óbvio (sequências, datas de nascimento, nomes de pets). Não reutilize senhas em vários sites. Um gerenciador de senhas pode criar senhas fortes, armazená-las de forma segura e preenchê-las automaticamente.
Ative a autenticação multifator (MFA): Onde disponível, a MFA (também conhecida como autenticação de dois fatores) exige dois ou mais métodos de verificação para acessar uma conta (ex: senha e um código enviado para o telefone ou impressão digital). Isso diminui significativamente a probabilidade de um ataque cibernético bem-sucedido.
Mantenha software e sistemas operacionais atualizados: Desenvolvedores lançam constantemente patches de segurança para corrigir vulnerabilidades. Usar as versões mais recentes garante que você se beneficie das últimas proteções. Isso é crucial para aplicativos que contêm informações sensíveis (pagamento, saúde).
Garanta a segurança dos seus dispositivos: Use senhas, códigos de acesso e opções de segurança biométricas (impressão digital, reconhecimento facial) em todos os seus dispositivos móveis, computadores, tablets, smartwatches e smart TVs. Isso reduzirá a probabilidade de roubo de dados pessoais.
Dica Pix e transações móveis: Estabeleça limites diários para transações no aplicativo do banco. Use chaves Pix aleatórias em vez de CPF para desconhecidos. Nunca faça transações em redes Wi-Fi públicas. Considere bloquear o IMEI do aparelho em caso de roubo, formatá-lo à distância e colocar uma senha no chip (para evitar acesso a recuperação de senhas bancárias via SMS). Evite salvar dados de cartão de crédito no aparelho; use cartões virtuais para compras online.
Faça backup dos dados regularmente: Mantenha cópias de segurança de informações pessoais importantes em discos rígidos externos e crie backups novos regularmente. Isso é essencial para mitigar o impacto de ataques como ransomware.
Feche contas não usadas: Contas antigas, com senhas potencialmente fracas ou políticas de proteção de dados ruins, podem ser um elo fraco para cibercriminosos. Exclua essas contas e solicite a remoção de seus dados dos servidores relevantes.
Cuidado com o que você baixa: Baixe conteúdo apenas de fontes oficiais e confiáveis. Malware pode vir disfarçado de aplicativos (jogos, previsão do tempo) ou ser instalado por "drive-by downloads" em sites maliciosos. Sempre verifique suas pastas de download.
Cuidado com o que e onde você posta: Uma vez online, algo poderá ficar online para sempre, mesmo que você tente remover o original. Evite divulgar informações pessoais sensíveis (CPF, endereço, data de nascimento) em redes sociais. Considere ter uma conta de e-mail secundária descartável para inscrições e assinaturas, separada do e-mail principal.
Cuidado com quem você encontra online: Perfis falsos são comuns. Aplique o mesmo cuidado na sua vida social online que teria na vida pessoal. Evite aceitar solicitações de amizade de desconhecidos, pois podem ser vetor para malware ou roubo de identidade.
Verifique novamente as informações online: A internet está cheia de notícias falsas e desinformação. Se não tiver certeza sobre algo, pesquise em fontes confiáveis que apresentem referências à origem das informações.
Use um bom antivírus e mantenha-o atualizado: Um provedor de antivírus de qualidade protege seus dispositivos e dados contra vírus, malware, spyware, phishing e outros ciberataques. Manter o antivírus atualizado é fundamental para estar à frente das ameaças mais recentes. (Ex: Kaspersky Premium, Kaspersky Plus).
É crucial ensinar às crianças o essencial para se manterem seguras online, pois elas podem acidentalmente se tornar uma porta de entrada para agentes mal-intencionados.
Pegada Digital: Explique que as informações online podem estar prontamente disponíveis e como outras pessoas podem interagir com esses dados. Enfatize o que não é permitido compartilhar (fotos, endereços, telefones, nomes do meio).
Senhas: Ensine a importância de senhas fortes (pelo menos 12 caracteres, mistura de letras, números e símbolos) e seu armazenamento adequado, talvez com um gerenciador de senhas familiar.
Comunicação: Ensine a identificar e evitar mensagens, links e downloads suspeitos de estranhos. Explique sobre cyberbullying e a importância de agir com gentileza online.
Além dos pilares e ataques, outros conceitos são frequentemente abordados em provas:
Firewall: Conjunto de procedimentos de segurança na rede que filtram o tráfego de dados.
Criptografia: Processo de codificação de dados para proteger informações, tornando-as ilegíveis para pessoas não autorizadas.
Criptografia Simétrica: Usa uma única chave para encriptar e decriptar dados, compartilhada entre remetente e destinatário.
Criptografia Assimétrica: Usa um par de chaves (uma pública, compartilhada; e uma privada, que fica com o autor) para encriptar e decriptar, geralmente para pequenos volumes de dados ou assinatura digital.
Certificação Digital: Documento eletrônico que identifica uma pessoa física ou jurídica e servidores web (sites seguros). Emitido por Autoridade Certificadora, funciona como uma assinatura digital com força legal.
Assinatura Digital (DSA - Digital Signature Algorithm): Procedimento que identifica o autor de um arquivo e garante que o arquivo não sofreu alterações no trajeto.
VPN (Virtual Private Network): Rede virtual privada que cria um canal de criptografia entre pontos, elevando a segurança da conexão.
Cracker vs. Hacker: Um Cracker é um invasor de sistema com intenções maliciosas. Um Hacker é um usuário com conhecimento avançado em informática, que também pode invadir sistemas, mas nem sempre com intenções maliciosas. No contexto de segurança, frequentemente a palavra "hacker" é usada de forma genérica para cibercriminosos.
Deep Web (Internet Profunda) e Dark Web (Internet Obscura): A Deep Web é uma zona da internet não facilmente detectada por motores de busca comuns, gerando maior privacidade. A Dark Web é a parte mais profunda e restritiva da Deep Web, que em muitos casos favorece atividades ilegais.
Port Scan (Varredura de Portas): Programa usado para descobrir IPs de computadores.
IP Spoofing (Falso IP): Troca do IP original do invasor por outro, permitindo que ele se passe por outro computador.
IDS/IPS/VNC (Intrusion Detection System): Ferramenta de detecção de intrusão que visa identificar invasões ou uso incorreto de um sistema.
Spam: Mensagem não autorizada, geralmente com conteúdo comercial ou pornográfico.
Hoaxes: Mentiras ou farsas com o objetivo de enganar usuários na rede.
Backbone: Local de segurança onde ficam os servidores de subníveis da rede, para gerenciamento mais seguro e rápido das informações.
O backup refere-se às cópias de segurança realizadas pelo usuário. É uma medida crucial para a disponibilidade da informação e recuperação de dados após incidentes.
Tipos de Backup:
Normal, Total, Completo ou Global: Armazena tudo que foi solicitado, incluindo todos os dados existentes no computador. Marca os arquivos como "copiados".
Incremental: Copia apenas os arquivos criados ou alterados desde o último backup completo ou incremental, e os marca como copiados. Para restaurar, é preciso o último backup normal e todos os incrementais subsequentes.
Diferencial: Copia arquivos criados ou alterados desde o último backup completo ou incremental, mas não os marca como copiados. Para restaurar, é necessário o último backup normal e o último diferencial.
Cópia: Copia todos os arquivos selecionados, mas não os marca como copiados. Útil para backups intermediários sem afetar outras operações.
Diário: Copia todos os arquivos selecionados que foram criados ou alterados no dia da execução do backup diário. Não marca os arquivos como copiados.
Formas de Backup:
Quente (Online): Cópia de segurança realizada enquanto o sistema permanece em execução.
Fria (Offline): Gerenciamento do backup sem interferências externas, com o sistema desativado.
Dica para concursos: A diferença entre backup incremental e diferencial é um clássico em questões de segurança da informação. Entenda bem o que cada um copia e como a restauração é feita.
Muitos conceitos errôneos sobre cibersegurança podem levar a uma postura de risco. Desmistificá-los é crucial.
"A segurança é de responsabilidade do departamento de TI": Embora a TI tenha uma grande responsabilidade, a segurança é uma abordagem em camadas que envolve processos, tecnologia e pessoas. Uma violação de segurança afeta toda a organização, portanto, a preparação é responsabilidade de todos.
"Eu nunca serei um alvo": Cibercriminosos não focam em um único indivíduo, mas nos mais vulneráveis. A postura de excesso de confiança facilita os ataques. Pequenas e médias empresas, por exemplo, são frequentemente alvos por não terem software e equipes de segurança avançados.
"Antivírus assegura 100% da proteção": Antivírus são importantes, mas a proteção cibernética é uma abordagem complexa e multifacetada. Não há uma "bala de prata" que garanta segurança total.
"Saberei imediatamente se algum de meus dispositivos for invadido": Cepas modernas de malware são furtivas e difíceis de detectar. Pode levar meses ou anos para perceber que a segurança cibernética foi comprometida.
A segurança na internet é uma jornada contínua de aprendizado e vigilância. Com a nossa vida cada vez mais digital, compreender os riscos, como identificar ataques como phishing e pharming, e aplicar as dicas de segurança apresentadas neste guia é fundamental para proteger seus dados, sua privacidade e sua família.
Para estudantes e concurseiros, dominar esses conceitos não é apenas uma questão de segurança pessoal, mas também uma habilidade valiosa e um conhecimento exigido nas provas. Mantenha-se atualizado, utilize soluções de segurança confiáveis (como Kaspersky Premium ou Kaspersky Standard para antivírus e VPN), e adote uma postura proativa. A informação é a chave para evitar os golpes de pharming e phishing e para garantir um futuro digital mais seguro.
Invista em sua cibersegurança e aumente suas chances de sucesso em concursos e na vida digital!