Somos conhecidos pela tecnologia que usamos...
Na F5 Networks, estou cercado de entusiastas de tecnologia — se eu me deparasse com alguma conversa no ambiente de trabalho, na maioria das vezes ouviria falar em Aplicativos…Mais inteligentes…Mais rápidos…Mais seguros.
Em meio a esse grupo, às vezes recebo olhares céticos quando menciono que até mesmo pessoas treinadas e experientes ainda podem ser vítimas de malware. Desafio aceito: elaborar um plano para provar que nosso desejo de permanecer conectados o tempo todo por meio de um dispositivo inteligente nada esperto nos torna presas fáceis.
Plano de ação
Use o truque mais antigo que existe: ataque quando o adversário estiver mais vulnerável. No contexto atual, isso pode ser feito facilmente cortando o acesso da pessoa à internet. Quando viajar é parte essencial do seu trabalho, você percebe que fica nessa situação vulnerável com muito mais frequência do que gostaria.
Então escolhi um alvo e pedi a ajuda de um colega; uma breve investigação revelou que estaríamos em um aeroporto onde não havia internet (gratuita ou não).
Inspirados pela Arte da Guerra, de Sun Tzu, chegamos ao campo de batalha com antecedência e deixamos tudo pronto: Wi-Fi GRÁTIS e sem restrições.
Felizmente, o alvo cai direitinho na armadilha junto com alguns desconhecidos. Ele se conecta ao Wi-Fi GRÁTIS, aceita os termos e condições e instala um programa em troca do inestimável acesso à internet.
Então, decidi dedicar o dia a analisar algumas das outras opções. Há Wi-Fi grátis em toda parte: no shopping, no restaurante etc. Mas um terreno realmente fértil para capturar credenciais confidenciais seria o próprio avião. Eis o que imaginei como vetor de ataque:
Wi-Fi a bordo
Muitas companhias aéreas oferecem Wi-Fi a bordo para acessar conteúdos de mídia (filmes, músicas etc.) e a internet. Normalmente, isso requer duas etapas simples (a experiência pode variar de acordo com a companhia aérea).
Etapa 1: conecte-se ao Wi-Fi gratuito
Etapa 2: Instale um aplicativo para assistir a filmes por streaming etc.
Etapa 3: (opcional) Pague e adquira conteúdo premium
Tudo o que esse ataque exige é uma pessoa mal-intencionada, um laptop e alguns programas para causar estragos. Então, vestindo meu moletom com capuz, tracei o caminho do ataque.
- Configure um ponto de acesso Wi-Fi com um nome que atraia as pessoas (AIRLINENAME_MEMBERSHIP_BETA_FREE_INTERNET). O nome se misturaria aos de outros pontos de acesso Wi-Fi disponibilizados pelas companhias aéreas.
- O ponto de acesso exigirá que o usuário se autentique com os dados de sua associação ao programa de milhagem.
- Para tornar o ataque mais eficaz, o ponto de acesso pode solicitar que o usuário instale um software. Com esse vetor de ataque, os usuários podem ser facilmente induzidos por phishing a instalar malware de fontes externas em dispositivos Android.
- Exiba uma mensagem de erro informando que o ponto de acesso Wi-Fi de alta velocidade BETA atingiu o limite de usuários e solicite que o usuário tente o outro ponto de acesso.
Destaque do dia: Credenciais de programas de fidelidade, números de cartões de crédito e endpoints potencialmente comprometidos para alimentar a economia dos bots
Moral da história
Aquele tuíte que você quer publicar, a selfie incrível que precisa postar no Instagram ou o e-mail importante de trabalho que deseja enviar — tudo isso pode esperar. Avalie o ponto de acesso Wi-Fi gratuito ao qual você pretende se conectar.
Pense bem antes de fornecer qualquer tipo de credencial, pois os cibercriminosos não estão interessados apenas nas suas credenciais financeiras. Lembre-se de que suas milhas de programas de fidelidade podem ser convertidas em créditos da Amazon.
Lembre-se de manter a guarda alta: não instale softwares ignorando as práticas recomendadas. Instalar um aplicativo por fora da loja oficial coloca você em grande risco.
Sobre o autor
Shahnawaz Backer foi consultor principal de segurança na F5 Labs. Com grande interesse em desenvolvimento moderno de aplicações, identidade digital e vetores de fraude, ele se concentra em incorporar inteligência de segurança às soluções e acredita firmemente na defesa proativa automatizada.
Mais publicações de Shahnawaz BackerPublicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...