Relatório O mercado oculto de dados O mercado de informações digitais roubadas Sumário Este relatório foi pesquisado e redigido por: Charles McFarland François Paget Raj Samani Introdução 3 Escondido em plena vista 4 Dados financeiros 5 Acesso via login 10 Acesso a serviços on-line 12 Identidades 15 Conclusão 18 Introdução Destacamos por que a apatia das vítimas de uma violação de dados e, em última instância, das pessoas cujas informações estão sendo vendidas, pode custar caro. Os dados são, para a economia digital, como o petróleo na economia real. O mercado comercial de dados pessoais está em franca expansão, com grandes bancos de dados com informações de assinantes elevando a valorização das empresas que os possuem, mesmo que muitas ainda não tenham gerado lucros. Com o crescimento do valor comercial dos dados pessoais, os criminosos cibernéticos logo desenvolveram um mercado para venda de dados roubados a qualquer um que tenha um navegador e meios para pagar. No relatório do McAfee Labs de 2013, Cybercrime Exposed: Cybercrimeas-a-Service (A exposição do crime cibernético: o crime cibernético como serviço), demonstramos como as ferramentas, produtos e serviços atuais permitem que qualquer um se torne um criminoso cibernético, independentemente de sua habilidade técnica. Demos continuidade ao assunto com o relatório Lavanderia digital: uma análise das moedas on-line e seu uso no crime cibernético, que explicou detalhadamente as moedas digitais e como elas são usadas para transformar dados roubados em dinheiro. Na época em que Lavanderia digital foi lançado, em 2013, a publicidade decorrente da ação de autoridades policiais contra o site Silk Road informou ao mundo que produtos ilegais poderiam ser facilmente adquiridos on-line. Tais ações demonstraram o quanto o crime tradicional evoluiu com a ajuda do mundo cibernético. A exposição do crime cibernético e Lavanderia digital se concentraram nas ferramentas que auxiliam os ataques. Este relatório tentará responder à pergunta: o que acontece após uma violação bem-sucedida? Imediatamente após a violação da Target, eu coescrevi um blog que rastreou a venda de cartões de crédito roubados e mostrou que, assim como na economia tradicional, o preço dos cartões de crédito roubados caiu quando o mercado foi inundado com novos cartões roubados. O exemplo da Target é apenas a ponta do iceberg. Este relatório oferece mais detalhes sobre esse mercado oculto de dados. — Raj Samani, CTO da Intel Security para a Europa, Oriente Médio e África Twitter@Raj_Samani Twitter@McAfee_Labs Compartilhe este relatório O mercado oculto de dados | 3 Escondido em plena vista O título deste relatório sugere que há uma entrada oculta para um mercado clandestino de produtos criminosos que não é acessível para nós leigos. Na verdade, esse mercado não é tão escondido quanto imaginamos e certamente não exige que se conheça previamente algum ponto de encontro em um local secreto. Cybercrime Exposed: Cybercrime-as-a-Service (A exposição do crime cibernético: o crime cibernético como serviço) destaca o quão acessíveis são esses produtos, ferramentas e serviços a qualquer um com um navegador. Embora não pretendamos repetir as descobertas daquele relatório, o mundo mudou desde que ele foi escrito dois anos atrás. O que mudou? Esse mercado clandestino evoluiu para incluir a venda ou o aluguel de quase todos os produtos imagináveis do crime cibernético. Previmos corretamente que o aumento desse modelo “como serviço” agiria como um estímulo-chave no crescimento do crime cibernético. O recém-publicado Relatório do McAfee Labs sobre ameaças: maio de 2015 oferece evidências disso com a ascensão do ransomware (vírus sequestrador) CTB-Locker. Os autores do CTB-Locker criaram um programa de afiliados como parte de sua estratégia de negócios: os afiliados usam suas redes de bots para enviar spam para possíveis vítimas; para cada infecção bem-sucedida na qual a vítima pague o resgate, o afiliado recebe uma porcentagem do dinheiro. Esse “mercado como serviço” em todos os componentes de um ataque (pesquisa, ferramentas de crime cibernético e infraestrutura) continua a crescer, e mais ainda o “hacking como serviço”, especialmente na forma como os dados roubados são disponibilizados. Destacamos por que a apatia das vítimas de uma violação de dados e, em última instância, das pessoas cujas informações estão sendo vendidas, pode custar caro. Um triste efeito colateral da leitura sobre violações de dados é o conceito de “fadiga por violação de dados”, que é outra forma de dizer “apatia”. O recente artigo I Feel Nothing: The Home Depot Hack and Data Breach Fatigue (Não sinto nada: a invasão da Home Depot e a fadiga por violação de dados) oferece um excelente exemplo de tal apatia: “Como os bancos são responsáveis por nos ressarcir, caso nossos cartões de crédito sejam utilizados indevidamente, e simplesmente recebemos novos cartões (um incômodo, mas nada que mude a vida), eu me junto a você ao reagir com indiferença à divulgação dessas violações”, escreve o autor. Embora a desilusão seja compreensível, considerando-se o fluxo constante de notificações e histórias de violações que detalham o roubo de milhões de registros, é importante reconhecer que se trata de dados sobre nós. Nossas informações estão sendo vendidas abertamente e podemos não sentir as repercussões individuais por algum tempo. É por esse motivo que estamos publicando este relatório: para combater o sentimento de apatia. Não pretendemos espalhar o medo, mas queremos explicar porque nós, como sociedade, devemos nos preocupar quando recebemos notificações de violações enquanto consideramos medidas proativas para reduzir a probabilidade de nos tornarmos vítimas. Um comentário final: não sabemos se os vários exemplos neste relatório são autênticos ou estão vinculados de alguma forma às marcas, conforme afirmam os vendedores. De fato, a excelente reputação de tais marcas tão famosas é usada frequentemente por ladrões como base para promover esse tipo de fraude on-line. O mercado oculto de dados | 4 Dados financeiros A venda de dados financeiros roubados é um assunto relativamente amplo, com uma variedade de tipos de dados à venda e mercados que variam entre a Web visível, por meio de um navegador padrão, e a “Web clandestina”, através de outros métodos de acesso. Violações de dados que envolvem o roubo de dados financeiros, particularmente informações de cartões de pagamento, continuam a dominar as manchetes. Com impacto especialmente sobre varejistas, o roubo de tais informações resulta invariavelmente no surgimento desses dados na Web visível. As informações de cartões de pagamento disponibilizadas nesses mercados variam de preço com base em uma multiplicidade de opções. Um resumo dessas opções é mostrado na tabela seguinte. As categorias anteriores estão relacionadas às informações disponibilizadas juntamente com o número do cartão de pagamento: ■■ ■■ “Software-generated” (gerado por software) é uma combinação válida de um número de conta principal (PAN), uma data de validade e um número CVV2 gerado por software. Geradores de números de cartão de crédito válidos podem ser comprados ou encontrados on-line gratuitamente. Como essas ferramentas podem ser encontradas facilmente, as combinações que elas geram não têm valor de mercado. “Fullzinfo” significa que o vendedor fornece todos os detalhes sobre o cartão e seu dono, tais como nome completo, endereço de cobrança, número do cartão de pagamento, data de validade, número PIN, número de previdência social, nome de solteira da mãe, data de nascimento e CVV2. Ocasionalmente, informações adicionais estão disponíveis para venda. Os dados de cartão de pagamento que incluem “with COB” (com mudança de endereço) referem-se a cartões com informações de login e senha associadas. Ao usar essas credenciais, o comprador pode alterar o endereço de entrega ou cobrança, ou adicionar um novo endereço. Reino Unido Canadá Austrália União Europeia US$ 5–US$ 8 US$ 20–US$ 25 US$ 20–US$ 25 US$ 21–US$ 25 US$ 25–US$ 30 Com número de identificação do banco US$ 15 US$ 25 US$ 25 US$ 25 US$ 30 Com data de nascimento US$ 15 US$ 30 US$ 30 US$ 30 US$ 35 Com Fullzinfo US$ 30 US$ 35 US$ 40 US$ 40 US$ 45 Aleatório Estados Unidos ■■ “Random” (aleatório) refere-se a um número de cartão escolhido aleatoriamente em um banco de dados invadido. Esse número é aleatório quanto ao banco e ao tipo de cartão. Alguns vendedores não fornecem os dados após uma compra. Afinal, a quem o comprador vai reclamar no caso de as informações roubadas não serem entregues? No entanto, conforme descrito na imagem seguinte, muitos vendedores entregam as informações de cartões roubadas juntamente com todas as informações associadas. “CVV” é uma sigla do setor que significa código de verificação do cartão. “CVV1” é um número exclusivo de três dígitos codificado na tarja magnética do cartão. “CVV2” é o número de três dígitos impresso no verso do cartão. Número de cartão de pagamento com CVV2 ■■ Preços estimados, em US$, para dados de cartões de pagamento roubados (Visa, MasterCard, Amex e Discover). Fonte: McAfee Labs Compartilhe este relatório O mercado oculto de dados | 5 Dados de cartões de pagamento com informações adicionais. Os compradores têm muitas opções, incluindo a origem geográfica do cartão e o saldo disponível do cartão. Ambas as opções afetam o preço do cartão, conforme vemos na tabela seguinte. “Dump” de faixas com saldo elevado Preço Track 1&2: PIN para caixas eletrônicos dos Estados Unidos US$ 110 Track 1&2: PIN para caixas eletrônicos do Reino Unido US$ 160 Track 1&2: PIN para caixas eletrônicos do Canadá US$ 180 Track 1&2: PIN para caixas eletrônicos da Austrália US$ 170 Track 1&2: PIN para caixas eletrônicos da União Europeia US$ 190 Preços de “dump” de faixas por cartão. Fonte: McAfee Labs O termo dump refere-se ao processo de copiar eletronicamente as informações da tarja magnética encontrada no verso de cartões de crédito e débito. Existem duas faixas de dados (Track 1 e Track 2) na tarja magnética de cada cartão. A Track 1 é alfanumérica e contém o nome e o número da conta do cliente. A Track 2 é numérica e contém o número da conta, a data de validade, o código CVV1 e dados da instituição responsável. Compartilhe este relatório O mercado oculto de dados | 6 Os preços da lista variam de acordo com a oferta, o saldo e a validade. Alguns desses fatores são detalhados na imagem seguinte. Listas de compras de cartões de pagamento. Conforme ilustrado pela imagem anterior, os compradores têm muitas opções. A venda de dados de cartões de pagamento é comum e está bem documentada em uma série recente de blogs da McAfee. No entanto, tais cartões de pagamento não são o tipo mais comum de dados financeiros visados e, consequentemente, vendidos no mercado aberto. Assim como os cartões, contas de serviços de pagamento on-line também são vendidas no mercado aberto, com preços determinados por fatores adicionais. Tais fatores são, no entanto, consideravelmente mais limitados do que os dos cartões de pagamento, sendo o saldo o único fator decisivo de influência sobre os preços, conforme vemos na tabela seguinte. Compartilhe este relatório O mercado oculto de dados | 7 Saldo da conta de serviços de pagamento on-line Preço estimado por conta US$ 400 – US$ 1.000 US$ 20 – US$ 50 US$ 1.000 – US$ 2.500 US$ 50 – US$ 120 US$ 2.500 – US$ 5.000 US$ 120 – US$ 200 US$ 5.000 – US$ 8.000 US$ 200 – US$ 300 Contas de serviços de pagamento on-line à venda. Fonte: McAfee Labs Os preços dessa tabela são estimativas. Vimos muitos exemplos de serviços à venda que estão fora dessas faixas de preço. Tudo está disponível. Nas imagens seguintes, vemos transferências entre bancos colocadas à venda, e a disponibilidade de credenciais de login bancário. Exemplo de credenciais de login bancário à venda. Compartilhe este relatório O mercado oculto de dados | 8 Exemplo de dados de login bancário à venda. Sempre haverá suspeita sobre a validade dos produtos à venda, visto que muitos indivíduos pagam por dados financeiros roubados e não recebem o que esperavam. Um vendedor refere-se a essa desonra entre ladrões na abertura de seu anúncio: “ARE YOU FED UP OF BEING SCAMMED, AND RIPPED? ARE YOU TIRED OF SCAMMERS WASTING YOUR TIME, ONLY TO STEAL YOUR HARD-EARNED MONEY?” Esse vendedor em especial, apesar de não oferecer cartões de crédito gratuitos que um comprador possa usar como teste, pelo menos oferece uma política de substituição para quaisquer cartões que não ofereçam o saldo anunciado. Outros métodos para garantir a honestidade do vendedor incluem o uso de validação social, com avaliações positivas de outros compradores. Os fóruns estão repletos de conselhos úteis de compradores que negociaram compras bem-sucedidas, assim como quais vendedores evitar. “Hey man, don’t know if you know this, but pulled a exit scam on evo? as far as i know, he pulled an exit scam, then he came back saying his friends had screwed him over, asked people to pay like 4BTC to join his official priviate reselling club. he then just disspeared again. in fact theres a guy called Underwebfullz (or somthing like that) whos doing the same thing on alpahbay, so people think its him” Vendedores que utilizam iniciativas sofisticadas de vendas e marketing estão aproveitando o YouTube para anunciar seus produtos para possíveis clientes. Os vídeos frequentemente tentam proporcionar algum grau de confirmação visual de que são confiáveis para futuros compradores, embora tais abordagens possam surtir o efeito contrário, dependendo dos comentários associados aos vídeos. Compartilhe este relatório O mercado oculto de dados | 9 Acesso via login Outros tipos de dados à venda incluem acesso a sistemas dentro de redes confiáveis de organizações. Os tipos de entrada variam, de acessos diretos muito simples (tais como credenciais de login) àqueles que exigem um determinado grau de capacidade técnica para serem executados (como vulnerabilidades). Na imagem seguinte, podemos ver a disponibilidade de vulnerabilidades que permitem o acesso de possíveis compradores a sistemas de bancos e linhas aéreas da Europa, Ásia e Estados Unidos. Exemplo de acesso a sistemas de bancos e de linhas aéreas à venda. Assim como na venda de dados financeiros, os vendedores esforçam-se para oferecer a possíveis compradores algum tipo de prova de que suas ofertas são válidas. Uma pesquisa recente feita pelo especialista em crime cibernético Idan Aharoni sugere que os tipos de sistemas aos quais os criminosos vendem acesso já incluem sistemas de infraestrutura crítica. Em seu artigo “SCADA Systems Offered for Sale in the Underground Economy” (Sistemas SCADA colocados à venda no mercado negro), Aharoni inclui um exemplo no qual um vendedor mostrou uma captura de tela para provar que tinha acesso ao que parece ser um gerador de hidroelétrica francês. O mercado oculto de dados | 10 Um vendedor afirma que se trata de uma captura de tela de um gerador de hidroelétrica francês, utilizada como prova de que tem acesso a um sistema SCADA de infraestrutura crítica. Assim como nos exemplos anteriores, um comprador pode questionar se o acesso oferecido é de fato válido. Não seria particularmente difícil fazer uma captura de tela e sugerir que representa o acesso. No entanto, essa mensagem representa uma tendência muito preocupante (conforme apontado por Aharoni). Dados roubados de empresas também estão à venda. Na imagem seguinte, vemos um vendedor oferecendo dados roubados de uma universidade. Exemplo de informações roubadas de uma universidade colocadas à venda. Compartilhe este relatório O mercado oculto de dados | 11 Acesso a serviços on-line Muitas pessoas fazem assinaturas de serviços digitais, incluindo música, vídeos, programas de fidelidade e outros. Como essas contas são relativamente baratas, alguém poderia supor que suas informações não oferecem um retorno satisfatório. No entanto, apesar desse aspecto econômico, a disponibilidade de tais contas está difundida por múltiplos mercados, o que sugere uma demanda entre possíveis compradores. Quando uma conta on-line roubada se torna comprometida, seu dono legítimo pode ser afetado de várias formas. A conta pode ser bloqueada ou encerrada devido a atividades maliciosas por parte do comprador — algumas vezes resultando em ligações para o suporte ao longo de semanas. Uma vítima também pode sofrer perdas financeiras em decorrência da compra de itens com informações de cartão de crédito armazenadas, ou perder o acesso a benefícios gratuitos, como pontos de fidelidade acumulados ao longo do uso da conta. Na pior das hipóteses, há circunstâncias nas quais o impacto é muito preocupante. A imagem seguinte mostra um exemplo de contas de serviços on-line à venda. Exemplo de contas de streaming de vídeo on-line à venda. Compartilhe este relatório O mercado oculto de dados | 12 Os usuários de streaming de vídeo on-line são as únicas vítimas? Dificilmente. A triste realidade é que o acesso a quase todos os serviços on-line imagináveis está disponível. Encontramos uma outra conta de serviços de streaming de vídeo on-line à venda por US$ 0,55. Com contas individuais de serviços digitais sendo vendidas por menos de um dólar, os criminosos devem movimentar muitas contas on-line para que seus esforços sejam proveitosos. Outras contas de serviços de streaming de vídeo on-line estão à venda por menos de US$ 1. Muitos serviços de mídia de entretenimento via streaming on-line são vendidos normalmente. É possível encontrar ambas as contas do HBO NOW e do HBO GO por menos de US$ 10, assim como serviços de streaming de outros canais de TV por assinatura. Claramente, serviços de vídeo via streaming são muito procurados. Até mesmo serviços Premium de streaming de eventos de esporte profissional podem ser comprados por US$ 15. Também constatamos a venda de outras contas on-line, incluindo assinaturas vitalícias de contas premium de pornografia, assim como links de indicação gratuitos para o mercado clandestino Agora. Exemplo de acesso a uma conta do HBO GO à venda. Ladrões cibernéticos vendem contas da Marvel Unlimited com acesso barato a HQ digitais. Compartilhe este relatório O mercado oculto de dados | 13 Até mesmo contas on-line gratuitas atraem criminosos. A imagem seguinte mostra uma conta de programa de fidelidade de hotel com 100.000 pontos à venda por US$ 20. Os clientes abrem essas contas legitimamente e sem custo, e ainda assim há um mercado para elas, o que resulta na perda de benefícios adquiridos que, algumas vezes, levam anos para serem acumulados. Até mesmo programas de fidelidade de hotéis estão à venda. Uma motivação para a compra de acesso a contas on-line roubadas é a ocultação da reputação do comprador, devido a práticas de negócios ruins ou simplesmente fraude. Um comprador que deseje adquirir uma nova identidade de negócios em uma comunidade de compra e venda on-line pode pagar muito, mas uma conta consolidada com um bom histórico pode ser ainda mais valiosa. Uma conta de compra e venda on-line à venda. Para necessidades menos restritas, contas de compra e venda on-line estão disponíveis em pacotes de 100, com uma variedade de tipos de contas. Um local de venda de cartões de crédito que também oferece acesso a contas de compra e venda on-line. O mercado oculto de dados | 14 Identidades A venda da identidade de uma vítima é a categoria mais alarmante por ser muito pessoal. A Intel Security colaborou recentemente com autoridades policiais na Europa para derrubar a rede de bots Beebone. Essa rede de bots conseguiu fazer download de malware — incluindo programas ZBot para roubo de senhas bancárias, rootkits Necurs e ZeroAccess, bots de spam Cutwail, antivírus falsos e ransomware (vírus sequestrador) — em sistemas de usuários incautos. Estamos chocados com a falta de ações corretivas por parte dos usuários, especialmente daqueles situados fora dos Estados Unidos e da Europa. Sobre esse assunto, Raj Samani afirma em seu blog que grande parte da sociedade deixa de proteger seus dados adequadamente — muitas vezes com consequências significativas. Na imagem seguinte temos o exemplo da identidade digital de uma pessoa roubada por ladrões cibernéticos. Um possível comprador pode assumir o controle sobre a vida digital desse indivíduo — mídias sociais, e-mail e mais. (Compartilhamos essa informação com autoridades policiais no Reino Unido) Exemplo de identidade à venda. O exemplo anterior, embora repleto de informações, exige que o comprador faça uma leitura cansativa de muitos textos. Mas alguns vendedores oferecem uma interface mais gráfica para atrair possíveis compradores. O exemplo seguinte permite que compradores escolham indivíduos por suas contas de e-mail, o primeiro passo para assumir o controle sobre outras partes das vidas das vítimas. Compartilhe este relatório O mercado oculto de dados | 15 Esse serviço permite que compradores escolham um perfil facilmente. Intimamente relacionado ao mercado de identidades roubadas está o mercado de informações médicas roubadas. Tais dados não são tão fáceis de serem comprados quanto dados de cartões de pagamento, mas há vendedores de informações médicas on-line. O jornalista de segurança Brian Krebs abordou isso no artigo “A Day in the Life of a Stolen Healthcare Record” (Um dia na vida de um prontuário médico roubado), no qual um “fraudador vazou um grande arquivo de texto [que] continha nome, endereço, número de previdência social e outras informações confidenciais de vários médicos de todo o país.” (Veja a imagem seguinte.) Um exemplo de informações roubadas de um serviço médico colocadas à venda. Fonte: Krebs on Security Compartilhe este relatório O mercado oculto de dados | 16 Embora a maior parte deste relatório destaque a venda de dados roubados, algumas vezes eles são compartilhados abertamente, sem custo algum. Na imagem seguinte, a comunidade de hackers Rex Mundi revelou dados de identificação de pacientes porque o serviço Labio não pagou a eles um resgate de € 20.000. Hackers revelaram informações privadas de clientes para punir uma empresa médica por não pagar um resgate. Compartilhe este relatório O mercado oculto de dados | 17 Conclusão Os exemplos do mercado oculto de dados neste relatório são apenas a ponta do iceberg. Omitimos muitas outras categorias e serviços, mas esperamos que esses exemplos tornem clara a ameaça. Neste relatório, abordamos dados roubados colocados à venda. Criminosos cibernéticos também compram produtos que permitem ataques. Isso inclui a compra e o aluguel de explorações e kits de exploração que estão abastecendo um número enorme de infecções por todo o mundo. Catalogar as ofertas disponíveis é impossível porque esse ramo está crescendo a uma velocidade impressionante. Quando lemos sobre violações de dados, o ramo do crime cibernético pode parecer tão distante da vida cotidiana que é tentador ignorarmos a mensagem. No entanto, o crime cibernético é meramente uma evolução do crime tradicional. Devemos superar nossa apatia e prestar atenção à recomendação de combatermos o malware e outras ameaças. Caso contrário, informações de nossas vidas digitais poderão aparecer para revenda a qualquer um com uma conexão de Internet. O mercado oculto de dados | 18 Sobre o McAfee Labs Siga o McAfee Labs O McAfee Labs é uma das maiores fontes do mundo em pesquisa de ameaças, informações sobre ameaças e liderança em ideias sobre segurança cibernética. Com dados de milhões de sensores nos principais vetores de ameaça — arquivos, Web, mensagens e rede — o McAfee Labs oferece inteligência sobre ameaças em tempo real, análises críticas e a opinião de especialistas para aprimorar a proteção e reduzir os riscos. www.mcafee.com/br/mcafee-labs.aspx Sobre a Intel Security A McAfee agora é parte da Intel Security. Com sua estratégia Security Connected, sua abordagem inovadora para a segurança aprimorada por hardware e a exclusiva Global Threat Intelligence, a Intel Security está sempre empenhada em desenvolver soluções de segurança proativas e comprovadas e serviços para a proteção de sistemas, redes e dispositivos móveis para uso pessoal ou corporativo no mundo todo. A Intel Security combina a experiência e o conhecimento da McAfee com a inovação e o desempenho comprovado da Intel para tornar a segurança um elemento essencial em toda arquitetura e plataforma de computação. A missão da Intel Security é oferecer a todos a confiança para viver e trabalhar de forma segura no mundo digital. www.intelsecurity.com McAfee. Part of Intel Security. Av. das Nações Unidas, 8.501 - 16° andar CEP 05425-070 - São Paulo - SP - Brasil Telefone: +55 (11) 3711-8200 Fax: +55 (11) 3711-8286 www.intelsecurity.com As informações deste documento são fornecidas somente para fins educacionais e para conveniência dos clientes da McAfee. As informações aqui contidas estão sujeitas a alterações sem aviso prévio, sendo fornecidas “no estado”, sem garantia de qualquer espécie quanto à exatidão ou aplicabilidade das informações a qualquer circunstância ou situação específica. Intel e os logotipos da Intel e da McAfee são marcas comerciais da Intel Corporation ou da McAfee Inc. nos EUA e/ou em outros países. Outros nomes e marcas podem ser propriedade de terceiros. Copyright © 2015 McAfee, Inc. 62122rpt_hidden-data_1215