Cyber Morning Call #227
Cyber Morning Call
IA - A evolução ou desastre
A Eurasia Group apresenta um mapa de riscos para o ano de 2023, informando que países como a China e EUA devem se preocupar com faltas de água e energia, entretanto o item mais preocupante é do de número 3, que se trata do crescimento exponencial do uso e desenvolvimento de inteligências artificiais. O emprego de 
Tecnologias como IA e similares está previsto para ter um grande avanço neste ano, muitos podem acreditar que seja algo louvável ou até que ira facilitar a vida ou rotina de alguma forma, até pode ser que sim, mas isto gera uma grande preocupação, o quanto que o usuário pode ser manipulado. Não há nenhuma estatística que informe até que ponto isso pode chegar, mas com todo o avanço já realizado isso preocupa bastante empresas e partidos políticos, uma vez que as pessoas ficaram incapazes de descobrir o fato da ficção a serem manipuladas, instaurando-se assim o caos por meio de uma tecnologia criada para facilitar a vida do usuário.
Podemos notar que quaisquer ano político redes sociais, meios de comunicação e outros se instauram muitas notícias de origem duvidosa e na maioria das vezes falsa, a fim de atingir um público alvo, este é o medo da escalabilidade de uma IA poder criar as famosas “fake news” e chegar ao ponto de ser tão manipulada e personalizada que o usuário não vai conseguir identificar o fato, ou qual fato, é falso.
Vale ressaltar o caso ocorrido durante uma campanha política nos EUA, o famoso caso da Cambridge Analytics que foi retratado pelo documentário “The Great Hack”. Em resumo, uma empresa de análise que cuidava da campanha do ex-presidente Donald Trump, coletava dados (BIG DATA) de pessoas que tinham chance de virada de voto ou ainda estavam indecisas, está coleta de dados afirma-se que foi com 
base em estatísticas coletadas do usuário e através dos famosos “Teste aqui qual sua casa de Harry Potter” algo semelhante ao buzzfeed no Brasil, o Facebook (atual Meta) nega e não se posiciona sobre quaisquer vazamento ou acesso a dados do seus usuários. Com base nestas informações coletadas pela empresa, eram geradas propagandas direcionadas a regiões ou públicos alvo, com notícias falsas, exageros da campanha oponente, enfim, tudo a fim de virar o voto de um certo grupo de pessoas. Com essa “mágica” a Cambridge Analytics foi capaz de fazer um candidato que não possuía a mínima chance de ser eleito, ao eleito presidente dos EUA.
Refletindo sobre o caso apresentado resumidamente acima, se uma empresa foi capaz de analisar a BIG DATA de uma (ou mais) rede social, mapeou e direcionou publicidade a fim de influenciar um certo grupo, qual a probabilidade de uma Inteligência artificial fazer isto em uma proporção extremamente maior? de forma mais rápida, ágil e com menos falhas, um serviço totalmente personalizável.
Podemos notar que a ameaça existente é não somente a IA, mas que ela pode manipular a nossa forma de pensar e apresentar fatos a fim de confundir ou transformar situações em outras, claro que o principal requisito afetado é a privacidade e liberdade do usuário, assim como seus dados. O que sabem sobre nós? o que não sabem? quais publicações aparecem para mim, com base em que? qual a finalidade? será que vamos ser manipulados, ou já não estamos sendo? – São perguntas válidas para fazer a si mesmo quando abrir uma rede social, ou qualquer outro dispositivo que esteja ligado na rede.
Ameaça: Grande crescimento e aprimoramento de Inteligências artificiais, sendo quase impossível de analisar fatos gerados por tais tecnologias, gerando assim a ameaça de manipulação de informações e fatos.
Requisitos de segurança afetados: Privacidade, Integridade dos dados, autenticidade das informações, Proteção de dados de usuários, População.
Até seu microondas pode estar enviando dados do que você esquenta e quanto tempo, já pensou nisto…
Instituição Financeira Colombiana
Já pensou em receber um e-mail com um financiamento ou carta de crédito ideal para realizar um sonho, ele pode se tornar o seu pior pesadelo. Um vazamento de 
informações ocorreu em uma instituição financeira colombiana, onde foram vazados dados pessoais de seus clientes como: identidade, E-mail, Telefone e informações sensíveis. Estes dados, conforme informado pelo apresentador, foram utilizados em uma campanha de adversários desta instituição. O ataque foi realizado através de uma SQL injection no banco, e teve como intuito fazer phishing com os dados coletados e infectar as vítimas com o BitRAT.
Este ataque foi realizado de uma forma personalizada, algo parecido como citado no texto acima sobre IA, as informações coletadas serviram para personalizar os e-mails disparados, que ao chegar para o cliente possuíam uma grande chance de ser da instituição, estes possuíam planilhas (arquivos do excel) com macros habilitadas para que assim que o arquivo fosse baixado, fizesse o download do BitRAT e o executasse “por baixo dos panos.
Ataques de phishing são os campeões em download de software com malware ou termos do tipo, pois se apresentam da forma ideal ao usuário, parecendo ser outra coisa, alegando ser um e-mail de banco por exemplo, comumente é o mais fácil de atrair pessoas e fazer vítimas. A ameaça é o conteúdo falso gerado pelo grupo ou agente malicioso que pretende se aproveitar de algo, neste caso instalar o malware no computador dos usuários e clientes da Instituição financeira, não só os requisitos de segurança da instituição foram afetados como os dados e computadores de seus clientes. Vale ressaltar a falta de cuidado da Instituição com a forma de guardar seus dados no banco e a forma que armazena os dados dos seus clientes.
Ameaça: Disparo de Phishing com informações sensíveis da instituição financeira com o malware BitRat.
Requisitos de segurança afetados: Dados sensíveis de usuário como (informações pessoais, endereços físicos e virtuais, dados bancários), Ativos de rede da instituição e de seus clientes atacados, IDS e IPS, Playbooks de segurança.
Montadoras de luxo
Quer dar uma voltinha no meu carro autônomo com vírus? É super seguro… Só aparece umas propagandas chatas e ele dá umas travadas.
Vários sistemas de Montadoras de luxo (mais de 19 marcas) foram invadidas, alguns permitiam Bloqueio e desbloqueio do veículo, partida e parada do motor, Localização em tempo real, Ligar e desligar Faróis e até mesmo buzinar. Na Mercedes era possível conectar com sistemas internos da montadora e de concessionárias na marca, já na Ferrari também era possível tomar a conta do cliente.
Citado acima apenas um resumo do que ocorreu com essas montadoras, mesmo sendo marcas de luxo ao que indica não investem muito ou o suficiente na segurança, até mesmo a Rolls-Royce teve seus sistemas invadidos e não se pronunciou. 
Este é um risco com um impacto imenso pois não apenas os sistemas foram invadidos, mas toda a comunicação até o cliente final pode ser interceptada e invadida, isso é um impacto tremendo que compromete com toda a segurança e integridade não só de sistemas, mas de produtos da montadora também. Tudo foi comprometido, desde o sistema de gestão, ao sistema embarcado, neste caso todo o processo de segurança e mapeamento de risco destas empresas devem ser revistos, analisados para encontrar onde ocorreu o vazamento ou brecha. Estas empresas também foram infectadas com o BitRAT.
Ameaça: Vulnerabilidades em montadoras de luxo, inclusive em ativos de veículos
Requisitos de segurança afetados: Controle de Acesso, sistemas embarcados em veículos e dispositivos da montadora, localização de dispositivos, informações e dados sensíveis de clientes e controle remoto de dispositivos.
Flipper Zero
Se trata de um “canivete suiço” para copiar, alterar e colocar ondas de baixa frequência (em resumo), O gadget é capaz de copiar cartões RFID (como Tags ou cartões de acesso), abrir portões, controlar dispositivos a longa distância com a baixa frequência de ondas. A escassez deste produto fez o mercado elevar os preços e nas partes “obscuras da Internet” surgiram lojas falsas vendendo este produto, clonando cartões e até mesmo enviando anexos de phising. Mais uma vez falamos sobre o cenários ideal para outro estilo de phishing aonde o peixe vai sozinho até o balde, a escassez de mercado gerou uma possibilidade que se tornou uma ameaça, às lojas falsas, que por meio destes mecanismos de oferecer o que não estava tão disponível para assim acalmar as “ancias” dos compradores, utilizam deste meio com uma falha de segurança para comprometer meios de pagamento ou até mesmo á máquina do usuário.
Ameaça: Vendas de Flipper Ziro falsas, por preços menores e phishing devido à escassez deste dispositivo.
Requisitos de segurança afetados: E-commerce, proteção contra phishing, autenticidade, confiabilidade.
