Servidores do Banco Mundial são invadidos durante mais de um ano (que absurdo!)

(http://idgnow.uol.com.br/seguranca/2008/10/13/servidores-do-banco-mundial-sao-invadidos-durante-mais-de-um-ano)
Por Computerworld/EUA
Publicada em 13 de outubro de 2008 às 09h38

Framingham - Documentos vazados revelam que servidores confidenciais do Banco Mundial foram invadidos entre julho de 2007 e setembro deste ano.

Alguns servidores do Banco Mundial foram invadidos repetidas vezes por mais de um ano por diferentes crackers, sem estar claro, no entanto, que tipo de dados foram perdidos, segundo notícia veiculada pelo canal Fox News nesta sexta-feira (11/10).

A notícia cita fontes anônimas que afirmam que o Banco Mundial foi vítima de, pelo menos, seis grandes invasões entre julho de 2007 e setembro deste ano.

Pelo menos duas das invasões parecem ter se originado do mesmo endereço IP localizado na China, diz a reportagem. A primeira invasão a partir da China foi descoberta em setembro de 2007 quando o FBI informou o banco sobre o ataque.

Segundo a fonte, este ataque permitiu que o cracker tivesse acesso a um hub secreto mantido pela organização na África do Sul por mais de sei meses.

Outra brecha, desta vez envolvendo a rede financeira do grupo em Washington, nos Estados Unidos, parece ter sido perpetrado por um contratado da empresa Satyam Computer Services, na Índia.

Um funcionário da empresa infectou algumas estações de trabalho no escritório do Banco Mundial com um keylogger, que enviava as informações para um local não especificado.

Após a descoberta, o Banco Mundial encerrou o link de comunicação que tinha com a Satyam para um offshore de desenvolvimento na Índia.

Outras invasões, ocorridas em junho e julho, se originaram do mesmo grupo de endereços IP na China e ganharam acesso a um dos servidores da divisão responsável por aposentadorias no Banco Mundial.

A reportagem também cita um documento interno do Banco Mundial, distribuído em 10 de julho, que atualiza funcionários sobre as invasões em junho e julho. O documento afirma que "um mínimo de 18 servidores foram invadidos, incluindo um de autenticação e outro de recursos humanos com imagens dos funcionários".

Em resposta ao material, o Banco Mundial afirmou que as informações não estão corretas e que os e-mails e documentos vazados estavam fora de contexto. O grupo, no entanto, não contextualizou os arquivos.

  _____  

Jaikumar Vijayan, editor da Computerworld, de Framingham.
Copyright 2008 Now!Digital Business Ltda. Todos os direitos reservados.

Creative Commons - CONBRAI 2008

Combate a Fraudes Corporativas- uma abordagem prática by Ricardo Mathias de Castro, CISA CFE is licensed under a Creative Commons Atribuição-Uso Não-Comercial 2.5 Brasil License.
Based on a work at www.acfe.org.
Permissions beyond the scope of this license may be available at ricardocastro.cisa@gmail.com.

Sistemas de passaporte eletrônico usados em aeroportos são vulneráveis

(http://idgnow.uol.com.br/seguranca/2008/10/01/sistemas-de-passaporte-eletronico-usados-em-aeroportos-sao-vulneraveis)
Por IDG News Service/Reino Unido
Publicada em 01 de outubro de 2008 às 15h14
Atualizada em 01 de outubro de 2008 às 17h08

Londres - Dados em chips de e-passports podem ser modificados sem serem detectados, uma brecha de segurança nos sistemas de aeroportos.

Um pesquisador de segurança holandês demonstrou várias fraquezas no sistema de passaportes eletrônicos que está sendo adotado por mais de 50 países.

Os chips com RFID (identificação de rádio freqüência) embutidos contêm informações biométrias e pessoais. A adoção dos chamados "e-passport" pretende eliminar os passaportes falsos e reforçar a triagem nas fronteiras.

O pesquisador alemão Jeroen van Beek apresentou um kit de ferramentas de software que podem ser usados para incluir dados falsos em chips RFID. 

Em um vídeo demonstrativo, Van Beek mostra como um scanner do aeroporto de Amsterdam lê um passaporte eletrônico que ele configurou com informações e a fotografia de Elvis Presley.

Isso significa que um fraudador poderia criar um passaporte falso com um chip RFID que pareça legítimo. A razão do arquivo parecer legítimo é devido a um problema fundamental de como os governos estão desenvolvendo os sistemas para lidar com os e-passports, disse Adam Laurie, assistente de Van Beek, durante a demonstração.

Dados do passaporte em um chip RFID são assinados com um certificado digital pertencente ao país no qual foi emitido. Sistemas do tipo devem confirmar sua autorização quando escaneia um passaporte, completou Laurie.

Todos os países que estão aderindo ao "e-passport" precisam carregar seus certificados digitais no Public Key Directory, um banco de dados que deve ser consultado para se ter certeza de que o certificado está correto. Mas apenas 10 dos 50 países aceitaram colocar seus sertificados no PKD e apenas cinco estão contribuindo com o banco de dados.

"Basicamente, todo o sistema cai. A segurança está enraizada no suporte que o banco de dados dá aos certificados", disse Laurie.

Na demonstração de Beek, o chip do passaporte eletrônico contendo dados fraudulentos apresenta seu próprio certificado, que parece ser de uma autoridade legítima, mas não é.