Tomada de controlo de contas e fugas de dados

Módulo 1: Porque é que você é um alvo · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, saberá explicar como as credenciais de início de sessão roubadas são reutilizadas e o que acontece aos dados que são alvo de uma fuga.
Conceitos chave: tomada de controlo de conta, credential stuffing, infostealer, cookie de sessão, fuga de dados, dados pessoais, combolist

Iniciar sessão em vez de invadir

A forma mais fácil de entrar num sistema não é procurar uma falha, é simplesmente iniciar sessão. Quem tiver o seu endereço de e-mail e a sua palavra-passe não precisa de pirateá-lo. Para o sistema, essa pessoa é simplesmente você. A isto chama-se uma tomada de controlo de conta: outra pessoa assume uma conta e usa-a como se fosse o seu proprietário.

Para uma pequena empresa, a caixa de correio é a conta mais importante. Quem tiver acesso à sua caixa de correio pode:

• através da opção "esqueci-me da palavra-passe", repor as palavras-passe de quase todas as suas outras contas;
• ler o seu correio e enviar uma fatura falsa precisamente no momento certo (lição 1.2);
• enviar mensagens em seu nome a clientes, que confiam em si;
• configurar uma regra de reencaminhamento, para continuar a receber discretamente uma cópia de todo o correio, mesmo depois de ter alterado a sua palavra-passe (lição 2.5).

Mas como é que um atacante consegue a sua palavra-passe? Existem três vias principais: você próprio a introduz num site falso (phishing, módulo 3), ela é exposta numa fuga de dados de outro serviço onde também a utilizou, ou software malicioso no seu computador rouba-a. As duas últimas são tratadas aqui.

Credential stuffing: uma fuga, testada em todo o lado

Os sites são pirateados regularmente. Numa fuga destas, os endereços de e-mail e as palavras-passe dos utilizadores acabam muitas vezes expostos, por vezes legíveis, por vezes num formato que pode ser revertido com poder de cálculo. Esses dados são recolhidos, combinados e comercializados em enormes listas de endereços de e-mail com palavras-passe: combolists.

Com uma lista destas, um atacante faz credential stuffing: experimenta automaticamente cada par de endereço de e-mail e palavra-passe noutros serviços. A OWASP, uma conhecida organização aberta dedicada à segurança web, descreve isto como a introdução automatizada de credenciais roubadas para obter acesso a contas. Funciona por um único motivo: as pessoas utilizam a mesma palavra-passe em vários locais.

Um exemplo. A Petra, da Padaria Example, criou há anos uma conta numa loja online de utensílios de pastelaria, com info@example.com e a palavra-passe que usava na altura em todo o lado. Essa loja online é pirateada. Um ano depois, a combinação dela aparece numa combolist. Um programa experimenta-a numa única noite em:

A Petra não nota nada: não viu nenhum e-mail de phishing nem clicou em nada. As lições a retirar: uma palavra-passe única por serviço evita que uma única fuga se propague (lições 2.1 e 2.2), e a autenticação de dois fatores (2FA) impede um atacante que tenha a palavra-passe correta (lição 2.3). Pode verificar por si próprio em https://haveibeenpwned.com se o seu endereço de e-mail consta de uma fuga conhecida.

Um erro frequente é criar um "sistema" para variar palavras-passe: Bakkerij2025! para o e-mail e Bakkerij2025!boekhouding para a contabilidade. Os programas que utilizam combolists também experimentam estas variantes tão óbvias.

Infostealers: a palavra-passe diretamente do seu computador

Um infostealer é um software malicioso que recolhe dados do seu computador e os envia para o atacante. A Microsoft descreve que os infostealers recolhem, entre outras coisas, nomes de utilizador e palavras-passe guardados, cookies de sessão, dados de formulários preenchidos automaticamente e dados de cartões de crédito a partir dos navegadores. Pode receber um programa destes, por exemplo, através de uma descarga falsa ("versão gratuita de um programa caro"), de um anexo, de um anúncio falso ou de um site que pede para copiar e colar um comando "para resolver um problema".

Um infostealer funciona muitas vezes em poucos minutos e depois desaparece. O resultado, um chamado registo (log) com todos os dados desse computador específico, é vendido. Por vezes só é utilizado anos mais tarde.

Porque é que um cookie de sessão é tão perigoso

Quando inicia sessão num site, com palavra-passe e autenticação de dois fatores, o seu navegador recebe um cookie de sessão: um pequeno ficheiro que, em cada pedido seguinte, mostra que já tem sessão iniciada. Assim, não precisa de voltar a introduzir o seu código a cada clique.

Quem roubar esse cookie pode colocá-lo no seu próprio navegador e fica igualmente com a sessão iniciada. Não precisa da sua palavra-passe nem do seu segundo fator, porque o início de sessão já aconteceu. A MITRE ATT&CK, uma base de conhecimento pública de técnicas de ataque, afirma-o literalmente: os cookies de sessão podem ser utilizados para contornar algumas formas de autenticação multifator.

O que ajuda contra os infostealers e os cookies roubados:

• não instalar software de fontes desconhecidas e não trabalhar com uma conta de administrador, para que a instalação não seja simples (lição 5.2);
• manter o sistema operativo e o navegador atualizados (lição 5.1);
• após uma infeção, primeiro limpar o computador ou reinstalá-lo, só depois alterar as palavras-passe a partir de um dispositivo limpo e terminar todas as sessões, para que os cookies roubados deixem de ser válidos (lições 2.5 e 3.5);
• métodos de início de sessão resistentes a phishing, como as passkeys, que tornam impossível o roubo de credenciais através de sites falsos (lição 2.4).

O que é uma fuga de dados

Até agora, falámos das suas próprias contas. Mas se um atacante estiver dentro da sua caixa de correio, da sua contabilidade ou da sua loja online, também vê dados de outras pessoas: clientes, colaboradores, membros. Nesse caso, há uma fuga de dados.

O RGPD define dados pessoais como qualquer informação relativa a uma pessoa identificada ou identificável: um nome, um endereço de e-mail, um número de telefone, uma morada, mas também um número de cliente que possa ser associado a uma pessoa. Uma fuga de dados (no RGPD: uma violação de dados pessoais, artigo 4.º, ponto 12) é uma violação da segurança que, de forma acidental ou ilícita, provoca a destruição, perda, alteração ou divulgação ou acesso não autorizados a dados pessoais.

Uma fuga de dados não precisa de ser uma pirataria informática. Também isto pode ser uma fuga de dados:

• um e-mail com uma lista de clientes enviado ao destinatário errado;
• um portátil roubado ou perdido sem encriptação;
• uma ligação de partilha para uma pasta com currículos que fica publicamente acessível na internet;
• uma caixa de correio apropriada na qual constam faturas com nomes e moradas;
• ficheiros encriptados por ransomware dos quais não tem cópia de segurança (destruição e perda).

Uma fuga de dados implica obrigações: regista todas as fugas de dados num registo de fugas de dados, notifica-a no prazo de 72 horas à Comissão Nacional de Proteção de Dados (CNPD), a menos que seja improvável que represente um risco para os titulares dos dados, e, em caso de risco elevado, também informa as próprias pessoas. Como funciona isto exatamente, aprenderá na lição 8.2. Para já, é importante perceber que uma tomada de controlo de conta não deve ser vista apenas como "o nosso problema": muitas vezes afeta também as pessoas cujos dados detém.

O que acontece aos dados alvo de uma fuga

Os dados que sofrem uma fuga não desaparecem. São copiados, combinados e revendidos. Por isso, uma fuga tem consequências que perduram no tempo:

• Reutilização: as palavras-passe acabam em combolists para credential stuffing.
• Phishing mais eficaz: com o seu nome, os seus clientes e a sua última encomenda, um burlão cria um e-mail convincente. Um cliente que, na semana a seguir a uma fuga na sua loja online, recebe um "lembrete de pagamento" aparentemente seu, paga mais depressa.
• Fraude de identidade: com dados suficientes sobre uma pessoa, um burlão pode abrir contas ou fazer-se passar por essa pessoa.
• Extorsão: "pague, ou contamos aos seus clientes que os dados deles foram expostos numa fuga na sua empresa" (lição 1.3).

Por isso, guardar menos dados é também uma medida de segurança. Os dados que não tem também não podem sofrer uma fuga.

Resumo

• Numa tomada de controlo de conta, o atacante limita se a iniciar sessão; a caixa de correio é a conta mais importante, porque é através dela que se repõem outras palavras-passe.
• O credential stuffing experimenta automaticamente, noutros serviços, combinações de endereço de e-mail e palavra-passe expostas em combolists; palavras-passe únicas e a 2FA impedem isto.
• Os infostealers roubam palavras-passe e cookies de sessão do navegador; com um cookie roubado, um atacante pode contornar alguma 2FA, por isso termine todas as sessões após uma infeção.
• Uma fuga de dados é qualquer violação da segurança de dados pessoais, incluindo um e-mail enviado por engano ou um portátil perdido.
• Os dados alvo de uma fuga são reutilizados para novos ataques; guardar menos dados significa menos risco.

Questionário

Exercício

Exercício A1.4: Uma fuga de dados, que contas correm perigo? Recebe um resumo das contas de uma pequena empresa: qual a palavra-passe (identificada como W1, W2, etc., nunca uma palavra-passe real) associada a cada serviço, e se a autenticação de dois fatores está ativada. Em seguida, um dos serviços sofre uma fuga de dados. Indique quais as contas que correm perigo imediato, por que ordem as trata e se existe uma fuga de dados. O programa verifica e explica.

Para saber mais

Os passos nos artigos do WebOké aplicam-se ao ambiente do WebOké; noutros fornecedores, o funcionamento é semelhante.

• Manual DirectAdmin 3.7: Palavras-passe seguras e o que fazer em caso de fuga de uma palavra-passe
• Manual do WebOké 3.6: Ver e terminar sessões ativas
• Have I Been Pwned (verifique você próprio se o seu endereço de e-mail consta de uma fuga conhecida): https://haveibeenpwned.com
• OWASP, Credential stuffing (em inglês): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (em inglês): https://attack.mitre.org/techniques/T1539/
• RGPD (Regulamento (UE) 2016/679), texto oficial: https://eur-lex.europa.eu/eli/reg/2016/679/oj