Segurança Destaques

As falhas de segurança e os casos de exposição de dados mais importantes de 2018

Partilhar

Recordamos aqui quais foram os dez incidentes de segurança que expuseram maior quantidade de informação pessoal de utilizadores e clientes em 2018.

2018 vai ficar na história como um ano em que a proteção de dados e a privacidade tomou um rumo diferente e histórico com a entrada em vigor, em maio, do Regulamento Geral de Proteção de Dados (GDPR) na União Europeia. Este facto parece ter sido o ponto de partida para que legislações similares de GDPR se terem começado a replicar em distintas partes do mundo; como é o caso do Brasil com o LPGD, o estado da Califórnia com o CCPA, a China com a sua recente lei de proteção de dados, e outros países como o Japão, com a sua intenção de conseguir um acordo de adequação recíproca com a União Europeia para a proteção de dados.

Perante isto tendemos a pensar de forma otimista, mas lamentavelmente 2018 não foi exceção em relação a outros anos no que respeita a casos de falha de segurança e exposição de dados de utilizador. De facto, em 2018 registaram-se vários casos; alguns trataram-se de falhas provocadas por ataques criminosos, enquanto que outros se trataram de exposição de dados mesmo que sem indícios de que alguém se tenha aproveitado dessa exposição ou falha de segurança. O mais relevante de 2018 foi o incidente que sofreu a cadeia hoteleira Marriot International, que já se converteu na falha de segurança mais importante da história. De seguida relembramos alguns dos que consideramos que foram os mais importantes 2018.

1. Facebook e Cambridge Analytica

2. A exposição de dados do Google+

3. Falha de segurança que envolveu os clientes da cadeia Marriot International

4. Quora expôs informação pessoal de 100 milhões de utilizadores

5. Número de CPF de milhões de brasileiros ficaram expostos durante vários meses 

6. Dados de 150 milhões de contas expostas pelo MyFitnessPal

7. Dados de 92 milhões de utilizadores expostos no site MyHeritage

8. 340 milhões de dados da empresa Exactis

9. British Airways sofreu roubo de dados de 380 mil cartões de pagamento de clientes

10. Subsidiária da Expedia comprometeu dados de cartões de pagamento de 880 mil clientes 

Fonte: Blog ESET

Carregue aqui para informação detalhada

Posted by rbadmin  |  0 Comment  |  in Segurança Destaques, Segurança Informática

Comportamentos Vs. Segurança dos Sistemas de Informação

Partilhar

 

Muito se tem falado nas ciberameaças no que diz respeito à segurança dos Sistemas de Informação das organizações, mas mais do que temer estes ataques organizados, devemos olhar para dentro das organizações e procurar implementar políticas de segurança de informação que mitiguem as falhas internas.

Segundo o estudo “Cost of Cybercrime”, da consultora Accenture, 81% das quebras de segurança nas empresas resultam de roubos de credenciais, na maioria dos casos resultantes de comportamentos menos adequados dos colaboradores, tais como deixar ligado o PC sem estar bloqueado nas ausências, partilhar passwords com os colegas, escreveu-las em locais visíveis, entre outros.

Embora supostamente seja senso comum que as passwords são como a escova de dentes, não se devem partilhar, podemos constatar que devemos sempre questionar se o nosso senso comum é igual ao dos nossos colegas, como podemos ver no vídeo em baixo, em que um membro do parlamento português afirma publicamente que é impossível trabalhar em equipa sem esta partilha.

https://dms.licdn.com/playback/C4D05AQFTTiNyoCT7RQ/08a960fded204fe983b1076b77a7950e/feedshare-mp4_3300-captions-thumbnails/1507940147251-drlcss?e=1544112000&v=beta&t=W1Jv6ViqzQ1aJhQ9aMwobJHitf298zVsDd2xuWapZxc

O RGPD menciona várias diretrizes neste sentido, por isso consideramos importante criar, escrever, testar e controlar os novos procedimentos!

Posted by rbadmin  |  0 Comment  |  in Comunicados, Comunicados em Destaque, RGPD, Segurança Destaques, Segurança Informática

RGPD – Porque é que bons processos internos são chave para a Segurança de dados pessoais?

Partilhar

Porque é que bons processos internos são chave para a Segurança de dados pessoais nas organizações?

O Regulamento Geral de Protecção de Dados tem como objetivo que as organizações melhorem a segurança aos dados pessoais, isto quer dizer que devemos criar processos internos em que definimos como, quem, porquê e por quanto tempo esses dados são acedidos, sejam em formato digital ou em papel.

As ferramentas de segurança utilizadas (cofres, firewall, anti-vírus, entre outros) são importantes, mas se não definirmos corretos procedimentos e se não os dermos a conhecer através de formações e acções de sensibilização aos nossos Recursos Humanos, dificilmente conseguiremos inverter as estatísticas, pois o fator humano continua a ser um dos pontos principais de entrada do cibercrime, conforme pode ler no estudo “The Human Factor 2018”  elaborado pela da Proofpoint da Exclusive Group, que revela como os invasores estão a explorar a natureza humana.

Saiba como poderemos apoiar nos corretos processos e medidas de segurança, contacte-nos!

Posted by rbadmin  |  0 Comment  |  in Comunicados, RGPD, RGPD Destaque, Segurança Destaques, Segurança Informática

Vulnerabilidades Meltdown e Spectre: tudo o que precisa de saber

Partilhar
Os primeiros dias de 2018 foram preenchidos com diversas conversas acerca de uma vulnerabilidade muito abrangente ao nível da arquitetura de processadores da Intel utilozada em PCs ao longo de muitos anos, bem como nos processadores da AMD e que chega mesmo a afetar processadores ARM normalmente utilizados em tablets e smartphones.
Apesar de até ao momento ainda não terem sido divulgados, segundo a maioria das notícias, o problema é que os programas que funcionam no espaço de endereço do modo de utilizador (o intervalo de memória “normal” em que o software aplicativo, jogos e outros funcionam) podem inferir ou “ver” algumas das informações armazenadas no espaço de endereço do modo kernel (a faixa de memória “protegida” e utilizada para conter o sistema operativo, os controladores de dispositivo e informações confidenciais, como palavras passe e certificados de encriptação).
As correções para evitar que os programas que utilizam o modo de utilizador consigam espreitar no modo kernel têm vindo a ser introduzidas por fabricantes de sistemas operativos, hipervisor e até empresas que centram as suas atividades na cloud. No entanto, parece que estas correções atrasam um pouco os sistemas operativos. A quantidade exata de desaceleração não é conhecida ao certo. A Intel afirmou que a redução de desempenho “não será significativa” para a maioria dos utilizadores. Apesar disso o site Linux Phoronix avaliou as perdas de desempenho entre 5-30%, dependendo do que o computador está a executar.
Um pouco de história
Um longo tópico de discussão no Reddit intitulado Intel bug tem acompanhado a vulnerabilidade desde que as informações começaram a surgir a 2 de janeiro de 2018; Ars Technica e The Register também fizeram um ótima cobertura.
O fabricante de processadores, AMD, anunciou que não são afetados, segundo informações da CNBC e uma mensagem enviada por um engenheiro da AMD. No entanto informações avançadas pelo Microsoft Project Zero indicam que os processadores AMD são afetados. Desde então, a AMD divulgou uma declaração com alguns  esclarecimentos.
O artigo da Microsoft destaca que este não é um problema específico do Windows e que afeta o Android, o Chrome OS, o iOS e o MacOS também. O aviso da Red Hat assinala também a arquitetura POWER da IBM como sendo vulnerável. Os fabricantes do Hypervisor VMware e Xen emitiram os seus próprios alertas, assim como os Serviços da Web da Amazon.
Detalhes técnicos 
A confusão acerca dos fabricantes de processadores afetados deve-se ao facto de esta não ser apenas uma vulnerabilidade, mas duas vulnerabilidades semelhantes, denominadas Meltdown e Specter. Estas vulnerabilidades possuem três números CVE (um padrão quase governamental para analisar vulnerabilidades e exposições de segurança de computadores) atribuídos a elas.
Durante muitos anos, os fabricantes de processadores – como a Intel – conseguiram corrigir falhas na arquitetura do processador através de atualizações de microcódigo, que gravam uma atualização no próprio processador para corrigir um erro.
Por alguma razão ou razões até agora desconhecidas, esta vulnerabilidade não pode ser corrigida desta maneira nos processadores da Intel. Por esse motivo, os fabricantes de sistemas operativos colaboraram com a Intel para lançarem  correções para as vulnerabilidades. O aviso de segurança da Intel, o método INTEL-SA-00088 de Execução Especulativa e Método de Análise de Canal Lateral de Previsão de Filial Indireto, apresenta  quarenta e quatro (44) famílias de processadores afetados, cada um dos quais pode conter dezenas de modelos. A ARM emitiu um alerta intitulado Vulnerabilidade de processadores especulativos ao Mecanismo de Canal Lateral de Cache Timing que indica dez (10) modelos de processadores afetados.
A resposta do nosso Parceiro ESET
A ESET lançou a atualização do módulo Antivirus e Antispyware 1533.3 na quarta-feira, 3 de janeiro de 2018, para todos os clientes de modo a garantir a compatibilidade com as atualizações da Microsoft nos sistemas operativos Windows. A ESET está a trabalhar de perto com os fornecedores de hardware e software para mitigar o risco que estas vulnerabilidades representam.
Posted by rbadmin  |  0 Comment  |  in Comunicados, Segurança Destaques, Segurança Informática