Ataque virtual rouba dinheiro de contas bancárias de brasileiros na internet

Cibercriminosos do País desenvolveram tipo de 'cavalo de troia' que não é detectado por antivírus, segundo a Kaspersky Lab; correntistas de três bancos são afetados 

SÃO PAULO - A comodidade de usar o banco pela internet pode se transformar em pesadelo, se depender dos cibercriminosos brasileiros. Famosos mundialmente quando o assunto é produção de trojan bancário (tipo de "cavalo de tróia" que rouba dados financeiros em computadores), eles são os autores de uma nova espécie dessa categoria que está retirando dinheiro de contas de brasileiros, revela pesquisa da Kaspersky Lab, empresa de segurança na internet que mantém grupo de pesquisa de programas maliciosos. As vítimas são correntistas de três bancos, entre os quais brasileiros e internacionais com atuação na América Latina.

Por meio de um de seus "honeypots", recursos embutidos em computadores para simular falhas na segurança e fisgar invasores, a Kaspersky descobriu um trojan bancário sofisticado e de difícil combate. A isca veio por e-mail. Uma mensagem, com link malicioso, direcionava o usuário ao download de um arquivo - uma imagem que, aparentemente, nada significava além de um mosaico de pontos coloridos.

Mas, depois de estudar o código por trás dela, descobriu-se ali um vírus criptografado. "O perigo, nesse caso, é nenhum programa de antivírus conseguir detectá-lo pelo fato de o código estar camuflado e não ser entendido como malicioso", diz o diretor do time da Kaspersky Lab na América Latina e autor da descoberta, Dmitry Bestuzhez.

Esse trojan bancário infecta o computador e, quando o usuário acessa sua conta bancária na internet, rouba suas senhas e transfere dinheiro para outro destinatário. Tudo rapidamente.

Como o vírus está escondido na imagem, o servidor que o hospeda não o identifica como um perigo. E, dada a complexidade do código, muitos pesquisadores de "malwares" (softwares maliciosos) podem não ter conhecimento necessário para combatê-lo a tempo.

A Kaspersky não revela os nomes dos bancos com clientes afetados, mas eles já foram informados do ocorrido pela empresa. O assunto do e-mail também não é divulgado — o recurso do computador que capturou o trojan bancário armazenaria apenas URLs, não a mensagem do corpo do texto. Além disso, o mesmo tipo de ataque é lançado cerca de duas vezes na semana, com conteúdo diferente e código criptografado de outra forma. Funciona como um jogo de gato e rato: descobertos, os ataques se modificam. 

Nesse caso, explica Bestuzhez, o número de vítimas é grande e qualquer pessoa está sujeita a ser mais uma. "Cibercriminosos não distinguem se a conta é corporativa ou de usuário comum. A infecção ocorre em qualquer computador com sistema operacional Windows e todo dinheiro é bem-vindo."

Os bancos têm investido em segurança da informação para evitar possíveis fraudes nos meios eletrônicos. Foi R$ 1,94 bilhão em 2010 — ano em que 37,8 milhões de brasileiros acessaram suas contas na internet, segundo a Federação Brasileira de Bancos (Febraban). Mas, quando um ataque sofisticado como o descrito acima recai sobre o correntista, fica mais complicado afastar o vírus. As invasões não acontecem nos sistemas internos dos bancos. A entidade calcula perda de R$ 685 milhões no primeiro semestre de 2011 apenas com fraudes online externas, valor 36% superior ao do mesmo período do ano passado.

No entanto, os bancos poderiam intensificar a segurança do acesso à internet banking por meio de tokens (aparelhos geradores de senha) e autenticações geradas por meio de SMS por celular, diz Bestuzhez, da Kaspersky. Mas o custo por correntista seria alto. "No Brasil e em outros países da América Latina, alguns bancos acreditam que seria muito dinheiro gasto. Então, ou eles oferecem isso a clientes especiais ou o vendem como produto adicional", afirma.

O diretor técnico da Febraban, Wilson Gutierrez, discorda. Diz que, uma vez desenvolvida a tecnologia, estendê-la a todo os clientes na internet é muito simples. "Não é um componente de custo o que dificulta", afirma.

O uso de SMS para esse tipo de serviço ainda engatinha. Mas tokens estão disponíveis para qualquer usuário em qualquer banco, afirma Gutierrez: "E, logicamente, quando você tem uma reação do lado dos malfeitores, os bancos se protegem para barrar a invasão".

Brasil

Diferentemente dos criminosos de outras partes do mundo, brasileiros procuram obter todo o dinheiro que podem de uma só vez, e não mês a mês. Pesquisa da Kaspersky de 2009 mostra que 95% dos vírus produzidos no País têm por finalidade roubar dados financeiros. Em âmbito global, o Brasil produziu 36% de todos os trojans bancários nesse ano. A empresa garante que os número atuais não são diferentes.

Outro levantamento, do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança (Cert.br), mostra que notificações sobre tentativas de fraude com o uso de cavalos de tróia representaram 43% das notificações de tentativas de fraude no terceiro trimestre de 2011, aumento de 18% em relação ao mesmo período de 2010. Eles são "trojans" (não só bancários) usados para infectar a máquina da vítima com um código que furta suas credenciais em sites de comércio eletrônico e bancos, número de cartão de crédito e login de sites de redes sociais, por exemplo.

A analista de segurança do Cert.br Miriam von Zuben observa maior ocorrência de tentativas de fraudes relacionadas a novas campanhas. "Os atacantes costumam explorar assuntos em destaque no momento, como o lançamento de um novo dispositivo de segurança ou a unificação de bancos, para tentar enganar os usuários", diz.

A punição para esse criminoso, porém, ainda não encontra resposta definida no Brasil. Há três iniciativas em curso: a Lei Azeredo, que, há mais de dez anos em trâmite, não gera consenso no governo nem na população ao tentar tipificar 11 tipos de crime; o Projeto de Lei Alternativo, do deputado federal Paulo Teixeira (PT-SP), que define apenas três crimes; e o Marco Civil, projeto de lei cuja intenção é estabelecer direitos e deveres na internet.

Hoje, a maior parte das decisões são tomadas por jurisprudência. Leva-se em conta a conclusão de um processo semelhante para resolver o problema presente.

Comércio

Em todo o mundo, existe um comércio intenso de "malwares" cuja adoção está se tornando cada vez mais rápida. Kits de vírus (de 5 a 15 códigos maliciosos) são colocados à venda por US$ 100 mil e, poucas semanas depois, já são encontrados na internet por US$ 25, mostra pesquisa da Websense Security Labs.

Elad Sharf, pesquisador de segurança da Websense,  diz que a ação desses conjuntos de malwares são um processo silencioso e não visível ao usuário. "O navegador usado por um internauta comum se depara com esse tipo de kit pelo menos algumas vezes por semana", afirma.

A solução, paliativa ou não, é se prevenir. Manter os programas do computador atualizados ajuda tanto quanto a mudança de comportamento. (Veja dicas de como se proteger no box acima.)