Spotify obriga trocas de senha após ataque mirar 350 mil usuários que 'reciclaram' credenciais de acesso

=======.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____--------------______---------   -----------____---.=.=.=.= ====


Especialistas encontraram banco de dados com senhas válidas do Spotify após invasores realizaram ataque de 'credential stuffing'.  
===+===.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____-------------______---------   ----------____---.=.=.=.= +====

Por Altieres Rohr
É fundador de um site especializado na defesa contra ataques cibernéticos
25/11/2020 15h33 Atualizado há 06 horas
Postado em 25 de novembro de 2020 às 21h40m

  *.- Post.N. -\- 3.887 -.*  

Golpistas usaram senhas vazadas de outros serviços para tentar violar contas no Spotify, dizem especialistas — Foto: Lucas Jackson/Reuters

Especialistas da vpnMentor encontraram um banco de dados exposto com 380 milhões de registros – inclusive com senhas – que estavam sendo validados para uso no serviço de streaming de música Spotify por meio de uma prática conhecida como "credential stuffing". Os pesquisadores comunicaram a empresa, que iniciou uma redefinição das senhas das 350 mil contas envolvidas.

Os dados encontrados não foram vazados do próprio Spotify e tinham apenas algumas informações básicas: e-mail, senha e país de residência.

"Não se sabe a origem do banco de dados nem como os golpistas estavam atacando o Spotify. Os hackers estavam possivelmente usando credenciais roubadas de outra plataforma, aplicativo ou site, e usando-as para acessar contas do Spotify", explicaram os pesquisadores.

A prática de "credential stuffing" consiste em tentar utilizar senhas captadas de outras fontes (como vazamentos diversos ou senhas roubadas com páginas falsas) em novos serviços.

Ou seja, um criminoso pode ter um pacote de senhas vazadas de um site qualquer (ou de vários sites agregados em um único conjunto de dados) e depois tentar usar essas mesmas senhas no serviço que ele quer atingir.

• SAIBA MAIS: Playlists no Spotify são usadas em possível golpe milionário com contas fantasmas, diz site

Dessa forma, o ataque viola contas de usuários que usam senhas repetidas em mais de um serviço. Quem utiliza senhas diferentes para cada site não entra na mira dessa prática criminosa, pois as senhas obtidas por invasores só funcionarão no serviço onde elas foram cadastradas.

O "credential stuffing" já foi utilizado para obter acesso remoto em computadores através do TeamViewer e para violar contas no iFood.

Até o momento, não há nenhuma informação sobre o objetivo dos hackers com o uso dessas contas. No entanto, há casos registrados de fraudes no Spotify para inflar os royalties destinados a determinadas músicas e a popularidade das obras.

• Sucesso fake: músicos fraudam números de streaming usando robôs e 'jabá 2.0'

Mas os especialistas da vpnMentor levantaram a hipótese de que os golpistas poderiam enviar e-mails falsos para as vítimas, tentando se passar pelo Spotify e usando as informações obtidas dos perfis para melhorar a credibilidade da mensagem.

Com a redefinição das senhas comprometidas, o ataque é anulado, mas ainda é possível que informações (como playlists) tenham sido roubadas das contas antes do acesso a elas ser fechado.

Com as seguidas ocorrências de vazamentos, a recomendação de utilizar senhas diferentes para cada serviço se torna cada vez mais importante.

Qualquer senha vazada de um serviço, mesmo que use algum método seguro de armazenamento, poderá ser decifrada com o tempo e utilizada em outros serviços, ampliando o alcance dos invasores.

Dúvidas sobre segurança, hackers e vírus? Envie para g1seguranca@globomail.com

------++-====-----------------------------------------------------------------------=================---------------------------------------------------------------------------------====-++------

É preciso trocar o chip do celular se o aparelho for contaminado com vírus?

=======.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____--------------______---------   -----------____---.=.=.=.= ====


Tira-dúvidas explica como remover códigos maliciosos que podem contaminar o celular e se existe alguma situação em que a troca de chip ou aparelho pode ser a única saída.  
===+===.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____-------------______---------   ----------____---.=.=.=.= +====

Por Altieres Rohr
É fundador de um site especializado na defesa contra ataques cibernéticos
24/11/2020 07h00 Atualizado há 15 horas
Postado em 24 de novembro de 2020 às 22h00m

  *.- Post.N. -\- 3.886 -.*  

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados etc.), envie um e-mail para g1seguranca@globomail.com. A coluna responde perguntas deixadas por leitores às terças e quintas-feiras.

Chip de celular em geral não possui espaço suficiente para armazenar códigos maliciosos. — Foto: Petr Kratochvil/CC Public Domain

Caso um vírus ou malware espião tenha infectado meu celular via WhatsApp, eu fico seguro trocando o telefone, sem trocar o chip e mantendo a mesma conta no WhatsApp? Ou o mais sensato seria trocar ambos, o telefone e o chip? – Renato Roncon

Em geral, Renato, você não precisa trocar absolutamente nada – nem o aparelho celular, nem o chip.

É muito raro que um smartphone seja contaminado pelo WhatsApp. É claro que isso pode acontecer em casos excepcionais – o episódio envolvendo o celular de Jeff Bezos, fundador da Amazon, é o exemplo mais notório.

Por regra, o máximo que um criminoso pode fazer é enviar um link para um programa malicioso (um arquivo "APK", no Android) e convencer você a instalar esse software espião.

Nesse cenário, o WhatsApp é apenas o canal de comunicação usado para levar você ao programa malicioso. Não faria diferença se a mensagem fosse enviada por e-mail ou SMS.

Isso também significa que apps maliciosos instalados por outros meios (inclusive durante sua navegação na web) podem apresentar consequências no WhatsApp.

Também não devemos esquecer que muitas "invasões" ao WhatsApp ocorrem por WhatsApp Web e que basta o aparelho ficar disponível e desbloqueado por alguns segundos para autorizar uma sessão.

Caso o aparelho seja mesmo contaminado por um programa espião, basta restaurar o aparelho às configurações de fábrica. No menu "Configurar" ou "Configurações" do seu celular, você facilmente encontra essa opção. Depois de alguns toques, seu aparelho estará como novo.

Vale lembrar que a restauração das configurações de fábrica sempre apega todos os dados do seu telefone, incluindo as fotos e dados de aplicativos.

Lembre-se de realizar um backup (cópia) das informações que você quer manter antes de realizar esse procedimento.

É preciso trocar o chip?

Até hoje, não existem ataques reais que executem códigos maliciosos ou "contaminem" um chip de celular. Por isso, não é provável que o chip tenha sido modificado.

Existem muitos alertas de vírus falsos na internet que falam em "vírus no chip" ou "danos no chip". Essas mensagens devem ser ignoradas. Elas são falsas e têm apenas o objetivo de assustar e promover supostos aplicativos de segurança.

Sendo assim, a troca de chip só faz sentido se ele estiver com algum defeito. Chips podem ter defeitos que impactam a autonomia de bateria e até a estabilidade do sinal da rede, mas isso acontece por problemas elétricos – não por causa de vírus.

Faz sentido trocar o aparelho por causa de um vírus?

Embora a restauração do sistema resolva a maioria dos problemas com vírus em celular, a troca de celular pode ser recomendada em alguns casos. Veja exemplos:

• Aparelhos sem homologação da Anatel ou do Google: o Google tem um programa de certificação para aparelhos Android chamado Play Protect. Basta abrir o app da Play Store no celular e acessar "Configurações" no menu três barras. Depois de rolar para baixo até o fim das opções, você deve encontrar o item "Certificação do Play Protect" e a mensagem "Este aparelho é certificado". Se não houver essa mensagem, seu aparelho não faz parte dos modelos garantidos pelo Google e, portanto, não tem sua segurança garantida. O uso desses aparelhos não é recomendado e, se for confirmado que realmente houve um problema de segurança no dispositivo, a troca é recomendada.
• Versões antigas do Android: Aparelhos muito antigos, que não recebe mais atualizações, correm mais risco do que aparelhos novos que ainda têm suporte do fabricante. Em alguns casos, estes aparelhos podem ter falhas que permitem a um vírus se instalar de forma permanente no sistema. A restauração do aparelho não removerá o vírus nesses casos. Por meio de um procedimento chamado de "reflash", é possível reinstalar totalmente o sistema, mas isso também não vai eliminar as falhas inerentes à versão antiga do Android. Se for possível, será recomendada a troca por um aparelho mais novo.

Play Store pode identificar aparelhos Android certificados pelo Google. Aparelhos sem certificação podem não possuir o mesmo nível de segurança. — Foto: Reprodução

Até hoje, não há registros de casos semelhantes no iPhone. Porém, como no Android, recomenda-se evitar o uso de um iPhone incompatível com as versões mais recentes do iOS.

Muita gente reclama do desempenho do celular após atualizações, mas isso faz parte do processo do avanço da tecnologia.

A atualização do sistema é fundamental para garantir o bom funcionamento do produto. Quando ele deixa de ser compatível com essas atualizações, é porque o fabricante decidiu não dar mais suporte.

Se você quer garantir o uso seguro do seu aparelho por bastante tempo, lembre-se de conferir o prazo de atualizações fornecidas pelo fabricante. No Android, os aparelhos "Android One" são vendidos com garantia de atualização por três anos data de lançamento. Em outros fabricantes,

• Samsung anuncia que celulares da linha Galaxy S terão três 'gerações' de atualização para o Android
• Especialistas desvendam como praga digital para Android persiste após redefinição de sistema
• Celulares só recebem atualização de sistema por alguns anos, e fabricantes omitem detalhes

Dúvidas sobre segurança digital? Envie um e-mail para g1seguranca@globomail.com

------++-====-----------------------------------------------------------------------=================---------------------------------------------------------------------------------====-++------

Twitter irá mostrar aviso quando as pessoas curtirem publicações rotuladas como enganosas

=======.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____--------------______---------   -----------____---.=.=.=.= ====


Opção vinha aparecendo para retuítes, e agora foi expandida para os 'likes'. Objetivo da rede social é diminuir circulação de informações falsas.  
===+===.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____-------------______---------   ----------____---.=.=.=.= +====
Por G1  
24/11/2020 15h41 Atualizado há 5 horas
Postado em 24 de novembro de 2020 às 2045m

  *.- Post.N. -\- 3.885 -.*  

Ícone do aplicativo do Twitter em um smartphone. — Foto: Thomas White/Reuters

O Twitter anunciou na última segunda-feira (23) que irá exibir um aviso quando as pessoas curtirem publicações rotuladas como enganosas. A iniciativa é uma ampliação de um recurso similar, mas que aparecia para retuítes.

Esses alertas serão mostrados quando alguém curtir ou retuitar algum post que tenha sido marcado pela rede social como enganoso.

Em comunicado ao G1, a rede social disse que novidade já está valendo na versão web e no aplicativo para iPhone. Nos celulares Android, a função deve aparecer daqui aproximadamente duas semanas.

Mensagem que diz que informação é contestada vai aparecer em publicações rotuladas como enganosas no Twitter. — Foto: Reprodução/Twitter

O Twitter diz que esse selo pode ser incluído em materiais que desinformem sobre "integridade cívica e Covid-19, assim como em tuítes com mídia sintética [deepfakes] e manipulada".

• Saiba mais: Twitter diz ter marcado 300 mil mensagens 'enganosas' sobre eleições nos EUA

A mudança no mecanismo de retuíte, que mostra uma caixa para pessoas comentarem conteúdo em vez de simplesmente replicar a publicação, diminuiu a circulação de informações enganosas em 29%, segundo a rede social.

Esse resultado levou a companhia a incluir a caixa de aviso em curtidas – os posts com muitos 'likes' costumam aparecer com mais frequência no feed dos usuários.

------++-====-----------------------------------------------------------------------=================---------------------------------------------------------------------------------====-++------