Segurança da Informação

Termos de privacidade do WhatsApp desrespeitam a LGPD. Termo prevê compartilhamento de informações entre WhatsApp e Facebook e outros aplicativos do grupo.

O aplicativo de mensagens WhatsApp, um dos mais populares do mundo, anunciou que passa a ser obrigatório, a partir de fevereiro, o compartilhamento de dados de seus usuários com o Facebook, que é o dono do aplicativo. Pelas regras, quem não concordar com a mudança é convidado a apagar o app e desativar a conta. Para o advogado Guilherme Guimarães, especialista em Direito Digital e Segurança da Informação, a iniciativa do serviço é motivo de preocupação e um claro indício de desrespeito às regras de proteção de dados no Brasil.

Os novos termos de privacidade do WhatsApp preveem o compartilhamento de informações adicionais entre WhatsApp e Facebook e outros aplicativos do grupo, como Instagram e CrowdTangle.

O advogado lembra que em países da Comunidade Europeia e no Reino Unido o WhatsApp recuou nessa decisão, justamente por iniciativa de entidades que atuam na área de proteção de dados. “O Brasil precisa fazer valer a sua legislação, que acaba de entrar em vigor. As autoridades não podem permitir que essas empresas façam suas próprias regras aqui”, argumenta.

Além disso, é aplicável na relação entre o Whatsapp e seus usuários o Código de Defesa do Consumidor (CDC). Embora a relação estabelecida entre o aplicativo e os usuários não ocorra mediante remuneração direta, ou seja, o pagamento por aquela pelo serviço disponibilizado, o Whatsapp é remunerado indiretamente. Ou seja, ele não recebe os valores dos usuários, mas de terceiros, que utilizam os mais variados serviços prestados, como por exemplo, anúncios, soluções empresariais na internet, dentre outros.

Desse modo, a indisponibilidade do uso da aplicação por aqueles que não concordarem com os novos termos é considerada prática abusiva pelo CDC e, portanto, proibida.

Guimarães lembra que as pessoas estão cada vez mais conscientes da importância de se preservar os dados pessoais e uma prova disso foram as reações populares à decisão do WhatsApp. Concorrentes como o Telegram e o Signal viram um crescimento significativo no número de downloads desde o anúncio do WhatsApp. Somente o Telegram registrou quase 2,2 milhões de downloads. Em contrapartida, o volume de downloads do WhatsApp caiu 11% nos sete primeiros dias de 2021 em comparação com a semana anterior.

9 milhões de brasileiros foram vítimas de golpes no WhatsApp

Além das discussões sobre a privacidade das informações no WahtsApp, parece não ter fim o numero de vítimas de golpes de sequestro de sua conta App. Segundo o jornal Metro News, o número de vítimas de golpes de clonagem ou sequestro de contas de WhatsApp chega a quase nove milhões de pessoas no Brasil, segundo pesquisa da empresa PSafe, desenvolvedora de aplicativos de segurança.

O gerente de compras Luiz Claudio de Mattos anunciou um imóvel em um site de vendas e recebeu uma ligação de uma pessoa que se passava por um funcionário de suporte da empresa. Ele recebeu uma mensagem SMS do suposto funcionário, digitou os números solicitados no WhatsApp e perdeu o controle da conta. Depois, seus contatos e grupos começaram a receber mensagens do invasor que se passava por ele.

O especialista em segurança cibernética Bruno Prado, da empresa UPX, afirma que a resposta do WhatsApp é demorada, mas o procedimento do aplicativo para recuperar o acesso costuma funcionar. Caso a conta não seja recuperada, o advogado especialista em Direito Digital Guilherme Guimarães recomenda que a vítima reúna todas as provas possíveis.

A perda da conta após permitir o acesso não geraria uma indenização porque a empresa não foi responsável pela permissão. O levantamento da PSafe mostra que a cada dia 23 pessoas em todo o País são vítimas dessa modalidade de golpe no WhatsApp.

Para que o usuário adicione um camada a mais de proteção para que sua conta não seja seuqestrada recomendamos a ativação do segundo fator de autenticação, na qual o usuário registra uma senha. Com isto para que a transferência da conta para outro aparelho seja seja feita será necessário o código SMS enviado pelo WhatsApp e a senha cadastrada. Para garantir que o o aparelho continua com o seu verdadeiro proprietário, de tempos em tempos o App solicita que o usuário entre a senha registrada.

A empresa menciona três dicas caso sua conta tenha sido roubada:

• Solicite a verificação da conta via SMS: se você tiver acesso ao seu número de telefone, faça login no WhatsApp e confirme o código de 6 dígitos que chega via SMS — dessa forma, qualquer outra pessoa que esteja usando sua conta será desconectada automaticamente;
• Notifique amigos e família: se alguém tiver acesso à sua conta, entre em contato com pessoas próximas para avisá-los disso, porque estelionatários podem se passar por você para obter informações sigilosas e depósitos em dinheiro;
• Ative a verificação em duas etapas: talvez a dica mais importante de todas, pois oferece uma camada adicional de proteção ao exigir um PIN de seis dígitos durante o login.

Se você for vítima do “SIM swap”, apenas a autenticação de dois fatores pode te proteger. Afinal, você não terá mais acesso à sua linha de celular, não poderá realizar ligações através dela, nem receber o SMS de verificação.

NSA alerta para eliminar versões obsoletas do TLS – Transport Layer Security. Criptografia obsoleta fornece uma falsa sensação de segurança.

A Agência de Segurança Nacional dos EUA publicou um comunicado de segurança [ PDF ] neste mês instando os administradores de sistema em agências federais e além a pararem de usar protocolos TLS antigos e obsoletos. “A NSA recomenda que apenas TLS 1.2 ou TLS 1.3 sejam usados; e que SSL 2.0, SSL 3.0, TLS 1.0 e TLS 1.1 não sejam usados“, disse a agência.

A National Security Agency (NSA) recomenda enfaticamente a substituição de configurações de protocolo obsoletas por outras que utilizar criptografia e autenticação fortes para proteger todas as informações confidenciais. Com o tempo, novos ataques contra o transporte Layer Security (TLS) e os algoritmos que ele usa foram descobertos. Conexões de rede que empregam protocolos obsoletos correm um risco elevado de exploração pelos adversários. Dados sensíveis e valiosos requerem fortes proteções em sistemas eletrônicos e transmissões. TLS e seguro Sockets Layer (SSL) foram desenvolvidos como protocolos para criar canais privados e seguros entre um servidor e cliente usando criptografia e autenticação. Embora os padrões e a maioria dos produtos tenham sido atualizados, as implementações muitas vezes não acompanhou.

“Usar criptografia obsoleta fornece uma falsa sensação de segurança porque parece que dados confidenciais estão protegidos, embora na verdade não estejam”, acrescentou a agência.

Segurança da Camada de Transporte (TLS) e Secure Sockets Layer (SSL) 2 foram desenvolvidos como protocolos para criar esses canais protegidos usando criptografia e autenticação. Com o tempo, novos ataques contra o TLS e os algoritmos que ele usa foram descobertos. As normas e a maioria dos produtos foi atualizada, mas as implementações frequentemente não acompanharam. Conexões de rede empregando protocolos obsoletos correm um risco elevado de exploração por adversários. Como resultado, todos os sistemas devem evitar o uso configurações obsoletas para protocolos TLS e SSL

Mesmo se TLS 1.2 e TLS 1.3 forem implantados, o NSA alerta contra a configuração desses dois protocolos com parâmetros criptográficos e conjuntos de criptografia fracos. “Algoritmos de criptografia especialmente fracos no TLS 1.2 são designados como NULL, RC2, RC4, DES, IDEA e TDES / 3DES; conjuntos de criptografia que usam esses algoritmos não devem ser usados“, acrescentou a agência.  “O TLS 1.3 remove esses conjuntos de criptografia, mas as implementações que oferecem suporte a TLS 1.3 e TLS 1.2 devem ser verificadas quanto a conjuntos de criptografia obsoletos“, complementa.

A agência de segurança cibernética dos EUA publicou  uma lista de ferramentas  em seu perfil GitHub para ajudar os administradores de sistema com a tarefa de identificar sistemas em suas redes internas que ainda usam configurações de protocolo TLS obsoletas.

Segundo a NSA dados sensíveis e valiosos requerem fortes proteções em sistemas eletrônicos e transmissões.

Mensagem semelhante na Holanda 

O comunicado da NSA, publicado em 5 de janeiro, foi repetido ontem pela contraparte da agência na Holanda, o Dutch National Cyber ​​Security Center.

Em um  alerta semelhante  [ PDF ], o NCSC holandês também recomendou que as agências governamentais holandesas e empresas privadas mudassem para o TLS 1.3 como parte de uma abordagem de configuração “future-proof“.

Os dois alertas vieram depois que, em meados de 2020, os principais navegadores da web pararam de oferecer suporte a TLS 1.0 e TLS 1.1, citando razões de segurança. Em março de 2020, a empresa de segurança Netcraft relatou que  cerca de 850.000 sites  ainda estavam usando TLS 1.0 e TLS 1.1 para criptografar seu tráfego HTTPS, um número que diminuiu lentamente desde então.

Em seu comunicado, a NSA alertou que novos ataques contra protocolos TLS estão sempre sendo descobertos e que as organizações devem usar as versões mais recentes do protocolo TLS para “sempre ficar à frente das habilidades dos agentes mal-intencionados e proteger informações importantes“.

Ref: NSA