Avisos de teste de segurança Alerta de fraude federal

Um teste de segurança sancionado de um banco sistemas de computador tiveram algumas conseqüências inesperadas nesta semana, liderando a agência federal que supervisiona as cooperativas de crédito dos EUA para emitir um alerta de fraude. Na terça-feira, a Administração Nacional de Cooperativas de Crédito (NCUA) avisou todas as cooperativas federais seguradas de uma carta falsa que união de crédito sem nome havia recebido junto com dois CDs. A falsa carta dizia que os CDs continham materiais de treinamento antifraude NCUA, mas em seu alerta de fraude, NCUA advertiu que a execução dos CDs "poderia resultar em uma possível violação de segurança em seu sistema de computador, ou ter outras consequências adversas".

Acontece que os CDs não foram enviados por fraudadores. Eles foram enviados por funcionários da MicroSolved, uma empresa de testes de segurança de Columbus, Ohio. "Era parte de alguma engenharia social que estávamos fazendo em um teste de penetração totalmente sancionado", disse Brent Huston, CEO da MicroSolved, em mensagem de e-mail.

[Leia mais: Como remover malware do seu PC com Windows]

Empresas como a MicroSolved são rotineiramente contratadas para testar de forma independente a segurança de corporações e agências governamentais.

Testadores de penetração frequentemente usam as chamadas técnicas de engenharia social como parte de seu trabalho de avaliação de segurança. Com a engenharia social, o invasor normalmente finge ser um parceiro legítimo ou colega de trabalho a fim de induzir os funcionários a comprometer seus sistemas de computador ou a divulgar informações confidenciais. "Os exercícios de engenharia social fazem parte da maioria das nossas avaliações", disse Huston.

O porta-voz da NCUA, John McKechnie, não tem muito a dizer sobre o alerta de sua organização. Em um breve e-mail na quinta-feira, ele escreveu "neste momento, parece que este é um evento isolado".

Mesmo se a ameaça que motivou a advertência da NCUA não fosse baseada em um ataque real, a advertência contém boas informações. De acordo com Johannes Ullrich, diretor de pesquisa do SANS Institute, um grupo de treinamento em segurança. "É uma boa lição", disse ele. Segundo ele, todas as partes do exercício agiram como deveriam. O banco "reportou à sua agência controladora, que então divulgou esse alerta baseado nele".

A Rita Fillingane, diretora de pesquisa e informações da Liga de Crédito da Califórnia, disse que o alerta ainda é útil, mesmo que não baseado em um ato criminoso real. "No futuro, algo como isso poderia vir para baixo o pique", disse ela.

Ainda, Ullrich disse que não está ciente de todos os casos onde CDs falsos foram realmente usados ​​para comprometer uma rede de computadores.

Ele disse que ficou inicialmente extremamente interessado quando viu o aviso inicial da NCUA. "Eu pensei: 'Finalmente isso está em estado selvagem, porque eu só o vi em testes de caneta antes.'"