Feito por : Rogerio Lopes , Mauro Farias , Thiago Nunes .
RESUMO
Os crimes digitais têm crescido em grande freqüência, à Internet nos dias de hoje são mais sérios e complexos do que costumava ser no passado.
O objetivo deste trabalho é falar sobre os crimes na Internet, quem comete tais crimes, o que move os causadores desses crimes.
Para a realização do trabalho, levantou-se primeiramente as leis, e as diferenças dos crimes.
Também é apresentado o Brasil como o Maior Pais a ter ataques.Em função do trabalho de pesquisa, são estudados métodos de segurança, leis digitais, e alguns livros.
Palavras Chaves : Segurança, Leis, Crimes, Internet, hackers, crackers.
Índice
Introdução ..........................................................................................
Legislação...........................................................................................
Quem é o criminoso da Informática? ..................................................
O que move os crackers? ...................................................................
Qual é o país que sofreu o maior número de ataques? .....................
Quais as principais ameaças? ............................................................
Combate ao crime digital ....................................................................
a. Investimentos em sistemas de segurança ............................
Descrição dos principais crimes .........................................................
a. Roubo de identidade .............................................................
b. pedofilia ................................................................................
c. Pirataria .................................................................................
Técnicas mais utilizadas .....................................................................
Bootnet ...............................................................................................
a. Como são formadas? ...........................................................
b. Quais são os principais objetivos? .......................................
c. Quais os riscos que representam? .......................................
Engenharia Social ..............................................................................
a. O que é Engenharia Social? .................................................
Outras Técnicas .................................................................................
Providências tomadas após um ataque .............................................
a. Para quem devo notificar? ....................................................
b. Que informações devem ser incluídas em uma notificação de incidente ...........................................................................
Conclusão ...........................................................................................
Referências Bibliográficas ..................................................................
Introdução
Os ataques digitais são cada vez mais comuns, sérios e complexos. Falaremos um pouco sobre tais ataques neste trabalho afim de evidenciar o perigo que eles representam tanto para o usuário comum quanto para as organizações e, dessa forma, tentar atingir um outro objetivo: alertar sobre a necessidade de se proteger contra os crackers.
Crimes Digitais
Legislação
O Projeto de Lei em epígrafe intenta disciplinar as relações no campo da informática, tipificando condutas e instituindo penas, além de disciplinar o uso de bancos de dados em computador contendo informações privadas.
Justifica-o o ilustre Autor afirmando, em síntese, que a sua proposta foi fruto do trabalho de um grupo de juristas; e que, no nosso ordenamento jurídico, não dispomos de lei que trate especificamente do tema e que regule os crimes de informática.
O Projeto foi aprovado pela Comissão de Ciência e Tecnologia, Comunicação e Informática.
Não foram apresentadas emendas no prazo regimental.
Foram apensados os Projetos de Lei nºs 2.557 e 2.558, de 2000, ambos do ilustre Deputado Alberto Fraga, e 3.796, de 2.000 do nobre Deputado Luciano Castro.
O de nº 2.557,de 2000, visa acrescentar ao Código Penal Militar, Decreto-Lei 1.001, de 21 de outubro de 1969, crimes relativos à violação indevida de banco de dados, ou interceptação de comunicação militar entre redes de comunicação eletrônica.
O PL 2.558, de 2000, visa acrescentar o mesmo tipo legal, só que no Código Penal, Decreto-Lei 2.848, de 7 de dezembro de 1940.
O PL 3.796, de 2000, acrescenta um Capítulo ao Título II do Código Penal, prevendo condutas delituosas na área de informática.
A esta Comissão de Constituição e Justiça e de Redação cabe analisá-los sob os aspectos de constitucionalidade, juridicidade, técnica legislativa e mérito, sendo a apreciação final do Plenário da Casa.
Os Projetos de Lei nºs 84/99, 2.557, 2.558, e 3.796 de 2.000, não apresentam vícios de natureza constitucional, de juridicidade ou de técnica legislativa.
Diariamente temos notícias de fraudes, e de prejuízos de grande monta, resultantes de ações praticadas por meio de computadores, ou contra sistemas de computadores.
Invariavelmente, tais notícias vêm acompanhadas de queixas sobre a dificuldade ou impossibilidade de punir várias dessas ações, por falta de uma legislação específica.
O dano ocasionado a dado ou programa de computador, enquadra-se no dano feito em coisa alheia, tipificado no Código Penal no seu art. 163. que dispõe:
Art. 163. Destruir, inutilizar ou deteriorar coisa alheia:
Pena – detenção, de um mês a seis meses, ou multa.
Não deveria haver tal desproporção, uma vez que o bem jurídico protegido é o mesmo, e os delitos são semelhantes. Procedemos, portanto, à devida adequação.
Analisando o projeto à luz da Lei Complementar nº 95, de 26 de fevereiro de 1998, que rege a elaboração, redação e alteração das leis, constatamos a necessidade de incluir um primeiro artigo indicando o objeto da lei, bem como a de alongar o prazo para a sua entrada em vigor, contemplando um período proporcional à repercussão da lei.
Embora fosse recomendável elencar no bojo do Código Penal os crimes de que trata este projeto, afigura-se correta a iniciativa para introdução de lei extravagante. Isso ocorre porque a proposição trata também de assuntos que não poderiam ser inseridos naquele Código. Desse modo, somente em legislação esparsa poderemos ver tipificadas as condutas criminosas relativas à informática.
O art. 14 regulamentava a veiculação de material pornográfico em rede de computadores. Considerando o uso intensivo que atualmente crianças e adolescentes fazem do computador, cujo uso se encontra cada vez mais associado a atividades educativas e culturais, não há porquê transformá-lo em meio de divulgação de pornografia. O controle do acesso ao computador por usuários menores de idade é mais difícil do que o controle do conteúdo divulgado, sendo, portanto, mais produtivo proibir a veiculação de material pornográfico do que o acesso a ele.
O art. 18 contraria a norma constitucional consagrada no art. 84, IV, que estabelece como competência privativa do Presidente da República a regulamentação das leis. Conseqüentemente, ao estabelecer prazo ao Poder Executivo para realização de tal tarefa, está avançando na sua competência constitucional. Realmente, não faria sentido o Legislativo impor a duração desse processo, pois este envolve tratamento de detalhes de operacionalização que são da alçada exclusiva do Executivo, que sobre eles tem melhor compreensão, de vez que os gerencia. Nesse sentido já se pronunciou o Supremo, em sede de ação direta de inconstitucionalidade, declarando a inconstitucionalidade de se assinalar tal prazo.
Quem é o criminoso de informática?
Segundo Mauro Marcelo de Lima e Silva, chefe do Setor de Crimes pela Internet da polícia de São Paulo, indica que os criminosos da informática são jovens, educados, com idade entre 16 e 32 anos, do sexo masculino, magros, caucasianos, audaciosos e aventureiros, com inteligência bem acima da média e movidos pelo desafio da superação do conhecimento.
Para um melhor entendimento a cerca do assunto é de suma importância definir a diferença entre hacker e cracker:
* Hacker – Não são criminosos. Sua imagem é muito distorcida pela mídia. Na verdade, são especialistas em informática que procuram defeitos (bugs) nos sistemas operacionais e programas e quando os descobrem comunicam aos fabricantes, além de toda a comunidade interessada, através de informativos periódicos, listas de discussão ou “news groups”.
* Cracker – pessoas que utilizam seus conhecimentos em informática para quebrar sistemas de segurança. Muitos definem cracker como sendo um hacker que comete crimes.
O que move os crackers?
1. Desafio - Muitos crackers encaram a internet como um estilo de vida. E cada barreira imposta pela sociedade ou pelos programas anti-hackers são considerados desafios a serem transpostos. Os crackers deixam-se levar pelo sentimento de contestação.
2. Fama - Outro fator que pesa bastante para motivar um hacker é a Fama. A fama traz à tona um sentimento que todos carregam dentro de si: o desejo (inconsciente) de aparecer. É notável: quanto mais ousado mais status tem o cracker.
3. Dinheiro - Hoje em dia a principal motivação dos crackers é o dinheiro. O que eles querem mesmo é invadir e roubar com o objetivo final de lucrar com isso. Hoje em dia a maioria dos vírus, worms, bootnet e etc. têm o objetivo maior de roubar informações pessoais. Há casos de sites especializados em vender dados pessoais das vítimas e qualquer pessoa no mundo que esteja interessada pode comprar esses dados.
Qual é o país que sofreu o maior número de ataques?
O Brasil foi o país que apresentou o maior crescimento de ataques durante o ano 2000, totalizando 563 invasões no período, contra 124 em 1999.
Quais as principais ameaças?
Dentre as principais ameaças, podemos destacar as seguintes:
o Os Crackers;
o Os malwares, programas desenvolvidos para executar ações maliciosas em um computador. Exemplos de malwares: vírus, worms, bots, backdoors, cavalo de tróia, keyloggers, rootkits e etc;
o Os usuários, que por serem ingênuos e desinformados ou estarem descontentes com sua empresa, acabam colaborando, de forma consciente ou não, com os Crackers nesses ataques;
o Os protocolos de segurança, que muitas vezes nem existem ou que possuem muitas falhas acabando por colocar em risco todo o sistema.
1. Investimentos em sistemas de segurança
Em 2005 os crimes virtuais causaram um prejuízo de 300 milhões de reais às instituições financeiras no Brasil enquanto que no ano anterior este prejuízo foi de 250 milhões de reais. Em 2003 o prejuízo foi de 100 milhões. Em 2006 esse número manteve-se nessa crescente.
Especialistas alertam sobre o provável aumento deste número em 2007 e por isso mesmo é necessário se prevenir.
Vale ressaltar ainda a possibilidade de que um ataque possa custar até 100 vezes mais para a empresa do que o que realmente os criminosos roubaram. Isso porque as falhas do sistema precisaram ser corrigidas, os clientes devem ser indenizados, o ataque tem que ser investigado e o sistema pode ficar fora do ar por um tempo, ou seja, tudo isso vai colaborar para que este prejuízo aumente e é por este motivo que muitas empresas não conseguem determinar qual foi o seu real prejuízo em certos ataques.
Para evitar tais perdas há prevenções que para serem implementadas exigem um custo e, dessa forma, deve-se chegar a um ponto de equilíbrio, no qual o custo da segurança compense as possíveis perdas e investimentos.
Descrição dos Principais Crimes
1. Roubo de Identidade
Consiste em se apropriar de informações pessoais para fins ilícitos explícitos ou implícitos.
Pensemos no roubo da identidade como uma forma de subtrair para si ou para outrem alguma vantagem da vítima, como produtos, dinheiro, informação etc. Isso é o que chamamos de fim ilícito explícito.
Fins implícitos acontecem quando a apropriação é uma atividade meio de outros fins maiores e mais gravosos, como descobrir os dados de uma pessoa para invadir o banco de dados de uma organização que ela tenha participação, por exemplo.
Vale ressaltar que essa é considerada a principal atividade criminosa no mudo digital.
2. Pedofilia
Internautas criam sites ou fornecem conteúdo (imagens e vídeos) relacionado ao abuso sexual infantil.
A principal repercussão desse crime é social e por isso abrange um foco muito além do anterior.
Técnicas mais Utilizadas
Dentre as principais técnicas destacamos Bootnet e Engenharia Social. Entenda um pouco mais sobre essas duas técnicas a seguir.
Bootnet
Em sua persistente campanha para romper as defesas da internet, os crackers afiam e aumentam o poder de fogo. Com crescente sofisticação, eles tiram proveito de programas que se instalam em segredo em milhares ou até milhões de computadores, reúnem essas máquinas num involuntário exército de zumbis e usam o poder coletivo dessa rede para cometer crimes na internet.
Essas redes, chamadas de botnets, estão sendo responsabilizadas pelo enorme surto de spams que atormentou a internet nos últimos meses, e também por fraudes e roubo de dados.
Essas botnets automatizam e amplificam os efeitos dos malwares, por isso a crescente preocupação de profissionais da área com esta praga.
1. Como são formadas?
Computadores, depois de serem infectados por um bot (malware que se espalha de maneira autônoma, tal como um worm, aproveitando vulnerabilidades que podem ser exploradas remotamente), se conectam por meio de um componente IRC (Internet Relay Chat, uma rede de comunicação on-line) a um determinado canal de um ou mais servidores de IRC. O software usado para gerenciamento destes canais, normalmente, é modificado de forma que sirvam a mais bots e que não revelem a quantidade de bots associados. Assim está formada a botnet, que o atacante controla por meio de comandos no canal IRC.
2. Quais são os Principais objetivos?
* Ataques de negação de serviços distribuídos (DDoS);
* Envio de spam;
* Captura de tráfego de rede;
* Captura do que é digitado no teclado do computador infectado;
* Propagação de novos malwares;
* Divulgação de publicidades;
3. Quais os ricos que representam?
O risco está na captura de dados sigilosos e no tipo de ataque que seu computador participa sem o seu consentimento: ataques de phishing scam, envio de spam, ataques de negação de serviços distribuídos e etc.
As organizações ainda correm um risco extra: elas podem ser alvo de ataques de negação de serviços que podem causar a interrupção de serviços, insatisfação de clientes e perdas financeiras.
Engenharia Social
Atualmente, informação constitui um bem de suma importância para as organizações dos mais variados segmentos. A informação compreende qualquer conteúdo que possa ser armazenado ou transferido de algum modo, servindo a determinado propósito e sendo de utilidade ao ser humano. Dentro do universo de informações, muitas delas têm valor pessoal ou mesmo organizacional. Na grande maioria das situações, usuários de informações desconhecem seu valor e pode colocar a si ou uma instituição numa condição vulnerável, principalmente, quando diante de um engenheiro social.
1. O que é Engenharia Social?
A Engenharia Social é um método utilizado para obter acesso às informações importantes ou sigilosas em organizações ou sistemas por meio da enganação ou exploração da confiança das pessoas. Para isso, o golpista pode se passar por outra pessoa, assumir outra personalidade, fingir que é um profissional de determinada área, etc. É uma forma de entrar em organizações muito facilmente, porque não necessita da força bruta ou de erros em máquinas, ela explora, com muita sofisticação, as falhas de segurança dos humanos, que quando não treinados para esses ataques podem ser facilmente manipulados. Algumas empresas investem fortunas em tecnologias de segurança de informações e protegem fisicamente seus sistemas, mas a maioria não possui métodos que protegem seus funcionários das armadilhas de engenharia social.
A melhor arma contra a engenharia social é a informação. De nada adiante as empresas usarem sistemas ultra-protegidos se seus funcionários não tiverem ciência dos golpes que podem sofrer (repare que neste caso, os golpes de engenharia social podem ocorrer não só pela Internet, mas principalmente no próprio ambiente de trabalho). No caso dos usuários domésticos, os pais devem informar a seus filhos sobre os perigos existentes e de igual forma, devem tomar cuidado quando estiverem navegando na Internet.
É importante salientar que, independentemente do hardware, software e plataforma utilizada, o elemento mais vulnerável de qualquer sistema é o ser humano, o qual possui traços comportamentais e psicológicos que o torna susceptível a ataques de engenharia social. Dentre essas características, pode-se destacar:
Vontade de ser útil – O ser humano, comumente, procura agir com cortesia, bem como ajudar outros quando necessário.
Busca por novas amizades – O ser humano costuma se agradar e sentir-se bem quando elogiado, ficando mais vulnerável e aberto a dar informações.
Propagação de responsabilidade – Trata-se da situação na qual o ser humano considera que ele não é o único responsável por um conjunto de atividades.
Persuasão – Compreende quase uma arte a capacidade de persuadir pessoas, onde se busca obter respostas específicas. Isto é possível porque as pessoas têm características comportamentais que as tornam vulneráveis à manipulação.
Providências tomadas após um ataque
Muitas instituições preferem não divulgar o ataque que sofrem porque temem a repercussão negativa que isto pode gerar para a empresa, mas deveriam fazer isso, pois, dessa forma, colaborariam para o controle e estudo desses crimes.
As primeiras providências são “normais”, ou seja, deve-se registrar um boletim de ocorrência além de notificar o fato à instituição envolvida, ou seja, o seu banco, sua operadora de cartão de créditos e etc.
1. Para quem devo notificar os incidentes?
Mas, para que se tenha um controle maior sobre estes crimes, ainda se faz necessário alertar seu provedor de Internet e o CERT.br, instituição responsável por coordenar todas as informações desta área. Como foi dito anteriormente, muitas empresas não seguem estes procedimentos.
2. Que informações devem ser incluídas em uma notificação de incidentes?
As informações necessárias em uma notificação de incidentes desta natureza são os seguintes:
o Logs completos bem como a data, horário e fuso horário desses logs;
o Dados completos dos incidentes ou qualquer outra informação que tenha sido utilizada na identificação da atividade.
Conclusão
O número de incidentes de segurança está em pleno crescimento, não apenas porque as redes de computadores são vulneráveis e não há tantos profissionais especializados no mercado, mas também porque quanto mais poderosos tornam-se os aparatos de segurança – leia-se firewalls, software, etc. – maior se torna o interesse de cracker em invadir.
Um dos maiores riscos é a empresa acreditar que basta comprar equipamentos e softwares e estará segura para sempre. Produtos de segurança direcionados à prevenção são bons, mas é apenas uma parte do conceito geral. Não é o bastante ter os melhores produtos de segurança, também é necessário um treinamento dos seus funcionários para evitar, entre outros, as engenharias sociais.
Referências Bibliográficas
* FOLHA ONLINE. Polícia prende hacker que aplicava golpes em clientes de bancos. Disponível em: <http://www1.folha.uol.com.br/folha/informatica/ult124u14503.shtml>.
Acesso: em 05 mar. 2004;
* NIC BR. Comitê Gestor da Internet no Brasil. Cartilha de Segurança da Internet. Disponível em: < http://www.nbso.nic.br/docs/cartilha>. Acesso: em 10 dez. 2003;
* NUA. Internet Surveys. Disponível em: <http://www.nua.ie/surveys>. Acesso: em 30 nov. 2003;
* PORTAL TERRA. Preso acusado de aplicar golpe milionário pela web. Disponível em: < http://informatica.terra.com.br/virusecia/spam/interna/0,,OI214092-EI2403,00.html>. Acesso: em 05 mar. 2004;
* REDE NACIONAL DE PESQUISA. Disponível em <http://www.rnp.br>. Acesso: em 12 nov. 2003;
* CAMARA FEDERAL: Seção de elaboração e distribuição/DEAPA
* http://www.camara.gov.br/sileg/integras;
* SENADO: Seção de editoração e publicação;
* COSTA, Marco Aurélio, Crimes de Informática III. Retirado da Internet, Urugauiana – RS, 1989.s/p;
* LICKS, Otto Banho e JUNIOR, João Marcelo de Araújo. Aspectos penais dos crimes de informática no Brasil. Revista dos tribunais Rio Grande do Sul, 1994. p. 94;
* Aspectos penais dos crimes de informática no Brasil. Revista dos tribunais, Rio Grande do Sul, 1994. p. 94;
* LICKS, Otto Banho e JUNIOR, João Marcelo de Araújo. Aspectos penais dos crimes de informática no Brasil. Revista dos tribunais Rio Grande do Sul, 1994. p. 95;
* Aspectos penais dos crimes de informática no Brasil. Revista dos tribunais Rio Grande do Sul, 1994. p. 95;
* COSTA, Marco Aurélio, Crimes de Informática III. Retirado da Internet, Uruguaiana – RS, 1989.s/p;
* BARRA, Estudos jurídicos em homenagem a Manoel Pedro Pimentel, RT, São Paulo, 1992. p. 141;
* JÚNIOR, João Marcelo Araújo, Computer Crime: Conferência Internacional de Direito Penal;
* Anais Procuradoria Geral da Defensoria Pública,Rio de Janeiro:, 1988. p. 461;
* Aspectos penais dos crimes de informática no Brasil. Revista dos tribunais, Rio Grande do Sul, , 1994. p. 97;
* www.pr.gov.br/batebyte/2004/bb140/crimes.shtml;
* www.denunciar.org.br;
* http://idgnow.uol.com.br/seguranca;
* http://www.base64.com.br;
* http://tecnologia.terra.com.br;
* www.cartilha.cert.br;
* http://gsisic.serpro.gov.br;
* http://www1.folha.uol.com.br/folha/informatica/ult124u19455.shtml (diz que o roubo de indentidade é crime virtual mais comum);
* http://www1.folha.uol.com.br/folha/informatica/ult124u21098.shtml (a microsoft diz que mais de 20% de softwares são piratas);
* http://jus2.uol.com.br/doutrina/texto.asp?id=3186 (bem teórico na área judicial, grande e massante);
* http://br.geocities.com/lrbs1003/index.htm (pequeno e bem resumido, mostra como podemos abrir uma ocorrência);
* http://www.denunciar.org.br/twiki/bin/view/SaferNet/Noticia20060531225213 (muito bom mostra como manter as provas de um crime virtual);
* http://www.portalbrasil.eti.br/reportagem_crime_virtual.htm (depoimento de uma hacker) ;
* http://www.denunciar.org.br/twiki/bin/view/SaferNet/Noticia20061019020133