eSocial: Mudanças no cálculo da contribuição do segurado entra em vigor em março

Empregadores devem observar alterações trazidas Nota Técnica nº 17/2019 e procedimento orientado no FAQ 07.21

A partir da competência março/2020, passam a valer as novas regras para o cálculo da contribuição previdenciária descontada dos segurados com a aplicação da tabela progressiva. A mudança consta da Emenda Constitucional nº 103/2019, a chamada Reforma da Previdência, em vigor desde novembro do ano passado.

O novo procedimento para que os empregadores possam apurar e informar corretamente os valores no eSocial, nos casos em que o empregado presta serviço simultaneamente a mais de um empregador ("múltiplos vínculos"), foi disponibilizado na página de Perguntas Frequentes, do portal do eSocial.  Para entender como fazer os cálculos, consulte o item 07.21 do FAQ.

                                                                  FONTE:BLOG SOFTVALE

Falha em sistema do McDonald’s possibilitava lanches infinitos e de graça

Duas vulnerabilidades presentes em um sistema local da versão alemã da rede McDonald’s permitiam que qualquer indivíduo (com o devido conhecimento técnico para isso) realizasse pedidos infinitos de lanches e bebidas gratuitamente. As brechas foram descobertas acidentalmente por Lenny Bakkalian e David Albert, uma dupla de pesquisadores que, após identificar o problema em novembro de 2019, notificaram a cadeia de fast food para que o software fosse consertado imediatamente.

O primeiro bug residia em um sistema usado para recompensar os clientes que preenchem uma pesquisa de satisfação. Ao realizar qualquer pedido em um McDonald’s na Alemanha, você recebe um código único no final de sua nota fiscal; informando tal token em uma URL específica e completando o formulário, o consumidor recebe na hora um voucher para resgatar um copo pequeno de refrigerante na próxima vez que for ao restaurante.

Ao analisar o código de tal página, David descobriu que o gatilho para o script que liberava o voucher era sempre igual e percebeu que poderia criar um programa para gerar a quantidade de cupons que quisesse, simulando um consumidor repetindo a pesquisa infinitamente.

Mas os especialistas não pararam por aí. Após brincar com o gerador de cupons durante mais horas, eles aprimoraram o software e conseguiram modificá-lo para aplicar a gratuidade em qualquer pedido feito pelo aplicativo oficial do McDonald’s — tudo o que foi necessário foi usar um laptop como um “proxy” para interceptar as informações do app, eliminar o valor do lanche e devolver os dados para o celular, permitindo que a encomenda fosse finalizada sem a necessidade de pagar um único centavo.

A rede de fast food foi notificada após a realização de testes em dois estabelecimentos distintos: no primeiro, os pesquisadores pediram 15 lanches, mas avisaram os cozinheiros para cancelar os pedidos; no segundo, o próprio gerente da lanchonete insistiu em entregar o hambúrguer, que foi oferecido para um morador de rua.

 A falha foi consertada em dezembro e os especialistas foram recompensados pela descoberta.

                                                                                FONTE:THE HACK

Joker, o malware que vem dentro de atualizações de aplicativos

Malware que só aparece ao atualizar um aplicativo e aumenta sua conta de telefone.

 Joker (ou Bread) era um malware que forçava a inscrição do seu número de celular em serviços SMS premium. No entanto, as novas versões do Android e os sistemas de proteção do já bloqueiam esse golpe: mais de 1.700 aplicativos* já foram removidos da Google Play Store.

Os cibercriminosos mudaram para outro método de cobrança: o WAP. As primeiras versões dos aplicativos não faz nada e, com falsos comentários e revisões, o número de downloads aumenta. Depois, ao abrir uma atualização você é automaticamente cadastrado para um serviço premium e somente se reclamar com sua operadora é que deixa de pagar por ele.

Os serviços WAP cobram suas compras diretamente na conta telefônica ou nos créditos do usuário pré-pago, sem que seja necessário um registro, digitar senhas nem mesmo usar um cartão de crédito ou débito.

Ficam as recomendações de segurança: escaneie o seu smartphone com um aplicativo de segurança independente do Google, mantenha o Protect Play ativado nas configurações do seu próprio aplicativo da Google Play e revise a sua fatura de telefone para ver se há alguma cobrança indevida.

                                                                     FONTE:AVAST BLOG

Novo eSocial: divulgada versão Beta do leiaute simplificado

Versão Beta do novo eSocial já está disponível para conhecimento dos desenvolvedores e usuários.

O eSocial vem passando por um processo de simplificação, inclusive para cumprimento do disposto na Lei 13.874/19.

A simplificação foi prevista para ocorrer em duas fases: a primeira foi feita pela flexibilização de campos e eventos; e a segunda, pela publicação de novo leiaute com redução do número de campos, eliminação de duplicidade de informação, foco na substituição de obrigações, e não exigência de informações já constante nas bases de dados governamentais.

O trabalho de simplificação buscou preservar os investimentos já realizados pelos empregadores e promete trazer uma efetiva facilitação na forma da prestação das informações.

Veja os principais pontos da simplificação:

- Redução do número de eventos;
- Expressiva redução do número de campos do leiaute, inclusive pela exclusão de informações cadastrais ou constantes em outras bases de dados (ex.: FAP) ;
- Ampla flexibilização das regras de impedimento para o recebimento de informações (ex.: alteração das regras de fechamento da folha de pagamento - pendências geram alertas e não erros);
- Facilitação na prestação de informações destinadas ao cumprimento de obrigações fiscais, previdenciárias e depósitos de FGTS;
- Utilização de CPF como identificação única do trabalhador (exclusão dos campos onde era exigido o NIS);
- Simplificação na forma de declaração de remunerações e pagamentos.

O novo leiaute é fruto do trabalho conjunto da Secretaria Especial de Previdência e Trabalho - SEPRT e da Secretaria Especial da Receita Federal do Brasil - RFB, conforme previsto na Nota Técnica Conjunta SEPRT/RFB nº 01/2020, que contempla o modelo de gestão do eSocial entre as duas Secretarias Especias, a ser formalizado pela alteração da Portaria nº 300, de 13 de junho de 2019.

A SEPRT e a RFB, em cooperação fundada nesse modelo de gestão conjunta, divulgam a versão Beta do leiaute do novo eSocial, ajustado de forma a facilitar o processo de modernização e simplificação do sistema, tornando o compartilhamento de informações e a execução de procedimentos relacionados ao desenvolvimento, implantação e manutenção do sistema mais célere, o que resultará em maior segurança jurídica para os usuários do sistema favorecendo, em última instância, o ambiente de negócios no país.

As Secretarias Especiais ressaltam que esta publicação se trata de versão Beta do leiaute, e que está sujeita a ajustes e correções até a publicação da versão final oficial.

O novo leiaute está disponível na página de Documentação Técnica ou pode ser baixado pelo site do eSocial.

                                                                       FONTE:PORTAL CONTÁBEIS

EFD-REINF – Início da obrigatoriedade para empresas que alteraram o regime tributário

A Instrução Normativa RFB nº 1.701 de 2017, estabeleceu um novo cronograma de implantação da EFD-Reinf, e ainda fixou penalidades para o contribuinte que não cumprir a obrigação.

A Instrução Normativa RFB nº 1.701 de 2017 (alterada pela Instrução Normativa RFB nº 1.842 de 2018 e Instrução Normativa RFB nº 1.900 de 2019), estabeleceu um novo cronograma de implantação da EFD-Reinf, e ainda fixou penalidades para o contribuinte que não cumprir a obrigação.

Atualmente, o EFD-REINF deve ser declarado a partir das seguintes datas:

1º Grupo de Empresas - entidades integrantes do “Grupo 2 - Entidades Empresariais”, do anexo V da IN RFB nº 1.634/2016, com faturamento no ano de 2016 acima de R$ 78.000.000,00 (setenta e oito milhões de reais), a partir das 08 horas de 1º de maio de 2018;

2º Grupo de Empresas - entidades integrantes do “Grupo 2 - Entidades Empresariais”, do anexo V da IN RFB nº 1.634/2016, com faturamento no ano de 2016 igual ou inferior a R$ 78.000.000,00 (setenta e oito milhões de reais), a partir das 08 horas de 10 de janeiro de 2019;

3º grupo de Empresas - compreende os obrigados não pertencentes ao 1º, 2º e 4º grupos, inclusive as empresas optantes pelo Simples Nacional, em data a ser fixada em ato da Receita Federal do Brasil; e

4º grupo de Empresas - compreende os entes públicos, integrantes do “Grupo 1 - Administração Pública” e as organizações internacionais, integrantes do “Grupo 5 - Organizações Internacionais e Outras Instituições Extraterritoriais”, ambas do Anexo V da IN RFB nº 1.634/2016, em data a ser fixada em ato da Receita Federal do Brasil.

O cronograma de implantação ainda gera muitas dúvidas, principalmente para empresas que alteraram o regime tributário durante este período de início da obrigação.

Regra geral, a alteração do regime tributário da empresa não acarretará na alteração da data de início da transmissão do EFD-REINF.

Em outras palavras, se a empresa já iniciou a declaração de informações, por que estava enquadrada nos grupos 1 ou 2, ela não suspenderá a entrega mensal pelo fato de ter optado pelo Simples Nacional em 2020, por exemplo.

Ou, se a empresa era pertencente ao Simples Nacional, e em 2019 ou 2020 passou a ser tributada no Lucro Presumido, não levaria a transmissão retroativa do EFD-REINF, salvo por determinação expressa da Receita Federal.

No portal Sped existem perguntas e respostas relacionadas ao EFD-REINF, e dentre elas a Receita Federal esclareceu o seguinte:

1.1 - Tenho dúvida sobre o grupo de enquadramento de início de prestação de informações na EFD-Reinf (se 2º Grupo - janeiro/2019 ou 3º Grupo – data a ser fixada), referente ao Simples Nacional. Isso porque, tentamos enviar informações, mas recebemos a seguinte mensagem de erro: “Prezado contribuinte, o início do envio obrigatório dos seus eventos da EFD-Reinf ainda será definido em data a ser fixada em ato da RFB”. Sendo assim, minha dúvida é: a empresa era enquadrada no Simples Nacional durante todo ano de 2018 (inclusive em 01/07/2018) e em 2019 e 2020 ela não está mais no Simples Nacional, pois está no Lucro Presumido (ou em outra forma de tributação). Por que eu não consigo enviar informações através da EFD-Reinf? A qual grupo da EFD-Reinf pertence?

Primeiramente, solicitamos ler a IN RFB 1701/2017 - art. 2º, § 1º, II: para o 2º grupo, que compreende as demais entidades integrantes do “Grupo 2 - Entidades Empresariais” do Anexo V da Instrução Normativa RFB nº 1.634, de 2016, exceto as optantes pelo Regime Especial Unificado de Arrecadação de Tributos e Contribuições devidos pelas Microempresas e Empresas de Pequeno Porte (Simples Nacional) , instituído pelo art. 12 da Lei Complementar nº 123, de 14 de dezembro de 2006, desde que a condição de optante conste do Cadastro Nacional da Pessoa Jurídica (CNPJ) em 1º de julho de 2018, e as entidades empresariais pertencentes ao 1º grupo, referidos no inciso I, a partir das 8 (oito) horas de 10 de janeiro de 2019, referentes aos fatos ocorridos a partir de 1º de janeiro de 2019."

Dessa forma a data de corte foi 01/07/2018. Sendo assim, estarão no 3º Grupo as empresas optantes pelo Regime Especial Unificado de Arrecadação de Tributos e Contribuições devidos pelas Microempresas e Empresas de Pequeno Porte (Simples Nacional) , instituído pelo art. 12 da Lei Complementar nº 123, de 14 de dezembro de 2006, desde que a condição de optante conste do Cadastro Nacional da Pessoa Jurídica (CNPJ) em 1º de julho de 2018.

Dessa forma, respondendo à sua pergunta:

- Se a empresa era enquadrada no Simples Nacional na data de corte, que foi 01/07/2018, independentemente de alteração de regime de tributação, pertencerá ao 3º Grupo e deverá prestar suas informações na EFD-Reinf somente a partir de data a ser fixada em ato da RFB, conforme IN RFB 1701/2017 - art. 2º, § 1º, III, alterada pela IN RFB 1900, de 17 de julho de 2019.

Segue o mesmo tratamento para as novas empresas que abriram após 01/07/2018 enquadradas no Simples Nacional, mesmo tendo alterado seu regime de tributação posteriormente. Dessa forma, essa empresa também estará enquadrada no 3º Grupo.

                                                                         FONTE:PORTAL CONTÁBEIS

vulnerabilidade em sistema de corretagem permite acessar dados de clientes

Um famoso software-as-a-service (SaaS) de corretagem, utilizado por diversas corretoras brasileiras e com integração direta com as maiores seguradoras do país, deixou expostas as credenciais de seus utilizadores, apurou a The Hack com exclusividade. Estamos falando do Quiver MAX, solução multicálculo da Quiver, empresa que nasceu em 2018 depois da fusão entre as bem-sucedidas Sistemas Seguros e a Virtual Softwares para Seguros.

 A denúncia partiu de um pesquisador de segurança identificado simplesmente como Renato "hex0x42424242". Um dos problemas estava na má-configuração de um ambiente Elastic integrado ao SaaS: o cluster, cuja função era registrar logs de acesso ao sistema (através da ferramenta Logstash), estava público, permitindo o livre acesso por qualquer internauta que soubesse a sua URL.

 Lá, era possível navegar por um total de aproximadamente 60 GB de logs sensíveis, incluindo as senhas dos corretores em hash.

A partir daí, temos um segundo problema: Renato descobriu que, analisando a página de login do sistema, era possível descobrir o método de criptografia utilizado e fazer o reverso das hashes, obtendo então as senhas registradas para acessar o sistema de corretagem. Uma vez dentro do SaaS, bastava navegar pela carteira de clientes do corretor e obter uma série de informações pessoais, incluindo nome completo, CPF, email, data de nascimento, telefones (fixo e celular), endereço, profissão e detalhes do veículo (placa e chassi)

Grande impacto

É difícil estimar a total dimensão do vazamento — Renato afirma ter encontrado aproximadamente 21,8 mil credenciais (ou seja, 21,8 mil corretores) registradas em log. Isto posto, se cada corretor tiver uma cartela de 100 clientes — por exemplo —, estamos falando da possibilidade de acessar informações pessoais de 2,1 milhões de cidadãos que possuem um carro, um caminhão ou um imóvel segurado. Contudo, é importante lembrar que esse número não é absoluto, pois o Logstash também registra repetições.

Para fins de teste, a The Hack utilizou três credenciais para explorar o painel de corretagem de três corretores diferentes, e conseguiu acessar dados sensíveis com extrema facilidade. Em um dos casos, foi possível visualizar informações pessoais de um policial aposentado, descobrindo detalhes de seu veículo (um Ford Fusion Titanium ano-modelo 2015) e até detalhes de seus hábitos cotidianos (CEP de pernoite do automóvel, tipo de residência, tipo do portão e CEP de circulação).

Como bem observado por Renato — em um dos emails trocados com a nossa equipe —, tal vazamento de dados pode ter uma série de consequências à Quiver, incluindo prejuízos financeiros e processos judiciais. A própria empresa, em materiais promocionais, afirma ser líder de mercado no setor de softwares para corretagem e se vangloria de ter uma base de clientes finais estimada em 5,8 milhões de brasileiros. O SaaS é integrado com, por exemplo, Bradesco Seguros, Tokio Marine, Zurich, Allianz, Liberty, Porto e SulAmérica.

O que foi feito?

A má-configuração de servidores e ambientes na nuvem é, como já dissemos várias vezes aqui na The Hack, um dos principais problemas de segurança de 2019. No caso, trata-se de mais um problema em um cluster do Elasticsearch, solução utilizada para facilitar a busca por dados em texto em um servidor com grande volume de informações.

O ambiente da Quiver estava ainda integrado com outras duas ferramentas: o Logstash, usado para registrar logs, e o Kibana, empregado para visualizar esses dados na forma de gráficos.

Além das credenciais, o ambiente Elastic vulnerável também registrava outras informações sensíveis a respeito do SaaS, incluindo data, hora, endereço IP e cliente (tipo de dispositivo, sistema operacional, navegador etc.) das máquinas utilizadas para acessá-lo.

A Quiver foi notificada por Renato no dia 8 de outubro; ao não obter respostas da empresa, o pesquisador nos notificou da brecha. Após apurarmos o problema, tentamos entrar em contato com a empresa por diversas formas a partir do dia 24 de outubro (via telefone, email e até mesmo mensagem particular no LinkedIn para colaboradores da área técnica), mas não obtivemos resposta até o fechamento da reportagem.

No momento em que esta matéria foi escrita, o ambiente Elastic continuava público; porém, as credenciais não estavam mais sendo registradas pelo Logstash e o histórico de logins havia sido deletado, impedindo assim o acesso por pessoas não-autorizadas. É impossível dizer se agentes maliciosos tiveram acesso aos dados antes que o problema fosse corrigido.

Atualização: 11/11/2019, às 13h15

Após a publicação da reportagem, a Quiver nos enviou seu posicionamento oficial por email. Confira na íntegra.

"Nossa empresa pautada pelo seu princípio de respeito aos nossos clientes, pela segurança da informação e a privacidade dos dados, comunica que imediatamente após tomarmos conhecimento desta situação ocorrida na solução MAX, executamos as medidas cabíveis para bloquear a vulnerabilidade apresentada, visto que as aplicações evoluem continuamente e as mesmas requerem monitoramento e ajustes com frequência."

A The Hack confirmou que, neste momento, o ambiente Elastic foi devidamente retirado do ar.

                                                                                    FONTE: THE HACK

Falhas no eSocial forçam empresas a usar cadastro antigo

Contribuintes enfrentam problemas no envio de informação ao eSocial e, por isso, optam pelo sistema antigo.

Anunciada como uma simplificação de obrigações das empresas, a substituição total do Cadastro Geral de Empregados e Desempregados (Caged) pelo registro de empregados por parte das empresas por meio do Sistema de Escrituração Fiscal Digital das Obrigações Fiscais Previdenciárias e Trabalhistas (eSocial) precisou ser interrompida no primeiro mês de funcionamento.

As declarações de contratações e demissões realizadas em janeiro deveriam ser comunicadas ao governo até sexta-feira, 7, mas falhas no novo sistema obrigaram empresas a retomar o uso do cadastro antigo para prestar essas informações.

Esse é mais um dos sistemas administrados pelo governo federal e que apresentam falhas. O Instituto Nacional do Seguro Social (INSS) , a Receita Federal, o Dataprev, o Instituto Brasileiro do Meio Ambiente e dos Recursos Naturais Renováveis (Ibama) e universidades federais registraram dificuldades em serviços e informações.

Caged

Pelo menos 265 empresas, mais as filiais, precisaram enviar os dados por meio do Caged. A falta do envio gera multa automática de R$ 4,47 por funcionário, no caso de atrasos de até 30 dias. Até 60 dias, o valor sobe para R$ 6,70 e vai a R$ 13,40 se ultrapassar os dois meses.

Os relatos de problemas começaram na última quinta-feira, 6, segundo informações da Secretaria Especial de Previdência e Trabalho e do Conselho Federal de Contabilidade (CFC). Mas um comunicado tratando de “problemas no envio dos eventos” por meio do eSocial já havia sido publicado no site do Caged no dia 27 de janeiro.

Na publicação, a coordenadora de cadastros administrativos do Caged, Rosangela Jardim de Farias, diz que até os problemas de processamento serem sanados, as empresas devem usar o cadastro antigo. Afirma também estar trabalhando para solucionar a falha até o próximo mês.

Desobrigação Caged

A desobrigação de uso do Caged foi definida em portaria publicada pela Secretaria Especial de Previdência e Trabalho em outubro do ano passado e está valendo desde 1º de janeiro para as empresas dos grupos 1 e 2.

Juntos, esses grupos têm 1,156 milhão de empresas e 23 milhões de empregos, segundo dados de setembro de 2019.

eSocial

O eSocial é o sistema de escrituração criado pelo governo para reunir as informações trabalhistas e previdenciárias. Ele vem progressivamente substituindo outras bases, como a Guia de Recolhimento do FGTS e de Informações à Previdência Social (Gfip), o Caged e, a partir do envio de dados de 2020, a Relação Anual de Informações Sociais (Rais) .

Angela Andrade Dantas Mendonça, conselheira no CFC e integrante do Grupo de Trabalho do eSocial, diz que as dificuldades tiveram início na última quinta-feira. Os relatos são de que o envio das informações no eSocial não é concluído.

A primeira recomendação do Conselho é para a realização de um “batimento de dados”, que consiste na revisão das informações enviadas, pois inconsistências podem barrar a transmissão da comunicação de admissão, desligamento e transferência.

O CFC não descarta notificar a Secretaria de Trabalho para garantir que as empresas não sejam multadas caso não consigam enviar as informações até sexta.

O advogado Fabio Medeiros, do Lobo de Rizzo Advogados, diz que há uma preocupação de a instabilidade afetar também empresas que não foram listadas pelo governo – as 265 que precisaram usar o Caged.

A Secretaria Especial de Previdência e Trabalho informou que o comunicado teve como objetivo garantir a preservação das informações na data estabelecida e disse ressaltar que não haverá impactos para empresas, empregados, nem para a geração de estatísticas de emprego no mês de janeiro.

                                                                 FONTE: PORTAL CONTÁBEIS

                                                                            

Companhia aérea indiana deixa vazar dados de 1,2 milhão de passageiros

A SpiceJet, uma das maiores companhias aéreas da Índia, acaba de sofrer um grave vazamento de dados que afetou nada menos do que 1,2 milhão de passageiros. Falando exclusivamente ao site TechCrunch, um pesquisador de segurança anônimo afirmou ter sido capaz de invadir os sistemas da empresa usando um simples ataque de força bruta (brute force), já que eles eram protegidos com senhas “fáceis de adivinhar”. Uma vez dentro dos servidores, o invasor foi capaz de realizar a extração dos dados pessoais.

Cada registro inclui diversas informações sobre os clientes da SpiceJet, incluindo nome completo, data de nascimento, número de telefone, endereço de email e detalhes sobre os voos contratados — de acordo com uma análise preliminar feita pelo próprio jornal estrangeiro, todos os dados são reais. Apesar da grande quantidade de afetados, o pesquisador esclarece que o vazamento engloba apenas dados das viagens feitas ao longo do último mês.

Após ser notificada pela CERT-In, agência estatal indiana que monitora incidentes de segurança cibernética, a SpiceJet tomou as devidas medidas para consertar a brecha e enviou um comunicado à imprensa. “A segurança dos dados de nossos passageiros é sacrossanta. Nossos sistemas são totalmente capazes e sempre atualizados para proteger os dados dos passageiros, que é um processo contínuo. Tomamos todas as medidas possíveis para salvaguardar e proteger esses dados e garantir que a privacidade seja mantida no nível mais alto e seguro”, afirmou a companhia.

Ainda é incerto se a SpiceJet oferecerá algum tipo de auxílio para os clientes afetados.

                                                                         FONTE:THE HACK

Phishing tem crescimento de 231,5% no Brasil em 2019, aponta pesquisa

O número de páginas de phishing no Brasil teve um crescimento recorde de 231,5% entre fevereiro e dezembro de 2019, de acordo com o relatório "Atividade Criminosa On-line no Brasil", apresentado hoje (06) pela Axur. O estudo traz os principais dados referentes a phishing, malwares, infrações em uso de marca e vazamento de dados. O levantamento mostra evolução significativa das atividades criminosas cibernéticas no país ao longo do ano passado.

Apenas no quarto trimestre de 2019, foram identificados nada menos do que 8.762 casos de páginas falsas tentando roubar dados sigilosos dos consumidores, com destaque especial para a semana da Black Friday. Perfis falsos em redes sociais estão entre um dos principais métodos de pirataria e vendas não autorizadas, que também funcionam para furto de dados em páginas de phishing.

Outro fator de alerta apontado no material é o vazamento de cartões de crédito e débito, que identifica o Brasil como segundo país com mais vazamento de dados desse tipo. No total anual, 1,6 milhão de cartões expostos foram detectados em 2019, perdendo apenas para os Estados Unidos, o que reforça a necessidade de sistemas de detecção e procedimentos de monitoramento.

Além de atividades de phishing e vazamento de credenciais (e-mails com senha) e cartões de crédito, é notório o número de senhas vazadas de organizações com domínios .br: foram 23,6 milhões de credenciais únicas detectadas, sendo 123456 a senha mais comum com 37,65 milhões de detecções no mundo.

Só a LGPD salva?

"Com tantos dados sendo capturados (e expostos), uma das nossas principais metas de 2019 foi tornar pública a verificação de senhas vazadas a partir de nossa base, que tem hoje mais de 9 bilhões de credenciais já expostas em web superficial, deep e dark web," diz Fábio Ramos, CEO da Axur. O executivo afirma que a Lei Geral de Proteção de Dados, LGPD, prevista para entrar em vigor a partir de agosto de 2020 no país, ressalta a importância e urgência em entender os perigos digitais dessa nova era.

O estudo também revelou que as instituições financeiras foram as mais afetadas por malwares, softwares maliciosos que capturam dados de consumidores, e que, portanto, precisam cada vez mais de atenção e cuidado com ameaças digitais. Foram identificadas 38 empresas alvo em uma única fraude desse tipo em dezembro, maior número já computado.

                                                                                 FONTE: THE HACK

vazam dados de milhares de sócio-torcedores do Palmeira

Um servidor desprotegido acabou expondo dados de milhares de sócio-torcedores do clube poliesportivo Palmeiras, conforme apuração exclusiva feita pela The Hack em parceria com o site norte-americano ZDNet. O ambiente vulnerável era propriedade da Futebol Card, plataforma online de venda de ingressos que também é utilizada por diversos clubes de futebol para gerenciar seus programas de sócio-torcedores — no caso, o vazamento afetou sobretudo o Avanti Palmeiras, como é chamado o programa do time paulista.

Analisando a brecha, a The Hack foi capaz de extrair quase 25 GB de arquivos do servidor em questão. Embora ele também armazenasse documentos relacionados com outros clubes (incluindo o Botafogo de Futebol e Regatas e o Sport Club do Recife), a maior parte do material dizia respeito ao Palmeiras. No total, detectamos nada menos do que 1.640 planilhas em formato CSV contendo dados cadastrais dos sócios-tor

Entre as informações expostas nas planilhas, temos nome completo, CPF, data de nascimento, data de associação, gênero, estado civil, plano de associação, forma de pagamento, recorrência do pagamento, email de cadastro, número de telefone, endereço completo com CEP, tamanho da camiseta de torcedor e até mesmo comentários especiais deixados pelo associado no momento do cadastro. Também existem detalhes sobre os cartões contactless Mifare que são usados para acessar o estádio durante os jogos, incluindo código, dígito e status (gerado, recebido, retirado etc.).

Devido a grande quantidade de planilhas, foi impossível calcular o número total de sócio-torcedores afetados (existe a possibilidade de que os cadastros se repitam nas listagens). Contudo, analisando alguns arquivos, encontramos 44 mil membros ativos em apenas um dos relatórios e 9,7 mil bloqueados em outro. É interessante observar que, em dezembro de 2019, um blog especializado divulgou um balancete do Conselho de Orientação Fiscal alviverde (COF) revelando que o programa Avanti Palmeiras teria um total de 67 mil inscritos, sendo que apenas 60 mil estariam pagando a mensalidade em dia.

Risco de phishing e fraudes

Tal incidente cibernético pode ser considerado gravíssimo. Embora o vazamento não inclua dados que possam ser categorizados como sensíveis, as planilhas listam muitos detalhes sobre a associação dos torcedores do clube esportivo. Sendo assim, qualquer criminoso cibernético seria capaz de usar essas informações para aplicar golpes altamente personalizados, entrando em contato com as vítimas em nome do Avanti (por telefone ou por email) e convencendo-as a realizar um pagamento para uma conta de terceiros.

O risco desse tipo de fraude contra os associados do clube aumenta ainda mais se levarmos em conta que o vazamento também expôs alguns materiais oficiais de divulgação do programa, incluindo banners usados para emails oficiais (cabeçalho e rodapé), folhas de estilo CSS, imagens promocionais, logotipos em alta resolução e até mesmo favicons. Todo esse material facilita muito a vida do estelionatário na hora de criar páginas falsas ou emails maliciosos para campanhas de phishing.

Cloud misconfiguration

Vazamentos de dados por configurações inadequadas em servidores na nuvem são um problema recorrente no Brasil e no mundo. No caso, o ambiente vulnerável do Futebol Card era um simples bucket do Amazon Simple Storage Service (S3), solução de armazenamento em cloud da plataforma Amazon Web Services (AWS). Ao criar um bucket em tal serviço, os desenvolvedores costumam se esquecer de especificar seu grau de privacidade e acabam permitindo o acesso público aos arquivos contidos nele.

Um bucket público pode ter parte de seu conteúdo visualizado através de um simples navegador — basta que o internauta saiba exatamente qual é a sua URL para acessar um índice XML contendo os primeiros documentos presentes no servidor. Um atacante mais experiente, por outro lado, pode usar o AWS Command Line Interface (CLI) para explorar todos os arquivos do ambiente, tendo poder total para apagar conteúdos, enviar scripts maliciosos e até mesmo baixar todos os documentos ali presentes.

A The Hack notificou a Futebol Card na última quinta-feira (30), e, embora a companhia não tenha retornado o nosso contato, o servidor foi devidamente protegido já no dia seguinte (31). Contudo, é impossível determinar quantas pessoas tiveram acesso às planilhas até tal data. O departamento de comunicação do Avanti Palmeiras também não se pronunciou sobre o assunto até o fechamento desta reportagem.

Atualização: dia 05/02, às 15h16

O Palmeiras finalmente se pronunciou a respeito do incidente. Confira abaixo o comunicado oficial do clube, enviado para alguns veículos de mídia.

A Sociedade Esportiva Palmeiras entrou em contato com a empresa FutebolCard para apurar os fatos divulgados em reportagem na manhã desta quarta-feira (05).

A FutebolCard, prestadora de serviços responsável pelos sistemas de venda de ingressos e de gestão do programa de sócio torcedor, assumiu uma falha na proteção dos dados cadastrais de torcedores de Palmeiras e de outros clubes. Segundo a empresa, não houve divulgação de dados financeiros, como, por exemplo, número de cartão de crédito.

A FutebolCard garantiu que a falha foi corrigida assim que a informação foi recebida e se posicionará ainda nesta quarta sobre o fato.

                                                                             FONTE:THE HACK