eSocial: registro de PPP passará a ser eletrônico

As empresas foram divididas em grupos para facilitar a transição do PPP para o eSocial

A Portaria MTP 313/2021, publicada na última quinta-feira (23), regulamentou os procedimentos para passar o Perfil Profissiográfico Previdenciário (PPP) para o eSocial.

A mudança oferece mais segurança jurídica às empresas, reduz a judicialização do benefício de aposentadoria especial e melhora a qualidade das informações que serão encaminhadas ao INSS e ao fisco. 

Além disso, a digitalização dos processos garante maior qualidade e segurança ao armazenamento das informações disponíveis para a fiscalização. Para os segurados da Previdência, a medida garante transparência, pois permite o acesso ao PPP pelos canais digitais do INSS.

Cronograma

A implantação do novo modelo segue cronograma do eSocial. As empresas do primeiro grupo estarão obrigadas ao envio de eventos de Saúde e Segurança do Trabalho no eSocial já a partir de 13 de outubro deste ano – o que permitirá à Previdência obter as informações necessárias à implementação do PPP em meio eletrônico a partir de 3 de janeiro de 2022, conforme determina a Portaria.

As informações de exposição em período anterior a 3 de janeiro de 2022 (até 2 de janeiro de 2022) deverão ser entregues ao trabalhador em formulário físico, já que o PPP eletrônico somente registra as informações de exposição a partir do dia 3 de janeiro de 2022 para os empregados de empresas do grupo 1 do eSocial.

PPP

O Perfil Profissiográfico Previdenciário é um documento com histórico laboral do trabalhador, com registros ambientais e resultados de monitoração biológica, para demonstração da exposição do funcionário a agentes nocivos. 

Tornou-se obrigatório em 1º de janeiro de 2004 abrangendo as atividades desenvolvidas pelo trabalhador, conforme determina a Lei nº 8.213, de 1991. 

O formulário, disponibilizado pelo INSS, era preenchido em papel. Agora, o formulário com as informações a serem prestadas à Previdência Social foi incorporado ao eSocial para permitir o registro eletrônico do PPP.

                                                                                 PORTAL CONTABEIS

Fim do prazo: MEI deve regularizar débitos em aberto até hoje (30)

 Pendências até 2016 não quitadas passarão para dívida ativa se não forem acertadas nesta quinta-feira, dia 30.

Chega ao fim nesta quinta-feira (30) o prazo para os microempreendedores individuais (MEIs) regularizarem o pagamento dos impostos devidos desde 2016 ou há mais tempo. Os empresários neste ano tiveram uma folga a mais, já que a data foi prorrogada em um mês devido à instabilidades no sistema, tendo vencimento original no fim de agosto.

Se os tributos e as obrigações em atraso ou não parcelados não forem corrigidos ainda hoje, os MEIs serão incluídos na Dívida Ativa da União. A inscrição acarreta cobrança judicial dos débitos e perda de benefícios tributários.

De acordo com a Receita, existem 4,3 milhões de microempreendedores inadimplentes, que devem R$ 5,5 bilhões ao governo. Isso equivale a quase um terço dos 12,4 milhões de MEIs registrados no país. 

No entanto, a inscrição na dívida ativa só vale para dívidas não quitadas superiores a R$ 1 mil, somando o valor principal, multa, juros e demais encargos. Atualmente, o Brasil tem 1,8 milhão de microempreendedores nessa situação, que devem R$ 4,5 bilhões.

Dívidas pela pandemia

De acordo com a Receita Federal, os MEIs que tiverem apenas dívidas recentes, em razão das dificuldades causadas pela pandemia de covid-19, não serão afetados. Também não serão inscritas as dívidas de quem realizou parcelamento neste ano, mesmo que haja alguma parcela em atraso ou que o parcelamento tenha sido rescindido.

Como consultar e acertar o pagamento

Os débitos sob cobrança podem ser consultados no Programa Gerador do DAS para o MEI. Por meio de certificado digital ou do código de acesso, basta clicar na opção "Consulta Extrato/Pendências" e, em seguida, em "Consulta Pendências no Simei". O Documento de Arrecadação do Simples Nacional (DAS) para quitar as pendências pode ser gerado tanto pelo site quanto por meio do Aplicativo MEI, disponível para celulares Android ou iOS.

Ainda é possível fazer o pagamento ou parcelamento das dívidas acessando o Portal e-CAC. O passo a passo sobre o parcelamento também está disponível no Portal Gov.br.

De acordo com a Receita, existem 4,3 milhões de microempreendedores inadimplentes, que devem R$ 5,5 bilhões ao governo. Isso equivale a quase um terço dos 12,4 milhões de MEIs registrados no país. No entanto, a inscrição na dívida ativa só vale para dívidas não quitadas superiores a R$ 1 mil, somando o valor principal, multa, juros e demais encargos. Atualmente, o Brasil tem 1,8 milhão de microempreendedores nessa situação, que devem R$ 4,5 bilhões.

Dívida ativa

Caso a dívida não seja quitada, o MEI ficará devendo multas, podendo ser cobrado na justiça, correrá risco de ser inscrito na dívida ativa do seu estado e município. 

Com a inscrição em dívida ativa, o microempreendedor deixa de ser segurado do Instituto Nacional do Seguro Social (INSS) e perde benefícios como auxílio-doença e aposentadoria; tem o Cadastro Nacional da Pessoa Jurídica (CNPJ) cancelado; é excluído do Simples Nacional pela Receita Federal, estados e municípios, que têm alíquotas mais baixas de imposto; e pode ter dificuldades para conseguir financiamentos e empréstimos.

                                                                        PORTAL CONTABEIS

O que é o protocolo OAuth?

Com a vida moderna moderna cada vez mais de contas em serviços digitais, uma possibilidade de acesso aos serviços a partir de uma única credencial é algo que atrai muitos usuários. O que muita gente não sabe é que esse processo é feito a partir de um protocolo específico, chamado de OAuth 2 - que, claro, é a evolução do OAuth.

Provavelmente você já clicou em algum botão escrito “Logar com sua conta do  Google ” ou “Logar com sua conta do Facebook ” quando você está em algum site, para evitar que realizar um novo cadastro com senha e afins em um serviço. Neste caso, você está dando permissão de uma aplicação de terceiros a usar os recursos de suas contas no Google ou o Facebook como credenciais. Isso constitui o protocolo OAuth 2. 

O Auth 2 é um protocolo de autorização que permite que uma aplicação se autentique em outra, como visto no exemplo acima. É importante frisar que o protocolo de acesso limitado a essas aplicações, só para permitir uma autenticação dos usuários. Esse protocolo é utilizado nos mais diversos tipos de autenticação, como em telas de login e autenticação de Application Programming Interface (APIs, em inglês).  

Um dos diferenciais desse método, além de permitir que os usuários acessem contas sem precisar de credencial específico para aquele serviço, é que depois que uma permissão é cedida, mesmo que o usuário troque a senha do aplicativo, ele pode continuar usando com aquele serviço, sem precisa de uma nova autenticação. Faça mesmo jeito, pois podem ser revogadas a qualquer momento.

Diferenças entre OAuth 1 e OAuth 2 

Porém, como o número após o nome do protocolo indica, OAuth 2 não é a primeira versão desse sistema. OAuth 1.0 foi criado em novembro de 2006, e não é compatível com a segunda versão do protocolo, disponibilizada em 2012.

Embora suas funções sejam semelhantes, existe uma série de diferenças fundamentais entre as duas versões. Listamos elas abaixo:

•  Menos necessidade de usar aplicativos de terceiros na autenticação : Não OAuth 1.0, aplicativos de desktop ou de celular precisavam direcionar o usuário para abrir o navegador para o serviço desejado, autenticar com o serviço e copiar o token do serviço de volta para o aplicativo. Com o OAuth 2.0, agora existem novas maneiras de obter um aplicativo necessário, se houver necessidade de abertura de aplicativos externos;
•  Disponíbilidade em aplicativos sem criptografia : O OAuth 2.0 não exige mais que os aplicativos clientes tenham criptografia, permitindo que sejam feitas apenas com o token emitido por HTTPS, diferente da versão, que necessitava de processos de criptografia antes de seu uso;
•  Assinaturas menos complexas : As assinaturas do OAuth 2.0 são muito menos complicadas, não necessitando de análise, classificação ou classificação especial. A primeira versão contava com todas essas complicações, fazendo com que muitos serviços não a adotassem por insegurança quanto ao processo de implementação do protocolo;
•  Melhor separação de funções : por fim, o OAuth 2.0 tem separação de funções entre o servidor responsável pelo tratamento de execução de OAuth e o servidor responsável pela permissão do usuário, permissão de fluxo de dados mais organizado. Na primeira versão, tudo era feito junto, complicando vários processos.

Como funciona?

O protocolo OAuth 2 atua em cima de 4 papéis, onde cada um tem uma missão própria na autenticação do protocolo. Os 4 papéis são:

•  Dono do Recurso : pessoa ou entidade que concede o acesso aos seus dados. Também chamado de dono do recurso.
•  Cliente : é a aplicação que interage com o Resource Owner, como por exemplo o browser, falando no caso de uma aplicação web. Ele é classificado de duas formas: Cliente Confidencial, que é capaz de manter a confidencialidade das credencias; e Cliente Público, que não consegue manter a confidencialidade delas;
•  Servidor de Recurso : uma API que está exposta na internet e precisa de proteção dos dados. Para conseguir acesso ao seu conteúdo é necessário um token que é emitido pelo servidor de permissão.
•  Servidor de Autenticação : responsável por autenticar o usuário e emitir tokens de acesso. É ele que possui as informações do resource owner (o usuário), autentica e interage com o usuário após a identificação do client.
• 
  
  Ilustração demonstrando o fluxo de permissão. (Imagem: Reprodução / TreinaWeb)

Esses quatro papéis desempenham funções importantes em todo o fluxo de autenticação do protocolo, que listamos a seguir:

1. O Cliente pede permissão ao Dono do Recurso para acessar seus recursos;
2. Caso o Dono do Recurso tenha autorizado o acesso, o Cliente receba uma garantia de permissão. Essa credencial representante autorizada concedida pelo Resource Owner;
3. O Cliente pede um token de acesso ao Servidor de Autenticação, enviando uma garantia de permissão;
4. Assumindo que o Cliente foi autorizado com sucesso e que a garantia de autorização é válida, o Servidor de Autenticação gera um token de acesso e envia ao Cliente;
5. O Cliente pede acesso a um recurso protegido pelo Servidor de Recursos, e se autentica com o token de acesso;
6. Assumindo que o token seja válido, o Servidor de Recursos responde à requisição do Cliente servindo o recurso solicitado, permitindo agora que o usuário tenha acesso ao serviço.

Uma garantia de permissão, citado no segundo passo do fluxo, também contém algumas modificações, que definem como feito o processo de autenticação. Elas são as seguintes:

•  Implícita : utilizado para clientes web, ou seja, que são acessados ​​por navegadores. Essa garantia de permissão é válida para o usuário, e não para o cliente como um todo;
•  Código de Autenticação : usar um servidor de autenticação como intermediário entre o cliente e o usuário, em situações onde as solicitações solicitadas não são permitidas;
•  Credenciais de senha do Dono do  Recurso utilizado:  quando o cliente solicitação o usuário e senha diretamente, esse já utilizado em chamadas de aprendizagem, como aplicações da própria empresa;
•  Credenciais de cliente : pode ser utilizado quando um aplicativo cliente é protegido ou utilizado em integrações de sistemas.
  

Embora aparente ser complexo, o protocolo OAuth 2 já está presente no nosso dia a dia, quando o ouvimos, nem percebemos que todos esses passos estão sendo retornados. No fim, ele é mais uma forma de facilitar a vida virtual das pessoas.

                                                                           CANALTECH

Criminosos russos estão por trás de novo ataque contra servidores Microsoft

 A  Microsoft  emite nesta semana um alerta crítico para organizações que usam o Windows Server, sobre uma nova onda de ataques que tentam dados de infraestruturas configuradas indevidamente ou sem os mecanismos de proteção adequados. O aviso está relacionado a uma campanha de exercícios que vem ocorrendo desde abril e seria de autoria do Nobelium, o mesmo grupo por trás dos golpes envolvendo os sistemas SolarWinds.

De acordo com a companhia, os ataques estão ocorrendo em grande escala e envolvem o uso de um malware chamado FoggyWeb. A praga foi validada por empresas especializadas em segurança digital, como a Volexity, e seria capaz de criar uma backdoor a partir do abuso de tokens de autenticação usados ​​pelos servidores para comunicação entre as partes, a partir de um sistema chamado Security Assertion Markup Língua

A partir deles, é detonada a exploração nos Serviços de Federação do Active Directory, outro recurso das infraestruturas do Windows que permite logins a usuários e sistemas conectados dentro de uma organização. Ao localizar servidores comprometidos, o malware seria capaz de extrair informações relacionadas a certificados e certificados, bem como instalar remotamente novos componentes de forma remota, levando a novos procedimentos.

Os especialistas da Microsoft citam esta como uma  backdoor  persistente, que pode ser usada de diferentes maneiras pelos atacantes e, também, manipular como ocorrências legítimas que são feitas pelo servidor. Tudo isso, claro, enquanto se mantém ocultado de sistemas de segurança automatizados, se aproveitando, também, da ideia de que os servidores mal configurados também não fornecemiam muito escrutínio de seus administradores.

Nobelium tem origem russa

De origem russa, o Nobelium estava ligado diretamente ao serviço de inteligência do país, já sendo até mesmo acusados ​​de espionagem internacional pelo governo dos Estados Unidos. O Serviço de Inteligência Estrangeira do país também é conhecido popularmente como Cosy Bear ou APT 29, no que toca suas operações maliciosas contra companhias e associações internacionais.

Desde maio, a Microsoft vem alertando seus usuários sobre diferentes famílias de malware que ambos sendo usados ​​pelo grupo, cobrindo de  phishing  ou uma exploração de brechas em servidores. Neste caso, a empresa também emite avisos diretos aos clientes com vulnerabilidades detectáveis, de forma que os passos de mitigação sejam realizados para evitar os ataques ou impedir novas explorações.

A todos, a principal dica é quanto à auditoria da infraestrutura, no que toca o acesso dos usuários, privilégios de uso de cada um deles e demais privilegiados. A Microsoft recomenda a revisão de todas as configurações e a emissão de novas credenciais, fortes e aleatórias para todos, assim como o uso de módulos de segurança e monitoramento para evitar a instalação de malwares ou o desvio de informações específicas dos servidores.

                                                                 CANALTECH

Microsoft Exchange vaza informações de 100 mil usuários devido a falha

 A Microsoft está correndo para registrar dominios da internet que possa ser usados para roubar credenciais do Windows a partir de uma falha do protocolo Microsoft Exchange Autodiscover.

Na semana passada, uma pesquisa realizado por Amit Serper, especialista de segurança da Guardicore, foi disponibilizada, mostrando que essas implementações falhas acabaram expondo mais de 100 mil credenciais únicas de e-mails e usuários do Windows.

O protocolo de Autodiscover (Autodiscover, em tradução livre) é usado para minimizar a necessidade de usuários configurarem os servidores de e-mail em gerenciadores como o Outlook, dando acesso rápido a ferramentas do Microsoft Exchange a partir de uma autenticação de credenciais.

Esse processo é feito a partir de um contato dos gerenciados de e-mail com os servidores do Microsoft Exchange, pedindo a autenticação de URLs de autodescoberta. Quando o processo é bem sucedido, além da autenticação, o gerenciador também recebe as configurações padrões para envio e recebimento de mensagens.

Porém, uma falha nesse processo faz com que muitos desses clientes, incluindo o Outlook e o Office 365, acabem tentando autenticar URLs de autdodescoberta não oficiais do Exchange, assim disponibilizando as credenciais para esses sites.

A maioria dos sites não oficiais tem endereços no padrão "autodiscover.(TLD)", onde "TLD" corresponde ao Domínio de Nível Superior do Endereço, que pode ser ".com", ."org", assim como vários outros. Entre os exemplos citados no relatório da Guardicore,estão URLs como autodiscover.com, autodiscover.uk e autodiscover.de.

Um exemplo de gerenciador de e-mail tentando autenticar configurações a partir de um site autodiscover.xyz não oficial. (Imagem: Reprodução/Bleeping Computer)

Com isso, criminosos podem registrar endereços esses “autodiscover.(TLD)” e, a partir dessa falha, coletar dados. É importante frisar que essa vulnerabilidade não é inédita, com uma pesquisa completa sobre seu funcionamento tendo sida divulgada em 2017. Desde então, muitos pesquisadores tentaram entrar em contato com a Microsoft, porém a resposta da empresa era que se tratava somente de um bug.

Porém, depois que o relatório da Guardicore foi divulgado na semana passada, a Microsoft está correndo para tentar resolver o problema.

A solução da Microsoft

A Microsoft enviou um pronunciamento para o site BleepingComputer, em que o diretor senior da empresa, Jeff Jones, afirma que a investigação da falha já está ocorrendo e que a companhia irá tomar as medidas necessárias para proteger seus clientes. Jones finaliza dizendo que a Microsoft não tinha noção da falha até a divulgação do relatório da Guardicore.

A forma inicial que a Microsoft está tentando mitigar o problema é registrando em seu nome os vários endereços com “autodiscover”, para prevenir que criminosos possam usá-los para coletar dados a partir da falha. Até o dia 24 de setembro, a empresa já havia registrado mais de 69 endereços, com o número podendo aumentar se variantes, como "autodiscover.com.es" e "autodiscover.org.es", forem contabilizadas.

Porém, só registrar domínios não é o suficiente para corrigir a falha. A Microsoft, com o Outlook e o Office 365, e outras empresas desenvolvedoras de clientes de e-mail, precisam arrumar a implementação e autenticação de URLs de autodescoberta, já que enquanto estiver disponível, as tentativas de conexões com endereços não oficiais irão continuar ocorrendo.

Enquanto a falha não é resolvida, empresas de segurança recomendam que as companhias introduzam novas regras de firewall em suas redes, para bloquear qualquer pedido de acesso para endereços com autodiscover.(TLD). O site da Guardicore tem uma lista de endereços que podem ser adicionados ao firewall do computador para bloquear o acesso aos endereços não oficiais de autenticação. O arquivo, com as URLs, pode ser adquirido aqui.

As firmas de segurança também recomendam que administradores de rede certifiquem-se que as conexões estão com autenticação de HTTP básica desabilitada, para que credenciais em texto simples não sejam enviadas pela rede.

                                                                             CANALTECJ

                                                                                   

Ataques de negação de serviço estão mais poderosos e crescem 11%

 Entre sequestros digitais (ransomware) e e-mails de phishing, os ataques de negação de serviço (DDoS) também seguem crescendo a um ritmo que chama a atenção dos pesquisadores em segurança. No primeiro semestre de 2021, foram registrados 5,35 milhões de golpes desse tipo contra servidores e corporações, um número que representa aumento de 11% em relação ao mesmo período do ano passado.

Os números são da Netscout, empresa especializada em segurança, que também revelam novas tendências nesse tipo de ofensiva. Hoje, os golpes desse tipo são organizados e costumam fazer parte de redes que são comercializadas por cibercriminosos a terceiros, que precisam do potencial massivo de ataque. De forma a se tornarem efetivos e escaparem do crivo de plataformas de segurança, os bandidos também investem em múltiplos vetores, aumentando também o volume de dados que bombardeiam as redes até que elas saiam do ar.

Segundo o levantamento, os ataques de negação de serviço envolvendo múltiplas fontes mais do que dobraram no primeiro semestre de 2021, com 106% de aumento. Em média, são usados 20 vetores para ataques, enquanto o maior registrado neste ano, contra uma empresa na Alemanha, teve dados sendo enviados de forma massiva a partir de 31 origens diferentes, um trabalho hercúleo para empresas de segurança durante as tarefas de contenção e mitigação de mais de 1,5 Tbps de dados.

Segundo o levantamento, metade das empresas atingidas pelas extorsões pré-golpe de negação de serviço são do setor financeiro, com um aumento de 125% em casos desse tipo. Já entre os ataques consumados, as operadoras de telefonia, serviços de hospedagem e plataformas de mídia mantiveram o topo de ranking entre os alvos preferenciais, enquanto os especialistas destacam também um crescimento acelerado de tentativas e incidentes contra jogos online e sistemas de VPN.

Brasil não aparece entre os maiores países com amplificadores de ataques DDoS, mas chama a atenção de pesquisadores e já lidera na América Latina (Imagem: Divulgação/Netscout)

Na América Latina, a média é semelhante, com o maior ataque movimentando 1,3 Tbps de dados, mais do que o triplo do que havia sido registrado no mesmo período de 2020. Aumentou também a frequência de golpes, em 39%, enquanto os setores mais atingidos também foram os de telecomunicações e hospedagem, com fabricantes de eletrônicos e tecnologia logo depois.

O Brasil é citado como um ponto de atenção, assim como Angola, mas ainda apresenta números abaixo da média global. Enquanto por aqui os relatos são de pelo menos 50 empresas de telecomunicações sofrendo golpes DDoS, eles ainda foram curtos, com de um a três minutos de duração média e menos de 7 Gbps trafegados — o maior foi de 2 Tbps. Por outro lado, o foco também é dado aos mais de 801 mil dispositivos contaminados presentes em nosso país, um número abaixo dos grandes do levantamento — na China, a líder, são 3,2 milhões — mas que nos coloca na primeira posição da América Latina.

Bandidos lado a lado

Os especialistas da Netscout fazem uma relação direta entre os ataques de negação de serviço e sequestro digital. Isso porque os métodos são parecidos, com mais do que apenas minar redes e tirar serviços do ar; os criminosos também trabalham com extorsão, ameaçando empresas com ataques e pedindo dinheiro para que o bombardeio de informações não seja realizado. Trata-se, também, de uma alternativa relativamente mais lucrativa, pois não envolve golpes sofisticados contra redes internas, como é o caso da maioria dos ransomwares, enquanto as brechas que transformam dispositivos conectados em agentes de DDoS são bem mais simples de serem exploradas de forma automatizada e massiva.

Entre as amostras de malware detectadas, a Mirai segue como a mais popular, ultrapassando 180 mil detecções no primeiro semestre de 2021. Os especialistas apontam as redes de computadores zumbis como um elemento cada vez menos presente, enquanto crescem os ataques contra aparelhos da Internet das Coisas, que hoje, constituem a maioria dos dispositivos contaminados para que o tráfego seja redirecionado às redes de DDoS.

Os pesquisadores chamam a atenção para esse crescimento, juntamente com as iniciativas de digitalização, regimes híbridos e teletrabalho, como um ponto de atenção. Enquanto o mundo se volta à mitigação de ransomwares, os golpes de negação de serviço devem ser encarados como um perigo real e paralelo, principalmente contra empresas de telecomunicações, indústria e outros serviços essenciais, com um efeito cascata danoso caso enfrentem indisponibilidades causadas pela ação dos cibercriminosos.

                                                                               CANALTECH

ATUALIZAÇÃO ECF: Sped disponibiliza versão 7.0.14 do programa

Nova versão da ECF corrige erros de recuperação da ECD e faz melhorias no desempenho do programa.

Nesta quarta-feira, (22), o  Sped  disponibilizou a versão 7.0.14 do programa da Escrituração Contábil Fiscal (ECF).

A atualização corrige erros na recuperação da ECD, no caso de mudança de plano de contas no período e altera o relatório de validação, em virtude de erros duplicados nas validações de ECD recuperada.      

Além disso, inclui a regra na importação do arquivo da ECF, de forma a não permitir a importação de arquivo com registros M010 e M410 sem informação do campo tributo e faz 

melhorias no desempenho do programa no momento da validação do arquivo da ECF.

As instruções ao leiaute 7 constam no Manual da ECF e no arquivo de Tabelas Dinâmicas, disponíveis no link http://sped.rfb.gov.br/pasta/show/1644 . 

Baixar ECF 7.0.14

O programa está disponível no link abaixo, a partir da área de downloads do site do Sped:

O programa validador da Escrituração Contábil Fiscal (ECF) versão Java pode ser usado nos sistemas operacionais abaixo, desde que obedecidas as seguintes instruções:

1) Selecione o programa de acordo com o sistema operacional, faça o download e o instale:

A) Para Windows:

SpedEcf_w32-7.0.14.exe

B) Para Linux:

SpedEcf_linux_x86-7.0.14.jar (32 bits)

SpedEcf_linux_x64-7.0.14.jar (64 bits) 

Para instalar, é necessário adicionar permissão de execução, por meio do comando "chmod + x SpedEcf_linux_x86-7.0.14.jar", ou "chmod + x SpedEcf_linux_x64-7.0.14.jar" ou conforme o Gerenciador de Janelas utilizado.

                                                                                      PORTAL CONTABEIS