(In)segurança em transações comerciais e financeiras via internet

1. Escopo do Problema

Segundo a Polícia Federal, em 2009 ocorreram R$500 Milhões em fraudes em transações online, via Internet, no Brasil. Já a FEBRABAN estima que só os bancos perderam R$900 milhões com esse tipo de fraudes.

O comércio eletrônico no Brasil, segundo o site e-bit, movimentou R$10,6 Bilhões em 2009. Se usarmos o mesmo índice de fraudes online da América do Norte (fonte: CyberSource) de 1,2% em valor de transações, a fraude no comércio eletrônico no Brasil deve se situar em torno de R$120 Milhões em 2009. Na realidade a nossa expectativa é que esse índice seja maior no Brasil.

Estima-se ainda mais cerca de R$700 milhões em prejuízos anuais causados devido ao uso de cartões de crédito e débito fisicamente furtados ou clonados. Esse número decorre de um índice de 0,15% sobre o movimento geral com cartões com projeção de R$465 Bilhões para 2009, segundo dados da ABECS (Associação Brasileira de Empresas de Cartões de Crédito e Serviços).

Essas fraudes ocorrem em decorrência de furto de identidade. O criminoso, numa primeira fase, se apropria indevidamente de dados de identificação de suas vítimas. Esses dados são, por exemplo, números de cartões de crédito e/ou débito, datas de validade, códigos de verificação (CVV), números de contas corrente, senhas, PINs e assim por diante.

Na fase seguinte o criminoso efetua transações fraudulentas, à distancia, via Internet, usando os dados de identificação anteriormente obtidos. Essas transações são feitas em benefício próprio e às custas do usuário legítimo, da sua instituição financeira ou da loja de comércio eletrônico.

Existem várias formas de ataques para se furtar identidade na web. No decorrer deste documento será demonstrado claramente que mesmo os sistemas de segurança mais sofisticados existentes hoje em dia no mercado, notadamente aqueles baseados no token, são incapazes de resistir a esses ataques e impedir as fraudes deles decorrentes.

2. Cavalo de Tróia

O primeiro tipo de