Como funciona a segurança dos emails?
Especialista em segurança mostra os meandros da internet por onde os Spams chegam à sua caixa postal.Você abre sua caixa de email e percebe que, por mais cuidado que você tenha, está ali um spam. Um horrível, malcheiroso, chato e pentelho spam. O que acontece? O que há nos meandros da internet que permite que – em pleno século XXI – um spam chegue à sua caixa postal? O que faz com que alguns spams sejam marcados com letras garrafais e com um vermelho vivo e um ponto de exclamação (SPAM!), e outros passem incólumes pela segurança da internet e entrem direitinho na sua caixa postal, como qualquer mensagem inocente?
Isso é exatamente o que eu fui tentar entender na palestra dada pelo especialista espanhol em segurança Chema Alonso na Microsoft.
Chema é um MVP ou, em português claro, Most Valuable Person. Uma pessoa muito valiosa no que faz para grandes corporações e para usuários como eu e você, no jargão tecnológico. Por que ele é uma pessoa valiosa? Porque ele sabe como poucos os buracos da internet por onde os spams conseguem escorregar para sua caixa de entrada. Chema Alonso é formado em Engenharia da Computação pela URJC, pós-graduação em Sistemas de Informação e trabalha atualmente em seu doutorado em segurança na web. Há 10 anos, trabalha como consultor em Segurança da Informação. Chema foi premiado como Most Valuable Professional da Microsoft Security por seis anos e é orador regular em conferências de segurança. A primeira lição de Chema? Você precisa entender como funciona um email.
Os primórdios do email
Milênios atrás, nos primórdios da internet, o email era uma coisa simples. Um nome, uma arroba e um domínio (xxx@hotmail ou xxx@yahoo). E isso bastava para que o servidor desse ou daquele domínio soubesse para onde sua mensagem tinha que ser entregue.
Algumas centenas de anos depois, a coisa ficou um pouco mais complicada, e novos padrões de identificação foram criados porque aquela montanha de mensagens trocadas todos os dias não cabiam mais em poucos servidores em alguns lugares. Foi preciso criar uma gama de servidores espalhados pelo mundo inteiro para que você conseguisse mandar seu emailzinho de maneira eficaz. Entra em cena o SPAM, tentando convencer você de várias coisas.
Para classificar essas mensagens de Spam, surgiu o SCL. Quê?! Spam Confidence Level, ou Nível de Confiança de Spam, que coloca esse email chato paca em uma escala de 0 a 9 onde o nível mais baixo (0) significa que o email não é Spam e pode entrar tranquilamente na sua caixa de entrada. Nível 9 é seguramente um Spam que deve ser deletado. No meio disso, está o junk – lixo – que será encaminhado para a caixa de spam.
O problema era como fazer para dar essa nota para o email. Aí cada provedor adotou sua política, mas algumas regras se tornaram praticamente universais.
Em primeiro lugar era preciso deixar o usuário – você – decidir o que é e o que não é Spam. E você faz isso mesmo sem saber. Como?
Imagine que você assinou uma newsletter. Entrou em um site, achou bacana, e resolveu que seria legal receber por email as atualizações desse site. Foi bom por um mês, mas depois disso você já nem lembra porque tinha assinado aquilo. E passa a simplesmente deletar as mensagens sem nem abrir. Seu provedor está observando isso e em pouco tempo é bem provável que os emails vindos daquele site passem a aparecer na sua caixa de Spam, como num passe de mágica. Essa é uma regra que os provedores de email usam: o assinante é uma boa fonte para decidir o que é Spam, e o que é Spam para um assinante pode não ser para outro.
O próximo passo é simplesmente fazer com que você nem receba aquelas mensagens. Depois de um tempo sem checar a sua caixa de Spam e dizendo que aquilo ali na verdade não é indesejado, o seu provedor entende que aquilo é tão chato pra você que você não quer ver aquela newsletter nem pintada de ouro.
O Spam ao alcance de todos
Agora imagine um spammer tão chato, mas tão chato que ninguém dá bola pra ele. Várias pessoas em vários lugares do mundo indicam para o provedor que aquele cara ali é um spammer. O que vai fazer o seu provedor? Acertou: colocar ele na lista de caras indesejáveis. E resolvido o problema, certo?
Infelizmente a coisa não é tão simples assim, porque quem gosta de chatear de verdade encontra jeitos novos para chatear todos os dias. Com os spammers não é diferente.
Esses pentelhos descobriram que quando você usa um provedor válido (Hotmail, Yahoo, Gmail) os provedores entendiam aquela mensagem como válida. Resultado: na grande conferência anual dos spammers (claro que isso não existe) um deles deve ter dito “Hey! Que tal roubar a identidade de um mané e usarmos isso para mandar spams?”
E isso funciona até hoje a ponto de termos um dado bem assustador: Chema apontou um relatório que informa que apenas 1 em cada 47 mensagens de email são emails realmente válidos.
Cerco ao Spam
Por sorte, do lado dos herois, nós temos gente que trabalha para seu bem-estar.
Gente que criou uma coisa chamada SPF (Service Policy Framework) um nome complicado para designar uma coisa muito simples: se os servidores conversam entre si e cada servidor tem uma identidade vamos deixar essa identidade explícita para que o provedor que recebe o email tenha uma garantia de que o email é válido.
É como um identificador de chamadas: quando você atende uma ligação de um número desconhecido você já fica com um pé atrás, certo? Com os emails funciona do mesmo jeito. O problema é que não dá para simplesmente ficar com o pé atrás com qualquer email que você recebe, então cada provedor cria um parâmetro específico para definir o que é mais preocupante e qual ação será tomada caso a resposta do servidor que envia o email não seja satisfatória.
Chema fez um teste interessante para mostrar como isso funciona.
Usou uma ferramenta muito comum em sites onde é possível que você envie uma informação que você achou bacana para um amigo, bastando preencher um formulário com seus dados e os dados do email desse amigo.
Ele modificou os dados: usou sua própria conta de email válido para enviar a informação para outra conta de email – também sua. Alterou a linha de assunto com uma indicação clara de que aquilo era spam. Apagou todo o texto do corpo da mensagem e colocou um link fictício, mas claramente malicioso – simulando uma mensagem de Scam (um tipo de mensagem usada para roubar informações). Por fim colocou uma mensagem logo após o link falso onde usava as palavras Viagra e Cyalis (você com certeza já recebeu spams de gente tentando vender esses remédios).
O que era de se esperar é que com tantas indicações de que aquela mensagem era um spam o provedor do email de destino barrasse aquela mensagem na hora, o que infelizmente não aconteceu. Pior do que isso: como a conta de email usada por Chema para enviar a mensagem era uma conta válida, o servidor simplesmente não deu bola para os outros sinais de que ali podia haver um golpe. Deixou passar e não deu indicação nenhuma de que essa mensagem podia ser perigosa.
Não vou dizer qual era o nome desse serviço que deixou um buraco tão grande para a passagem de spam, mas não era o Hotmail. O Hotmail, aliás, foi apontado por Chema como um dos serviços mais confiáveis no mercado atualmente em termos de segurança.
Os cuidados que você precisa ter
Mesmo assim, diante de ameaças diárias, você pode tomar alguns cuidados para evitar golpes.
1 – Use uma ferramenta de segurança de internet.
A Microsoft tem uma boa ferramenta chamada Microsoft Security Essentials que tem a maioria das ferramentas de segurança de internet para deixar você mais tranquilo. É gratuito e fácil de usar, além de fornecer segurança ativa – se algo estiver errado, ele vai gritar!
2 – O Hotmail é seguro, mas pode ficar mais seguro.
Se você usa o Hotmail já é possível aumentar manualmente o protocolo de conexão (HTTP) para HTTPS – mais seguro. É só fazer isso mesmo, quando abrir seu email, antes de ler as mensagens, coloque uma letra S na frente do HTTP. Isso vai fazer com que os emails abertos sejam lidos em ambiente seguro.
3 – Leia sempre o corpo do email
Antes de abrir o email, certifique-se de que aquela mensagem veio de uma fonte válida e conhecida. Confira o assunto. Desconfie sempre de mensagens de bancos ou empresas pedindo para você mudar senhas ou chaves de segurança.
4 – Confie na dica do seu provedor.
Se o seu provedor diz que aquele email pode ser Spam ou golpe é muito provável que ele realmente seja. Mesmo assim ele pode se enganar – como no caso daquela newsletter que você soliciou. Ensine seu provedor que aquilo não é spam desmarcando as mensagens nas quais você confia. Faça uma checagem periódica na sua caixa de Spam para verificar o que realmente é – depois delete – e o que não é golpe – transferindo-a para a caixa de entrada. Isso vai fazer com que a convivência entre você e seu provedor seja mais harmoniosa e vai garantir que você está mais seguro contra golpes virtuais.
