Trustwave e SpiderLabs na procura de mais segurança

Um estudo do SpiderLabs, laboratório de segurança da Trustwave, baseado em testes de invasão a sistemas de informações das empresas, mostrou que o setor de hotelaria é o segmento de negócios mais sujeito a seqüestro de dados e a práticas criminosas com cartões de pagamento. Não e exagerado afirmar que os hotéis são o maior foco dos fraudadores online com cartão de crédito.

O estudo foi realizado em 24 países e envolveu 218 empresas de diferentes áreas. Os testes de intrusão posicionaram os hotéis em um nível de vulnerabilidade que atinge os 38% em relação às tentativas de ataque.

Segundo o diretor da Trustwave para a América Latina, Jarrett Benavidez, um dos causadores dessa vulnerabilidade são os milhares de reservas de hotéis, realizadas através de e-mail comum e contendo um grande número de dados críticos dos clientes.

“A reserva de quarto por e-mail ou formulário eletrônico sem proteção – muitas vezes com adiantamento de taxas via cartão de crédito – é uma das práticas da hotelaria mundial que precisam ser repensadas para melhorar sua segurança”, afirma o executivo.

Segundo ele, com a chegada das férias de verão, a Trustwave prevê a ocorrência de grandes picos de invasão, tanto aos sistemas de hotéis quanto de bares e restaurantes, cujo índice de vulnerabilidade chega a 13% dos incidentes pelos dados do SpiderLabs.

Na avaliação do executivo, estes dois focos de insegurança – que juntos respondem por 51% das vulnerabilidades – podem tornar inócua boa parte do esforço dos bancos e operadoras de cartão no sentido de implantar redes seguras, com práticas de autenticação, criptografia de dados e uso de sistemas de segurança.

“Ao fazer suas operações empregando a Internet pública e sem obedecer a regras rigorosas de conformidade com as normas de segurança, estes estabelecimentos contaminam toda a cadeia de transações e geram prejuízos gigantescos para todos os seu elementos”, comenta Benavidez.

Segundo ele, a indústria de cartões de pagamento necessita urgentemente exigir dos hotéis, restaurantes e do varejo em geral a adesão a padrões rigorosos de segurança de transações, como é o caso do padrão PCI-DSS, que especifica exigências de segurança para este tipo de transações.

Além do seqüestro ou roubo de dados via web, os especialistas em crimes contra hóspedes de hotel criaram um verdadeiro arsenal de ataque utilizando o ambiente físico. Ente eles estão o uso de aparelhos conhecidos como “chupa-cabra” (grampos para clonagem de cartões e roubo de senha) plugados nos ATMs (caixas eletrônicos de autosserviço) que os bancos instalam em hotéis; e o emprego de interceptores de redes sem fio, que são capazes de captar as transações com terminais de pagamento móvel.

Os criminosos costumam também roubar dados de notebooks, através de conexões Wi-fi pouco seguras realizadas nos hotéis, ou até através de conexões bluetooth feitas de forma clandestina com os Smartphones, iPads ou similares utilizados pelos hóspedes.