Cartões de créditos e o caso EggHead

Como foi reportado
pela ZDNet, o site EggHead
foi invadido por crackers e seu banco de dados↳Banco de dados134 conteúdosSQL ou NoSQL: eis a questão!!Data · mar 2020Banco de dados: como organizar e dar segurança para milhões de dados de loteriasData · mai 20215 serviços gratuitos na cloud para bancos de dados PostgresData · fev 2025Ver tudo em Data → foi comprometido.
Neste banco de dados estavam os dados de nada menos que 3.7
milhões de clientes, incluindo cartões de créditos (cerca
de 3.1 milhões). Só para medida de comparação, existem um
pouco mais de dois milhões de habitantes na cidade em que
moro, Fortaleza, CE no Brasil, e levando-se em conta que Fortaleza
é uma das 10 maiores cidades do Brasil, dá para estimar o
tamanho do problema que são 3.1 milhões de cartões de crédito
roubados.

Após 20 dias, a administração da EggHead afirma
que nenhum dado foi comprometido. Infelizmente creio que é
mais possível eles terem feito um acordo com os ‘atacantes’
para não divulgar os dados, ou até esses ‘atacantes’ foram
pegos e não houve publicidade em cima das prisões, tudo armado
pela EggHead para ver se reconquista sua popularidade perdida.

Este é um (trágico) exemplo de que somente
criptografia SSL não protege realmente o cliente. Deixe-me
explicar melhor. A criptografia SSL protege o cliente na hora
da transação, ou seja, impede que alguém na mesma rede do
cliente ou do servidor de e-commerce↳E-commerce21 conteúdosECBR Club: novo espaço para devs se conectarem ao ecossistema de e-commerceDev (Back & Front) · mai 2025TOTVS anuncia joint venture com VTEXMarketing Tech · mai 2019Jovens da Brasilândia recebem formação gratuita em tecnologiaGestão Dev & TI · jul 2025Ver tudo em Marketing Tech → pegue no ‘ar’ os dados
do cliente (talvez até isso nao seja verdade mais, espere
um artigo sobre o tema). Mas acontece que várias lojas on-line
guardam os cartões de créditos e os dados pessoais dos clientes
em um banco de dados, que nem sempre é criptografado e devidamente
protegido, logo, se um atacante conseguir acesso a este banco
de dados, voilá, se tem todos os dados.

Como prevenção a isso, deveriam-se adotar padrões
"militares" para estes servidores onde ficam armazenados
os dados. Nunca, mas nunca mesmo, o servidor deveria guardar
informações como o número de cartão de crédito APÓS a compra
ser realizada. Neste sentido, são muito boas algumas iniciativas
como da Redecard em que o processamento do cartão é feito
diretamente no site da operadora do cartão, e não do servidor
de e-commerce. Outra medida seria a não permissão de leitura
do banco de dados, somente em casos extremos, por pessoas
autorizadas devidamente autenticadas e verificadas (Em SQL,
não deixar passar nenhum SELECT statement). Um programa
que pretendo lançar em breve chamado AppGuard pode atuar como
PROXY entre o banco de dados e os outros servidores,
deixando passar apenas comandos pré-especificados, e conexões
apenas de alguns IPs. Uma coisa que defendo veemente é a proteção
dos servidores de Banco de Dados por uma camada de defesa
(firewall) somente para ele, ou este servidor em uma
interface isolada no firewall. Uma equipe qualificada para
analisar os logs desta máquina regularmente (diariamente!)
também é necessária. Nesta equipe, idealmente, fariam parte
especialistas no Sistema Operacional onde roda o Banco de
Dados, DBAs (Database Administrators) voltados para aquele
banco de dados e profissionais da segurança da informação↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps →.

Existem muitos e muitos servidores particularmente
inseguros nos quais confiamos e deixamos nosso cartão de crédito
a mercê dos mesmos (e muitos destes são brasileiros!). De
acordo com dados divulgados, existem 28 milhões de cartões
de crédito só em território nacional, sendo a maioria dos
donos destes cartões desleixada e negligente para com a segurança
dos mesmos. Por isso, ao fazer uma compra (real ou virtual),
sempre pesquise sobre a loja e prefira lojas de nomes fortes,
com abrangência nacional e que tem real preocupação com segurança
(pergunte a amigos, conhecidos e mande e-mail para eles perguntando!).
E procure sempre ter um cartão somente para compras on-line,
preferencialmente um do estilo do E-card, que é um cartão
100% virtual e com aviso por e-mail para cada compra efetuada.
Outra iniciativa importante é a da Visa.com.br onde você pede
um número de cartão temporário para somente uma compra, e
depois disso ele se expirá, mas não sei se este sistema já
esta operante.

Os criminosos "profissionais" que
atuam com cartões de crédito fraudados e roubados em grande
número tentam atuar de forma sutil, fazendo pequenas compras
em diferentes cartões. Algo como R$ 10,00 por mês, que passariam
despercebido de muita gente. Portanto confira tudo na fatura
deste e não hesite em reclamar para a Operadora por menor
que seja a fatura indevida, pois seu cartão de crédito já
pode estar na mão de criminosos.

E lembre-se, o perigo de usar o cartão de crédito
na Internet é tão grande quanto dar o cartão de crédito para
o garçom ao pagar a conta do jantar ou ao usá-lo em um posto
de gasolina.

Abraço para todos.