Já que pretendem sempre “fazer melhor” eu aproveito para deixar umas sugestões. O que fazem é “pouco” e “mau” no que respeita à vossa comunicação por e-mail com clientes, que neste momento roça o absurdo devido ao receio (sem qualquer lógica) de colocarem links em mensagens, pelo que podem melhorar muito.

Headers da mensagem de mail que recebi do MilleniumBCP:



O SPF está bem configurado (-all = hardfail), o que significa que em servidores de e-mail bem configurados as mensagens falsificadas devem ser devidamente descartadas (em vez de entregues). Isto é bom e ajuda a combater o Phishing. Sugiro o suporte a DKIM (com a configuração equivalente: “Discard” para as mensagens falsas). Ambos os métodos podem ser utilizados em conjunto (e são usados cumulativamente pelos filtros mais populares em servidores de e-mail como o Spamassassin).

A mensagem não é assinada digitalmente (com s/mime). Isso é mau, é péssimo, porque:

1 - a mensagem pode ser adulterada em transito ou no destino. Podem ser acrescentados links, alterados os numero de telefone, removidos ou acrescentados parágrafos, ou alterada a mensagem na totalidade. Numa mensagem alterada o utilizador é informado de que algo está errado se esta estiver assinada digitalmente, caso contrário não existe nenhum dado que permite detectar a sua modificação.

2 - é a habituação dos utilizadores aos símbolos de segurança associados à verificação de certificados digitais que lhes permite em mensagens falsificadas perceber que algo está errado. É exactamente a mesma coisa que se passa quando se visita um site em SSL (em que os símbolos de segurança dos browsers ajudam o utilizador a perceber se algo está errado).

Em vez da “lenga lenga” apresentada nas mensagens sobre “não enviamos links” sugiro que gastem esse espaço a explicar aos utilizadores como verificar a assinatura digital do banco e que a ausência da mesma significa que a mensagem é falsa. Todos os programas de e-mail, com algo que se pareça com uma quota de mercado, suportam a verificação de assinaturas digitais.

A percepção que alguém no BCP tem de que apresentar links para o site é “mais perigoso” que apresentar números de telefone é errada. Se há coisa que a história do hacking mostra é que o domínio de telefones e técnicas de engenharia social é usado com sucesso mais vezes que qualquer site “falsificado” ou “malware” para que o link de uma mensagem possa apontar. Na minha opinião o risco é na realidade maior se temos um utilizador a ligar para um numero de telefone convencido de que é do banco. O mesmo se passa com potenciais enganos a digitar o URL. A solução é utilizarem criptografia e informarem utilizadores sobre como verificar certificados digitais, no e-mail ou na world wide web.

Recomendo vivamente a leitura de alguns livros sobre a história do hacking e que de seguida contratem hackers para vos ajudarem a avaliar riscos. Não estarão a fazer nada de diferente das maiores companhias do planeta. Não é um conceito “vanguardista”, e é usado por estados e empresas de todo o mundo.

Francamente o que estão a fazer até é “giro” (de inocente e ingénuo) mas absolutamente ineficaz e perigoso. Tem a sua graça, mas eu como administrador de e-mail de várias empresas (vossas clientes) poderia alterar a mensagem livremente… Pensem nisso. O mesmo se passa com os restantes administradores de sistemas de mail do planeta. Aprecio a vossa fé na humanidade e honestidade desses profissionais, mas seriam melhor servidos por assinar digitalmente as mensagens.

Permanecem vulneráveis a mensagens vindas de outros domínios parecidos com o vosso se não usarem certificados digitais, e domínios parecidos não faltam:




A solução para o e-mail é a mesma que para a web: precisam de informar os vossos clientes de que só nos certificados digitais pode ser verificada a identidade do banco. Uma vez estabelecida a boa prática de assinar as mensagens já podem enviar links à vontade e comunicar com os clientes com o mesmo à vontade que fazem no vosso site. Neste momento é absurdo o jogo descritivo que enviam às pessoas (retirado da vossa mensagem: “Agradecemos a sua colaboração individual, preenchendo um questionário de satisfação, bastando para tal efetuar o login e selecionar em cima, à esquerda do ecrã, “Mensagens Novas” e, em seguida, entrar na mensagem “Inquérito à qualidade”.”)

Eu saúdo (e aprecio) o esforço que vai para os vossos apelos em cada mensagem (neste caso era seguramente mais de 50% do texto!) para não seguirem links e afins. Mas é energia mal gasta, com más recomendações, seguindo práticas que não são de todo uma boa abordagem e limitam a vossa capacidade de comunicar, sem resolver o problema.

Tags: SPF