quarta-feira, 15 de fevereiro de 2012

Veja os documentos apresentados pelo Facebook para sua abertura de capital: Lucrativo, mas caro.



Esperada como a maior IPO (Initial Public Offering, ou oferta inicial de ações) da área da tecnologia de todos os tempos, o Facebook apresentou o formulário necessário para a operação à U.S. Stocks Exchange, o órgão equivalente à Comissão de Valores Mobiliários no Brasil.

Neste documento (cujo conteúdo pode ser conferido aqui), o Facebook pretende arrecadar de 5 a 10 bilhões de dólares. A título de comparação, a Google arrecadou 1,7 bilhão de doláres no primeiro dia após a IPO.

A operação, que contará com o auxílio dos bancos de investimento Morgan Stanley, J.P. Morgan e Goldman Sachs, lançará no mercado papéis correspondente às operações da empresa que conta com 845 milhões de usuários ativos e receitas de 3,7 bilhões de dólares em 2011.

Em comparação com outras IPOs recentes de tecnologia, o Facebook se mostra superior às do Groupon e Yahoo, mas inferior às do Google e Linkedin.

Outro dado que chama atenção é que 85% de sua receita advém de publicidade, e esta fórmula poderá ser uma dificuldade a longo prazo para a empresa, que terá como missão variar a diversidade de sua fonte de lucro.

Clique aqui e leia na íntegra o formulário S-1 apresentado pelo Facebook à U.S. Stock Exchange.

segunda-feira, 13 de fevereiro de 2012

Jogadora processa Facebook e Zynga por cobrança indevida em jogo online



Rebecca Swift, uma norte-americana do estado da Califórnia e usuária dos jogos FarmVille, Mafia Wars, YoVille! e Roller Coaster kingdom, aplicativos disponibilizados pelo Facebook e criados pela empresa Zynga Inc., está processando ambas por descontar de seu cartão de crédito e de sua fatura de telefone valores não autorizados em troca de moeda virtual.

Afirma que disponibilizou seu número de telefone para um anunciante da Zynga em troca de ganhar alguns "Yocash", a moeda virtual do jogo Yoville!, mas nem a empresa nem a anunciante informaram que isto iria resultar em uma cobrança na conta telefônica. Relata que foram cobrados três vezes o valor de $ 9.99 dólares.

Não bastasse a ousada cobrança, a Zynga ainda ofereceu uma "amostra grátis de chá verde", que resultou na cobrança de $ 79.95 dólares.

Rebecca está pedindo uma indenização de mais de 5 milhões de dólares em face dos danos ocasionados "a ela e a demais cidadãos enganados".

Atualmente, o processo está pendente de análise pela corte de apelação do estado da Califórnia.

Veja o andamento do processo (em inglês) clicando aqui.

segunda-feira, 2 de janeiro de 2012

Site da Universidade de Stanford é vulnerável a SQL Injection e expõe endereço e login do servidor


O grupo Anonymous divulgou falha de SQL Injection na página da Universidade de Stanford em seu Twitter: http://twitter.com/#!/AnonymousPeru .

A falha, divulgada em 08 de dezembro de 2011, ainda não foi sanada e expõe o endereço, login e nome do banco de dados do site.

Veja abaixo o endereço da vulnerabilidade: http://english.stanford.edu/bio.php?name_id='

Páginas da Nasa e CIA são vulneráveis a ataques de hackers por XSS



O grupo hacker Anonymous divulgou falhas relativas a XSS nas páginas da CIA e da NASA. Fotos das desfigurações das páginas foram divulgadas pelo site CyberWarNews.

A página referente à NASA se encontra fora do ar, provavelmente devido à falha, outrora disponibilizada no endereço http://uavsar.jpl.nasa.gov/.

Quanto à falha no site da CIA, se trata de um erro de menor potencial lesivo, tendo em vista que não permite inserir comandos de Javascript no mesmo, mas apenas insere argumentos no parâmetro de seu formulário de procura, conforme pode ser consultado em

Tais falhas de Cross-Site Scripting (XSS) podem redirecionar usuários leigos a sites de phishing (páginas que possuem intuito de roubar dados e cookies) ou ensejar o furto de senhas.

Seguem abaixo algumas demonstrações desta falha:

CIA -
https://www.cia.gov/search?q=Hacked+by+D3SMOND142%22style%3D%22background%3Agreen%3Bfont-size%3A80px%3B%22

Screenshots dos ataques à CIA e NASA: http://www.cyberwarnews.info/2011/12/29/cia-gov-and-nasa-gov-vulnerable-to-xss-hacked-by-d35m0nd142/

terça-feira, 13 de dezembro de 2011

Plugin de serviço do Google expõe 30 mil sites a vulnerabilidades e ataques maliciosos


Foi divulgada pela empresa de soluções de segurança RandomStorm vulnerabilidade relacionada a plugin que disponibiliza a blogs e sites o CAPTCHA, serviço de reconhecimento de acessos humanos (Teste de Turing) adquirido pelo Google em setembro de 2009.

A vulnerabilidade Cross-Site Scripting (XSS) está presente no plugin WP-reCAPTCHA, utilizado em mais de 30 mil ocorrências de sites pesquisados pelo próprio sistema de buscas do Google.


O referido plugin, agora indisponível ante a divulgação da vulnerabilidade, poderia ser baixado nos links  http://www.google.com/recaptcha e http://wordpress.org/extend/plugins/wp-recaptcha .

A Prova de Conceito (POC) da vulnerabilidade é a seguinte:
http://localhost/comment-page-1/?rcommentid=(id number)&rerror=(XSS)

Pesquisando pela referência inurl:rcommentid= error= no Google, percebe-se que há mais de 30 mil ocorrências em sites do mundo inteiro.

terça-feira, 6 de dezembro de 2011

Especialista descobre falhas de segurança nos sites do Banco do Brasil, R7, Baixaki e Superdownloads


Foram divulgadas hoje falhas de segurança nos sites da R7 da Emissora Record, nos sites de divulgação de programas Baixaki e Superdownloads, e inclusive no site do Banco do Brasil, a maior instituição financeira do Brasil, descobertas pelo especialista em segurança Mario G. de Souza, autor do blog http://netfuzzer.blogspot.com/ .

Tratam-se de falhas de Cross-Site Scripting (XSS), as quais consistem numa vulnerabilidade em que são introduzidos comandos Javascript em páginas legítimas.

Esses comandos podem redirecionar usuários leigos a sites de phishing (páginas que possuem intuito de estelionato) ou inclusive podem furtar dados pessoais contidos em cookies da página vulnerável.

O especialista relata que notificou todos os administradores de sistema, sem qualquer resposta, alguns há mais de um ano.

Seguem abaixo algumas demonstrações desta falha:

Baixaki -
http://www.baixaki.com.br/busca.asp?z=1&cx=partner-pub-7019091094896260:86zzz47inzp&cof=FORID:9&sa=Pesquisar&q=m3u%22;%20%0D%0A%20//id=%22q%22%20%0D%0A%20%20alert(String.fromCharCode(88,83,83));;//

Superdownloads -
http://busca.superdownloads.com.br/busca.cfm?q=aaaaaaaa%27%7D%3B+alert%28%27XSS%27%29%3B+var+code+%3D+%7B%27xss%27%3A%27xss&a=Softwares

R7.comhttp://busca.r7.com/s?_te=&q=xss%27};%20alert%28%27XSS%27%29;%20var%20code%20=%20{%27xss%27:%27xss

segunda-feira, 5 de dezembro de 2011

O que o Google pode fazer com as informações de seus e-mails? Analisando os Termos de Privacidade e de Serviço


O Gmail, serviço de correio eletrônico gratuito, oferece um serviço evidentemente rápido, eficiente e com um serviço de procura ímpar, permitindo que seus usuários realizem buscas inteligentes e parametrizadas dentro de sua caixa de entrada.

Foi o primeiro serviço de e-mail gratuito a disponibilizar um espaço de 1 GB para seus usuários. Em outubro de 2011, possuía 260 milhões de usuários em todo mundo.

Porém, tendo em vista que "there is no free lunch", perguntamos: O que o Google ganha com isso?
Ele simplesmente filtra as suas preferências como consumidor, com base nos dados que 

Então, ele analisa seus dados pessoais e informações de e-mail? SIM.
E ele pode fazer isso? Bom, você, ao se cadastrar no Gmail, aceitou seus termos de serviço, renunciando tacitamente à sua privacidade.

Dessa forma, vejamos o que o Google, através do Gmail e de seus serviços de busca, pode fazer com seus dados, conforme seu Termo de Política de Privacidade (http://www.google.com/intl/pt-BR/privacy/privacy-policy.html):

  • Informações que você fornece – O Google pode usar suas informações, inclusive as contidas em seus e-mails pessoais, para vender publicidade específica aos seus anunciantes. Não só isso, os anunciantes poderão ter acesso a suas informações, esta pessoa estranha ao termo de uso, à qual o Google dá o nome pomposo de administrador de domínio (http://www.google.com/support/a/bin/answer.py?answer=178897).
  • Cookies – Cookies são arquivos enviados quando você visita determinadas páginas. Se você pesquisar por "churrasqueiras elétricas" ou "encomenda de flores online", o Google poderá ter acesso a esses dados, os quais dizem quando ocorreu, em qual site, e quais as informações enviadas.
  • Informações de registro – O Google pode utilizar suas informações de acesso, entre as quais IP, data de aceso, navegador que usou, idioma do navegador, entre outras informações.
  • Comunicação com o usuário – Se você receber uma mensagem SMS por um dos serviços do Google, ele poderá utilizar seu número de telefone, a sua operadora, o conteúdo da mensagem e a data e hora da transação.
  • Dados de localização – Se você utilizar serviços tais como Google Maps e Google Latitude, verificar um lugar que quer ir no celular com o uso de GPS, e se encaminhar mensagens que determina onde você está (como um tweet), o Google pode utilizar essa informação. Em suma, o Google pode saber onde você está, por onde andou e em qual horário.
Ao final do termo, o Google faz você concordar que tem o direito:
  • Fornecer, manter, proteger e melhorar nossos serviços (incluindo os serviços de publicidade) e desenvolver novos serviços, e
  • Proteger os direitos ou as propriedades do Google ou dos nossos usuários.
Em suma, significa que ele pode utilizar suas informações pessoais para vender publicidade e desenvolver novos serviços.
Mas o melhor vem para o final, pois, ao dizer que poderá utilizar essas informações para proteger direitos e propriedades do Google, você está permitindo que, se resolver por ventura entrar com ação judicial contra o Google, este poderá utilizar suas informações privadas para se defender em juízo.

É uma total renúncia ao seu direito de não produzir prova contra si mesmo, derivado do princípio constitucional da presunção de inocência.

Essa cláusula é tão aberta e genérica que, numa interpretação mais ampliativa, ainda permite que se o Google decide processar um terceiro, imaginemos ser um amigo seu, poderá utilizar a informação de seu e-mail, que não tem nada com a referida relação judicial, para "defender seus direitos" em juízo.

Há passagens interessantes também no Termo de Serviço do Google (http://www.google.com/accounts/TOS?hl=pt-BR), tal como:

Cláusula 13.3 - Alínea (E): O Google pode interromper o fornecimento do serviço de e-mail se não for economicamente interessante.

Cláusula 20.7: Se quiser acionar o Google perante o Poder Judiciário, terá que se dirigir ao Estado da Califórnia, nos Estados Unidos, e submeter a apreciação de sua demanda ao Tribunal do Condado de Santa Clara.