Importantes falhas de segurança na estrutura de vídeo e bate-papo do popular QuickBlox expõem milhões de dados confidenciais

  

• O Claroty Team82 e a Check Point Research (CPR) colaboraram para verificar a segurança do popular kit de desenvolvimento de software QuickBlox (SDK) e da interface de programação de aplicativos (API). 

• A estrutura de desenvolvimento da QuickBlox é executada sob uma linha de aplicativos populares de bate-papo e vídeo em setores críticos, como finanças e telemedicina. 

• Juntos, descobrimos vulnerabilidades críticas que podem colocar em risco as informações pessoais de milhões de usuários. 

• O Claroty Team82 e a CPR também demonstram explorações de prova de conceito contra aplicativos que executam o QuickBlox SDK e a API. 

• Explicamos vários ataques singulares que podem permitir que o agente da ameaça, por exemplo, acesse intercomunicadores inteligentes e abra portas remotamente, ou vaze dados de pacientes de aplicativos de telemedicina. 

• A QuickBlox trabalhou em estreita colaboração com o Claroty Team82 e a CPR para abordar a nossa revelação, e corrigiu as vulnerabilidades por meio de um novo design de arquitetura segura e uma nova API. 

 

Os serviços de bate-papo e vídeo em tempo real disponíveis em aplicativos de telemedicina, finanças e dispositivos IoT inteligentes usados por milhões de pessoas contam com a popular estrutura QuickBlox. A QuickBlox disponibiliza aos desenvolvedores de aplicativos móveis e de web um SDK e APIs para fornecer não apenas recursos de gerenciamento de usuários, bate-papo públicos e privados em tempo real, por exemplo, mas também funcionalidades de segurança que garantem a conformidade com HIPAA e GDPR. 

 

O Claroty Team82, em colaboração com a Check Point Research (CPR), conduziu um projeto de pesquisa para verificar a segurança do QuickBlox SDK. Juntos, descobrimos algumas das principais vulnerabilidades de segurança na arquitetura da plataforma QuickBlox que, se exploradas, podem permitir que os cibercriminosos acessem dezenas de milhares de bancos de dados de usuários de aplicativos e coloquem milhões desses registros em risco.

 

Recursos de bate-papo e vídeo da QuickBlox (Fonte: QuickBlox)

 

Neste relatório, demonstraremos explorações contra múltiplos aplicativos, que executam o QuickBlox SDK sob uma linha de aplicativos, especificamente contra apps de intercomunicação inteligente e telemedicina. Ao encadear as vulnerabilidades que identificamos com outras falhas nos aplicativos visados, encontramos maneiras singulares de realizar ataques que nos permitiram abrir portas remotamente, por meio de apps de intercomunicação e também vazar informações de pacientes de uma importante plataforma de telemedicina.

 

O Claroty Team82 e a CPR trabalharam próximos com a QuickBlox para resolver todas as vulnerabilidades descobertas. A QuickBlox se comprometeu com a correção ao projetar uma nova arquitetura e API seguras e incentivar seus clientes a migrar para a versão mais recente. Gostaríamos de expressar nossa gratidão e apreço.

 

Arquitetura QuickBlox

QuickBlox é uma plataforma de chat e vídeo chamada para o desenvolvimento de aplicativos iOS, Android e web. Ele fornece uma API para autenticação, gerenciamento de usuários, bate-papo e mensagens, gestão de arquivos, etc, e um SDK fácil de usar que permite recursos de voz e vídeo. Portanto, não é nenhuma surpresa que nos deparamos com a QuickBlox, pela primeira vez, enquanto pesquisávamos especificamente um aplicativo para dispositivo móvel de intercomunicação que dependeria de tal estrutura. Isso nos levou ao caminho da pesquisa tanto na estrutura QuickBlox, quanto em vários aplicativos que a utilizam.

 

Antes de entendermos as vulnerabilidades que descobrimos no QuickBlox, devemos entender como um desenvolvedor integra a estrutura em seu aplicativo. Primeiro, os desenvolvedores devem criar uma conta na QuickBlox (https://admin.quickblox.com/signup). Então, um novo aplicativo é criado usando o painel da QuickBlox, que irá gerar as seguintes credenciais para o aplicativo: 

 

• ID do aplicativo
• Chave da autorização
• Segredo da autorização
• Chave da conta

 

  

Com essas informações, o aplicativo pode solicitar um QB-Token que será usado em outras solicitações de API. O token fornecido é um token de nível de aplicativo, que possui funcionalidade limitada.

 

 

 

Solicitando um Token QB no nível de aplicativo, por meio de uma rota de API /session.json  

 

Uma vez que o aplicativo recupere o QB-Token, ele permite que os usuários efetuem o log in por cima desta seção, para que a seção tenha o contexto do usuário conectado. Isso é feito fornecendo a seção do aplicativo e as credenciais do usuário. Agora a seção está totalmente autenticada e autorizada com as permissões do usuário.

 

No entanto, esta forma de autenticação expõe uma grande falha: uma seção de aplicativo é necessária para criar uma seção de usuário. Isso significa que cada usuário deve obter uma seção do aplicativo, o que requer conhecimento dos segredos do aplicativo, especificamente ID do aplicativo, chave da autorização, segredo da autorização e chave da conta. Para torná-lo tecnologicamente aplicável, os desenvolvedores de apps precisavam garantir que essas chaves secretas fossem acessíveis a todos os usuários. Ao examinar os aplicativos que usam QuickBlox, notamos que a maioria deles optou por simplesmente inserir os segredos do aplicativo no app.

 

Uma amostra de credenciais de aplicativo da documentação do QuickBlox.

      

Quando notamos pela primeira vez que a documentação oficial orienta os clientes a adicionar segredos (AUTH_KEY, AUTH_SECRET) aos seus aplicativos, nos sentimos desconfortáveis. Nunca é uma boa ideia esconder tokens de autenticação secreta em aplicativos, porque eles são considerados informações públicas e podem ser facilmente extraídos usando vários métodos, desde engenharia reversa até uma análise dinâmica com Frida.

 

Vulnerabilidades do QuickBlox

Depois de entendermos a arquitetura da QuickBlox, decidimos vasculhar sua API e examinar o que podíamos acessar, usando informações “públicas”: chaves secretas do aplicativo. Descobrimos algumas vulnerabilidades críticas na API da QuickBlox, que podem permitir que possíveis invasores vazem o banco de dados dos usuários de muitos aplicativos populares.

 

Por padrão, as configurações da QuickBlox permitem que qualquer pessoa, com uma seção no nível de aplicativo, consiga informações confidenciais e permissões, como:

 

• Uma lista completa de todos os usuários, usando a rota da API /users.json 
• Informações do usuário PII por ID, usando a rota da API /ID.json - incluindo nome, e-mail, telefone etc.
• Criar novos usuários, usando o /users.json

 

Isso significa que qualquer pessoa que conseguir extrair as configurações estáticas da QuickBlox no aplicativo poderá recuperar as informações pessoais do usuário, abaixo, de todos os usuários do app e também poderá criar múltiplas contas controladas por invasores.

 

Exemplo de informações do usuário obtidas de um aplicativo, usando o QuickBlox.

 

 

Embora as configurações padrão da API permitam todos os itens acima (obter a lista completa de usuários, recuperar informações do usuário e criar novos usuários), os proprietários do app podem limitar o acesso à API no nível do aplicativo, usando um menu interno de configurações.

 

Capturas de tela das configurações disponíveis da privacidade do usuário da QuickBlox. 

 

 

Embora isso ofereça alguma mitigação para as vulnerabilidades que descobrimos, encontramos outra maneira de vazar todo o banco de dados do aplicativo. Ao criar uma conta de usuário não autorizada, é possível que os invasores vazem informações específicas do usuário acessando /ID.json, em que ID é o ID do usuário sequencial. Como a QuickBlox usa IDs sequenciais, simplesmente forçando brutalmente um intervalo limitado, é possível vazar todas as informações do usuário de um app. No entanto, a partir de uma verificação que realizamos em relação a essa configuração de privacidade em todos os aplicativos que pesquisamos e recuperamos as chaves, descobrimos que apenas alguns optaram por desativar essa API.

 

Impacto

Para entender o escopo completo do problema, decidimos explorar quais tipos de aplicativos estão usando o Quickblox SDK e qual seria o risco potencial se os invasores extraíssem os tokens secretos. Usando vários métodos, como Google dorking, pesquisas no BeVigil, e outros mecanismos de pesquisa, conseguimos encontrar e extrair tokens QB de dezenas de aplicativos diferentes. Aqui está uma lista parcial:

 

 

Extrair chaves não foi tão simples, quanto procurar no código. Em alguns casos, as chaves foram encriptadas, enquanto em outros, o código foi fortemente ofuscado. Em alguns casos extremos, elas foram dinamicamente recebidas encriptadas a partir de um servidor remoto. No entanto, independentemente do aplicativo, qualquer app exigiria a chave secreta e, de alguma forma, a usaria com um servidor QuickBlox. O máximo que os desenvolvedores podem fazer é colocar obstáculos para complicar a recuperação da chave do aplicativo; que sempre estará acessível aos invasores, independentemente de levar cinco minutos para extraí-la ou duas horas.

 

Depois de extrair os tokens de cada aplicativo, tentamos entender como os invasores poderiam aproveitar o seu ataque com base nos recursos do app e/ou outras vulnerabilidades na plataforma. Encontramos muitos vetores de ataque interessantes; aqui explicaremos dois cenários - solução de intercomunicação baseada em nuvem e um aplicativo de telemedicina.

 

Explorando a plataforma IoT de intercomunicação - ROZCOM 

O primeiro vetor de ataque que exploraremos envolve encontrar e examinar vulnerabilidades em uma plataforma IoT baseada em nuvem, usada para gerenciar intercomunicadores inteligentes vendidos pela Rozcom - um fornecedor com sede em Israel, que vende intercomunicadores para uso residencial e comercial. 

 

As soluções da empresa incluem intercomunicadores de vídeo, que permitem aos usuários ver quem está tentando acessar um prédio ou apartamento, que se conecta ao sistema de gerenciamento baseado em nuvem da Rozcom, por meio de sua plataforma. Todas essas conexões e recursos podem ser acessados por meio do aplicativo móvel da Rozcom. 

 

Encontramos múltiplas vulnerabilidades na arquitetura Rozcom que nos permitiram baixar todos os bancos de dados dos usuários e realizar ataques completos de controle de contas. Como resultado, fomos capazes de controlar todos os dispositivos de intercomunicação Rozcom, dando-nos controle total e permitindo-nos acessar as câmeras e microfones do dispositivo, grampear seu feed, abrir portas gerenciadas pelos dispositivos e muito mais.

 

A Rozcom, por um ano e meio, ignorou nossas tentativas de divulgar nossas descobertas em particular com a Equipe Israelense de Resposta a Emergências Cibernéticas (IL-CERT) atuando como coordenadora. IL-CERT em 4 de maio alocou e publicou CVE-2023-31184, CVE-2023-31185 para as duas vulnerabilidades que descobrimos. 

 

Arquitetura Rozcom 

A Rozcom usa muitos identificadores para os seus ativos. Primeiro, cada edifício tem um número de identificação único de 10 dígitos (por exemplo: 171XXXX708), usado para identificar entre diferentes edifícios na plataforma. Ao contrário dos IDs de compilação, que são construídos a partir de números “aleatórios”, os usuários são identificados usando a seguinte estrutura: ID DO EDIFÍCIO + NÚMERO DE TELEFONE (por exemplo 171XXXX708 5511981234567). Isso significa que o ID do usuário é realmente construído a partir de dois identificadores diferentes que devem ser mantidos em segredo.

 

Os usuários podem usar o aplicativo Rozcom para gerenciar os seus dispositivos pessoais de intercomunicação. Usando o aplicativo, eles podem abrir uma porta/portão, iniciar uma seção multimídia com o dispositivo (transmitir vídeo/áudio, e fazer comunicação push-to--talk).

 

Nos bastidores, a Rozcom está usando a plataforma QuickBlox para lidar com seções multimídia, transferindo vídeo/áudio entre o aplicativo móvel e o dispositivo.

 

Acontece que a Rozcom optou por usar o ID do usuário, mostrado acima, como o identificador do usuário QuickBlox. E, como poderíamos vazar o banco de dados do usuário QuickBlox, poderíamos obter acesso a todos os usuários da Rozcom, incluindo IDs de edifícios, bem como os números de telefone dos usuários correspondentes.

 

Exemplo de um usuário QuickBlox, contendo o Rozcom User ID (ID do edifício + número de telefone)

 

Controlando todos os intercomunicadores

Nosso próximo passo foi examinar os aplicativos e as APIs em nuvem da Rozcom, para entender melhor o possível vetor de ataque, usando os identificadores que vazamos.

 

A primeira API que descobrimos permitiu-nos recuperar informação sobre um edifício gerido pela Rozcom, fornecendo o ID do edifício. Acessando a seguinte API: getbuildingdetailpublic?buildingId=BUILDING_ID, poderíamos retornar o endereço completo de cada prédio, bem como o número de apartamentos naquele prédio.

 

Em seguida, queríamos ver se poderíamos finger ser um usuário. Ao usar o aplicativo, notamos que os usuários podem acessar sua conta digitando o seu número de telefone e recebendo uma senha única, como uma mensagem SMS como autenticador.

 

Formulário de login da Rozcom. 

 

No entanto, descobrimos que o dito OTP não é tão único. Em vez disso, o mesmo token OTP é mantido em todas as seções. Geralmente, os usuários não percebem isso, porque só precisam inseri-lo durante o login inicial e o aplicativo salva o token nos bastidores. Em seguida, usando o ID do usuário e o OTP, os usuários se autenticam no aplicativo.

 

Além disso, por meio da engenharia reversa do aplicativo móvel, descobrimos outra rota de API que poderia ser usada por invasores para vazar o token OTP. Chamando a API da Rozcom com a seguinte função:  gettenantauth?cellular=PHONE_UMBER, o servidor de back-end retorna o token OTP do usuário.

 

 

Resultado desta API, retornando o código de autenticação do usuário 

 

Isso significa que o único requisito para recuperar as credenciais de um usuário é o seu número de telefone, que conseguimos vazar usando a vulnerabilidade da QuickBlox. Além disso, o código de autenticação é estático. Portanto, os invasores podem realizar o login facilmente em nome de qualquer usuário e usar a funcionalidade do aplicativo em sua extensão. Isso permite que eles abram a porta/portão, abram streams de vídeo e muito mais; eles agora podem controlar totalmente o dispositivo de intercomunicação remotamente.

Acesso remoto ao feed de vídeo de um intercomunicador Rozcom.

 

Analisando Plataforma [REDACTED] de Telemedicina

A telemedicina é a distribuição de serviços e informações relacionadas à saúde, por meio de informações eletrônicas e tecnologias de telecomunicação. Ela permite o contato entre pacientes e médicos, além de cuidados, conselhos, lembretes, educação, intervenção, monitoramento e admissões, à distância.

 

Optamos por verificar um aplicativo popular de telemedicina integrado ao QuickBlox SDK, a fim de explorar sua superfície de ataque, abusando das vulnerabilidades da QuickBlox descritas acima. Não estamos divulgando o nome do aplicativo, porque ele ainda não foi atualizado para a nova API da QuickBlox e permanece vulnerável no momento da publicação. 

 

Esta plataforma de telemedicina, em particular, fornece serviços de chat e vídeo, que permitem que os pacientes se comuniquem com os médicos. Ao combinar as vulnerabilidades da QuickBlox com as vulnerabilidades específicas do aplicativo de telemedicina, conseguimos vazar todo o banco de dados do usuário, juntamente com os registros médicos relacionados e o histórico armazenado no app.

 

Vazamento de PII em Massa

Ao pesquisar o aplicativo Android afetado, conseguimos extrair as chaves incorporadas do app da QuickBlox. Poderíamos então autenticar no servidor da API da QuickBlox, obter um token de autenticação e acesso a um banco de dados de usuários para o aplicativo. Essas etapas não são diferentes de qualquer outro app que usa QuickBlox. No entanto, aqui estamos falando sobre informações do paciente e do médico.

 

Base de usuários do aplicativo [REDACTED].

 

Neste aplicativo de telemedicina, cada usuário escolhe as suas credenciais de UserID e senha usadas pelo app. No entanto, descobrimos por meio de engenharia reversa que o aplicativo [REDACTED] cria um novo usuário QuickBlox com o seu UserID como login e uma senha estática codificada ([REDACTED] para pacientes, e [REDACTED] para médicos).

 

Isso possibilita o login na QuickBlox em nome de qualquer usuário - médico ou paciente -, e a visualização de todos os seus dados. Isso inclui:

 

• Informações pessoais
• Histórico médico
• Histórico da conversa
• Arquivos de registros médicos

 

 

Além disso, como é totalmente possível passar-se por outra pessoa, por meio desse ataque, qualquer um pode se passar por um médico e modificar as informações ou até mesmo se comunicar em tempo real via bate-papo e vídeo com os pacientes reais na plataforma, em nome de um médico verdadeiro. Este é um cenário muito assustador.

 

Conclusão

O Claroty Team82 e a Check Point Research colaboraram nesta análise abrangente da API da QuickBlox, que é proeminente em muitos aplicativos de bate-papo e vídeo usados por milhões de pessoas em diferentes setores. Juntos, conseguimos descobrir vulnerabilidades na arquitetura da plataforma da QuickBlox, que poderiam ser exploradas para permitir que invasores acessassem bancos de dados dos usuários dos aplicativos. Milhões de registros de usuários estavam em risco, devido a essas vulnerabilidades.

 

Nossa pesquisa conjunta levou a várias explorações de prova de conceito contra os aplicativos que executam a API afetada. Demonstramos como a combinação de tokens secretos e senhas embutidos no aplicativo e o uso de um design inseguro de API da QuickBlox pode permitir que cibercriminosos obtenham uma grande quantidade de informações sobre os usuários finais.

 

Trabalhamos de perto com a QuickBlox para remediar os problemas. A QuickBlox respondeu à nossa divulgação, projetando uma nova arquitetura segura para a sua plataforma e uma nova API. Os seus clientes foram incentivados a migrar para as versões mais recentes de ambos. Mais uma vez, agradecemos à QuickBlox por sua cooperação e resposta rápida para garantir que essas vulnerabilidades sejam abordadas e a privacidade e segurança de seus usuários garantidas.

 

 

Claroty - capacita as organizações a protegerem sistemas ciberfísicos em ambientes industriais, de saúde e de negócios: a Internet das Coisas (XIoT).

claroty.com

Experiência do cliente: empresas apostam em novas tecnologias com desafio de oferecer personalização no relacionamento

Para 70% dos consumidores, uma empresa é boa quando
o serviço que presta é de qualidade
Créditos: Envato

Chatbots, assistentes virtuais e Inteligência Artificial já fazem parte do dia a dia de companhias que buscam agilidade e assertividade no atendimento

 

Empresas focadas na experiência do consumidor conquistam maior participação de mercado, alavancam as vendas e contam com processos dinâmicos, conforme aponta a pesquisa CX Champions, realizada pela Zendesk e pela Enterprise Strategy Group (ESG). Com base nisso, organizações inteiras estão revolucionando o atendimento ao cliente e investindo em ferramentas digitais que utilizam recursos como chatbots, assistentes virtuais, Inteligência Artificial e automação de fluxos. As longas esperas ao telefone e as respostas lentas por e-mail dão lugar a soluções tecnológicas que permitem interações rápidas e personalizadas.

Aprimorar o atendimento tornou-se uma necessidade, uma vez que 70% dos consumidores entendem que uma empresa é boa quando o serviço que presta é de qualidade, de acordo com um estudo da Genesys. A pesquisa revelou que as condições dessas experiências afetam a reputação de uma empresa e a qualidade dos seus serviços para o cliente. Para acompanhar essa tendência, especialistas do mercado de tecnologia defendem que a vivência dos usuários, clientes e funcionários deve estar conectada por meio de recursos e interações específicas.

"As empresas líderes em experiência do consumidor no mercado são aquelas que sabem como vincular dados e métricas diretamente aos resultados de seus negócios, tomando decisões inteligentes e sempre priorizando o cliente", analisa Márcio Viana, diretor-executivo da TOTVS Curitiba. Para ele, é importante ter em mente que o comportamento do consumidor mudou e que o mercado está migrando para a Indústria 4.0. "Entre outras coisas, isso significa que as fronteiras entre on-line e off-line estão cada vez mais difíceis de serem delimitadas", complementa.

Digitalizar para humanizar

Investir na experiência é fundamental para as empresas que buscam se manter competitivas em um mercado em constante transformação. No Paraná, as companhias têm se voltado cada vez mais para soluções digitais que humanizam o atendimento e impulsionam os negócios. Esse movimento tem contribuído para o estado se consolidar como um polo tecnológico, atraindo investimentos e empresas de tecnologia de todo o país. Além disso, a cidade de Curitiba tem se destacado globalmente, figurando novamente na lista das 21 comunidades mais inteligentes do mundo, segundo o Intelligent Community Forum (ICF).

Nessa onda pela humanização do atendimento, a Inteligência Artificial (IA) ganha um protagonismo impressionante e deve ditar o futuro dos negócios. "Com os chatbots, a IA permite que as empresas automatizem tarefas rotineiras e forneçam respostas rápidas e precisas para perguntas frequentes, possibilitando que os funcionários se concentrem em tarefas complexas e estejam disponíveis para fornecer um atendimento mais personalizado, consultivo e humanizado", explica o diretor-executivo da TOTVS Curitiba.

De acordo com um estudo divulgado pela SAS, 56% dos consumidores não estão satisfeitos com as experiências omnichannel oferecidas pelas marcas. Para Márcio Viana, isso ocorre porque os clientes precisam ser vistos como indivíduos únicos e não como meros números na fila de atendimento. "Com a abordagem correta, a tecnologia pode ser uma aliada valiosa, aprimorando a experiência e permitindo ganhos quando o assunto for eficiência. São passos importantes que vão redefinir a forma como as empresas interagem com os consumidores, trazendo a humanização para dentro dos processos como nunca antes visto", finaliza.

 

TOTVS

https://www.totvs.com/

 

Por que o futebol feminino ainda é estranho para muitas pessoas?

Mesmo com as conquistas, principalmente as individuais, como as da jogadora Marta, e com várias atletas atuando na Europa, o que poderia demonstrar um reconhecimento mundial, o futebol feminino ainda causa estranheza em muitas pessoas, e isso não é só no Brasil. Pesquisa realizada no Reino Unido, mostra uma atitude misógina de 68% dos homens em relação ao esporte, quando praticado por mulheres. 

 

A meu ver, isso ocorre por cinco fatores principais:

1. Percepção cultural: o futebol é visto como um "esporte masculino" e historicamente foi dominado pelos homens.
2. Sexismo: infelizmente, o preconceito de gênero ainda é muito presente em nossa sociedade. Assim, as pessoas (geralmente homens) podem presumir que as mulheres são inerentemente menos capazes fisicamente e menos capazes de jogar futebol em um alto nível. Além disso, as pessoas podem ter crenças sobre o tipo de comportamento que é "apropriado ou não" para as mulheres. Portanto, o futebol, por ser um esporte que envolve contato físico agressivo, acaba sendo visto como "coisa de homem".
3. Desigualdade de investimento: o futebol feminino recebe menos investimento do que o masculino, o que pode causar a impressão de que o futebol feminino é de menor qualidade ou menos importante.  Os salários e condições de trabalho têm sido muito melhores no futebol masculino do que no feminino. Há mais patrocinadores interessados no futebol masculino do que no feminino.
4. Falta de visibilidade: ainda recebe muito menos atenção da mídia do que o futebol masculino. Isso inclui não apenas a transmissão de jogos, mas também a cobertura de notícias e histórias de jogadoras. Isso pode levar a um ciclo vicioso: a mídia pode justificar sua falta de cobertura, alegando que não há interesse suficiente no futebol feminino, mas sem cobertura da mídia, o esporte tem dificuldade em atrair novos fãs e jogadoras.
5. História mais curta: o futebol feminino tem uma história muito mais curta do que o masculino. Por exemplo, a primeira Copa do Mundo de futebol masculino foi realizada em 1930, enquanto que a primeira Copa do Mundo de futebol feminino foi realizada mais de 60 anos depois, em 1991. 

A crítica a Renata Silveira, a primeira mulher a narrar jogos de futebol da Copa no Brasil, certamente é atravessada por sexismo. Como mencionei anteriormente, o futebol é historicamente dominado por homens, as mulheres que desafiam esse status quo - seja jogando, treinando, comentando ou narrando - ainda enfrentam muita resistência.  

É importante notar que esses fatores estão mudando e o futebol feminino está se tornando cada vez mais normalizado e respeitado. As conquistas, como as da meia-atacante Marta, eleita seis vezes a melhor do mundo, juntamente com um maior investimento e cobertura da mídia, estão ajudando a mudar as percepções sobre o esporte. No entanto, ainda há um longo caminho a percorrer para alcançar a paridade total com o futebol masculino. 

Além disso, um fenômeno estudado pela psicologia é o viés de confirmação, que é a nossa tendência de interpretar informações de forma que confirmem as nossas crenças pré-existentes. Portanto, aqueles que já acreditam que as mulheres não deveriam narrar jogos de futebol podem interpretar a narração de Silveira de uma maneira negativa, independentemente de seu desempenho real.

A psicologia nos ensina que sempre há um elemento de estranheza com aquilo que é novidade, com o desconhecido. As pessoas estão muito mais acostumadas a ver homens jogando futebol e a ouvir vozes masculinas narrando os jogos. Ver uma mulher jogando ou narrando futebol imediatamente é percebido como algo esquisito. 

Felizmente, a psicologia também nos dá a solução: a familiaridade surge da exposição. Com o passar do tempo, começamos a normalizar as coisas que experienciamos regularmente. As coisas que são constantes e duradouras em nossa cultura tendem a se tornar os padrões que aceitamos.  

O futebol masculino tem uma presença constante na cultura, certo? Isso gerou uma familiaridade que torna o futebol masculino um "padrão", aquilo que é o “normal” para muitas pessoas. Portanto, quando as mulheres entram em campo - literalmente - ocorre um desvio desse "padrão". Inicialmente, isso causa estranheza, resistência e desconforto. Depois, à medida que as pessoas vão sendo cada vez mais expostas à participação das mulheres no futebol, um novo padrão é construído - o de que o futebol feminino é tão emocionante quanto o masculino.

 

Jan Luiz Leonardi - psicólogo, formado em Terapia Comportamental Dialética pelo Behavioral Tech, dos EUA, com mestrado em Psicologia Experimental pela PUC-SP e doutorado em Psicologia Clínica pela USP. É coordenador do Clube de Excelência em Psicologia Baseada em Evidências.

 

Cinco dicas para saber o que seu filho está acessando na internet

Crédito: Envato

De acordo com o Fundo das Nações Unidas para a Infância (Unicef), 89% das crianças e adolescentes entre 9 e 17 anos em todo o mundo já utilizaram a internet em algum momento da vida. A abrangência dos meios digitais na vida e no cotidiano contemporâneos é tema de discussão, desde a psicologia até a segurança pública, dos governos à sala de aula. E não é para menos, já que estudos têm demonstrado que há uma íntima relação entre o uso de plataformas digitais e o aumento do número de ataques em escolas, por exemplo.

Mas como exercer a parentalidade na era digital? Como controlar o conteúdo acessado pelas crianças e adolescentes sem comprometer o pacto de privacidade, que é tão importante para os seres humanos? Para Fernando Brafmann, consultor em Proteção e Segurança Escolar dos colégios do Grupo Positivo, trata-se de entender que o celular é uma porta de acesso a um mundo que não possui apenas conteúdos positivos. “Antes do uso massivo dos celulares, os pais queriam saber quem eram os amigos dos filhos, onde moravam, como eram as famílias deles. Na internet, o raciocínio deve ser o mesmo. É preciso saber o que as crianças estão vendo e como elas consomem esse conteúdo”, alerta.

1. O que é combinado não sai caro

Sempre que se fala em controle parental, o outro lado da moeda é a eventual perda de privacidade de quem está sendo monitorado. Isso se torna um problema, principalmente no caso dos adolescentes, que já estão em uma fase de desenvolvimento de personalidade que exige certo distanciamento dos pais e responsáveis.

Segundo a especialista em Psicologia Educacional e Educação Inclusiva dos colégios do Grupo Positivo, Michele Norberto, isso pode ser resolvido com regras bem delimitadas entre pais e filhos. “Tudo o que é construído junto com eles é muito mais forte. Então, o ideal é que as crianças e adolescentes sempre saibam que os pais têm acesso ao seu telefone e aos conteúdos acessados por ele. Não esconda que você tem esse controle, mas explique por que ele é necessário”, orienta.

2. Conheça o mundo virtual em que os jovens circulam

Instagram, TikTok, Twitter. Os muitos nomes e as inúmeras funções de cada plataforma ou rede social muitas vezes escapam à compreensão dos pais. No entanto, conhecer cada uma delas é fundamental para a parentalidade digital. Por isso, é importante procurar compreender para que servem e como os jovens utilizam essas ferramentas. Brafmann lembra que, hoje, é comum que os adolescentes tenham, inclusive, mais de um perfil em cada rede social. “Eles fazem isso para escapar do controle parental, então é preciso assumir que isso está acontecendo e buscar o diálogo para entender o que está sendo compartilhado em cada um desses perfis”, destaca.

3. Observe os sinais

Crianças e adolescentes dão sinais de que algo está errado. A presença dos pais e educadores, nesse sentido, é fundamental. Se a criança esconde o celular na presença dos pais, por exemplo, ou pausa o conteúdo que estava sendo visto, isso pode ser um sinal de que algo está errado. No caso dos adolescentes, mudanças de comportamento, irritação, isolamento, tristeza constantes precisam ser observados. Deletar o histórico de navegação, não querer atender a chamadas ou responder mensagens, por exemplo, são alertas que não podem ser ignorados.

4. Configure o telefone de acordo com a idade

Os aparelhos de celular atuais permitem, nas próprias configurações, definir quais aplicativos podem ser instalados. Também é possível bloquear o uso após determinado tempo ou hora do dia. Essas funcionalidades são muito importantes para que os pais consigam monitorar melhor o que está acontecendo nas telas às quais seus filhos têm acesso. Isso deve ser feito de acordo com a idade da criança, diz Brafmann.

5. Ofereça ajuda

Sexting, ciberbullying, ameaças e outros problemas são parte do dia a dia das ferramentas digitais. E é preciso que os jovens compreendam que têm alguém com quem contar dentro de casa para lidar com esses problemas. “Quando os pais já têm um processo de parceria com os filhos, fica mais fácil estabelecer essa via de diálogo. É um processo de construção para que as crianças confiem nos pais para resolver eventuais problemas associados ao uso da internet”, ressalta Michele.

Fernando Brafmann e Michele Norberto são os convidados do 11.º episódio da temporada “Conexões”, do Posicast, produzido pelos colégios do Grupo Positivo, cujo tema é “Parentalidade na era digital: estratégias para o controle de conteúdo”. Todos os episódios estão disponíveis no YouTube do colégio (https://www.youtube.com/@colegiopositivo).

 

Colégio Positivo

 

O sucesso do conselho de administração está atrelado ao pensamento estratégico

 

É preciso desenvolver o pensamento do Conselheiro, voltado ao futuro e atento aos riscos, às oportunidades e às tendências de mercado. Porém, deve-se desenvolver uma visão de médio e longo prazo expansionista e focada em ações inovadoras. 

 

Não há dúvida de que é menos complexo gerir uma organização “olhando somente para o retrovisor'', respaldando as ações futuras nas experiências boas e ruins vivenciadas no passado. Mas o olhar dos membros de um Conselho de Administração e seus executivos devem estar voltados para o futuro, de modo a garantir que a organização desenvolva suas competências e facilite o acesso aos recursos necessários para construir esse futuro projetado.

A importância deste tema é reforçada em umas das publicações do IBGC (Instituto Brasileiro de Governança Corporativa) chamada “O pensar estratégico nas organizações e o papel de seus órgãos de governança”. Ele traz reflexões sobre o pensamento estratégico, destacando que este exige disciplina e um estado de alerta permanente.

 

Como então construir uma cultura que incentive o pensamento estratégico?

 

O pensamento estratégico não é uma atividade restrita ao Conselho, pelo contrário, ela deve ser promovida em toda a organização, estimulando a livre conversação sobre os negócios da empresa, identificação de novas oportunidades, monitoramento de ameaças e formulação de novas ideias de negócios. Garantir que se desenvolva uma cultura com visão expansionista do negócio com foco em inovação, é um dos grandes desafios para que o Conselho seja eficaz e auxilie na perenidade do negócio.

Alex Osterwalder, autor de “The Invincible Company: How to Constantly Reinvent Your Organization with Inspiration From the World's Best Business Models” foi o pesquisador que desenvolveu o Canvas do Modelo de Negócio e trabalhou para a sua popularização com o desenvolvimento de diversos materiais práticos para análise e validação do modelo de negócio. 

 

Neste livro, ele explorou o conceito de organização ambidestra, que é capaz de explorar (descobrir) o futuro, enquanto também se destaca por aproveitar as oportunidades do presente. É apresentado um mapa de portfólio que é uma ferramenta estratégica para visualizar, analisar e gerenciar os modelos de negócio da organização, garantindo que exista um equilíbrio entre modelos de negócios que estão em pesquisa e teste (explore) e aqueles que estão em aperfeiçoamento e crescimento (exploit). 

Também são apresentadas outras ferramentas que auxiliam as organizações a se reinventar, projetar, testar e construir modelos de negócios superiores e a explorar oportunidades além do seu setor.

 

Algumas boas práticas para cultivar o pensamento estratégico.

 

Sobre a atuação específica do membro do Conselho de Administração, o material do IBGC recomenda algumas ações que podem ser cultivadas por este, tais como (i) possuir disponibilidade para conversas com os demais membros do Conselho e com o CEO; (ii) ouvir e procurar compreender as preocupações dos outros membros da diretoria; (iii) evitar oferecer soluções sem aprovação do CEO; (iv) encorajar a gestão e estimular a expressão de ideias com insights vindos de fontes diversas.

 

A importância da intuição estratégica.

 

Outro ponto interessante levantado pelo IBGC faz referência ao valor da intuição. O  mesmo sustenta que “a intuição não rejeita o processo intelectual, muito pelo contrário. Ela está associada à atividade subjetiva desse mesmo processo. A intuição de pessoas com notória experiência como fonte para o pensar estratégico deve ser reconhecida, e, quando acompanhada por estudos e análises posteriores, pode ser a chave para uma boa decisão estratégica.”

 

Ou seja, no processo de intuição estratégica, o conhecimento sobre fatos vivenciados ou estudados é utilizado em novas combinações para solucionar desafios.

 

Qual o papel do Conselho no pensamento estratégico?

Um Conselho de Administração deve refletir sobre o futuro da organização, antecipando riscos e vislumbrando novas oportunidades de expansão das operações e o pensamento estratégico estruturado e maduro é fundamental para este grandioso futuro projetado. Por isso, conselheiros e executivos devem considerar a gama enorme de conhecimento e experiências agregadas, mas sempre “projetando” a realização do propósito da organização em médio ou longo prazo.  O processo de análise para o desenvolvimento da estratégia deve contemplar fatores externos, com foco na identificação de novas oportunidades, mantendo-se, porém, atentos aos fatores internos. Esse processo valoriza o pensamento crítico, formula hipóteses e “desenha” cenários de negócios futuros, propondo e detalhando ações para a implementação do “Planejamento Estratégico”.

Afinal, conselheiros e executivos que não pensam estrategicamente e tem dificuldade de “vislumbrar” um futuro criativo e promissor, não conseguirão inspirar, desenvolver e aprovar um Planejamento Estratégico expansionista e inovador.

 

 

Marcos Leandro Pereira - Advogado, Conselheiro e Mentor. Sócio-fundador da Pereira, Dabul Advogados e da RCA Governança & Sucessão, empresa especializada na implementação de boas práticas de Governança Corporativa, na formação e dinâmica de Conselhos de Família, Consultivo e de Administração e na implementação de Planejamento Patrimonial e Sucessório em estruturas empresariais familiares.

A polêmica do acesso remoto: riscos e preocupações com a vigilância digital

 

Uma notícia recente, divulgada em julho de 2023, tem gerado discussões acaloradas e levantado questões éticas sobre o uso da tecnologia no combate ao crime. O Senado da França aprovou que a polícia espione suspeitos por meio de acesso remoto aos “devices conectados” tem despertado preocupações sobre privacidade e riscos associados a essa prática. 

O acesso remoto aos telefones e internet com suas smart tvs, webcam e outros aparelhos ligados é uma tecnologia poderosa, capaz de fornecer às autoridades informações valiosas para investigações criminais. No entanto, sua utilização levanta uma série de questionamentos. Será que estamos dispostos a abrir mão de nossa privacidade em nome da segurança? Quais são os riscos de abusos e violações de direitos fundamentais? 

Um dos principais riscos diz respeito à possibilidade de acesso indiscriminado aos dados pessoais dos cidadãos. Com essa tecnologia, existe o temor de que informações sensíveis, como registros bancários, históricos médicos e comunicações privadas, possam ser acessadas e utilizadas indevidamente. Quais são as garantias de que os dados serão devidamente protegidos? Como evitar vazamentos ou uso indevido dessas informações? 

Além disso, a invasão da privacidade é uma preocupação central nesse debate. Como assegurar que o acesso remoto aos telefones seja utilizado de maneira adequada e proporcional? Quem estará vendo o que? Quais são os limites aceitáveis da vigilância digital? É necessário estabelecer salvaguardas para evitar o monitoramento indiscriminado de cidadãos inocentes e garantir que a utilização dessa tecnologia esteja em conformidade com os princípios de respeito aos direitos humanos.
 

Importância da regulamentação

Outra indagação pertinente é a possibilidade de abusos por parte das autoridades. Como garantir que o acesso remoto aos telefones seja utilizado exclusivamente para fins legítimos de investigação criminal? Quais são os mecanismos de supervisão e controle que serão implementados para evitar abusos e assegurar a prestação de contas? É fundamental estabelecer regulamentações claras e rigorosas para evitar o uso indevido dessa tecnologia. 

Além das preocupações internas, também é necessário considerar as implicações diplomáticas dessa medida. A vigilância digital pode afetar a confiança entre nações e gerar tensões no contexto internacional. Como garantir que a utilização dessa tecnologia esteja em conformidade com as leis internacionais e respeite a soberania de outros países? É essencial buscar um equilíbrio entre a segurança nacional e o respeito às normas internacionais.

 

Debate transparente 

Diante desses desafios, é fundamental que haja um debate amplo e inclusivo, envolvendo especialistas em tecnologia, organizações da sociedade civil e os cidadãos em geral. 

Particularmente, acredito na importância de uma discussão informada e transparente sobre os riscos e as preocupações relacionados ao acesso remoto e à vigilância digital. É necessário considerar a opinião dos cidadãos e garantir que suas vozes sejam ouvidas nesse processo. 

Além disso, é crucial que as autoridades responsáveis pela implementação desse tipo de medida estejam abertas ao diálogo e dispostas a realizar ajustes e melhorias com base nas preocupações levantadas.

 

Proteção 

Outro aspecto importante a ser considerado é a necessidade de investimentos em segurança cibernética. Com o aumento do acesso remoto e da vigilância digital, é fundamental garantir a proteção dos sistemas contra ataques cibernéticos e contra vazamentos de dados. As autoridades devem priorizar a implementação de medidas de segurança robustas e promover a conscientização sobre boas práticas de segurança digital. 

A tecnologia avança em ritmo acelerado, trazendo consigo benefícios e desafios. A questão do acesso remoto e da vigilância digital é complexa e exige uma abordagem equilibrada. Precisamos garantir a segurança e o combate ao crime, mas sem comprometer os direitos individuais e a privacidade dos cidadãos. 

Nesse contexto, é fundamental que as medidas adotadas estejam em conformidade com os princípios democráticos e respeitem os direitos fundamentais. A transparência, a prestação de contas e o respeito aos limites éticos são essenciais para garantir uma sociedade justa e livre. 

O setor de tecnologia tem que se colocar como defensor dos direitos e interesses das empresas de serviço de informática e, mais amplamente, dos cidadãos. Contudo, toda sociedade precisa acompanhar de perto esse debate e trabalhar em parceria com os diversos atores envolvidos para garantir que as soluções adotadas sejam justas, equilibradas e respeitem os valores democráticos. 

O acesso remoto e a vigilância digital são assuntos de extrema relevância e que têm impacto direto na vida de todos os cidadãos. Portanto, é crucial que a discussão sobre essas questões seja ampla, informada e participativa. Somente assim poderemos encontrar soluções que equilibrem efetivamente a segurança, a privacidade e os direitos individuais em um mundo cada vez mais digital e interconectado.

 

Marco Tulio Chaparro - Presidente do Sindicato das Empresas de Serviço de Informática do Distrito Federal (Sindesei/DF)