A Viacredi se tornou inutilizável

Em 2014 quando abri conta na Viacredi ela era a melhor instituição para se trabalhar com o dinheiro. Por se tratar de uma cooperativa de crédito, a Viacredi naturalmente possuía as melhores taxas de empréstimo e retornava as sobras para todos os cooperados, além disso, a Viacredi possuía de longe a melhor infraestrutura de acesso a contas online e o melhor aplicativo de celular dentre todas as instituições financeiras daquela época. Eu lembro que um professor de programação comentou comigo em 2015 que “o aplicativo da Viacredi é o único onde a recarga de celular realmente funciona”, além disso, lembro também que eu podia acessar a conta online a partir de diferentes computadores, tanto da minha própria casa quanto dos computadores da empresa onde eu trabalhava, pois não havia toda essa burocracia que nós temos na Viacredi atual.

Antes de qualquer coisa, eu quero deixar bem claro que o motivo pela qual eu larguei a minha conta é porque eu estou de saco cheio da política de segurança informação da Viacredi (e do sistema Ailos de maneira geral). Os motivos que me levaram a isso não abrangem o campo financeiro e sim razões que são puramente técnicas do ponto de vista da ciência da computação.

A Viacredi, assim como a maioria dos bancos, deixa muito a desejar na experiência do usuário, ela implementa políticas estúpidas de segurança da informação e acha que está “arrasando”. Para a Viacredi, “burocracia” é sinônimo de “segurança” e eles acham que quanto mais etapas houver na autenticação do usuário mais seguro é o sistema num todo. No começo os acessos eram simples e no decorrer dos anos foi ficando mais burocrático.

Portanto, este artigo é uma crítica à (ao):

• Aplicativo
• Conta online
• Atendimento

Problemas do aplicativo

Começando pelo aplicativo Android que costumava ser o melhor de todos em sua categoria, ele era simples e não tinha rodeio. Com o passar dos anos o aplicativo foi recebendo atualizações e ficando mais pesado, culminando agora numa etapa sem sentido de “código de acesso”, onde cada celular fica vinculado a uma conta.

Os bancos estão com essa tendência ridícula de depositar toda a confiança no sistema Android e nos seus “super aplicativos”, eles presumem que o ambiente é uma fortaleza impenetrável e depositam toda a confiança do acesso à conta nele. Mal sabem eles que o Android é um dos SOs mais malfeitos que existe e que todas as fabricantes de celular não dão a mínima para a segurança dos usuários. Eu mesmo já fiz postagens sobre falhas no sistema Android e não pretendo me aprofundar nesse tópico aqui ¹.

Antigamente era possível acessar várias contas a partir de vários celulares, hoje em dia não é graças a nova política de acesso.

Ao acessar outra conta você revoga o acesso de outros aparelhos. Como vou pagar uma dívida a partir da conta dos meus pais sem acesso ao celular deles? O que acontece quando o meu celular for roubado e eu não tiver mais acesso ao chip? O que acontece quando eu quebrar o meu celular e não tiver outro meio de acessar a Viacredi?

Outra coisa bastante sem lógica é essa dependência em cima de um único celular para o acesso à conta-corrente. Conforme mostrado na figura 1, a Viacredi exige que o cooperado use o celular para autenticar as transações no computador como se o acesso pelo computador já não fosse burocrático o suficiente. Não basta você instalar mil e um módulos de segurança, você também tem que instalar um aplicativo pesado que depende do Google Play Services para funcionar, que te rastreia fisicamente durante o login, que requer acesso ao histórico de chamadas e a tua agenda de contatos.

Nada disso é necessário para acessar uma conta!

Você pode perguntar a qualquer atendente da Viacredi o porquê disso e eles vão te responder:

Esse é o chavão mais repetido pela Viacredi, os próprios atendentes não sabem para que servem todas as permissões e por isso ficam repetindo essa babaquice toda. Vou repetir mais uma vez:

O dado é o novo petróleo!

Por isso meu amigo, não caia nessa conversa de que tudo “é para sua segurança”, o intuito do sistema Ailos não é te proteger de fraudes, é coletar o máximo de dados possível!

Conta online

No dia 23 de janeiro de 2023 a Viacredi mandou uma notificação dizendo que o acesso à conta online faria uso da geolocalização obrigatória, além disso, a plataforma anunciou que recorreria ao módulo de segurança Warsaw no intuito de proteger as transações online. No dia 31 de janeiro ambas as coisas se tornaram obrigatórias e nem mesmo os usuários de Linux se safaram dessa lamúria.

O tal “módulo de segurança” nada mais é do que uma caixa preta que espiona tudo o que o usuário faz no computador e envia todos os seus arquivos para a “nuvem” a fim de serem analisados e usados para “melhorar” as detecções de malware adjacentes.

Isso por si só já é o suficiente para se afastar do sistema Ailos, o fato de eles empurrarem o uso desse módulo goela abaixo é prova de que eles não estão nem aí para a segurança dos seus cooperados. No final do artigo eu vou explicar por que esse módulo não é necessário e o que a Viacredi deveria fazer se ela realmente se importasse com esse engodo que ela chama de “segurança”.

Independente do fato das pessoas consentirem o uso do módulo, é simplesmente errado uma instituição financeira induzir o seu uso pelo simples fato disso ser invasão de privacidade. Inclusive existe um banco processado por causa disso ².

Por que a Viacredi está forçando o uso deste módulo? Segundo ela, essa é a justificativa:

Segundo a própria Viacredi: ³

Esta é uma prática de mercado, solicitada por várias instituições financeiras.

Em outras palavras: já que todo mundo faz, nós também fazemos. O famoso argumentum ad populum.

Você também percebeu que existe um engodo em torno da palavra segurança? Você percebe como a narrativa do Banco do Brasil e dos demais bancos deixa implícito que o autoatendimento não é seguro?

Faça este teste, pergunte a qualquer atendente da Viacredi para que serve o módulo de segurança, ou melhor ainda, pergunte quais dados o módulo vai furtar do seu computador quando você instalá-lo. Todos os atendentes vão responder da seguinte forma:

Não me façar rir! É serio mesmo? Eu achava que não era… Eu não sabia que era para “a minha segurança”, ó meu Deus… Como eu estou vulnerável!

Eu tenho vontade de vomitar quando vejo esse discurso cheio de mentiras. Não existe nada que justifique a instalação de um módulo de segurança, aliás, existem muitas coisas que a Ailos poderia estar fazendo e ela não faz. O fato da administração da Ailos ter compactuado com esse circo só comprova o nível de bestialidade e ignorância de quem administra o sistema; e eu afirmo que há uma ignorância porque eu não vejo nenhuma ação concreta sendo direcionada às melhores práticas de segurança em nenhum dos sistemas públicos da Ailos.

No que a Viacredi errou

A primeira coisa foi o uso da geolocalização, a segunda foi a instituição do módulo de segurança, e a terceira foi a dependência em cima do aplicativo da Ailos para fazer a movimentação financeira. Você percebe como isso limita as pessoas? Antes nós tínhamos mais opções e agora estamos de mãos atadas. Outro detalhe, o sistema Ailos está atacando a frente incorreta, ela comete uma falsa premissa ao presumir que o ambiente computacional é a parte mais insegura do sistema. Você acha mesmo que o elo mais fraco é o computador da pessoa? Você acha que as pessoas não têm seus celulares roubados ou não são coagidas a transferir dinheiro? Do que adianta isso tudo se a maioria das pessoas são ludibriadas por conta própria? Nenhum módulo de segurança vai te salvar da engenharia social por trás da indústria milionária dos golpistas. A maioria dos golpes é realizada com o auxílio da própria vítima e a Ailos está atacando a frente errada em termos de segurança. ^{4 5 6 7 8 9}

O que a Ailos deveria fazer?

Se ela se importasse tanto com a segurança da informação, ela poderia ao menos utilizar DNSSEC em todos os seus domínios ¹⁰.

Estamos em pleno ano de 2025 e a Viacredi não utiliza IPv6!

$ resolvectl query --type AAAA viacredi.coop.br
viacredi.coop.br:
resolve call failed:
Name 'viacredi.coop.br' does not have any RR of the requested type

Caso isso não seja o suficiente a Ailos poderia também utilizar DANE e TLSA em todos os seus domínios, de preferência no domínio que eles usam como API de back-end para os aplicativos web e Android.

Para saber se é seguro transferir dinheiro o aplicativo poderia verificar a integridade e a veracidade do certificado TLS do domínio do back-end e simplesmente jogar um erro na tela do usuário dizendo que ele está sendo fraudado caso a verificação do domínio falhasse. Só isso já elimina 100% a necessidade de um módulo de segurança e botaria a Ailos na frente de todos os bancos já que nenhum deles implementou esse protocolo. Para você ter uma ideia, você sabe quanto custa colocar assinaturas digitais em um domínio? NADA! Usar IPv6 e assinar um domínio custam literalmente NADA! Como dizia o Donizildo:

A aplicação web poderia ao menos implementar uma política CSP e uma política HSTS:

Por fim existem várias coisas que poderiam ser implementadas de maneira nativa já que eles se preocupam tanto com a segurança da informação, no entanto, como a administração da Ailos é ignorante — assim como os demais bancos — eles preferem adotar o caminho da segurança por obscuridade e burocracia, onde na cabeça deles, quanto mais coisas estiverem no caminho mais seguro é o acesso. Quanta idiotice! O protocolo TLS já é bastante seguro, mas pode ser reforçado ainda mais com os métodos acima que citei. Essas pessoas que tomam essas decisões possuem essa mania ridícula de querer controlar tudo que existe no ambiente do usuário, eles querem controlar o incontrolável. Quando você faz uma API você já tem que antecipar usuários maliciosos e parar de perder tempo com esse controle obsessivo no lado do cliente, o programador que faz as APIs já deveria pensar de antemão o que um usuário malicioso conseguiria fazer e blindar a sua API contra tais requisições. O que eu mais vejo são APIs REST mal documentadas que ficam fora do ar facilmente porque não implementam cache HTTP, não usam ETags e também não limitam o número requisições. Como se isso não bastasse, a maioria das APIs que eu conheço não implementam uma compressão básica de resposta HTTP como o algoritmo gzip ou brotli, o que é suportado por todos os navegadores.