Ep. 05 Segurança Cibernética - Aspectos não óbvios e conclusão

Salve, pessoal!

Nos quatro primeiros posts dessa série tratamos da "visão clássica" da segurança cibernética. Na minha experiência pessoal, a maioria das pessoas associa o tema ao clichê propagado pelos filmes, onde um Hacker invade seu computador e a partir daí passa a roubar seus dados e/ou recursos.

No mundo real, entretanto, as coisas tendem a ser diferentes. Os ataques que mencionei anteriormente são realizados "no atacado" e, por serem bem conhecidos e documentados, logram êxito majoritariamente entre usuário muito despreparados. Quem toma as precauções básicas que eu listei aqui reduz enormemente as chances de ocorrência.

Quando o alvo é compensatório (i.e. pessoas que postam seus fechamentos mensais de 7 dígitos), é razoável supor que a pessoa possua bom nível de instrução e que tome cuidados acima da média da população. Isso demanda do atacante um esforço maior, abordando aspectos não-óbvios da segurança.

Aqui estamos entrando em uma zona de intersecção entre segurança e inteligência cibernética. O domínio da Segurança é mais técnico e tem suas tarefas executadas em "tempo de paz". A inteligência já pressupõe um trabalho de campo, lançando mão de condutas ativas e passivas e depende muito mais da habilidade social/humana do que do preparo técnico em computação.

Uma ação dessa natureza inicia-se com o que se chama de Information Gathering (reunião de informações).  Esta fase normalmente utiliza massivamente fontes abertas da internet. Pesquisar pelo nome da pessoa entre aspas (i.e. "fulano de tal da silva") pode retornar uma quantidade incrível de informações. Buscar apenas pelo sobrenome ("de tal da silva") pode apresentar uma verdadeira árvore genealógica.

Experimente um pouco de "google hacking" (utilizar os parâmetros avançados de busca no google)  com seu próprio nome... tente "meu nome" + filetype:pdf  ou "meu nome" + site:.gov.br ou "meu nome" + intext: CEP (ou endereço, cônjuge, etc.) . Talvez você se surpreenda. No mínimo será divertido.

A situação se agrava se você é funcionário público, pois a transparência exigida em todos os seus atos administrativos (transferências, lotações, requerimentos, etc.) consta nos Diários Oficiais da sua esfera. Quem se expõe em demasia nas redes sociais também amplia a superfície de ataque.

Se você tiver um domínio em seu nome, o comando "whois" presta informações pessoais bastantes completas. Tem empresa no seu nome? Fez concurso público? Deu entrevista para o jornal online da academia? Tudo isso fica indexado por um longo tempo.

"Mas AdV, se são dados públicos... qual o problema?" 

Com os dados em si, pouco ou nenhum. O problema está no que se chama de profiling, ou seja, na possibilidade de um eventual atacante passar a te conhecer bem. Isso serve para customizar os ataques e aumentar a chance de sucesso. Citarei dois casos:

Caso 1. Funcionário público de 30 e poucos anos, recém divorciado: o colega em questão possui excelente patrimônio e não faz questão de esconder isso de ninguém. Assim que se separou utilizou as redes sociais para publicar um textão de desabafo. Nas semanas seguintes passou a ser seguido em redes sociais pelo perfil de uma mulher atraente, com quem começou a conversar com frequência até topar "conhecê-la" por uma vídeo-chamada... empolgou-se durante a conversa e... na semana seguinte já estava sendo extorquido. Ou ele pagava o valor pedido, ou a gravação da "conversa" com a moça seria espalhada na sua repartição, entre a sua família. Após pagar, foi informado de que já estava sendo monitorado há algum tempo e que a extorsão não pararia por ali.

Caso 2. Executivo de empresa privada: profissional com boa consciência situacional de segurança, sem redes sociais, low profile. Era colecionador de uma classe específica de objetos, digamos aqui que eram selos postais. Ele fez um anúncio em um site especializado usando seu e-mail pessoal, algo como "quem tiver o selo tal, mande uma mensagem para fulanodasilva@meuprovedor.com". Algum tempo depois, um suposto vendedor apareceu e encaminhou um arquivo pdf com as informações do selo. Empolgado com a oferta nosso amigo abriu o pdf em seu notebook pessoal. Pronto... máquina infectada. 

Os exemplos são infinitos e limitados apenas à criatividade e à determinação do atacante. Pensar fora da caixa é um pré-requisito para esse tipo de "emprego" e é importante jamais subestimar a capacidade dessas pessoas e a qualidades dos ardis utilizados.

Concluindo, eu gostaria de sugerir que você também se preocupe com os aspectos não-óbvios da segurança cibernética da mesma forma como se preocupa com as contra-medidas clássicas. Publique o mínimo possível, mantenha reserva de todos os assuntos que não são do interesse direto  de um dado público (princípio da necessidade de conhecer), tome cuidado com o seu digital footprint.

Não é necessária uma conduta neurótica a la Jack Bauer, mas o mínimo de contrainteligência é essencial para a vida.

Forte abraço a todos!