Divulgação
O finlandês Mikko Hyppönen é, provavelmente, um dos nomes mais influentes na indústria de segurança atualmente. Diretor-executivo de pesquisas da F-Secure, ele ocupa o cargo há 20 anos e já esteve envolvido em operações que ajudaram a combater a expansão de
malware como o
Sobig.F (que teve seu auge em 2003), o
Sasser (worm famoso em 2004) e o mais recente Stuxnet(o vírus responsável por atacar sistemas industriais descoberto em 2010).
O executivo, que também já auxiliou equipes de polícia nos EUA, na Europa e na Ásia, esteve no Brasil nesta última semana para palestrar na
SecureBrasil. O evento aconteceu em São Paulo nos últimos dias 26 e 27 de agosto, e a apresentação de Hyppönen focou nos riscos de fraudes nas eleições que acontecem em outubro aqui no Brasil.
Mas antes de dar a palestra, ele conversou sobre o tema com INFO. Na entrevista, o especialista finlandês afirmou que o sistema eleitoral utilizado por aqui não é perfeito, mas é “surpreendentemente bom”. Além disso, ressaltou que o verdadeiro risco de ataque não atingirá diretamente as eleições, mas sim os candidatos envolvidos na votação, cujos sites e páginas oficiais estão suscetíveis a ataques e golpes. Leia mais a seguir.
O sistema que usamos nas eleições aqui no Brasil está suscetível a ataques ou fraudes?
Eu analisei essa parte e, para falar a verdade, ela é até bem desenhada. Nada é 100% seguro, mas observando os sistemas eleitorais usados em outros países, o de vocês está longe de ser ruim – pelo contrário, é surpreendentemente bom. É bem planejado desde o princípio. Só acho que poderia ser melhor se fosse de código aberto – não vejo motivos para ele não ser open source. Se há algo que realmente deveria ser de código aberto, esse algo seria o sistema que usamos para organizar uma eleição em sociedades democráticas.
Mas enfim, no sistema de vocês, gosto do fato de que todos têm comprovantes físicos para mostrar que votaram – é algo que falta nas máquinas de votação dos EUA. Também gosto do fato de vocês não votarem online, algo que a Estônia tem feito desde 2005, por exemplo. Há diversos problemas nisso, sendo alguns técnicos, mas imagino que o mais óbvio envolva pessoas forçando outras a votar – um marido abusivo pode obrigar a esposa a votar no candidato dele, tendo certeza de que ela realmente o fará e sem haver uma forma de prevenir que isso aconteça. O sistema de votação estoniano foi elogiado como um ótimo exemplo, mas ele foi estudo pela primeira vez só agora por um grupo internacional de pesquisadores, que descobriram diversos problemas técnicos.
Há um caso relativamente famoso no Rio de Janeiro de um jovem cracker que diz ter modificado os resultados das eleições municipais em 2012. Como ele pode ter feito isso, visto que o sistema é relativamente seguro?
Eu tentei descobrir, mas faltam alguns detalhes cruciais na história. Pode ser, no fim, besteira, mas ele afirmou que, para o hack funcionar, precisou ter acesso à rede central de votos. Esta é a rede aonde levam os cartões de memória das urnas eletrônicas, e se alguém ganha acesso à esse sistema, basicamente tudo está perdido. Não importa mais se todas as outras peças do quebra-cabeça estiverem posicionadas – o invasor poderá mudar o resultado da votação. Mas como o jovem teve acesso a essa central, visto que ela não deveria estar conectada a nenhuma rede externa? Isso eu já não sei.
Onde, então, estão os maiores riscos que podem ameaçar os rumos das eleições no Brasil?
Em um momento em que a internet está tão integrada a tudo o que fazemos, é claro que ela exercerá um papel importante nas eleições. Por isso, não são só os sistemas que usamos nas votações que podem ser afetados – há muitas outras formas de atingir os rumos de uma eleição. Já vimos em diversos eventos do tipo, em vários lugares pelo mundo, que os apoiadores de um determinado candidato tentarão usar a web para tal. Não é necessariamente “hackear as eleições”: o que vemos normalmente são táticas para manchar a reputação dos oponentes ao invadir os sites e as contas nas redes sociais deles ou espalhando afirmações falsas, por exemplo. É algo que claramente veio para ficar, e não é mais uma ameaça teórica. Para as eleições presidenciais que estão por vir aqui no Brasil, é garantido que alguém vai tentar invadir as contas de Facebook e Twitter de cada candidato.
E se os invasores conseguirem adivinhar ou vazar as senhas, eles definitivamente vão usar tudo para seus propósitos e interesses. As contas até podem ser recuperadas, mas até aí, muito estrago pode ser feito. Os candidatos precisam estar cientes dos riscos e tomar as medidas para saber exatamente quem, dentro de seus comitês, tem as credenciais para usar as páginas nas mídias sociais. Quando pessoas nessas equipes saírem e forem para outro lugar, as combinações precisarão ser modificadas, sendo sempre longas e fortes e nunca reutilizadas.
Como agem esses invasores de páginas e contas?
Temos diversos casos em eleições em que as páginas de candidatos foram descaracterizadas. Tipos diferentes de danos, sendo os mais graves aqueles provocados por mudanças súbitas ou sutis. Você apaga a página inicial ou coloca algo estranho ali, que provoque um efeito imediato. Mas há um caso que ocorreu nas eleições do Vietnã, dois anos atrás, no qual a página de um dos candidatos foi invadida e as mudanças foram muito pequenas.
A página errada ficou no ar por dias, até que finalmente perceberam que a mensagem passada estava ligeiramente errada. É o dano mais eficiente que alguém pode causar. Ou seja, nem é preciso estar nas redes sociais – qualquer mecanismo de comunicação pode funcionar. Fora isso, hoje as redes sociais ainda estão tão atreladas aos nossos celulares que algumas dessas brechas podem ser feitas por hacks nos telefones mesmo. Por exemplo, você pode enviar tweets por SMS, o que basicamente significa que, ao descobrir o número de telefone que a equipe de um candidato associou à conta do Twitter, um invasor pode muito bem tentar falsificar mensagens de texto e postar na rede de microblogs. Há muito que se pensar quando o assunto é proteger contas assim.
Há alguma forma específica de evitar que coisas assim aconteçam? Ou estamos falando de medidas típicas mesmo, como o que você já mencionou de usar senhas fortes, não repeti-las, entre outros pontos?
Não, não há nada em especial. A diferença aqui é que não estamos falando de uma ameaça teórica. Em um caso como as eleições, é certeza que tentativas de golpe aparecerão, especialmente nos dois meses que precedem o evento. Durante este período, sites e páginas certamente serão atacados. Veremos diferentes tentativas de obter acesso a um website ou a contas de redes sociais, e é por isso que é crucial proteger tudo, embora essa segurança não envolva nada de diferente. Como expliquei, além do já citado, é bom saber com quem as contas estão, já que todos que têm acesso a elas estão suscetíveis a phishing. É muito provável que membros da equipe de um candidato recebam e-mails falsos do Facebook, dizendo que há um problema com a conta e pedindo para que cliquem em um link. Ele levará a vítima a uma página que apenas parece real, mas que também pede pelos dados. São golpes que já não funcionam tão bem quando aplicados em massa, mas são eficazes quando têm alvos específicos como nestes casos. Para evitar ataques assim, alguns desses sites de mídias sociais fazem como bancos e têm suporte à autenticação em dois passos, que envia mensagens de texto para saber se é mesmo o dono quem está tentando acessar a conta. E isso é algo que todos deveriam habilitar, porque vai protegê-los e muito.
Mas os ataques nem precisam ser assim: se o Twitter, por exemplo, estiver com a autenticação em dois passos ativada, os invasores provavelmente não conseguirão hackear. Mas eles podem tentar logar como se fossem o usuário, clicar no botão de “Esqueci a senha” e fazer com que o site mostre parte do endereço ao qual mandará as instruções para recuperar a combinação. Os invasores, então, descobrem que o e-mail usado é um Gmail ou Hotmail e podem tentar adivinhar o resto do endereço e quebrar a palavra-chave dele. Não é preciso invadir a parte difícil, e por isso os atacantes vão pela mais fácil.
Como assim?
É algo que vimos várias vezes em outras situações, visto que, no geral, as pessoas não pensam muito na conta do webmail. Muitos têm múltiplas delas, e são coisas que o público não vê como tão importante. É usado apenas para conversar com amigos, registrar em sites, receber spam... Então, se alguém ganha acesso ao Hotmail ou ao Yahoo! Mail, não deve ser nenhum grande problema, certo? Infelizmente, isso não é verdade, porque o que o invasor quer é exatamente um webmail. As informações contidas ali podem ser transformadas em dinheiro facilmente: o que eles fazem é obter acesso ao e-mail (Gmail, por exemplo) e depois mexer no histórico, procurando por e-mails de boas-vindas de lojas online, como os da Amazon, por exemplo. Assim, eles vão saber que você tem uma conta ali. Eles então acessam essa loja, dão o golpe do “Esqueci minha senha” e voltam ao e-mail para reiniciá-la. O Gmail de certa forma se tornou uma central para ganhar acesso a todas as suas contas pela internet. Enfim, dessa forma, os atacantes podem começar a logar na loja online com os dados da vítima e, caso ela tenha deixado salvos os dados de pagamento, fazer compras e pedir para entregá-las nos endereços que eles quiserem.
Essa falta de preocupação com segurança não é algo relacionado apenas aos webmails aqui no Brasil. Há falhas de proteção espalhadas mesmo por sites grandes, que acabam por expor informações de clientes. Existe uma forma de fazer a população ter consciência dos riscos e dar mais prioridade à segurança nas redes?
Na verdade, isso é algo que deveria responsabilidade de todo mundo. Muitos países fazem esse tipo de conscientização em campanhas, como os Data Protection Days, que muitos dos europeus organizam há anos [esses eventos também são organizados nos EUA e no Canadá no mês de janeiro de cada ano, e são chamados por lá de Data Privacy Days]. Há também artigos nos maiores jornais, panfletos distribuídos pelas casas, ensinando a proteger contas e a fazer o backup do computador, por exemplo. E é claro, escolas ensinam estudantes desde cedo. Mas é algo para ser feito ao longo prazo – conscientizar de verdade é algo que exige um alto nível. E problemas como os citados não deveriam existir. Se os administradores não corrigem nem as falhas que sabem que existem, então eles estão apenas sendo preguiçosos e irresponsáveis com os dados de outras pessoas. Não é um pecado ter um erro no sistema. O pecado é ser avisado e não tomar providências.
