 |
| Mikko Hyppönen, diretor-executivo de pesquisas da F-Secure. |
O finlandês Mikko Hyppönen é, provavelmente, um dos nomes mais influentes na indústria de segurança atualmente.
Diretor-executivo de pesquisas da F-Secure, ele ocupa o cargo há 20
anos e já esteve envolvido em operações que ajudaram a combater a
expansão de malware como o Sobig.F (que teve seu auge em 2003), o Sasser
(worm famoso em 2004) e o mais recente Stuxnet (o vírus responsável por
atacar sistemas industriais descoberto em 2010). O executivo, que também já auxiliou equipes de polícia nos EUA, na
Europa e na Ásia, esteve no Brasil nesta última semana para palestrar na
SecureBrasil. O evento aconteceu em São Paulo nos últimos dias 26 e 27 de agosto, e a apresentação de Hyppönen focou nos riscos de fraudes nas eleições que acontecem em outubro aqui no Brasil.
Mas antes de dar a palestra, ele conversou sobre o tema com INFO. Na
entrevista, o especialista finlandês afirmou que o sistema eleitoral
utilizado por aqui não é perfeito, mas é “surpreendentemente bom”.
Além disso, ressaltou que o verdadeiro risco de ataque não atingirá
diretamente as eleições, mas sim os candidatos envolvidos na votação,
cujos sites e páginas oficiais estão suscetíveis a ataques e golpes.
Leia mais a seguir.
- O sistema que usamos nas eleições aqui no Brasil está suscetível a ataques ou fraudes?
Mikko Hyppönen - Eu analisei essa parte e, para falar a
verdade, ela é até bem desenhada. Nada é 100% seguro, mas observando os
sistemas eleitorais usados em outros países, o de vocês está longe de
ser ruim – pelo contrário, é surpreendentemente bom.
É bem planejado desde o princípio. Só acho que poderia ser melhor se
fosse de código aberto – não vejo motivos para ele não ser open source.
Se há algo que realmente deveria ser de código aberto, esse algo seria o
sistema que usamos para organizar uma eleição em sociedades
democráticas.
Mas enfim, no sistema de vocês, gosto do fato de que todos têm
comprovantes físicos para mostrar que votaram – é algo que falta nas
máquinas de votação dos EUA.
Também gosto do fato de vocês não votarem online, algo que a Estônia tem feito desde 2005, por exemplo.
Há diversos problemas nisso, sendo alguns técnicos, mas imagino que o
mais óbvio envolva pessoas forçando outras a votar – um marido abusivo
pode obrigar a esposa a votar no candidato dele, tendo certeza de que
ela realmente o fará e sem haver uma forma de prevenir que isso
aconteça.
O sistema de votação estoniano foi elogiado como um ótimo exemplo, mas
ele foi estudo pela primeira vez só agora por um grupo internacional de
pesquisadores, que descobriram diversos problemas técnicos.
- Há um caso relativamente famoso no Rio de Janeiro de um jovem
cracker que diz ter modificado os resultados das eleições municipais em
2012. Como ele pode ter feito isso, visto que o sistema é relativamente
seguro?
Mikko Hyppönen - Eu tentei descobrir, mas faltam alguns detalhes cruciais na história.
Pode ser, no fim, besteira, mas ele afirmou que, para o hack funcionar,
precisou ter acesso à rede central de votos. Esta é a rede aonde levam
os cartões de memória das urnas eletrônicas, e se alguém ganha acesso à
esse sistema, basicamente tudo está perdido.
Não importa mais se todas as outras peças do quebra-cabeça estiverem
posicionadas – o invasor poderá mudar o resultado da votação. Mas como o
jovem teve acesso a essa central, visto que ela não deveria estar
conectada a nenhuma rede externa? Isso eu já não sei.
- Onde, então, estão os maiores riscos que podem ameaçar os rumos das eleições no Brasil?
Mikko Hyppönen - Em um momento em que a internet está
tão integrada a tudo o que fazemos, é claro que ela exercerá um papel
importante nas eleições. Por isso, não são só os sistemas que usamos nas
votações que podem ser afetados – há muitas outras formas de atingir os
rumos de uma eleição.
Já vimos em diversos eventos do tipo, em vários lugares pelo mundo, que
os apoiadores de um determinado candidato tentarão usar a web para tal.
Não é necessariamente “hackear as eleições”: o que vemos normalmente
são táticas para manchar a reputação dos oponentes ao invadir os sites e
as contas nas redes sociais deles ou espalhando afirmações falsas, por
exemplo.
É algo que claramente veio para ficar, e não é mais uma ameaça teórica.
Para as eleições presidenciais que estão por vir aqui no Brasil, é
garantido que alguém vai tentar invadir as contas de Facebook e Twitter
de cada candidato.
E se os invasores conseguirem adivinhar ou vazar as senhas, eles
definitivamente vão usar tudo para seus propósitos e interesses. As
contas até podem ser recuperadas, mas até aí, muito estrago pode ser
feito.
Os candidatos precisam estar cientes dos riscos e tomar as medidas para
saber exatamente quem, dentro de seus comitês, tem as credenciais para
usar as páginas nas mídias sociais.
Quando pessoas nessas equipes saírem e forem para outro lugar, as
combinações precisarão ser modificadas, sendo sempre longas e fortes e
nunca reutilizadas.
- Como agem esses invasores de páginas e contas?
Mikko Hyppönen - Temos diversos casos em eleições em
que as páginas de candidatos foram descaracterizadas. Tipos diferentes
de danos, sendo os mais graves aqueles provocados por mudanças súbitas
ou sutis.
Você apaga a página inicial ou coloca algo estranho ali, que provoque um efeito imediato.
Mas há um caso que ocorreu nas eleições do Vietnã, dois anos atrás, no
qual a página de um dos candidatos foi invadida e as mudanças foram
muito pequenas.
A página errada ficou no ar por dias, até que finalmente perceberam que
a mensagem passada estava ligeiramente errada. É o dano mais eficiente
que alguém pode causar.
Ou seja, nem é preciso estar nas redes sociais – qualquer mecanismo de comunicação pode funcionar.
Fora isso, hoje as redes sociais ainda estão tão atreladas aos nossos
celulares que algumas dessas brechas podem ser feitas por hacks nos
telefones mesmo.
Por exemplo, você pode enviar tweets por SMS, o que basicamente
significa que, ao descobrir o número de telefone que a equipe de um
candidato associou à conta do Twitter, um invasor pode muito bem tentar
falsificar mensagens de texto e postar na rede de microblogs.
Há muito que se pensar quando o assunto é proteger contas assim.
Há alguma forma específica de evitar que coisas assim
aconteçam? Ou estamos falando de medidas típicas mesmo, como o que você
já mencionou de usar senhas fortes, não repeti-las, entre outros pontos?
Mikko Hyppönen - Não, não há nada em especial. A diferença aqui é que não estamos falando de uma ameaça teórica.
Em um caso como as eleições, é certeza que tentativas de golpe
aparecerão, especialmente nos dois meses que precedem o evento. Durante
este período, sites e páginas certamente serão atacados.
Veremos diferentes tentativas de obter acesso a um website ou a contas
de redes sociais, e é por isso que é crucial proteger tudo, embora essa
segurança não envolva nada de diferente.
Como expliquei, além do já citado, é bom saber com quem as contas
estão, já que todos que têm acesso a elas estão suscetíveis a phishing.
É muito provável que membros da equipe de um candidato recebam e-mails
falsos do Facebook, dizendo que há um problema com a conta e pedindo
para que cliquem em um link.
Ele levará a vítima a uma página que apenas parece real, mas que também
pede pelos dados. São golpes que já não funcionam tão bem quando
aplicados em massa, mas são eficazes quando têm alvos específicos como
nestes casos.
Para evitar ataques assim, alguns desses sites de mídias sociais fazem
como bancos e têm suporte à autenticação em dois passos, que envia
mensagens de texto para saber se é mesmo o dono quem está tentando
acessar a conta.
E isso é algo que todos deveriam habilitar, porque vai protegê-los e muito.
Mas os ataques nem precisam ser assim: se o Twitter, por exemplo,
estiver com a autenticação em dois passos ativada, os invasores
provavelmente não conseguirão hackear.
Mas eles podem tentar logar como se fossem o usuário, clicar no botão
de “Esqueci a senha” e fazer com que o site mostre parte do endereço ao
qual mandará as instruções para recuperar a combinação.
Os invasores, então, descobrem que o e-mail usado é um Gmail ou Hotmail
e podem tentar adivinhar o resto do endereço e quebrar a palavra-chave
dele. Não é preciso invadir a parte difícil, e por isso os atacantes vão
pela mais fácil.
Como assim?
Mikko Hyppönen - É algo que vimos várias vezes em
outras situações, visto que, no geral, as pessoas não pensam muito na
conta do webmail. Muitos têm múltiplas delas, e são coisas que o público
não vê como tão importante.
É usado apenas para conversar com amigos, registrar em sites, receber spam...
Então, se alguém ganha acesso ao Hotmail ou ao Yahoo! Mail, não deve
ser nenhum grande problema, certo? Infelizmente, isso não é verdade,
porque o que o invasor quer é exatamente um webmail.
As informações contidas ali podem ser transformadas em dinheiro
facilmente: o que eles fazem é obter acesso ao e-mail (Gmail, por
exemplo) e depois mexer no histórico, procurando por e-mails de
boas-vindas de lojas online, como os da Amazon, por exemplo.
Assim, eles vão saber que você tem uma conta ali.
Eles então acessam essa loja, dão o golpe do “Esqueci minha senha” e
voltam ao e-mail para reiniciá-la. O Gmail de certa forma se tornou uma
central para ganhar acesso a todas as suas contas pela internet.
Enfim, dessa forma, os atacantes podem começar a logar na loja online
com os dados da vítima e, caso ela tenha deixado salvos os dados de
pagamento, fazer compras e pedir para entregá-las nos endereços que eles
quiserem.
Essa falta de preocupação com segurança não é algo relacionado
apenas aos webmails aqui no Brasil. Há falhas de proteção espalhadas
mesmo por sites grandes, que acabam por expor informações de clientes.
Existe uma forma de fazer a população ter consciência dos riscos e dar
mais prioridade à segurança nas redes?
Mikko Hyppönen - Na verdade, isso é algo que deveria responsabilidade de todo mundo.
Muitos países fazem esse tipo de conscientização em campanhas, como os
Data Protection Days, que muitos dos europeus organizam há anos [esses
eventos também são organizados nos EUA e no Canadá no mês de janeiro de
cada ano, e são chamados por lá de Data Privacy Days].
Há também artigos nos maiores jornais, panfletos distribuídos pelas
casas, ensinando a proteger contas e a fazer o backup do computador, por
exemplo. E é claro, escolas ensinam estudantes desde cedo.
Mas é algo para ser feito ao longo prazo – conscientizar de verdade é
algo que exige um alto nível. E problemas como os citados não deveriam
existir.
Se os administradores não corrigem nem as falhas que sabem que existem,
então eles estão apenas sendo preguiçosos e irresponsáveis com os dados
de outras pessoas.
Não é um pecado ter um erro no sistema. O pecado é ser avisado e não tomar providências.
Via: EXAME.com
