Vazamentos de dados recentes deixaram claro que as ferramentas de hacking usadas por governos correm sérios riscos de exposição. O valor real da informação desses leaks varia e algumas podem não ser lá grande coisa, mas ainda há um ponto a ser destacado aqui: hackers podem obter poderosas ferramentas de ciber-espionagem com facilidade.
O que mais causa preocupação é que, na maioria dos casos, o governo não parece se preocupar em lidar com as consequências. Costumam deixar as brechas em aberto para serem reutilizados por quem quer que seja. Vivemos, então, um cenário peculiar: é como se alguém tivesse postado na internet uma chave-geral para abrir todo o tipo de trava e nenhuma autoridade gosta de falar no assunto.
Videos by VICE
“O que aprendemos com os vazamentos e divulgações dos últimos meses é que vulnerabilidades seguem desconhecidas mesmo após terem se perdido”, afirmou Claudio Guarnieri, tecnólogo da Anistia Internacional ao Motherboard, em chat. “Isso é completamente irresponsável e inaceitável.”
O fenômeno não é tão novo quanto parece. Há exemplos de ferramentas hackers projetadas para governos caindo nas mãos do público desde 2015. No começo daquele ano, um vigilante que se apresentava como Phineas Fisher atacou a empresa de segurança cibernética conhecida como Hacking Team. Phineas divulgou o código completo de malwares e instaladores para quem tivesse interesse.
A história continuou este ano. Em abril de 2017, pesquisadores revelaram que hackers criminosos haviam baixado tal malware e o alteraram para seus próprios fins. Resultado: os mesmos caras atacaram militares, jornalistas e think tanks europeus com a tecnologia.
Recentemente, outro hacker invadiu um servidor da Cellebrite, uma popular empresa que ganha milhões de dólares ao vender tecnologia de espionagem em celulares para agências ao redor do mundo. Em fevereiro, o invasor divulgou uma série de arquivos relacionados a aparelhos Android, BlackBerry e iOS. Por mais que alguns dos softwares fossem aparentemente cópias de jailbreaks de conhecimento público, os arquivos ainda estavam em um servidor da Cellbrite. Em poucas palavras: qualquer hacker poderia usar uma quantidade enorme de dados alheios. “É importante mostrar que, ao criar tais ferramentas, elas vazarão. A história deixa isso claro”, disse o hacker ao Motherboard na época.
Agora, agências de inteligência norte-americanas se veem com a ameaça constante de ter seu software exposto. O Wikileaks forneceu detalhes de supostos programas roubados de uso da CIA depois de divulgar informações de algumas das ferramentas em março.
Mais recentemente, um grupo conhecido como The Shadow Brokers divulgou vários exploits do Windows que aparentemente pertencem à NSA, a agência de segurança norte-americana, incluindo um projetado para sistemas Windows 8. O grupo também divulgou programas voltados para Unix e também para a invasão de firewalls de hardware.
Quando estão em posse dessas ferramentas, os hackers não as usam para ataques com alvos genéricos. Como empresas, organizações e indivíduos adotam esses produtos e tecnologias, é possível planejar ataques de grandes proporções. Em setembro do ano passado, hackers já usaram uma das ferramentas dos Shadow Brokers para atingir clientes da Cisco.
Claro que isso não quer dizer que determinado exploit governamental se tornará público. Vigilantes podem atacar algumas organizações, estados-nação podem atacar outras e, ao mesmo tempo, alguém malicioso pode roubar informações aqui e acolá. Todos em poder de tais ferramentas contam com ameaças diferentes contra si.
“[Os Shadow Brokers] são diferentes em minha opinião. Provavelmente trata-se de uma grande operação de inteligência contra a NSA, ao contrário dos outros”, disse Thomas Rid, professor do King’s College, em email ao Motherboard.
Diante de todas estas provas, seria ingênuo pensar que um governo ou fornecedor pode garantir a segurança de softwares como esses. Quando uma agência quer aumentar suas capacidades tecnológicas – ao desenvolver um backdoor em produtos de consumo, tais como o recente cabo de guerra entre FBI e Apple – vale levar em consideração o risco de exposição.
Já quando terceiros roubam essas ferramentas, talvez as agências devam se responsabilizar pelas exposições e lidar com o problema diretamente antes de seus ataques serem replicados por criminosos ou outros grupos.
Em um evento ocorrido em março, o senador democrata Ron Wyden, de Oregon, nos EUA, disse que agências precisam estar “prontas para limpar a bagunça quando de fato hackearem gente inocente ou quando seus aparatos caem nas mãos erradas”.
Andrew Crocker, advogado da Electronic Frontier Foundation, quando questionado sobre o tema, afirmou em email que “há riscos significativos de vazamentos por parte do governo e qualquer política sobre vulnerabilidade nesse sentido precisa levar os riscos em conta”.
Em resumo? Hackers serão hackeados e, por ora, ninguém está seguro.
