Através da internet temos acesso a uma infinidade de informação, diversão e entretenimento, mais do que em qualquer época da humanidade. Mas, apesar das maravilhas do mundo virtual e de sua acessibilidade, durante a navegação na web todo usuário está sujeito a diversos tipos de ameaças, que vão de furto de dados bancários a transformar o computador em um terminal zumbi para derrubar um site ou serviço por sobrecarga ou hacking.
O engenheiro militar Eurico Nicacio é um dos principais especialistas do Brasil em segurança cibernética e revela que não são apenas as grandes instituições, políticos e celebridades que estão sujeitos a sofrerem ataques hacker: “cada vez mais os ataques se tornam mais sofisticados. Os alvos podem ser qualquer um dos internautas, que acessem um site com conteúdo malicioso (malware, spyware, vírus) ou que estejam em uma região de interesse de determinado grupo hacker”, revela.
Principais mecanismos de invasão (cyber hacking)
O engenheiro Eurico Nicácio enumera alguns dos principais modos de cyber hacking existentes: “Na atualidade, os mecanismos de invasão podem ser divididos em três principais grupos ou espécies. Mecanismos baseados em vulnerabilidades existentes, mecanismos baseados em vulnerabilidades criadas e mecanismos baseados em contato físico.”
Como se dá a invasão
Baseados em vulnerabilidade: São os mais comuns e explorados por hackers em todos os estágios de expertise, baseando-se em vulnerabilidades, brechas e falhas em programas de uso rotineiro do usuário – desde seu sistema operacional até editores de texto, gerenciadores de planilhas e navegadores.
Baseados em vulnerabilidades criadas: há a interação entre hacker e vítima em algum nível, o possível uso fortuito de técnicas de engenharia social e/ou de convencimento para que o usuário aja como o atacante deseja – seja pelo acesso a um link, seja pela instalação de um programa suspeito, seja pelo provimento de acesso remoto a sua máquina pessoal. Nesta categoria, podem ser encaixados desde golpes/scams utilizados como phishing (maneira desonesta utilizada para obter informações pessoais de uma vítima, como dados de cartões, CPF e números de contas bancárias) por e-mail e mensagens de texto em celular, até os mais recentes envios de link para “sequestro” de aplicativos mensagens (como o Whatsapp, para extorsão de contatos) ou de sistemas de arquivos (via ransomware, para extorsão do proprietário de dados submetidos a criptografia).
Baseados em contato físico: quando o atacante em acesso físico a máquina da vítima ou à rede à qual ela está conectada. A instalação de um rubber ducky (dispositivo USB dotado de um circuito microcontrolado plug & play capaz de executar um código malicioso em uma máquina pela simples conexão via porta) ou de um keylogger físico (dispositivo físico capaz de gravar dados digitados por meio do teclado), a realização de um ataque do tipo MITM (“Man In The Middle”, do inglês, “Homem no meio, é uma forma de ataque em que os dados trocados entre duas partes via rede (por exemplo, a vítima e o seu banco), são de alguma forma interceptados, registrados e possivelmente alterados pelo atacante sem que as vítimas notem) ou mesmo a intrusão por bluetooth são exemplos de mecanismos de invasão nesta categoria.
Perfil do hacker
Nem todos os hackers tem a intenção de prejudicar pessoas. O especialista aponta que há hoje um grande nicho de hackers éticos e caçadores de falhas (ou “bug hunters”, em inglês), que trabalham em sistemas de recompensa financeira por vulnerabilidade encontrada – há, inclusive, um extenso registro de CVEs. A CVE, ou Common Vulnerabilities and Exposures, é uma iniciativa colaborativa de diversas organizações de tecnologia e segurança que criam listas de nomes padronizados para vulnerabilidades e outras exposições de segurança, com o objetivo de padronizar as vulnerabilidades e riscos conhecidos, facilitando a procura, o acesso e o compartilhamento de dados entre diversos indivíduos e empresas.
Em contrapartida, há hackers maliciosos que buscam diuturnamente. Há hackers que buscam diuturnamente novas brechas (denominadas 0-day [zero-day] vulnerabilities, ou vulnerabilidades de dia 0), para as quais ainda não há artefatos de resposta ou de proteção prontos. Uma vez encontrados por um hacker, sua divulgação em grupos de atacantes e sua exploração franca e abrangente seria executada por cibercriminosos até que fabricantes do próprio software disponibilizem patches ou espécies de programas complementares que corrijam os erros que geram as vulnerabilidades, ou até que os fabricantes de antivírus o façam.
Em todas as abordagens digitais, há uma fugaz tentativa de ludibriar o usuário por meio de técnicas escusas, como um link falso similar ao verdadeiro e uma interface similar a um portal de Internet Banking, ou uma falsa propaganda recebida por SMS que fornece acesso irrestrito ao aplicativo de mensagens, ou um e-mail malicioso de um alegado sistema de restituição de impostos que solicite a instalação de um arquivo em anexo.
Evolução do cyber hacking
Nicácio ressalta que o cyber hacking é uma prática que evolui a cada dia e que o surgimento de novas tecnologias sempre pode estar acompanhado do surgimento de novas formas de cyber hacking: “Por exemplo, cite-se o atual conceito de casas inteligentes, com assistentes virtuais e fechaduras digitais e vislumbre-se de quantas formas possíveis poderia haver invasões ao sistema complexo e integrado a partir de uma fragilidade como uma porta de comunicação desprotegida em um destes dispositivos”, pondera.
Como se proteger de um ataque hacker
De acordo com o especialista, infelizmente o cyber hacking tende a evoluir ao mesmo tempo da tecnologia à disposição do usuário. Todavia, existem algumas boas práticas que podem diminuir os riscos de estar mais suscetível a mecanismos de invasão:
a) mantenha seus sistemas e antivírus atualizados, com listagens válidas e atuais de vulnerabilidades para as quais ele dê cobertura. Geralmente, em se tratando de antivírus, soluções gratuitas têm eficácia menor do que soluções pagas;
b) utilize senhas grandes e complexas – grande número de caracteres (16 ou mais, por exemplo), em geral, já é suficiente para tornar um ataque de força bruta inviável. Aliar um grande número de caracteres à variedade (maiúsculas, minúsculas, números e caracteres especiais) seria ainda mais positivo. Evite senhas curtas, mesmo que com variedade de caracteres, pela facilidade de serem quebradas. Ainda no quesito “senhas”: NUNCA armazene suas senhas em algum arquivo de texto em seu computador, tampouco use a mesma senha para todos os sistemas/sites/e-mails. Ativar autenticação de dois fatores sempre que possível.
c) não conecte seus dispositivos a redes desconhecidas ou de baixa confiabilidade. Redes públicas tendem a ser um dos meios mais comuns para atacantes que buscam usuários inexperientes e com baixo nível de cuidado com este aspecto – isto indica facilidade e ausência de barreiras/obstáculos para invasão. Suprima a visibilidade de seus equipamentos sem fio e bluetooth sempre que possível, ou mesmo evite utilizar estas formas de conectividade em locais de baixa segurança.
d) desconfie de mensagens SMS ou e-mails recebidos com links/arquivos suspeitos. Deixe ativo seu filtro de spam para correio eletrônico, aliado a um bloqueador de SMS de números desconhecidos (sempre que possível).
e) acompanhe portais de notícias, perfis profissionais e documentos formais que discorram sobre novas vulnerabilidades e técnicas de invasão que possibilitem sua proteção em tempo hábil – recomendo, neste aspecto, meu perfil no Twitter, onde sempre divulgo vulnerabilidades que se enquadram nestes âmbito.
f) por fim, desconfie sempre. Analise sua máquina, seu roteador, seus dispositivos e os processos sendo executados em seu sistema sempre que suspeitar que algo possa estar acontecendo fora dos conformes. O instinto do usuário experiente raramente falha.