Segundo estudo, grupos de criminosos digitais não se organizam como os tradicionais mafiosos da história e da ficção.

Quando se fala nos elaborados crimes cibernéticos que vez ou outra tomam os noticiários, é comum pensar em grandes esquemas, organizações complexas e teorias conspiratórias. Mas um estudo divulgado recentemente pela Michigan State University mostra que, no mundo digital, diferentemente de outros ramos criminosos, você não vai encontrar um Pablo Escobar ou um Vito Corleone ditando as regras ao longo de anos, para dezenas ou centenas de colaboradores ou membros da famiglia. 

Nas investidas de hackers contra instituições financeiras e grandes organizações, o mais comum é que eles se agrupem para determinada ação, escolhidos de acordo com suas habilidades específicas, e depois de concluída a missão, se dispersem. 

“Descobrimos que esses cibercriminosos trabalham em organizações, que diferem dependendo da ofensa. Eles podem ter relações um com o outro, mas não são grupos sofisticados de vários anos, de várias gerações, que você associa a outras redes de crime organizado”, comenta Thomas Holt, professor de justiça criminal da MSU e co-autor do trabalho, que analisou 18 casos ocorridos na Holanda. O autor principal,  E. R. Leukfeldt, é pesquisador do Instituto Holandês para o Estudo do Crime e da Polícia.

“Certamente, existem diferentes estados e grupos nacionais envolvidos no crime cibernético, mas os que causam mais danos são grupos soltos de indivíduos que se reúnem para fazer uma coisa, fazem muito bem e, depois de um tempo, desaparecem”, completa o professor Holt. 

Por se organizarem de forma tão distinta daquelas que as forças investigativas estavam acostumadas a lidar, o desafio de evitar e combater crimes dessa natureza é grande. O fato de utilizarem a dark web e criptomoedas também agrega dificuldade em encontrar os rastros de suas ações. 

A expectativa dos pesquisadores envolvidos no trabalho é que ele auxilie na reflexão sobre o tema: “Esperamos ver melhores relações entre a aplicação da lei e a academia e melhor compartilhamento de informações para que possamos entender melhor o comportamento dos envolvidos”, diz Holt.  

—

(Crédito da imagem: Pete Linforth/Pixabay)

Avanços da Computação Quântica impressionam, mas também preocupam especialistas em segurança.

Sinais concretos de uma Computação Quântica funcional já começam a aparecer. Após a notícia de que a Google pode ter alcançado esse feito com seu processador Sycamore, essa realidade parece cada vez mais próxima. Nesse contexto, é natural que cientistas e empresas busquem se aprimorar e sair na frente dessa corrida tecnológica.

Quanto mais estudos sobre o tema, mais se especula sobre as possibilidades que a Computação Quântica pode trazer, aumentando as expectativas mas também as preocupações, sendo a segurança uma das mais urgentes.

A criptografia é a base da segurança na internet e é essencial para comércio, privacidade e até mesmo segurança nacional. A criptografia moderna consiste na codificação de informações para que o acesso a elas seja limitado, normalmente por quem possui a “chave” para esse código, como é o caso das senhas em sistemas online. Esses dados estão relativamente seguros nos dias de hoje, ainda que a ação de crackers possa ser uma ameaça.

A Computação Quântica se  baseia em máquinas capazes de fazer cálculos muito mais rápidos que as atuais, aumentando a eficiência e até otimizando o consumo de energia, e isso abre portas para os mais diversos avanços, desde simulações, modelamentos e análises complexas. Mas esse poder de processamento também pode servir a pessoas mal-intencionadas. Especialistas temem que o processo de desencriptação seria muito mais fácil e rápido em computadores quânticos e, assim, boa parte da nossa base de dados estaria desprotegida.

A Dra. Jill Pipher, Presidente da Sociedade Americana de Matemática, pesquisadora das ameaças à segurança que vêm com essa nova vertente tecnológica, alerta: “devemos começar agora a preparar todos os nossos sistemas de segurança da informação para resistir à computação quântica. Primeiro, perceber o poder da computação quântica e [segundo] proteger contra os perigos que ela pode trazer.”

Pipher acredita que um método de criptografia que tem potencial de resistir à computação quântica é o que desenvolveu em 1996 com Jeffrey Hoffstein e Joseph Silverman, chamado NTRUEncrypt. Ele é mais eficiente que outros tipos tradicionalmente usados, como o RSA (Rivest-Shamir-Adelman) ou ECC (criptografia de curva elíptica). “Descobrimos que o sistema de criptografia que construímos não pode ser quebrado por um computador quântico”. Mas mesmo com essa aposta, ela conclama para que mais pesquisadores se empenhem em buscar soluções: “Precisamos de muito mais pesquisas nessa área”. 

Opções de segurança biométrica ainda convivem com as tradicionais sequências de caracteres ou padrões. Mas até quando?

Há 30 anos, uma senha era necessária para as pioneiras operações bancárias eletrônicas, para destravar um cadeado ou, no caso dos mais afortunados, para guardar de modo seguro valores em um cofre. Há 20, alguns já tinham a conta de e-mail e o acesso ao microcomputador, em casa ou no trabalho, protegidos. Dez anos atrás, um usuário comum facilmente acumulava uma dúzia de sites e softwares que exigiam senhas e, com a disseminação dos smartphones, vivemos em um mundo blindado por códigos alfanuméricos. 

Mas a onipresença das senhas parece ameaçada pela popularização da biometria. Reconhecimento facial, de impressões digitais e de íris já não são mais itens de filme e estão disponíveis em aparelhos celulares com preços acessíveis. A promessa de segurança que eles oferecem é alta, visto que se baseiam em características particulares de cada indivíduo. Mas não há só vantagens nisso. 

Os prós e os contras 

Senhas são simples e convenientes. Quando baseadas em informações pessoais (datas de nascimento, números de telefone, nomes de animais de estimação), facilitam a memorização mas podem ser descobertas por pessoas que conheçam o usuário ou tenham acessado seus dados. 

Se formadas apenas por números (os chamados PINs – personal identification numbers), são ainda mais vulneráveis a um sistema hacker, que pode quebrar um PIN de seis dígitos em questão de horas, com não mais do que 1 milhão de tentativas (enquanto seriam necessárias testar quase 700 milhões de combinações para hackear uma sequência formada com letras, símbolos e números). 

É altamente recomendável o uso de uma senha exclusiva para cada serviço, o que raramente acontece na prática, dado que, não raro, dispomos de dezenas de cadastros. O mais comum é utilizar de uma a três variações, o que reduz muito a segurança. Contudo, se há alguma suspeita de violação, basta trocar o código. 

E é justamente no fato de os dados biométricos serem exclusivos de cada pessoa que residem suas principais vantagens e também alguns de seus pontos problemáticos. É extremamente difícil falsificar, imitar ou roubar impressões digitais, rostos, vozes ou íris. Também não é possível perder, emprestar ou esquecer essas assinaturas biológicas, ou seja, dificilmente alguém mais terá acesso a elas, além do próprio dono. 

Entretanto, a ideia de um registro fiel e inalterável pode ensejar problemas. Cortes, queimaduras ou o efeito do manuseio de produtos químicos podem prejudicar ou até mesmo inviabilizar a leitura das impressões digitais. Embora tenha avançado, a assertividade do reconhecimento facial ainda é afetada por expressões, acessórios, iluminação, maquiagem ou mesmo pelo avanço da idade, ganho ou perda de peso, etc. A identificação por voz, por sua vez, também sofre efeitos fisiológicos, além de ruídos e fatores ambientais. E o reconhecimento de íris, além de ser o mais caro e complexo de implementar, pode ser enganado com o uso de lentes de contato sofisticadas. 

A leitura desse panorama nos leva a crer, então, que o ideal, ao menos por ora, é combinar os tradicionais passwords, PINs e padrões, com as opções de segurança biométrica acessíveis. Então, conserve seus dedos, cuide da garganta, vá ao oftalmologista, controle o peso e troque as senhas de tempos em tempos.

Preocupações com a segurança em dispositivos móveis deixam pessoas e empresas em alerta.

A comodidade proporcionada pelos computadores e dispositivos móveis, com seus aplicativos, redes sociais e algoritmos, não veio sem riscos. Um dos principais é a incerteza em relação a segurança de dados pessoais e corporativos. Em diferentes frentes de batalha as empresas, os programadores, as forças de segurança e os criminosos – dos lone wolves às quadrilhas internacionais financiadas por governos ou máfias –  exercitam sua criatividade e habilidade. Uns buscando aumentar a segurança digital, sem prejudicar a experiência do usuário e o desempenho das máquinas, outros criando ou investigando brechas para atacar os sistemas ou seus proprietários.

Uma das abordagens fraudulentas mais comuns e eficazes, por incrível que pareça, não é das mais elaboradas. Um relatório de 2018 da FireEye, companhia especializada em segurança, apontou que 91% dos crimes cibernéticos começam com o e-mail. A estratégia é demonstrar confiabilidade e, assim, conseguir que o usuário clique em um link ou forneça informações confidenciais, acreditando na boa fé ou na procedência daquela solicitação. A prática de phishing, mais especificamente, aumentou em 65% ao longo de 2017, obtendo mais sucesso em dispositivos móveis que em desktops ou outros equipamentos.

O hábito de utilizar de senhas fracas e de repetí-las em vários sites e apps é outra vulnerabilidade sobre a qual os cibercriminosos fazem a festa. O cenário fica tanto mais delicado quando observa-se que os usuários comumente repetem senhas em contas pessoais e do trabalho, e que muitas vezes compartilham essas informações com colegas ou familiares.

Segundo a Verizon,operadora de telefonia norte-americana, em 2017 senhas simples ou que tivessem sido roubadas foram responsáveis por mais de 80% das violações por hackers em empresas. E as pessoas muitas vezes não tem consciência da fragilidade dos códigos que escolhem: quase 70% dos participantes de uma pesquisa Google e Harris Poll avaliou positivamente a proteção de suas contas online, apesar de outras respostas da pesquisa demonstrarem o contrário.

Mas a conta dos riscos não deve ir toda para os usuários. A rede à qual os dispositivos móveis estão conectados determina e muito a segurança de sua utilização. Pode-se dizer que o aparelho está seguro em proporção semelhante à segurança da rede que utiliza. Muitas vezes as pessoas se conectam a redes públicas, pouco seguras, e deixam seus dispositivos vulneráveis, mas muitas organizações que deveriam utilizar VPNs (redes privadas virtuais) ou outros meios de proteção, não o fazem a contento.

A lentidão ou inexistência de atualizações em dispositivos também joga em favor da insegurança. Grandes marcas de tecnologia ou aplicativos mantém verdadeiros exércitos que disponibilizam atualizações frequentes para seus softwares, mas outras aplicações que aparentam menor importância (e cada vez mais presentes, com a evolução da Internet das Coisas) abrem brechas quando ficam desatualizadas.

O tema da segurança de dados é central, não apenas pela ótica das organizações que os coletam, mas também pela percepção das próprias pessoas em relação a sua privacidade e identidade. O Facebook, que perdeu US$ 100 bilhões em valor de mercado após o escândalo da Cambridge Analytics, bem o sabe. Assim como os milhões de pessoas com dados espionados pelo governo americano, no escândalo revelado pelo ex-analista da CIA, Edward Snowden, em 2013.

A presença crescente de dispositivos conectados ao nosso redor deve intensificar preocupações relacionadas à privacidade e à segurança. Esses equipamentos coletarão, a cada segundo, dados sobre nosso cotidiano, hábitos e consumo, elevando a outro patamar a já interconectada realidade atual.

E não para aí. De celulares e computadores iremos para geladeiras, carros e outros bens capazes de armazenar dados pessoais e sigilosos, próximos alvos dos cibercriminosos.

Análise de dados é uma ferramenta estratégica no desenvolvimento de ações de segurança pública.

Cientistas da Universidade da Flórida desenvolveram uma abordagem data-driven para identificar os padrões de ação policial, em mais uma iniciativa voltada para a aplicação de ferramentas de análise de dados na segurança pública. O tema é polêmico, por envolver situações em que o direito à privacidade muitas vezes se choca com o interesse público. Ou em que as mesmas ferramentas utilizadas para combater o crime podem ser utilizadas para coagir os cidadãos.

O objetivo do estudo conduzido nos Estados Unidos era identificar de forma mensurável se o posicionamento das forças de segurança se encaixariam em um dos dois conceitos mais conhecidos de ação: modo guardião e modo guerreiro.

O modo guerreiro é o mais comumente associado à atividade policial, com estrutura militarizada e focada em procurar, perseguir e prender. Por sua vez, o guardião privilegia ações de prevenção, aliando-se às comunidades, fazendo uso de serviço social e estabelecendo relações positivas.

Os pesquisadores utilizaram o banco de dados e resultados de pesquisas com as forças policiais das cidades Fayetteville (Carolina do Norte) e Tucson (Arizona). Os resultados mostraram de forma empírica a existência dos dois modos de ação. Os oficiais que obtiveram mais pontos em direção ao perfil guardião tendiam a valorizar mais a comunicação, enquanto os predominantemente guerreiros privilegiavam controle físico e maior tendência ao uso de força.

Uma outra abordagem data-driven na segurança, também nos Estados Unidos, é a ferramenta de prevenção de crimes Risk Terrain Modeling (RTM), baseada na análise de lugares, usada com razoável sucesso pela polícia em diversas cidades. O sistema cruza os dados geográficos das ocorrências policiais com diversas outras fontes, identificando áreas de risco e sugerindo ações preventivas. Na cidade Atlantic City, a queda na criminalidade foi de 20%, em apenas cinco meses de 2017, e os resultados persistem.

O algoritmo para o processamento dos dados é gratuito e está acessível a qualquer país. Os dados necessários ao processamento são, muitas vezes, públicos ou acessíveis de forma gratuita. Por meio deles, uma rede de vizinhos em Fort Worth, no Texas, modelou um mapa de risco para localizar áreas com ocorrências de abuso infantil. Ao contrário de aproximações baseadas em áreas perigosas (hot spots), bastante em uso no Brasil e baseada no mapeamento de ocorrências já registradas, a técnica usa ferramentas de machine learning para prever e identificar os locais de futuras ocorrências.

Preocupar-se individualmente com a proteção de seus próprios dados é importante, mas não é suficiente. 

Estamos conectados todo o tempo e, como consequência, entregamos dados sobre gostos, padrões de consumo, locais que frequentamos e inúmeros outros às organizações que nos oferecem algum produto ou serviço. Quando cientes disso, sabemos também das providências a serem tomadas em matéria de segurança: evitar exposição desnecessária e o compartilhamento de informações confidenciais, trocar periodicamente as senhas e usar um bom antivírus, entre outros.

Mas nada disso é capaz de evitar os cada vez mais frequentes casos de vazamento de dados ao redor do mundo. Para citar apenas um exemplo dos mais notórios, a consultoria britânica Cambridge Analytica teve acesso a informações de dezenas de milhões de usuários do Facebook e teria utilizado esse imenso arsenal para influenciar as eleições norte-americanas de 2016.

Aí vem a pergunta: se nem a estrutura de segurança de uma corporação bilionária como a de Mark Zuckerberg – uma das que mais capta dados dos usuários, como mostra este infográfico –, conseguiu evitar esse vazamento, faz tanta diferença assim comprar uma licença cara de antivírus, em comparação com uma versão free, ou seguir numa paranoia de proteção individual?

A reflexão aqui aponta para uma das principais formas de prover segurança e resguardar a privacidade e a confidencialidade dos dados dos usuários de produtos ou serviços: o estabelecimento de práticas de governança de dados por parte organizações. Já que os dados tornaram-se um dos ativos mais valiosos atualmente, geri-los de forma não só eficiente mas também ética e responsável é uma necessidade premente.

Governança de dados é o exercício de autoridade, controle e tomada compartilhada de decisões sobre o gerenciamento de ativos de dados, seja no planejamento, no monitoramento ou na execução de atividades. Sua importância reside no fato de ser o componente que integra as variadas dimensões do gerenciamento de dados, tais como a gestão da qualidade, da arquitetura e da segurança, entre outras.

Nas grandes corporações, é crescente a formação de conselhos voltados especificamente para a avaliação dos sistemas de segurança, com representantes de vários departamentos e diferentes visões.

As estratégias e políticas governamentais e corporativas nem sempre convivem bem entre si. São muitas empresas, com muitas visões e valores, e diferentes políticas públicas. A implantação dos sistemas de segurança de dados viabiliza-se por temor de perdas em valor de mercado, ou por medo de espionagem corporativa, ou pela simples sobrevivência, prevenindo o sequestro de seu patrimônio.

Dados são ativos valiosos, precificá-los é um desafio, e seu roubo é crime. Os usuários, que um a um oferecem às organizações dados que valem tanto, são o elo mais frágil da cadeia. Justamente por isso, precisam de uma proteção que, sozinhos, não conseguem prover a si mesmos.