O dia em que as "coisas" atacaram sob o comando dos piratas informáticos
Sexta-feira, 21 de outubro, fica para a história como o dia em que ocorreu o maior ataque informático com recurso a um exército de "coisas" ligadas à Internet. Dito desta forma pode até parecer o início de uma história infantil, ou de um filme sobre a ascensão das máquinas. Mas o assunto é sério. O descuido de todos, desde fabricantes a utilizadores, em relação à Internet das Coisas (Internet of Things), tem deixado a porta aberta aos piratas cibernéticos.
Isto sucede porque, quando olhamos para um simples frigorífico, uma máquina de café, uma câmara de vídeo que se liga à rede, ou qualquer outro aparelho com o carimbo "inteligente", ignoramos as regras mais básicas de segurança.
Desembalamos, instalamos, seguimos os passos das instruções, e está pronto a funcionar. A percentagem de pessoas que altera a password de fábrica nestes aparelhos é mínima. E isto quando o aparelho permite fazer esta alteração, de forma simples.
Em especial destaque nesta fileira de "soldados", estiveram as câmaras de vídeo vigilância produzidas por uma empresa chinesa que já admitiu uma falha na atualização do software.
Mesmo em relação aos routers que permitem ter acesso ao Wi-Fi, são poucos os utilizadores que sabem da possibilidade de alterar estes dados. E não é apenas no mercado residencial que existem estas falhas. Há dezenas de empresas que, sem saberem, têm os seus acessos sem a segurança necessária. A forma mais simples, é solicitar apoio junto da operadora do serviço de Internet para lhe indicar os passos necessários e fazer uma análise ao seu sistema. E lembre-se, não é apenas a password que protege a sua rede.
A segurança tem de ser levada mais a sério. A tendência é ficar assustado, mas a verdade é que basta seguir algumas regras básicas, que já são aplicadas com os computadores ou smartphones (menos), por exemplo, e tudo ficará mais difícil para os piratas informáticos. Recorde aqui alguns conselhos de segurança neste artigo publicado no início do mês de outubro.
Depois, temos de encarar este tema como fazemos com as regras de trânsito: se não forem tomadas determinadas precauções, estamos sujeitos a acidentes.
Sobre o ataque
O que sucedeu neste ataque, e que se diferencia de alguns outros, está relacionado com as máquinas que os piratas usaram para reunir o "exército". Câmaras de vídeo, gravadores de vídeo, televisores e outros eletrodomésticos inteligentes. E isto sucede numa altura em que a Internet das Coisas está a dar um salto substancial.
De alguma forma, supostamente porque é relativamente simples ter acesso às passwords de fábrica, os piratas conseguiram entrar nestes aparelhos, instalando um vírus que permitiu agendar o ataque aos servidores da Dyn, empresa responsável pela gestão de domínios (endereços dos sites). Em especial destaque nesta fileira de "soldados", estiveram as câmaras de vídeo vigilância produzidas por uma empresa chinesa que já admitiu uma falha na atualização do software.
Aliás, de acordo com o estudo "O estado da Internet", desenvolvido pela Akamai, mais de 56% dos ataques cibernéticos têm origem na China.
A par da password, é preciso recordar, há outras medidas que devem ser tomadas em conta pelos utilizadores e responsáveis pelas Tecnologias de Informação.
Quando deram a ordem de ataque, todos estes aparelhos desencadearam pedidos a estes sites, congestionando o tráfego naquilo que é vulgarmente conhecido por Distributed Denial of Service (DDoS). Cada pedido correspondendo a uma tentativa de aceder ao site em questão. Isto feito aos milhões em simultâneo, muito acima daquilo que é "normal".
Em consequência deixaram indisponíveis sites como Twitter, Spotify, Amazon, PayPal, Reddit, CNN, The New York Times, Boston Globe, Financial Times. A zona mais afetada foi a Costa Leste dos Estados Unidos mas o ataque foi sentido noutras zonas, incluindo Portugal.
A grande dúvida que paira sobre este ataque é se serviu apenas para "diversão", como teste para um ataque ainda maior, ou para roubar dados sensíveis. O resultado da investigação forense, que está a ser levada a cabo pela Dyn e pelas autoridades, será determinante para apurar o nível do "estrago". Por isso, nos casos dos utilizadores que possuem contas nestes serviços, especialmente nas que implicam transações financeiras, reforça-se a necessidade de alterar as passwords bem como tomar medidas adicionais de controlo sobre cartões de crédito ou outros sistemas de pagamento.
Qualquer movimento suspeito, usando a sua conta, deve alertar de imediato as autoridades, bem como o seu banco, quando se tratar de movimentos da sua conta bancária.
A importância da password
Mudar a password, decorar a password, esquecer a password, solicitar nova password... É uma dor de cabeça levar a cabo estas operações com a desvantagem de termos tendência para aplicar palavras que são simples de decorar. Mas há muito tempo que os piratas sabem disto e têm conseguido furar até aquelas que para nós parecem difíceis de memorizar. Por isso, dizem as regras dos especialistas em segurança, é aconselhável alterá-las de forma regular.
A confiança nas empresas que comercializam hardware e software é fundamental para garantir o nível máximo de segurança.
Nas grandes empresas, por exemplo, até as passwords dos colaboradores são alteradas periodicamente. Uma forma de garantir que ninguém acede à rede usando os dados de um trabalhador mais descuidado.
A par da password, é preciso recordar, há outras medidas que devem ser tomadas em conta pelos utilizadores e responsáveis pelas Tecnologias de Informação. A começar pelos serviços, aquisição de hardware e software com origem em empresas de confiança, e fazer as atualizações lançadas. Todos os utilizadores do Office, por exemplo, recebem os alertas de atualizações críticas de segurança da Microsoft. Muitas destas atualizações estão relacionadas com medidas proactivas que impedem ataques informáticos.
Fazemos estas atualizações por uma questão de confiança na empresa que presta o serviço. Mas, imagine que a atualização de software diz respeito a um qualquer aparelho inteligente que comprou, mais barato, à tal empresa chinesa?
A confiança é um factor que deve pesar nas decisões das empresas, e consumidores em geral, no momento de aquisição de serviços, software ou hardware. Por muito tentador que seja, em termos de preço (muitas vezes recorre-se a software de download "gratuito"), é preciso recordar que os danos podem ter um custo muito superior. E, como se viu neste caso, o prejuízo pode ir muito além da sua rede.
Os piratas terão as suas ferramentas para descobrir vulnerabilidades no sistema, mas existe um site, provavelmente assente em código usado anteriormente por piratas informáticos, que permite fazer essa análise. O Shodan analisa e lista todos os dispositivos expostos na rede. Há mesmo um site que permite fazer uma análise ao seu IP para identificar possíveis vulnaberilidades nos seus aparelhos.