Podemos defender-nos dos piratas?

 

As empresas e organismos portugueses estão desprotegidos em relação aos ciberataques?

- Estão

Uma empresa ou um organismo pode garantir que, depois de ter investido muito dinheiro em segurança, está seguro contra ciberataques?

- Não

Um pirata informático consegue sempre entrar nos sistemas de uma qualquer empresa ou de um qualquer organismo, por melhor protegidos que estejam?

- Consegue. É uma questão de tempo.

Quais são as principais vulnerabilidades das redes e dos sistemas informáticos?

- Muitas. Essencialmente as humanas.

O que deve uma empresa ou organismo fazer para melhor se defender de um ataque informático?

- Para além de investir em segurança (equipamentos, aplicações, etc), em formação a todas as pessoas da empresa e num seguro adequado, deve, acima de tudo, ter um bom plano de contingência que contemple bons sistemas de backup. Mais tarde ou mais cedo, todos serão atacados. A diferença estará na capacidade de rápida recuperação.

Pode dar um exemplo de como pode ser fácil a um hacker entrar em sistemas alheios, danificando ficheiros, capturando acessos, copiando informação, impedindo os serviços, etc?

- Um exemplo muito simples. Imagine-se um estagiário que vá trabalhar na área de IT. E, quem diz estagiário, pode dizer um trabalhador temporário. Ou mesmo efectivo. Tanto faz. Enquanto lá está, para poder trabalhar, atribuem-lhe permissões adequadas a pessoas que trabalham nesta área (permissões alargadas). Enquanto lá está, sabe como é a arquitectura das redes, dos sistemas, como é a segurança, quais as rotinas dos administradores de sistemas, etc. Quando sai, suponha-se que, por lapso, não lhe são retirados de imediato os acessos. Ou nem isso. Suponha-se que, quando lá estava, criou um utilizador com permissões alargadas. Suponha-se que, já lá fora, resolve fazer uso dos acessos e dos conhecimentos. Entra legitimamente, não é detectado pelos sistemas de segurança. Faz o que quer. Ou suponha-se que nem é ninguém de fora mas alguém que, lá dentro, resolve vingar-se. Ou que está a ser pago por alguém para fazer isso. Mil hipóteses. Mil hipóteses quase impossíveis de detectar. Ou, numa organização ainda pouco apetrechada para detectar brechas, suponha-se que alguém instalou algum equipamento ligado à rede e que se esqueceram de mudar a palavra-passe que o equipamento traz por defeito, palavra-passe essa disponível na net. Mil hipóteses. Mil. Impossível a blindagem absoluta. Impossível. Uma vez lá dentro, é só o tempo para ir entrando, conhecendo, agindo. Pode até nunca dar a conhecer que lá está ou lá esteve. E estar, silenciosamente, fazendo o que quer. Ou pode, um dia, deitar tudo abaixo. Apesar de não estar ao alcance de qualquer um, é fácil.

O que leva um pirata informático a entrar nos sistemas e nas redes de empresas ou organismos?

- Motivações políticas (em especial quando os hackers actuam a mando de Estados), motivações comerciais (para prejudicar as empresas atacadas), motivações económicas (pedindo resgates), por gozo (entrar em sistemas alheios é um desafio, é como vencer etapas de um jogo).

Os únicos riscos que se correm quando uma empresa ou organismo são atacados são apenas os de se perder informação ou de se ficar sem acesso durante uns dias?

- Não. Pode ser muito pior que isso. Se pensarmos nos equipamentos de controlo de instalações críticas tais como redes eléctricas ou de abastecimento de água ou gás, salas de controlo na aviação ou na rede ferroviária ou de metropolitano, salas de controlo em fábricas químicas ou petroquímicas, ou redes de operadores de comunicação, em especial se forem de mais que um em simultâneo. Em qualquer destes casos pode estar a falar-se em risco de vida, potencialmente em risco para muitas vidas. Ou seja, há casos que dizem respeito à segurança nacional. E espero bem que, a esta altura do campeonato, os nossos SIS estejam a validar com as empresas críticas como estão os seus planos de contingência.

De novo, o que devem as empresas e organismos fazer para prevenir situações graves?

- Levar o risco muito a sério. Em primeiro lugar devem ter um responsável de Segurança. Não deve ser uma pessoa qualquer. Deve ser alguém muito competente, muito pragmático, muito assertivo, muito bem conhecedor do funcionamento e da cultura da organização, deve ter um grande ascendente junto de todas as pessoas, deve reportar à Administração. Em segundo lugar deve haver um orçamento generoso para o tema da Segurança. 

Numa empresa ou organismo críticos, em caso de suspeita de que algum deslize pode ter acontecido, de que algo de suspeito pode estar a acontecer, o que se deve fazer?

- Ao contrário do que é costume (desvalorizar, recear 'dramatizar', ter medo de que acusem de ser paranóíco, etc), deve agir-se prudencialmente: devem avisar-se de imediato as autoridades (SIS e/ou Centro Nacional de Cibersegurança, consoante a natureza da suspeita), chamar peritos em segurança, começar de imediato a monitorizar de perto todos os comportamentos na rede e nos sistemas, em especial os que pareçam anómalos e, de imediato, verificar se todos os sistemas de contingência estão operacionais e se há quem saiba conduzi-los.

A comunicação social tem estado a dramatizar ou a empolar a gravidade dos ataques sofridos este ano (e ainda estamos no início de Fevereiro) pelo grupo Impresa, pelo grupo Cofina, pela Assembleia da República, pela Vodafone, pelos laboratórios Germano de Sousa...?

- Não. Pelo contrário. Neste caso, maior divulgação dos riscos e maior divulgação de quais as melhores práticas seriam necessárias. 

Este tema é sexy?

- Não.

Então porque temos que lhe dar atenção?

- Porque disso pode depender a nossa liberdade. Ou a nossa vida.  

_________________________________________________

Fotografias feitas na praia ao fim de uma tarde de névoa na companhia de Sofiane Pamart que interpreta Love. 

A última fotografia, como é bom de ver, não fui eu que a fiz. 

Nada disto tem a ver com o texto mas de alguma forma eu haveria de tentar compensar a aridez do tema, certo?

________________________________________________

Desejo-vos um sábado feliz

Afecto. Encontros. Abraços. Alegria. 

Rui Pinto: um vulgar assaltante ou um arauto da liberdade?

(Daqui)

Já em tempos aqui falei e, se não me engano, mais do que uma vez, sobre Rui Pinto. E a minha opinião é a mesma desde que tive conhecimento das actividades do gaiato.

Faz-me muita impressão que pessoas que deveriam ser sensatas tentem passar a imagem de que Rui Pinto não se trata de um vulgar assaltante mas de um salvador da moral e dos bons costumes. Nunca votaria em Ana Gomes para Presidente da República. Teria eu que estar com uma grande bebedeira coisa que, até hoje, nunca aconteceu. Mas, se me tivesse dado alguma travadinha e admitisse a hipótese de querer vê-la em Belém, bastaria esta macacada de ela andar com o Rui Pinto nas palminhas para lhe sugerir que esqueça a Presidência e vá, antes, dar banho ao cão.

Rui Pinto é um hacker confesso. Acredito que, como tantas vezes acontece com os hackers, a principal motivação dele fosse a de ver se conseguia entrar onde não devia. Os hackers apuram técnicas, trocam informações com outros que, igualmente, se escondem no anonimato, fazem tentativas... até que entram. E, tendo arrombado as seguranças das redes (ou entrando como cão por vinha vindimada quando a segurança é quase nula), começam a copiar tudo o que encontram.

(Daqui)

Quando é gente dada ao gamanço mais profissionalizado, fazem gracinha maior: copiam tudo o que podem, encriptam tudo o que podem e pedem dinheiro para desencriptar. Parece que a indústria dos resgates é uma das que está a dar. Aparentemente não foi isto que Rui Pinto fez. Aparentemente limitou-se a varrer tudo o que apanhou e, tendo em sua posse documentos de sociedades desportivas, sociedades de advogados e etc, começou a ver o que podia fazer daquilo. Do que se sabe, assaltou inicialmente apenas numa de curiosidade, há quem diga que fez mais que isso, que roubou mesmo dinheiro, há até quem diga que também chantageou, pedindo dinheiro -- mas disso eu não sei, só sei do que é público e inequívoco --, e, quando se apercebeu que, no arrastão, tinha apanhado caça grossa, começou a perceber que estava a tornar-se poderoso. Divulgou, causou bru-a-á, tornou-se um alvo a apanhar. Mas um poder destes é uma fonte de grande risco, risco para os que foram devassados, risco para ele. Ao ser apanhado, começou a divulgar algumas das 'cenas' que tinha apanhado e a estratégia de defesa passou por desviar o foco da questão (de assalto e roubo de informação a coisa derivou para denunciante). Isabel dos Santos foi apenas mais uma que, aparentemente, caíu nas suas malhas.

Ou seja, como seria relativamente expectável, tendo andado a jardinar em sociedades desportivas, sociedades financeiras e sociedades de advogados, o fruto do seu roubo veio a revelar-se assaz diversificado e interessante, permitindo denunciar o que parece ser a prática de vários crimes.

(Daqui)

Mas isso em nada muda o que é relevante à luz do Estado de Direito em que vivemos, ou seja, o facto de Rui Pinto, ao violar redes e sistemas informáticos, ser um assaltante, um hacker. 

Não vivemos no Far West, não vivemos num regime de milícias populares ou do vale tudo e salve-se quem puder. 

Se Rui Pinto em vez de roubar informação de computadores, roubasse casas também poderia descobrir armas não autorizadas numa casa, doses de cocaína para venda noutra ou barras de ouro ou coisa do género num insuspeito colchão. Mas isso não faria deles menos ladrão de casas do que qualquer outro.

Que eu saiba vivemos num Estado de Direito e não pode ser qualquer um que ande por aí a piratear e a roubar a informação de pessoas e empresas. E tudo o que mais possa ser dito em relação a isto com o intuito de defender Rui Pinto é treta.

E uma coisa não percebo: Marcelo que comenta tudo e todos, que telefona a este e àquele, que dá palpites sobre o cão, o gato, o periquito e a festa disto, daquilo e do outro, não arranja maneira de falar sobre isto? É que há uma diferença grande, profunda entre, por um lado, a liberdade legítima e a democracia e, por outro, o populismo. Há linhas vermelhas que não podem ser ultrapassadas e não vale a pena colar na testa do ladrão o rótulo de whistleblower ou enroupar a coisa para a engalanar e disfarçar o que são e sempre serão actos ilegítimos. 

Já agora: não querem ler também Querem ver que o fascista sou eu? ou Deixe uma janela aberta, Meretíssimo.?

Rui Pinto, a PLMJ, a VdA, a Sonangol, a Isabel dos Santos, as Luanda Leaks, os hackers, os heróis, etc.

Às vezes não há duas sem três. E hoje é dia. Já me deleitei com a graça e com a criatividade da Billie e do Jacob e já falei do Chicão fofinho a ser praxado pelo Miguel Sousa Tavares. E agora vou para a terceira.

No fundo, se me deitasse no divã, quase aposto que o psi descobria que escrever os dois primeiros foi só para empatar a ver se já não chegava aqui. 

E é. A empatar. Porque não sei como dizer. O senso comum aconselha-me a estar sossegada. Até porque, quanto mais não seja, eu é mais bolos. E, quando não é bolos, é rêverie, conversa deitada fora. E, do que não quero falar, nada sei; e não gosto de falar do que nada sei. Intuo. Mas a intuição é daquelas: quer, porque quer, dizer das suas. Há quem diga que é um shortcut que a inteligência usa para chegar lá antes mas há também quem diga que é coisa topológica, bola aberta, coisa intangível, deitação de búzios. 

Mas, enfim, vamos lá. De resto, nada de novo. De umas coisas um recap, de outras meras conjecturas.

Começando pelas conjecturas.

E se isto de ter sido o Rui Pinto a desencadear o Luanda Leaks fosse mera estratégia da defesa para safá-lo, para o apresentar não como um mero hacker mas como um whistleblower? Qual seria o risco disso? 

Vejamos. Um hacker não deixa pistas ou, se as deixa, é para gozar, sabendo que vai chatear o hackeado e que, se tiver juízo, jamais o apanharão. Ou para sacar um resgate. Ou seja, pode ser desporto ou pode ser negócio. Em qualquer dos casos, é actividade de risco. Um hacker não se denuncia. Quando se denuncia, denuncia a sua persona de hacker, não a de cidadão. 

Por isso, não há como provar se foi ele ou se não foi. Se não foi, qual o risco de que se descubra a mentira? Nenhuma. A menos que o verdadeiro hacker (ou hackers) apareça a auto-recriminar-se. Mas isso não acontecerá. O trabalho feito foi obra de pros. E hackers pros fazem da sua actividade um negócio e esse é um negócio que assenta no absoluto anonimato, no sigilo à prova de bala.

• Portanto, primeira hipótese: não foi o Rui Pinto a hackear (pelo menos sozinho) tudo o que está na base do Luanda leaks. Foram outros, contratados.

• Segunda hipótese: um rapaz que se dedica a piratear redes informáticas do futebol e que anda atrás de 'podres' para se divertir, para tentar sacar umas massas e para chatear malta com que embirra, não é o tipo de rapaz que sabe exactamente em que redes entrar para denunciar a corrupção em Angola. Portanto, se foi ele, deve ter sido encaminhado. Ou seja, contratado. 

Questão de fundo: quem contratou? 

E agora o recap: quem pirateia uma rede informática de uma empresa não se dedica a uma escolha selectiva, não é pesca à linha -- faz, isso sim,  pesca de arrasto. É mais rápido, mais eficaz. Tudo o que vem à rede é peixe. Se não interessa hoje, interessa amanhã. E pode simplesmente copiar tudo o que está nos computadores das empresas ou pode tentar a sorte e encriptar o que encontra e pedir resgate. Para ganhar uns trocos. E, claro, meanwhile, para um just in case, copia tudo. 

Portanto, se dizem a um hacker: ela trabalhava com os VdA, com a PLMJ, e apanha também tudo o que ela fez na Sonangol e aqui, ali e acolá, é aí que o ou os hackers vão entrar. E não será por acaso que se diz que a Sonangol foi pirateada, que a VdA foi pirateada, que a PLMJ foi pirateada. E, com certeza, mais terão sido. Digo eu. 

E, se as empresas souberam que foram pirateadas, é porque o pirata se manifestou. Ora a forma habitual de um hacker se manifestar é pedir resgate. Se foi Rui Pinto, pediu resgate? E, se o fez, continua a poder ser visto como um whistleblower ou será, antes, um pirata que vende o fruto do seu roubo e, de caminho, ainda pede dinheiro aos assaltados?

E tudo o que estava nos servidores foi, certamente, apanhado. Dos escritórios de advogados certamente os processos de tutti quanti foram apanhados. Do que tinha a ver com Luanda e com meio mundo. Meio mundo.

Admito que terão participado à CNPD e certamente terão informado todos os seus clientes, fornecedores, empregados, etc. RGPD oblige.  E foi, certo? 

Mas não sei se toda a gente terá percebido o significado disto. Será que perceberam que todas as optimizações fiscais, algumas certamente bastante criativas, estão disponíveis e nas mãos de quem pode fazer mau uso delas? Será que já perceberam que todas as movimentações societárias, pagamentos, parqueamentos, encontros de contas e etc, estão onde não seria suposto que estivessem? E isto já para não falar de casos de outras naturezas.

Mas reparem: saber, não sei de nada, tudo isto são meras dúvidas.

E finalmente, volto ao que já abordei acima: pode um hacker ser visto como um herói como a Ana Gomes e outros parecem pretender? A questão não é linear e não é este o local ou esta a hora para dissertações inteligentes, mas a minha opinião é que nem pensar. 

Um hacker é alguém que viola um espaço, que rouba o que encontra. É a mesma coisa que alguém entrar em sua casa, Caro Leitor, roubar o que lhe apetecer e depois vender ou ficar com o que lhe der jeito. E isto já para não falar nos que ainda pedem dinheiro para que os donos possam voltar a usar a  sua própria casa. Claro que, no meio do que encontrar, pode encontrar extractos bancários que levantem suspeitas e que se forem afixados no átrio do prédio ou na parede da sua casa irão certamente dar muito que falar. Mas e daí? Pode admitir-se que alguém arrombe portas, roube coisas, viole a privacidade dos donos?

No dia em que formos permissivos e estúpidos a esse ponto, acaba-se o Estado de Direito.

Quanto ao Luanda Leaks volto à minha: independentemente do mérito da investigação judicial que possa vir a ser feita e das culpas no cartório que venha a provar-se que os envolvidos possam ter, aquilo de que se tem vindo a falar é apenas um cagagésimo da história, de uma história que tem muitas faces e muitos reversos e onde muita gente se esconde atrás de espelhos.

______________________________________________________________

As mulheres ao espelho foram pintadas, respectivamente, por Korobkin Anatoly, Mose Bianchi, Ferdinand von Lütgendorff-Leinburg, Jean-Étienne Liotard e Gerard ter Borch e vêm ao som de Walking in the air interpretada pela Aurora.

_______________________________________________________________________

E queiram continuar a descer para visitar o Chicão e, a seguir, a Billie e o Jacob -- ou, então, não.

E uma bela quarta-feira para si que está aí desse lado.