No documentário “Shoshana Zuboff on surveillance capitalism” (com legendas em português), a professora dá uma excelente aula sobre a fase atual do capitalismo. Usando uma linguagem simples, ela explica como as megateqs extraem enorme valor da experiência corriqueira das pessoas através da venda de modelos preditivos de comportamento.
Segue abaixo um trecho, extraído da legenda, contando a história do Pokémon Go e como ele funcionava por trás dos panos. Algumas partes da fala foram alteradas para melhorar a fluidez da leitura. Falas de outras partes do documentário foram inseridas entre parênteses para complementar a argumentação.
Numa próxima postagem, publicaremos outra parte, que conta os planos das gigantes não-teqs para também conseguir ganhar essa mais-valia da vigilância inventada pela Google.
É importante compreender que o Pokémon GO é um jogo de realidade aumentada que foi desenvolvido pela Google durante muitos anos, pela pioneira do capitalismo de vigilância.
O Pokémon GO foi desenvolvido num programa liderado por um homem chamado John Hanke. Antes, ele havia criado um software chamado Keyhole, que recebeu investimento da CIA e foi mais tarde adquirido pela Google, mudando o nome para Google Earth.
É importante compreender que o Pokémon GO não é um joguinho que foi lançado para o mundo por uma empresa de brinquedos. Quando decidiram lançar o Pokémon GO, não quiseram fazê-lo como um jogo da Google. Lançaram-no como Niantic Labs, uma empresa que ninguém tinha ouvido falar. Era uma start-up massa com um jogo massa.
Então, vejamos: temos um jogo de realidade aumentada da Google e acontece que o grande jogo, que se sobrepõe ao joguinho que as crianças jogam, é um jogo que imita precisamente a lógica do capitalismo de vigilância.
No capitalismo de vigilância, na sua versão original, online, prevemos a taxa de visitas e vendemos isso ao anunciante, que paga para ter visitas no seu site. Esperava-se que visitas se tornem compras. Agora, no mundo real, clientes empresariais pagaram à Niantic Labs, a empresa do Pokémon GO… Pagaram à Niantic Labs não pelas visitas, mas pelo equivalente no mundo real das visitas, que se chama “passada”. Trata-se de colocar seres humanos, com os seus pés, em negócios reais, para que os seus pés passem por determinada loja, restaurante ou bar, para que comprem algo.
Todos estes negócios compram aquilo a que se chama “módulos de atração”. Módulos que atraem pessoas. Não para que as pessoas sejam felizes, mas para que gastem dinheiro na sua loja ou restaurante. A Starbucks, o McDonald’s, toda a gente estava fazendo dinheiro ali. Obviamente, a Niantic Labs também.
E as pessoas que jogavam o jogo não faziam ideia.
As empresas usaram as recompensas e punições do jogo para “empurrar o rebanho” de pessoas pela cidade, até os locais que pagavam pela sua presença. É isto o Pokémon GO. É este o jogo de verdade, que acontece na sombra. “Empurrar” a pessoa para um lugar onde previmos que ela estará. Para que as nossas previsões valham mais. Se o módulo garantir a presença de pessoas, a minha previsão vale muito mais. É pela economia de ação que eu garanto isso.
E a quem são vendidas essas previsões? A nós, não. Nós não somos os clientes. Elas são vendidas a clientes empresariais (, agências do governo, terceirizadas do ramo da vigilância, exércitos.)
E o Pokémon GO foi uma experiência em escala global de economia de ação. Usou meios de controle remoto para criar comportamentos de forma a atingir os fins comerciais de outras empresas enquanto as pessoas se divertem. Espera-se que você tenha a impressão de estar sendo servida. Espera-se que você seja saturada com conveniência para que não repare e para que não se queixe.
E toda esta operação nas sombras continuará escondida. (Não é por sermos estúpidos que não vemos isso acontecendo. É porque estes procedimentos têm sido mascarados. Operam escondidos. Foram concebidos para serem indecifráveis, indetectáveis, para criar ignorância num vasto grupo de pessoas a que eles chamam “utilizadores”.)
Então, já não é apenas uma questão do que está a fazer online, na Internet, enviando mensagens, e-mails. Nós queremos saber sobre o seu passeio no parque, queremos saber o que faz no carro. Queremos saber o que faz em casa.
O pessoal da Ontica Libertataria traduziu pra castelhano um texto sobre boas práticas em reuniões pela Internet. O texto é dividido em duas partes, e foi publicado em 2019 aqui no blog (parte 1 e parte 2).
A galera do blog Saltamontes começou uma nova tradução. Segue abaixo a postagem de anúncio.
…
A ofuscação é a adição deliberada de informações ambíguas, confusas ou enganosas para interferir na vigilância e na coleta de dados. É uma coisa simples, com muitas aplicações e usos diferentes e complexos.
Começamos a tradução do livro “Ofuscação, Um Guia do Usuário para Privacidade e Protesto” de Finn Brunton e Helen Nissenbaum, publicado em 2015.
A tática da ofuscação nos parece adequada e justificável como forma de sabotar o capitalismo de vigilância. Dentro do campo da segurança da informação e dos movimentos pela privacidade, esse livro parece o único a apontar nessa direção. Como disse James Scott, no artigo “Formas cotidianas de resistência camponesa“, a maioria das táticas de enfrentamento dos camponeses, ao contrário dos espetaculares movimentos operários das cidades, eram informais, dispersas, sem liderança, clandestinas. Ações como “furtos de arroz, a debulha incompleta, deixando grãos no caule para outros membros da família respigarem, boicotes aos agricultores que pagavam pouco ou, no início, que usavam as máquinas de ceifar e debulhar, a matança de animais dos ricos que invadiam hortas, e todo tipo de boatos, difamações, e ameaças veladas” compunham essa resistência do dia a dia. A ofuscação funciona nesse sentido: areia escorrendo lentamente para dentro da máquina.
Foram 10 anos difíceis em cibersegurança – e só está piorando.
Na última década, hackear tornou-se menos uma novidade e mais um fato da vida de bilhões de pessoas em todo o mundo. Pessoas comuns perderam o controle de seus dados, enfrentaram vigilância invasiva de regimes repressivos, tiveram suas identidades roubadas, perceberam que um estranho estava à espreita em sua conta Netflix, lidaram com blecautes da Internet impostos pelo governo ou, pela primeira vez, literalmente se viram pegos no meio de uma guerra cibernética destrutiva.
Há décadas era previsível que um mundo cada vez mais informatizado inevitavelmente convidaria ameaças digitais constantes. Mas a evolução real do hackeamento – com todos os seus golpes, mercados negros criminosos e forças patrocinadas pelo Estado – tem sido caracteristicamente humana, não um artefato estéril e desapaixonado de um futuro desconhecido. Aqui em ordem cronológica estão as violações de dados e ataques digitais que ajudaram a moldar a década. Dê um passeio cheio de ansiedade pela estrada da memória – e se cuide lá fora.
Stuxnet
O Stuxnet foi o primeiro malware a causar danos físicos a equipamentos, cruzando uma linha muito temida. Criado pelo governo dos Estados Unidos e Israel, o worm foi usado em 2010 para destruir centrífugas em uma instalação iraniana de enriquecimento nuclear. O Stuxnet interconectou quatro chamadas vulnerabilidades de dia zero (zero-day exploits) juntas para primeiro atingir o Microsoft Windows e, em seguida, procurar um software de controle industrial chamado Siemens Step7 na rede comprometida. A partir daí, o Stuxnet manipulou os controladores lógicos programáveis que automatizam os processos industriais. Embora o Stuxnet tenha atingido o programa nuclear iraniano, ele também poderia ter sido usado em outros ambientes industriais.
Shamoon
Shamoon é um “limpador” para Windows que indexa e carrega os arquivos de um computador-alvo para o do atacante, depois limpa os dados e destrói o “registro mestre de inicialização” do computador-alvo, que o primeiro setor fundamental do disco rígido de um computador. O Shamoon pode se espalhar através de uma rede e foi famoso em um ataque destrutivo em agosto de 2012 contra a companhia de petróleo da Arábia Saudita Saudi Aramco. Basicamente destruiu 30.000 computadores. Alguns dias depois, Shamoon atingiu a empresa RasGas, do Catar.
O Shamoon foi desenvolvido por hackers iranianos apoiados pelo Estado, aparentemente inspirando-se em ferramentas ofensivas de hackers criadas pela Agência de Segurança Nacional (EUA), incluindo o Stuxnet e as ferramentas de espionagem Flame e Duqu. Uma versão evoluída do Shamoon ressurgiu em uma série de ataques durante 2017 e 2018. O worm é significativo por ser um dos primeiros usados em ataques de Estados nacionais que foram criados para destruição de dados e para tornar inoperantes os dispositivos infectados.
Sony Hack
Em 24 de novembro de 2014, um esqueleto vermelho apareceu nas telas dos computadores nas operações da Sony Pictures Entertainment nos Estados Unidos. Os hackers que se autodenominavam “Guardiões da Paz” haviam se infiltrado nas redes da empresa e alegavam ter roubado 100 terabytes de dados. Mais tarde, eles jogaram centenas de gigabytes, incluindo filmes inéditos da Sony, e-mails, e-mails internos, detalhes sobre remuneração de atores e informações sobre funcionários, como salários, avaliações de desempenho, dados médicos sensíveis e números de Seguro Social. Os atacantes causaram estragos nos sistemas da Sony, não apenas roubando dados, mas liberando um malware limpador para excluir arquivos e configurações, para que a Sony tivesse que reconstruir grandes partes de sua infraestrutura digital do zero. O hackeamento acabou sendo revelado como obra do governo norte-coreano, provavelmente em retaliação pelo lançamento de The Interview, uma comédia sobre o assassinato de Kim Jong-un.
Violação do Escritório de Gestão de Pessoas (EUA)
Uma das violações de dados mais insidiosas e importantes da década é a violação do Office of Personnel Management, que era realmente uma série de violações e infecções orquestradas pela China durante 2013 e 2014. O OPM é o departamento administrativo e de recursos humanos dos funcionários do governo dos EUA e armazena uma grande quantidade de dados muito confidenciais, porque gerencia liberações de segurança, realiza verificações de antecedentes e mantém registros de todos os funcionários federais anteriores e atuais. Para hackers que buscam informações sobre o governo federal dos EUA, esse é um tesouro inigualável.
Os hackers vinculados ao governo chinês entraram na rede da OPM duas vezes, primeiro roubando os projetos técnicos da rede em 2013 e iniciando um segundo ataque logo depois, no qual obtiveram o controle do servidor administrativo que gerenciava a autenticação para todos os outros logins do servidor. Em outras palavras, quando o OPM percebeu o que de fato havia acontecido e agiu para remover os invasores em 2015, os hackers já haviam conseguido roubar dezenas de milhões de registros detalhados sobre todos os aspectos da vida dos funcionários federais, incluindo 21,5 milhões de números do Seguro Social e 5,6 milhões de registros de impressões digitais. Em alguns casos, as vítimas não eram nem funcionários federais, mas estavam simplesmente ligadas de alguma forma a funcionários do governo que haviam sido submetidos a verificações de antecedentes. (Essas verificações incluem todos os tipos de informações extremamente específicas, como mapas da família, amigos, associados e filhos de uma pessoa.)
Os dados roubados do OPM nunca circularam online ou apareceram no mercado negro, provavelmente porque foram roubados por seu valor de inteligência e não por seu valor criminal. Os relatórios indicaram que os operadores chineses podem ter usado as informações para complementar um banco de dados catalogando os cidadãos dos EUA e a atividade do governo.
Blecautes Ucranianos
Dois momentos cruciais da década ocorreram em dezembro de 2015 e 2016, quando a Rússia, já em guerra física com a Ucrânia, lançou dois ataques digitais contra a rede elétrica que causou dois apagões muito sérios. Ambos os ataques foram orquestrados pelo grupo de hackers do governo russo Sandworm, conhecido por suas campanhas agressivas. O primeiro apagão foi causado por um conjunto de malware, incluindo uma ferramenta chamada BlackEnergy, que permitia aos hackers roubar credenciais e obter acesso para desativar manualmente os disjuntores. O segundo visava uma única estação de transmissão com um malware mais evoluído, conhecido como Crash Override ou Industroyer. Nesse ataque, os hackers poderiam manipular diretamente os sistemas que controlam os fluxos de energia, em vez de ter que usar artimanhas como no primeiro ataque à rede. O segundo ataque que causou blecaute foi planejado para destruir fisicamente equipamentos, resultando em danos duradouros se tivesse ocorrido conforme planejado. Um pequeno erro técnico, no entanto, resultou que o apagão durou apenas cerca de uma hora.
Embora os blecautes induzidos por hackers tenham sido um pesadelos imaginado há décadas, o Sandworm foi o primeiro grupo de hackers a realmente lançar ataques de rede disruptivos no mundo físico. Ao fazer isso, a Rússia também demonstrou que não estava apenas travando uma guerra cinética com a Ucrânia, mas uma guerra cibernética avançada.
The backbone of America — banks, oil and gas suppliers, the energy grid — is under constant attack by hackers. But the biggest cyberattacks, the ones that can blow up chemical tanks and burst dams, are kept secret by a law that shields U.S. corporations.
Shadow Brokers
Um grupo que se autodenominava Shadow Brokers apareceu pela primeira vez em agosto de 2016, publicando uma amostra de ferramentas de espionagem que alegou terem sido roubadas do Equation Group da Agência de Segurança Nacional (EUA), um grupo de elite de hackers focado em espionagem internacional. Mas em abril de 2017, o grupo lançou outro conjunto mais extenso de ferramentas da NSA que incluíam uma exploração do Microsoft Windows conhecida como “EternalBlue”.
Essa ferramenta tira proveito de uma vulnerabilidade no protocolo de compartilhamento de arquivos Server Message Block da Microsoft, presente em praticamente todos os sistemas operacionais Windows da época. A Microsoft lançou um patch para a falha, a pedido da NSA, apenas algumas semanas antes dos Shadow Brokers tornarem o EternalBlue público, mas os usuários do Windows – incluindo grandes instituições – demoraram a adotá-lo. Isso abriu as portas para um ataque de hackers relacionados ao Eternal Blue em todo o mundo.
O primeiro exemplo de destaque é o ransomware malformado conhecido como WannaCry, que usou o EternalBlue para varrer o mundo em 12 de maio de 2017. Construído por hackers norte-coreanos patrocinados pelo Estado aparentemente para gerar receita e causar algum caos, o ransomware atingiu serviços públicos e grandes empresas, principalmente na Europa e no Reino Unido. Por exemplo, o WannaCry atrapalhou hospitais e instalações do Serviço Nacional de Saúde no Reino Unido, impactando as salas de emergência, procedimentos médicos e atendimento geral ao paciente.
Os pesquisadores suspeitam que o WannaCry foi um tipo de experimento que escapou do laboratório – um malware que os hackers norte-coreanos ainda estavam desenvolvendo quando perderam o controle. Isso ocorre porque o ransomware possui grandes falhas de design, incluindo um mecanismo que especialistas em segurança foram capazes de usar como um interruptor para impedir a disseminação do WannaCry. O ransomware gerou apenas cerca de 52 bitcoins para os norte-coreanos, que valiam menos de US $ 100.000 na época e cerca de US $ 369.000 atualmente.
O vazamento do Eternal Blue e sua subsequente exploração em massa alimentaram o debate sobre se as agências de inteligência e as forças armadas dos EUA deveriam acumular conhecimento das principais vulnerabilidades de software e como explorá-las, para fins de espionagem e ataques ofensivos. Atualmente, a comunidade de inteligência usa uma estrutura chamada “Processo de Equidades de vulnerabilidade” (Vulnerability Equities Process) para avaliar quais bugs são de importância suficientemente grande para a segurança nacional e devem permanecer secretos e sem patches. Mas alguns argumentam que esse mecanismo de supervisão não é adequado, dado o péssimo histórico do governo dos EUA em garantir a segurança dessas ferramentas e a ameaça de outro incidente do tipo WannaCry.
Hackeamento das eleições presidenciais de 2016 nos EUA
Os hackers russos não passaram a última década apenas aterrorizando a Ucrânia. Eles também lançaram uma série de campanhas de desinformação e vazamento de dados desestabilizadores contra os Estados Unidos durante a temporada de campanha das eleições presidenciais de 2016. Dois grupos de hackers russos conhecidos como APT 28 ou Fancy Bear e APT 29 ou Cozy Bear realizaram campanhas maciças de desinformação de mídia social, usaram ataques de phishing por email para violar o Comitê Nacional Democrata e vazaram publicamente a correspondência embaraçosa da organização e se infiltraram na conta de email de John Podesta, chefe da campanha de Hillary Clinton. Operadores russos vazaram os dados roubados através da plataforma anônima WikiLeaks, alimentando controvérsia no momento em que os eleitores dos Estados Unidos formavam suas opiniões sobre em quem poderiam votar no dia da eleição. Os hackers russos também se intrometeram nas eleições presidenciais francesas em 2017.
A Rússia está longe de ser o único país a tentar promover seus interesses por meio de interferência eleitoral. Mas o país foi talvez o mais descarado de todos os tempos e escolheu um alvo de alto nível, concentrando-se nos EUA em 2016.
NotPetya
Em 27 de junho de 2017, uma onda do que parecia ser um ransomware se espalhou pelo mundo. Porém, o NotPetya, como seria chamado, não foi um ataque de ransomware – foi um malware destrutivo criado para bloquear computadores, devastar redes e criar o caos. O NotPetya foi desenvolvido pelo grupo russo de hackers Sandworm, aparentemente para atingir a Ucrânia. Os danos na Ucrânia foram extensos, mas o malware se mostrou muito virulento e se espalhou pelo mundo, atingindo empresas multinacionais, inclusive na Rússia. No total, o governo dos EUA estima que o NotPetya resultou em pelo menos US $ 10 bilhões em danos, interrompendo empresas farmacêuticas, transporte marítimo, empresas de energia, aeroportos, transporte público e até serviços médicos na Ucrânia e em todo o mundo. Foi o ataque cibernético mais caro de todos os tempos.
NotPetya foi o que pode ser chamado de ataque à cadeia de suprimentos. Os hackers espalharam o malware pelo mundo comprometendo as atualizações do sistema do onipresente software de contabilidade ucraniano MeDoc. Quando usuários regulares do MeDoc executavam uma atualização de software, eles inadvertidamente baixavam o NotPetya também. Além de tornar visível o perigo crítico de danos colaterais na guerra cibernética, o NotPetya também ressaltou a ameaça real de ataques à cadeia de suprimentos, especialmente em software.
Equifax
Embora tenha chegado relativamente tarde na década, a enorme violação de 2017 da empresa de monitoramento de crédito Equifax é a mãe de todas as violações de dados corporativos, tanto por sua escala e gravidade, quanto porque a Equifax lidou com a situação tão mal. O incidente expôs as informações pessoais de 147,9 milhões de pessoas – os dados incluíam datas de nascimento, endereços, alguns números de carteira de motorista, cerca de 209.000 números de cartão de crédito e números de Seguro Social – o que significa que quase metade da população dos EUA teve potencialmente exposto seu identificador secreto crucial.
A Equifax divulgou a violação no início de setembro de 2017 e, ao fazê-lo, desencadeou outra série de eventos infelizes. O site informativo que a empresa montou para as vítimas era vulnerável a ataques e solicitou que os últimos seis dígitos dos números de previdência social das pessoas para verificar se seus dados foram afetados pela violação. Isso significava que a Equifax estava pedindo aos estadunidenses que confiassem neles com seus dados novamente. A Equifax também transformou sua página de resposta a violações em um site independente, em vez de fazer parte de seu domínio corporativo principal – uma decisão que convidava a cosntrução de sites de impostores e tentativas agressivas de phishing. A conta oficial do Equifax no Twitter twittou por engano um link de phishing em particular quatro vezes. Quatro vezes! Felizmente, o link era uma página de pesquisa de prova de conceito, não um site malicioso real. Desde então, houve inúmeras indicações de que a Equifax possuía uma cultura de segurança perigosamente negligente e falta de procedimentos resposta preparados.
Embora tenha sido notavelmente grave, a violação do Equifax é apenas uma de uma longa linha de violações problemáticas de dados corporativos que assolaram os últimos 10 anos. A violação da Target no final de 2013 que comprometia os dados de 40 milhões de clientes agora parece um ponto de virada na conscientização geral sobre dados em risco. Logo depois, as empresas Neiman Marcus e Michaels anunciaram grandes violações de dados de clientes em 2014. Em setembro do mesmo ano, a Home Depot também foi violada, expondo informações de aproximadamente 56 milhões de cartões de crédito e débito de clientes.
E, em julho de 2015, os hackers violaram o Ashley Madison, um site que existe especificamente para facilitar casos e encontros extraconjugais. Em um mês, os hackers haviam postado quase 10 gigabytes de dados roubados no site, que continham detalhes do cartão de pagamento e da conta de aproximadamente 32 milhões de usuários da Ashley Madison. Essa informação incluía detalhes sobre preferências e orientações sexuais. Para os usuários que digitaram seu nome real – ou um pseudônimo reconhecível – no site, o conjunto de dados simplesmente revelou o fato de que eles tinham uma conta na Ashley Madison, além de vincular informações pessoais a eles. Embora a violação tenha gerado muitas manchetes durante o verão de 2015, também teve grandes consequências para os usuários do site.
Aadhaar
O banco de dados de identificação governamental Aadhaar armazena informações pessoais, biometria e um número de identificação de 12 dígitos para mais de 1,1 bilhão de cidadãos indianos. O Aadhaar é usado em tudo, desde a abertura de uma conta bancária até a inscrição em serviços públicos ou para cadastrar uma conta de telefone celular. E as empresas de tecnologia podem se conectar à Aadhaar para rastrear os clientes. Todas essas interconexões, no entanto, levaram a numerosas exposições importantes aos dados do Aadhaar quando terceiros, ou o próprio governo indiano, armazenam as informações de maneira inadequada. Como resultado, os pesquisadores estimam que todos os 1,1 bilhão de números de Aadhaar e grande parte dos dados associados foram violados apenas durante o ano de 2018. Há um mercado negro em expansão para esses dados.
Pouquíssimas instituições têm dados de um bilhão de pessoas a perder. Por outro lado, há o Yahoo, que sofreu duas violações de dados separadas. Uma delas, que ocorreu no final de 2014 e foi divulgada em setembro de 2016, expôs 500 milhões de contas do Yahoo. Outra, que ocorreu em agosto de 2013 e foi originalmente divulgada em dezembro de 2016, revelou em outubro de 2017 que expôs todas as contas do Yahoo existentes em 2013, totalizando três bilhões.
Violações de dados como OPM e Equifax são complicadas, porque aparentemente são o resultado da espionagem do Estado nacional e os dados nunca vazam publicamente ou mesmo em fóruns criminais. Isso significa que é difícil avaliar o risco diário das pessoas comuns representadas por essas violações. Mas com exposições como Aadhaar, Yahoo, Target e muitas outras em que os dados vazam publicamente e começam a circular na dark web, há uma conexão muito clara com fraudes generalizadas, comprometimentos de contas digitais e os golpes que se seguem.
Imagine aquela reunião da sua organização, coletivo ou movimento social antes da pandemia. O local é um conhecido centro cultural da cidade, onde todo dia tem reuniões de diversos grupos, e muita gente da militância da cidade se encontra por lá.
A galera do teu movimento não é boba, uma ou outra militante assistiu o Dilema das Redes, e teve um que até participou de uma tal de CriptoRave e vez ou outra lê os artigos do Mariscotron. Então tá todo mundo ligad@ que tem muita vigilância cibernética rolando pelas redes. Questão de ordem, antes de começar a reunião, os espertofones são desligados e colocados em uma caixa, que é fechada e levada para outro cômodo longe dali.
Com a tranquilidade de quem está longe do zóião do Estado ou das megatéquis, todo mundo começa a falar sobre a próxima ação direta, dando nomes e explicando tin tin por tin tin cada detalhe.
Mas, e se no ambiente onde rolou a reunião tivesse sido plantado um dispositivo de vigilância, ao qual nós brasileiros conhecemos carinhosamente como grampo? A casa caiu. E agora quem plantou o grampo poderá colher valiosas informações sobre a tua organização, e provavelmente de muitas outras da cidade.
Nos últimos anos, muita atenção tem sido dada a vigilância cibernética, de massa ou não. Mas não podemos nos esquecer de técnicas mais antigas, como a engenharia social, explicada em linhas gerais em nossa última publicação, ou da implantação destes dispositivos de vigilância. Tais técnicas foram aplicadas em todas as nossas ditaduras oficiais, e também no período dito democrático (o Estado nunca dorme). Quem não se lembra de algum escândalo com o termo arapongagem, envolvendo algum politico famoso nos últimos anos? Mesmo o recente documentário “Privacidade Hackeada”, ao qual fizemos uma critica aqui no blog, tem uma cena mostrando quando a casa caiu para o chefão Alexander Nix, sendo filmado secretamente em um restaurante falando sobre os podres da Cambridge Analytica.
Os grampos geralmente são plantados pelas polícias ou agências de vigilância. Podem ser colocados em veículos, construções, ou espaços públicos e ficar dias, meses ou anos sem serem percebidos. Possuem diferentes combinações de capacidades de sensoriamento: microfones, câmeras, geolocalização. Também possuem diferentes formas, tamanhos e aparência em geral.
Conhecimento é poder e precisamos estar atentas a esta forma de vigilância debaixo de nosso nariz. A boa notícia é que a galera do Ears and Eyes quer ampliar os relatos para além da Europa. Se você conhece algum caso, mande por e-mail para: desoreillesetdesyeux [a na bola] riseup.net. A chave pública, para enviar e-mails criptografados, pode ser obtida na página de contato do site. Pode ser em qualquer idioma que o pessoal está disposto a traduzir. Ou escreva para nós (org-mariscotron[a-na-bola]lists.riseup.net).
Compartilhe o endereço do site com sua turma e vamos manter os nossos olhos e orelhas em alerta, os do Estado e do Capital a gente arranca.
Na primeira vez que ouvi falar de engenharia social, tentei adivinhar: seria uma forma mais eficiente de organizar pessoas, ou um termo politicamente correto da área de RH, ou ainda uma forma de programação comportamental das massas?
Apesar da wikipedia-inglês dizer que esta última opção seria válida para o campo da política (onde o Estado ou a mídia tentariam direcionar a vontade das pessoas), o que nos interessa aqui é a sua conotação no campo da segurança. Ou seja, simplesmente, engenharia social é sinônimo de manipulação.
Tá, vamos a uma definição mais formal. Segundo a wikipedia, “no contexto da segurança da informação, engenharia social é a manipulação psicológica de uma pessoa para fazê-la realizar certas ações ou revelar informações confidenciais. Ela difere de um simples golpe ao geralmente envolver vários passos complexos para montar o esquema”.
Como normalmente esse tipo de tática é usado contra grandes empresas (corporações, bancos, etc) e órgãos do governo (ministérios, aeroportos, usinas, etc.), os coletivos e organizações que visam transformação social quase nunca ouviram falar de engenharia social. Por outro lado, nesses casos, a infiltração parece ser o mais comum. Quem sabe falamos sobre isso em outra postagem.
Mas quais seriam esses “passos complexos para montar o esquema”?
Antes de apresentar um passo a passo, é preciso dizer que a engenharia social explora o ponto mais fraco de um sistema informático: o ser humano. Seja por erro técnico, ingenuidade ou percepção equivocada, uma pessoa é muito mais facilmente enrolada do que software ou uma fechadura.
O lendário hacker Kevin Mitnick escreveu um livro sobre o assunto, chamado A arte de enganar: controlando o fator humano na segurança da informação. Aqui está o PDF do livro em português. Ele define:
A engenharia social usa a influência e a persuasão para enganar as pessoas e convencê-las de que o engenheiro social é alguém que na verdade ele não é. Como resultado, o engenheiro social pode aproveitar-se das pessoas para obter as informações com ou sem o uso da tecnologia.
A paranoia tá subindo? Pois é. Vamos levantá-la mais um pouco.
Niall Merrigan, na sua palestra “Psychology of Social Engineering“, aponta algumas das fraquezas humanas exploradas na engenharia social e dá diversos exemplos, principalmente da área de marketing. Na verdade, certos padrões de comportamento humano não são necessariamente fraquezas em si, mas como são previsíveis, Merrigan afirma, você vai usá-los a seu favor.
Um padrão segundo o qual todas nós operamos é chamado de viés cognitivo. Vejamos a wikipedia:
Um viés cognitivo (ou tendência cognitiva) é um padrão de distorção de julgamento que ocorre em situações particulares, levando à distorção perceptual, julgamento pouco acurado, interpretação ilógica.
Esse viés, somado à nossa experiência cotidiana, possivelmente gera o senso comum e os preconceitos. O primeiro é aquilo esperado de qualquer pessoa numa determinada sociedade (como formas de cortesia, cumprimentos, subentendidos, etc). Alguns preconceitos também podem fazer parte do senso comum, mas se, além disso, você descobre aqueles que são particulares da pessoa na sua frente, então é como fazer micro-targeting: modular os assuntos e as maneiras de falar sobre eles para causar um efeito esperado. Fascistas têm preconceitos e obviamente anarquistas também! O processo mental é o mesmo, logo, dá para explorar da mesma forma em qualquer pessoa.
A wikipedia fornece os seguintes exemplos de vieses cognitivos:
Enquadramento: É se usar uma abordagem bastante ortodoxa na descrição de uma situação ou problema. Viés de retrospecto às vezes chamado de “eu-sabia-de-tudo”: É a inclinação para ver os eventos do passado como sendo previsíveis. Viés de confirmação: É a tendência para procurar ou interpretar informações de uma maneira que confirme preconceitos próprios. Viés da autoconveniência: É a tendência de reivindicar mais responsabilidade pelos sucessos do que pelas falhas. Este viés também pode se manifestar como a tendência de avaliar informações ambíguas de uma forma benéfica a interesses próprios.
Sabendo disso e com um pouco de dissimulação e preparo, é possível conseguir se passar por uma autoridade simplesmente vestindo uma roupa e um crachá adequados ou imitando um site oficial. Dar o que as pessoas esperam é metade do caminho.
E então, como é que faz?
Chris Pritchard lista uma série de dicas na sua palestra “The basics of social engineering” sobre como realizar um “ataque”. Vou colocar aqui um resumo do resumo, ou seja, muita coisa vai se perder, mas acho que vale.
Fazer reconhecimento
Pesquisar as informações que estão públicas (open source intelligence, OSINT – isso merece uma postagem também!)
Ir ao local (se você vai precisar entrar num prédio, terreno, etc.)
Como as pessoas se vestem ali?
Entenda os padrões de horários (intervalos, horário de maior movimento, etc)
Como as pessoas se identificam? (crachás, uniformes, etc)
Construa seu pretexto (por que você está ali?)
Use sempre o que você já conhece
Use a verdade
Vista-se adequadamente
Carregue e use coisas adequadas ao seu pretexto (equipamentos)
Portões
Conheça as entradas
Conseguiu entrar! E agora?
Mantenha a calma (a adrenalina sempre aumenta)
Lembre-se das infos que você coletou previamente sobre o lugar
Observe o local por dentro: onde estão as saídas, os banheiros
Não tenha medo de pedir ajuda.Na verdade, peça ajuda: é uma forma rápida de criar um laço de confiança
Sempre use o tom formal ao iniciar uma conversa
Fale de modo positivo (ex.: “vim aqui para…”, o contrário seria “não vim aqui para roubar nada, viu?”)
Outras coisas:
O medo está sempre presente
Esconda-se no banheiro para se acalmar
Resolva os problemas éticos da sua ação antes de ir para o campo
Esse é um trabalho muito exaustivo
Uma forma simplificada de descrever o ciclo da engenharia social é:
Coleta de informações
Interação com a vítima
Ataque
Fechamento da interação
Além do viés cognitivo, ou desdobrando-se dele, a engenharia social usa seis pressupostos ou princípios sobre a interação humana:
Reciprocidade: as pessoas tendem a retornar um favor
Comprometimento: se uma pessoa se compromete a fazer algo, é bem provável que ela irá fazê-lo em nome da sua honra/autoimagem.
Adequação social: as pessoas tendem a fazer o que as outras fazem.
Autoridade: as pessoas tendem a obedecer a figuras de autoridade.
Preferência: as pessoas são facilmente persuadidas pelas pessoas que elas gostam.
Escassez: a escassez gera demanda.
A maioria das pessoas querem parecer legais.
Provavelmente o seu viés cognitivo está lhe dizendo: “isso só acontece com as outras, eu não caio nessa”. Ãham.
Agora que você sabe como a coisa funciona e que a galera que faz isso não tá de brincadeira, segue abaixo algumas formas simples de evitar ser vítima de engenharia social.
Nunca entregue a sua senha para ninguém (ninguém!)
Verifique a fonte (link, pendrive, site) ou a origem (pessoa, organização, solução etc.) por outros meios
Diminua a velocidade da interação: o estresse de ter que tomar uma decisão rapidamente pode turvar o seu discernimento
Quando a esmola é demais, o santo desconfia (veja se o atacante não está tocando na sua corda sensível, te dando o que você quer: aprovação, reconhecimento, carinho, etc.)
Defina dentro da organização os níveis de confidencialidade das informações que vocês utilizam e armazenam: o que dá para falar por aí?
Faça um teste de segurança sem aviso
Simule situações de engenharia social
Cuide da forma como vocês descartam informação (documento ou bilhetes no lixo, etc.)
Responder “não” é sempre uma opção (“Não vou lhe passar meu CPF, mas teria alguma outra coisa em que eu poderia lhe ajudar?”
Para fechar, existem várias formas de atacar. Pode ser presencialmente, por telefone, por email ou mandando sms. Mas também existem diferentes escalas. Niall Merrigan dá o exemplo da fraude tipo phishing. Essa palavra é uma corruptela de fishing, pescaria, com o ph de phone, telefone. Antigamente, o comum era usar o telefone para conseguir informações sem se expor. Há algumas décadas, se usa o email. Enfim, phishing é o famoso “esquema”: chega um email com uma história comovente ou ameaçadora e no fim te pede alguma informação pessoal, documento, conta do banco, senha. Ou te pede para entrar num site falso e aí colocar documento, senha, etc. Ou pede pra você abrir um arquivo extremamente importante.
Bom, Merrigan afirma que phishing é caro, dá muito trabalho para pouco resultado. Seria tipo uma pesca de arrastão com uma rede de malha muito grande. Joga prum lado, joga pro outro, varre metade dos mares e quem sabe pega alguma pessoa desavisada. É a escala macro.
A escala micro seria o que ele chama de pesca de arpão (spear phishing). Nessa situação, o atacante usa informações pessoais públicas (OSINT) e manda uma mensagem direcionada. Por ser uma conversa pensada para o alvo, ela tem muito mais chance de ter sucesso do que uma mensagem genérica daquelas que rolaram pelo zap “tô precisando de uma grana” ou um email “entrei no seu computador por uma falha de segurança do windows”.
Agora, dentro da escala micro ainda pode haver um refinamento. Na “pesca de arpão”, o alvo pode ser um simples funcionário ou um terceiro que vai indiretamente levar ao objetivo. Se o alvo é a pessoa mais importante da organização, então Merrigan usa o termo “caça de baleia” (whaling).
Resumindo, as pessoas são o elo mais fraco da corrente da segurança. Tem gente especializada em testar esse elo usando conhecimento psicológico e técnicas de manipulação para fazer uma pessoa de dentro da organização dar o que ela quer (com ou sem o uso de tecnologia!). Transforme a segurança em pauta ordinária e nunca entregue sua senha.
Lembra a primeira vez que um email apareceu piscando, tocando midi, cheio de cor e com palavas em destaque? Pois é, não foi uma amizade sua que enviou, né? Muito provavelmente foi uma empresa querendo te oferecer alguma tranqueira.
Essa formatação arrojada que aparece num email é graças à HTML, uma linguagem de programação originalmente desenvolvida para criar páginas na web. Ela permite pegar um texto simples e deixá-lo “bonito”, “atraente”, misturá-lo com logos e links. Mas afinal, a quem interessa todo esse desáine?
O mercado livre e o catarse me mandam email em HTML. Obviamente, gmail, twitter, couchsurfing, greenpeace, wordpress também usam HTML. Mas não só empresas gostam de figurinhas e links mascarados. Veja os boletins que você assina, blogs, grupos com engajamento social ou político: a galera pira na HTML. Claro, pode ser apenas uma escolha automática, “todo mundo faz assim”, mas meu palpite é que, da mesma forma que as megatecs, os grupos que propagam ideias ou causas também querem nos rastrear: quem clicou em tal link, o que interessou tal pessoa, quantas pessoas nos apoiam, etc. Pois é…
Agora vou dar dois exemplos de grupos que se comunicam com milhares de pessoas e que usam texto simples em seus emails. Um é a Cryptorave de São Paulo e outro é o Tactical Tech Collective (TTC) de Berlim. Toda a divulgação, as convocatórias, as chamadas para financiamento coletivo da Cryptorave vêm num email plano, simples, direto. As ideias, referências de conteúdos, divulgação de oficinas e bolsas do TTC também não têm firulas. Todos os links estão escritos por inteiro, não tem pixels secretos nem logos. Viu só, tá tudo bem. E, na real, a gente agradece!
Abaixo tem uma tradução do site https://useplaintext.email, onde encontrei bem descritinho as razões para escolher formatar seus emails com texto simples ao invés de HTML.
Por que o texto simples é melhor que o HTML?
Os e-mails com formatação HTML são usados principalmente para marketing – ou seja, e-mails que, antes de mais nada, você provavelmente não quer ver. As poucas vantagens que oferecem aos usuários finais, como links, imagens em linha (no corpo da mensagem) e texto em negrito ou itálico, não valem a pena.
HTML como um vetor para phishing
Os e-mails HTML permitem mostrar links que escondem a URL por trás de algum texto com cara amigável. Entretanto, este é um vetor extremamente comum para ataques de phishing, onde um remetente malicioso cria um link enganoso que o leva a um website diferente do que você espera. Muitas vezes estes sites são modelados iguaizinos à página de login de um serviço que você usa, e aí está a armadilha para digitar a senha de sua conta. Em e-mails em texto simples, a URL é sempre visível, e você pode mais facilmente fazer uma escolha informada para clicar nela ou não.
Invasão de privacidade e rastreamento
Praticamente todos os e-mails HTML enviados pelos marqueteiros incluem identificadores em links e imagens inline que são projetados para extrair informações sobre você e enviá-las de volta para o remetente. Examine os URLs de perto – os números e letras estranhas são exclusivos para você e usados para identificá-lo. Estas informações são usadas para hackear seu cérebro, tentando encontrar anúncios que são mais suscetíveis de influenciar seus hábitos de compra. Os e-mails HTML são bons para os marqueteiros e maus para você.
Vulnerabilidades do cliente de e-mail
O HTML é um conjunto extremamente grande e complicado de especificações projetado sem ter em mente os e-mails. Ele foi projetado para navegar na rede mundial de computadores, na qual uma enorme variedade de documentos, aplicações e muito mais estão disponíveis. A implementação até mesmo de um subconjunto razoável destes padrões representa centenas de milhares de horas de trabalho, ou mesmo milhões. Um grande subconjunto (talvez a maioria) destas características não é desejável para e-mails, e se incluído numa mensagem pode ser aproveitado para vazar informações sobre você, seus contatos, seu calendário, outros e-mails em sua caixa de entrada, e assim por diante. No entanto, devido ao esforço hercúleo necessário para implementar um renderizador HTML, ninguém construiu um especializado para e-mails que seja garantidamente seguro. Ao invés disso, navegadores web de propósito geral, com muitas de suas características desabilitadas, são empregados na maioria dos clientes de e-mail. Esta é a fonte número um de vulnerabilidades em clientes de e-mail que resultam na divulgação de informações e até mesmo na execução de código malicioso arbitrário.
Esta é uma lista de 421 vulnerabilidades de execução de código remoto no Thunderbird. Se você estiver entediado, tente encontrar uma que não explore a tecnologia web.
Os e-mails HTML são menos acessíveis
Navegar na web é um grande desafio para os usuários que precisam de um leitor de tela ou outras ferramentas de assistência para usar seu computador. Os mesmos problemas se aplicam ao e-mail, só que é pior ainda – tornar um e-mail HTML acessível é ainda mais difícil do que tornar um site acessível devido às limitações impostas aos e-mails HTML pela maioria dos clientes de e-mail (que eles não têm outra escolha a não ser impor – pelas razões de segurança mencionadas acima). Em comparação, e-mails de texto simples são muito fáceis para os leitores de tela recitarem, especialmente para usuários com clientes de e-mail especializados projetados para este fim. Como você fala o texto em negrito em voz alta? Como seria uma imagem em linha?
Alguns clientes não podem exibir e-mails HTML de forma alguma
Alguns clientes de e-mail não suportam e-mails HTML de forma alguma. Muitos clientes de e-mail são projetados para funcionar em ambientes somente de texto, como um emulador de terminal, onde são úteis para pessoas que passam muito tempo trabalhando nesses ambientes. Em uma interface somente de texto não é possível renderizar um e-mail HTML e, em vez disso, o leitor verá apenas uma bagunça de texto em HTML bruto. Muitas pessoas simplesmente enviam e-mails HTML diretamente para spam por este motivo.
Texto rico não é tão bom assim, de qualquer forma
Os recursos de texto rico desejáveis para os usuários finais incluem coisas como imagens em linha, texto em negrito ou itálico, e assim por diante. No entanto, a troca não vale a pena. As imagens podem ser simplesmente anexadas ao seu e-mail, e você pode empregar coisas como *asteriscos*, /slashes/, _underscores_, ou UPPERCASE para ênfase. Você ainda pode comunicar seu ponto de vista efetivamente sem trazer consigo todas as coisas ruins que os e-mails HTML carregam consigo.
Em resumo, os e-mails HTML são um pesadelo de segurança, são usados principalmente para fazer publicidade e rastrear você, são menos acessíveis para muitos usuários e não oferecem nada que seja especialmente bom.
Há uns poucos dias, eu estava conversando com um amigo sobre email. Nós dois usamos email para nos comunicarmos tanto no trabalho quanto com nossas amizades todos os dias. No meu caso, os caras do trabalho preferem que eu mande tudo pelo zap (se fosse possível, eles me pediriam até os relatórios via áudio!). É um pesadelo em termos de organização: tanto as buscas quanto o armazenamento ficam prejudicados naquela mistureba de áudios, mensagens confusas, e cartões de natal e páscoa. Sem falar nas questões de criptografia, valores políticos do provedor, coleta de metadados, propaganda, privacidade, relações com o Estado, etc.
Essa conversa que tivemos foi motivada pelo bloqueio do IP do disroot.org que a Microsoft (outlook, hotmail, live, etc) tinha implementado. A galera do disroot pediu mais informações e a MS disse que não podia dizer a razão. Nesse momento, finalmente descobri porque os emails que eu enviava pelo disroot eram recusado pelo hotmail. E além disso, também havia tido problemas com arquivos que eu compartilhava através da nuvem do disroot. O cara na outra ponta recebia um aviso ao tentar baixar o arquivo: “o site a seguir contém apps prejudiciais”. E ele me disse com ares de refém: “O windows defender não me deixa abrir!”.
Pra vocês verem que o email tá vivinho da silva e sendo disputado! Às vezes, me sinto um velho chato falando dos usos e situações propícias ao email (obviamente ele não serve pra qualquer coisa). Mas não é coisa de velho, não. Inclusive esse meu amigo me surpreendeu ao dizer: “contratei um provedor para garantir que minha comunicação tenha as características que eu desejo”. Já pensou? Em pleno século XXI tem gente que paga pra ter uma conta de email? Pois é, se temos a mínima noção dos gastos envolvidos para o funcionamento da internet, então é de se estranhar que exista alguma empresa fornecendo serviço gratuito. Essa é um discussão difícil, raramente pautada; seja porque nós estamos aqui nessa américa latina com os pilas contados no bolso, seja porque a gente se acostumou, foi educado/formatado, com uma internet grátis. Mas eu também não vou puxar a conversa agora (ela parece mais complexa do que “você é a mercadoria”).
Voltando ao tema da postagem, o caráter federado do protocolo de comunicação do email, que permite que diferentes provedores consigam conversar entre si (como as empresas de telefonia, mas não como o zap, que só fala com zap, ou o signal, que só fala com o signal), está sendo minado com esse tipo de bloqueio. As pessoas que prestam atenção na hora de escolher um provedor de email hoje têm buscado alternativas fora das grandeteqs, como protonmail, tutanota, riseup, por exemplo. Porém, se as grandonas bloquearem as pequenas (mesmo que devagarzinho, sutilmente, sem dizer por quê), acabou-se a federação e segue-se o processo há décadas iniciado de monopólio dos serviços, de jardins murados, de fazendas de metadados.
Nas semanas seguintes pretendo falar mais sobre email: vantagens da formatação texto simples sobre HTML e o Deltachat.
A segunda edição da Criptofesta João pessoa atende por Criptoglitch e será realizada inteiramente de forma online. Glitch remete às falhas de funcionamento, no entanto, o que seria um glitch em um sistema todo corrompido? Identificar erros pode ser um convite para uma mudança.
Estamos com chamada aberta para atividades até o dia 21 de novembro de 2020.
https://bit.ly/Criptoglitch
Serão selecionadas até duas mesas redondas, duas oficinas e duas intervenções artísticas. Aceitamos propostas que abordem: modulação algorítmica e direitos humanos, cuidados integrais do corpo (digital, físico, psicossocial); anti vigilância; corpo, gênero, raça, favela, ativismo, quilombos, periferia e tecnologias.
As oficinas e mesas selecionadas serão realizadas entre os dias 14 e 15 de dezembro; já as intervenções serão entre os dias 11, 14, 15 e 18 de dezembro.
Haverá uma ajuda de custo de R$250 para cada oficina e intervenção artística selecionadas.
A programação completa será divulgada no dia 26 de novembro de 2020.
Em maio de 2020, saiu em espanhol o manual Seguridad Digital: Conceptos y Herramientas Básicas, da Conexo. Segundo seu site, ela se define como “una organización de alcance latinoamericano que busca conectar mejores prácticas y soluciones técnicas con activistas y periodistas en zonas de riesgo que constantemente están luchando por adoptar nuevas tecnologías para asegurarse y desarrollar un mejor trabajo.”
O mar1sc0tron recebeu o convite para traduzir este manual e aqui está!
Este guia foi escrito pensando em jornalistas, defensores e defensoras de direitos humanos, ativistas e pessoas que, independentemente da sua área de atuação profissional, desejam iniciar-se no caminho da segurança digital e da privacidade. A adoção total ou parcial das recomendações oferecidas aqui dependerá dos riscos que está enfrentando a pessoa ou organização interessada em implementá-las. É por isso que antes de começar, recomendamos que se realize uma avaliação de riscos.
