Desde que o site Intercept
começou a publicar as mensagens trocadas pelo ministro da Justiça Sergio Moro,
quando ainda era juiz, com os procuradores da força-tarefa da Lava Jato, a
segurança cibernética virou motivo de preocupação -- surgiu todo tipo de
hipótese de como os envolvidos poderiam ter se protegido.
Ainda que atuando como
funcionários públicos, os envolvidos provavelmente tiveram seus celulares
pessoais invadidos por algum hacker, que obtiveram as conversas mantidas pelo
Telegram. Entretanto, os vazamentos de informação viraram também um problema
crescente para a administração pública federal. Esse tipo de incidente cresceu
pouco mais de 19 vezes em seis anos e virou o segundo maior tipo de ataque
sofrido pelos sistemas do governo federal.
Relatório divulgado
recentemente pelo Centro de Tratamento e Resposta a Incidentes Cibernéticos de
Governo (CTIR Gov), subordinado ao Gabinete de Segurança Institucional (GSI),
mostra que 20.566 eventos que comprometiam a segurança digital de órgãos
federais foram reportados em 2018. Destes, 9.981 foram confirmados.
Os golpes mais comuns foram:
- Abuso de site - 26,23%: ocorre quando um site federal é desfigurado por algum hacker ou tem seus códigos expostos;
- Vazamento de dados - 20,04%: ocorre quando alguma informação fica acessível ao público, seja por ter sido mal protegida ou algum hacker ter tido acesso a ela após explorar alguma falha de segurança;
- Fraude - 15,95%: ocorre quando algum serviço malicioso tenta se passar por um original para enganar algum funcionário federal - é o famoso phishing;
- Indisponibilidade de site - 14,12%;
- Scan - 7,91%: ocorre quando alguém acessa sem autorização sistemas federais para verificar se há alguma vulnerabilidade que pode ser explorada depois;
- Vulnerabilidade DDoS - 7,46%: são os ataques de negação, em que um sistema é bombardeado com diversas requisições de acesso; o intuito é fazer com que o servidor não dê conta e saia do ar;
- Malware - 4,19%: é a inserção de algum código malicioso dentro dos sistemas federais - são os famosos vírus de computador;
- Outros - 7,91%.
Os ataques relacionados a
sites federais são campeões históricos dos incidentes cibernéticos. Só que os
vazamentos de dados não eram tão comuns em 2013, data das mais antigas
estatísticas detalhadas disponibilizadas pelo GSI em seu site.
Se, em 2018, foram registrados
cerca de 2.000 incidentes em que informações de órgãos federais acabaram vindo
a público, em 2013, foram apenas 105 eventos desse tipo.
O CTIR Gov não dá detalhes de
como os incidentes ocorreram, quais órgãos afetaram nem se dados pessoais de
cidadãos brasileiros foram vazados. Apenas informa a quantidade total de
eventos.
Ainda assim, é possível ter
ideia de como nascem esses vazamentos e da dimensão do estrago que a extração
de dados sem autorização de bases do governo federal pode ter.
Em abril deste ano, um hacker
vazou as informações pessoais de 2,4 milhões de usuários do Sistema Único de
Saúde (SUS). Estavam no pacote nome completo das pessoas, nome da mãe, endereços,
número de CPF e datas de nascimento.
Em contato com o UOL
Tecnologia, o hacker responsável afirmou que só tomou essa atitude porque
avisara o Ministério da Saúde sobre uma falha de segurança em seus sistemas e
não foi ouvido.
Especialistas ouvidos pelo UOL
Tecnologia explicam que os usuários não poderiam ter feito nada para se
prevenir, já que o problema foi no servidor de dados do SUS. O máximo que podem
fazer é alterar senhas e monitorar contas.
Segundo Martin Hron,
pesquisador de segurança sênior da Avast, o fornecedor do sistema do SUS
deveria ter feito mais atualizações de segurança, incluindo a criptografia da
comunicação e algumas bastante básicas, como a mudança de HTTP para HTTPS.
Para Cecília Pastorino,
pesquisadora de segurança da ESET, faltou uma auditoria de segurança, que
poderia ter evitado a brecha. Nelas, especialistas vasculham o sistema por vulnerabilidades,
tentam explorá-las e medem o impacto de cada uma delas.
Hron explica que esses dados
podem ser usados "para tentar hackear outras contas, para chantagem ou
roubo de identidade".
Fonte: UOL Tecnologia
Nenhum comentário:
Postar um comentário