Hacker

Tudo sobre o hacking

O que é o hacking?

Hacking refere-se a atividades que procuram comprometer dispositivos digitais, como computadores, smartphones, tablets e, mesmo, redes inteiras. E, embora nem todas as ações de hacking tenham sempre uma finalidade maliciosa, a maioria das referências de hoje ao hacking (e aos hackers) caracteriza-o como uma atividade ilícita levada a cabo por cibercriminosos — motivados por ganhos financeiros, protesto, recolha de informações (espionagem) ou, muito simplesmente, pela "diversão" do desafio.

Muitas pessoas pensam que o termo "hacker" se refere a um qualquer miúdo esperto autodidata ou a um programador desonesto, peritos em modificar hardware informático ou software para que possa ser usado de modo diferente às intenções dos criadores originais. Mas esta é uma ideia redutora que não abrange, nem um pouco, a vasta gama de motivos pelos quais alguém se dedica ao hacking. (Para uma visão mais profunda sobre os hackers, leia o artigo "Under the hoodie: why money, power, and ego drive hackers to cybercrime", por Wendy Zamora.)

O hacking tem uma natureza tipicamente técnica (como a criação de malvertising que deposite malware num ataque "drive-by" que não requer qualquer interação com o utilizador). Mas os hackers também usam a psicologia para enganar o utilizador, levando-o a clicar num anexo malicioso ou a fornecer dados pessoais. Estas táticas são designadas de "engenharia social".

De facto, é correto caracterizar o hacking como um termo genérico transversal para designar a atividade por detrás da maioria, se não de todos, os ciberataques maliciosos e de malware nos sistemas informáticos gerais, de empresas e dos governos. Além da engenharia social e do malvertising, as técnicas mais comuns de hacking incluem:
Botnets
Sequestros de browsers
Ataques de negação de serviços (DDoS)
Ransomware
Rootkits
Trojans
Vírus
Worms

Assim, o hacking evoluiu de uma travessura adolescente para um negócio crescente de milhões de dólares, cujos adeptos estabeleceram uma infraestrutura criminosa que desenvolve e vende ferramentas de hacking prontas a usar a pretensos vigaristas com aptidões técnicas menos sofisticadas (conhecidos como "script kiddies"). Veja, a título de exemplo: ransomware-as-a-service.

Num outro exemplo, os utilizadores do Windows são, alegadamente, o alvo de um esforço cibercriminoso generalizado que oferece acesso remoto a sistemas de TI por apenas 10 dólares, através de uma loja de hacking na dark web — potencialmente, permitindo aos atacantes roubar informações, desestabilizar sistemas, implantar ransomware, entre outros. Os sistemas colocados à venda no fórum vão do Windows XP ao Windows 10. Os proprietários da loja oferecem, mesmo, dicas sobre como as pessoas que usam logins ilícitos podem permanecer incógnitas.

A história do hacking e dos hackers

No seu uso atual, o termo tem origem na década de 1970. Em 1980, um artigo na Psychology Today usou o termo "hacker" no seu título: "The Hacker Papers", que discutia o caráter viciante do uso dos computadores.

Depois, em 1982, surgiu um filme de ficção científica americano, Tron, no qual o protagonista descreve as suas intenções de entrar no sistema informático de uma empresa, numa ação de hacking. No ano seguinte, foi lançado um outro filme, Jogos de Guerra, cujo argumento se centrava na intrusão de um adolescente no computador do Comando de Defesa Aeroespacial da América do Norte (NORAD). Tratava-se de uma ficção que introduziu o fantasma dos hackers como uma ameaça à segurança nacional.

A arte acabou por ser o prólogo da realidade nesse mesmo ano, quando um gangue de hackers adolescentes invadiu sistemas informáticos por todos os Estados Unidos e Canadá, incluindo os do Los Alamos National Laboratory, do Sloan-Kettering Cancer Center e do Security Pacific Bank. Pouco depois, um artigo na Newsweek, que apresentava na capa a fotografia de um dos jovens hackers, foi o primeiro a usar o termos "hacker" com sentido pejorativo nos grandes meios de comunicação.

Mais tarde, o Congresso entrou em ação, aprovando várias leis relativas à criminalidade informática. Depois, no restantes anos da década de 1980, surgiram diversos grupos de hackers e publicações na América e no estrangeiro, atraindo os entusiastas do hacking em busca de diversas missões — algumas benignas, outras nem tanto. Surgiram ataques e intromissões espetaculares a computadores governamentais e corporativos, mais legislação anti-hacking e muitas detenções e condenações dignas de nota. Durante todo este tempo, a cultura popular manteve o hacking e os hackers na consciência pública com toda uma panóplia de filmes, livros e revistas dedicados à atividade.

Para conhecer um cronograma detalhado sobre a história dos hackers, incluindo a emergência do hacking de índole terrorista e com patrocínios de estado na era moderna, veja aqui.

Tipos de hacking e hackers

Em termos gerais, podemos dizer que os hackers tentam invadir computadores e redes por uma de quatro razões.

• Existem os ganhos financeiros criminosos, ou seja, o roubo de números de cartões de crédito ou a defraudação de sistemas bancários.
• A seguir, ganhar credibilidade pública e notoriedade dentro da subcultura hacker motiva alguns hackers a deixarem a sua marca em websites que vandalizem, como prova da sua autoria.
• Depois, existe a espionagem industrial, quando os hackers de uma empresa procuram roubar informações sobre os produtos e serviços de um concorrente para ganharem vantagens de mercado.
• Por fim, nações inteiras envolvem-se em ações de hacking com o patrocínio do estado para roubarem informações empresariais e/ou dos serviços secretos, por forma a desestabilizarem as infraestruturas dos seus adversários ou, até, semearem a discórdia e a desordem no país alvo. (É consensual que a China e a Rússia realizaram ataques deste tipo, incluindo um na Forbes.com. Adicionalmente, os recentes ataques ao Comité Nacional Democrata [DNC] foram notícia de primeira página — especialmente depois de a Microsoft afirmar que os hackers acusados do ataque ao Comité Nacional Democrata exploraram falhas anteriores não divulgadas no sistema operativo Windows da Microsoft e no software Flash da Adobe Systems. Também existem casos de hacking com a cortesia do Governo dos Estados Unidos.)

Existe, até, uma outra categoria de cibercriminosos: o hacker com motivações políticas ou sociais por alguma causa. Estes hackers ativistas, ou "hacktivists", tentam focar a atenção pública numa dada questão, atraindo uma atenção pouco lisonjeira sobre o alvo — normalmente, tornando públicas informações sensíveis. Para conhecer grupos notáveis de hacktivists, bem como algumas das suas ações mais conhecidas, consulte Anonymous, WikiLeaks e LulzSec.

Existe ainda uma outra forma de olharmos para os hackers. Lembra-se dos clássicos filmes do Velho Oeste? Os bons da fita = chapéus brancos. Os maus da fita = chapéus negros. A atual fronteira da cibersegurança mantém aquele elã do Oeste Selvagem, com hackers de chapéu branco ("white hat") e de chapéu negro ("black hat") e, até, uma terceira categoria intermédia.

Se o hacker é uma pessoa com profundos conhecimentos sobre sistemas informáticos e software e que usa esses conhecimentos para, de alguma forma, subverter essa tecnologia, um black hat hacker fá-lo para roubar algo de valor ou por outras razões maliciosas. Assim, é razoável atribuir qualquer um desses quatro motivos (roubo, reputação, espionagem industrial e hacking a nível nacional) aos black hats.

Os white hat hackers, por outro lado, procuram melhorar a segurança dos sistemas de segurança de uma organização procurando lacunas vulneráveis, de modo a poderem prevenir o roubo de identidades ou outros cibercrimes antes de os black hats se aperceberem delas. Há, mesmo, empresas que empregam os seus próprios white hat hackers como elementos da sua equipa de assistência, como realça um artigo recente da edição online do New York Times. Ou empresas que contratam os serviços de white hat hacking a terceiros, como a HackerOne, que testa produtos de software, procurando vulnerabilidades e falhas por um preço.

Por fim, existe o grupo dos gray hats, hackers que usam as suas capacidades para invadir sistemas e redes sem permissão (tal como os black hats). Mas, em vez de provocarem um caos criminoso, podem comunicar as suas descobertas ao proprietário alvo e oferecer-se para a reparação da vulnerabilidade por uma pequena quantia.

Novidades sobre hacking

Perspetivas sobre o hacking russo
Aplicação da lei no Reino Unido: uma luta difícil contra os hackers
Biohacking

Hacking em telefones Android

Embora a maioria das pessoas associe o hacking a computadores Windows, o sistema operativo Android também constitui um alvo de interesse para os hackers.

Um pouco de história: Os primeiros hackers, que exploravam obsessivamente métodos de baixa tecnologia para contornarem as redes de telecomunicações seguras (e as dispendiosas chamadas de longa distância na sua época), chamavam-se, originalmente, phreaks — uma combinação das palavras "phone" e "freaks" (telefone e fanáticos). Constituíam uma subcultura definida na década de 1970 e a sua atividade era designada por phreaking.

Hoje, os phreakers saíram da era da tecnologia analógica e tornaram-se hackers no mundo digital de mais de dois mil milhões de dispositivos móveis. Os hackers de telemóveis usam uma diversidade de métodos para acederem a um telemóvel e intercetarem mensagens de voz, chamadas telefónicas, mensagens de texto e, até, o microfone e a câmara do telefone, tudo sem a permissão ou, sequer, o conhecimento do respetivo utilizador.

Em comparação com os iPhones, os telefones Android são muito mais fragmentados e a sua natureza "open-source" e inconsistências em termos de desenvolvimento de software colocam os Androids em maior risco de corrupção e roubo de dados. E o hacking a dispositivos Android resulta em toda uma série de coisas más.

Os cibercriminosos conseguiam ver os seus dados armazenados no telefone, incluindo a sua identidade e informações financeiras. Da mesma forma, os hackers conseguem determinar a sua localização, forçar o seu telefone a escrever mensagens de texto para websites de qualidade ou, até, espalhar o seu hack (com um link malicioso integrado) pelos seus contactos, que irão clicar nele por parecer vir de si.

Naturalmente, a aplicação legítima da lei pode adulterar os telefones com um mandado para guardar cópias de textos e emails, transcrever conversas privadas ou seguir os movimentos do suspeito. Mas os black hat hackers conseguem, definitivamente, fazer mal, através do acesso às credenciais da sua conta bancária, apagando dados ou aplicando toda uma série de programas maliciosos.

Os hackers telefónicos têm a vantagem de muitas técnicas do hacking informático, que são facilmente adaptadas aos Androids. Phishing, o crime de visar indivíduos ou membros de organizações inteiras, levando-os a revelar informações confidenciais através de engenharia social, é um método testado e comprovado para os criminosos. De facto, dado que um telefone apresenta uma barra de endereço muito mais pequena do que um PC, o phishing num browser de Internet móvel torna, provavelmente, muito mais fácil falsificar um website aparentemente fidedigno sem revelar os subtis indicadores (como erros ortográficos intencionais) que consegue ver no browser de um computador. Assim, se receber uma mensagem do seu banco a solicitar que inicie sessão para resolver um problema urgente, clicar no link convenientemente fornecido e inserir as suas credenciais no formulário, os hackers já o apanharam.

Apps "trojanizadas" descarregadas de páginas de venda inseguras são outra das ameaças transversais de hacking aos Androids. A grandes lojas de aplicações Android (Google e Amazon) estão bem atentas às apps de terceiros; mas o malware integrado consegue passar, ocasionalmente, através de sites fidedignos ou, mais frequentemente, dos mais inidóneos. É desta forma que o seu telefone acaba por alojar adware, spyware, ransomware ou qualquer outro número de ameaças de malware.

Existem outros métodos ainda mais sofisticados, que não requerem qualquer manipulação do utilizador para clicar num link perigoso. O bluehacking acede ao seu telefone quando ele fica visível numa rede Bluetooth não protegida. É, inclusivamente, possível simular uma rede ou torre de comunicações móveis fidedigna para reencaminhar mensagens de texto ou iniciar sessões. E, se deixar o seu telefone desbloqueado abandonado num espaço público, em vez de se limitar a roubá-lo, um hacker pode cloná-lo copiando o cartão SIM, o que é o mesmo que entregar as chaves do seu castelo.

Hacking em dispositivos Mac

Antes que os senhores, caros utilizadores de Mac, digam que o hacking é apenas um problema do Windows, podem ter a certeza de que não estão imunes.

Em 2017, por exemplo, assistiu-se a uma campanha de phishing que visava utilizadores Mac, principalmente na Europa. Transmitido por um Trojan assinado com um certificado de programador Apple válido, o hack pirateava credenciais, lançando um alerta em ecrã total que afirmava existir uma atualização do OS X essencial à espera de ser instalada. Se o hack fosse bem sucedido, os atacantes obtinham acesso total a todas as comunicações da vítima, permitindo-lhes intercetar toda a navegação na web, mesmo tratando-se de uma ligação HTTPS com ícone de bloqueio.

Além dos hacks de engenharia social nos Macs, as falhas ocasionais de hardware também podem criar vulnerabilidades, como foi o caso das chamadas falhas Meltdown e Spectre, relatadas pelo The Guardian no início de 2018. A Apple respondeu com o desenvolvimento de proteções contra as falhas, mas aconselhou os clientes a descarregarem software apenas de fontes seguras, como as suas iOS e Mac App Stores, para ajudar a impedir que os hackers conseguissem usar as vulnerabilidades do processador.

Depois, surgiu o traiçoeiro Calisto, uma variante do malware Proton Mac que se propagou livremente durante dois anos antes de ser descoberto, em julho de 2018. Estava escondido num instalador falso de cibersegurança Mac e, entre outras funções, obtinha nomes de utilizadores e palavras-passe.

Assim, a partir de vírus, malware e falhas de segurança, os hackers criaram um vasto conjunto de ferramentas para criar o caos no seu Mac, tendo a equipa do Malwarebytes Labs documentado as mais recentes versões aqui.

Prevenção de hacking

Se o seu computador, tablet ou telefone estiver na mira do hacker, envolva-o em múltiplas camadas de precauções.

Antes de tudo, descarregue um produto anti-malware (ou app para o telefone) fiável, que consiga detetar e neutralizar malware e bloquear as ligações a websites de phishing maliciosos. Naturalmente, se trabalhar com Windows, Android, Mac, um iPhone ou numa rede empresarial, recomendamos a proteção por camadas do Malwarebytes for Windows, Malwarebytes for Android, Malwarebytes for Mac, Malwarebytes for iOS e produtos Malwarebytes para empresas.

Em segundo lugar, descarregue apenas apps para telefone a partir de páginas de venda fidedignas, que se vigiam a si mesmas quanto à existência de apps com malware, como a Google Play e a Amazon Appstore. (Tenha em atenção que a política da Apple restringe os utilizadores de iPhones a transferências apenas a partir da App Store.) Mesmo assim, sempre que transferir uma aplicação, verifique primeiro as classificações e os comentários. Se tiver uma classificação baixa e um número de transferências reduzido, é melhor evitar essa aplicação.

Tenha em mente que nenhum banco ou sistema de pagamento online irá, alguma vez, solicitar-lhe por email as suas credenciais para início de sessão, o seu número da segurança social ou os números do cartão de crédito.

Quer esteja no seu telefone ou num computador, certifique-se de que o seu sistema operativo permanece atualizado. E atualize também todo o seu restante software residente.

Evite visitar websites inseguros e nunca descarregue anexos sem verificação, nem clique em links indicados em emails não familiares.

Todas as indicações acima são cuidados básicos e sempre uma boa ideia. Mas os vilões estão sempre à procura de uma nova forma de entrar no seu sistema. Se um hacker descobrir uma das palavras-passe que usa para múltiplos serviços, ele tem apps que conseguem violar as suas outras contas. Portanto, crie palavras-passe longas e complicadas, evitando usar a mesma para diferentes contas, e use, em vez disso, um gerador de palavras-passe. Lembre-se que o valor de uma única conta de email pirateada pode lançar o caos sobre si.