Ataque chinês ao Google mostra vulnerabilidade das melhores defesas

Os recentes ataques de hackers ao poderoso Google fizeram com que todas as redes de empresas mundiais parecessem menos seguras. O confronto entre o Google e a China quanto à censura do governo em geral e ataques específicos aos sistemas da empresa - é um caso excepcional, evidentemente, e envolve direitos humanos e política internacional, bem como espionagem de alta tecnologia. Mas a intrusão nos computadores do Google e ataques semelhantes acontecidos na China contra mais de 30 outras empresas apontam para a crescente sofisticação dessas agressões, e para a vulnerabilidade até mesmo das melhores defesas, afirmam especialistas em segurança.

"O caso do Google ilumina com muita clareza o que pode ser realizado em termos de espionagem e invasão de redes empresariais", diz Edward Stroz, antigo agente do Serviço Federal de Investigações (FBI) na seção de combate a crimes de alta tecnologia e hoje diretor de uma empresa de investigações sobre segurança na computação, em Nova York.

A segurança dos computadores é uma competição cada vez mais intensa entre os agressores, ou vilões, e os defensores, ou mocinhos. Uma das principais ferramentas dos agressores são os softwares malévolos, conhecidos como malware, que evoluíram firmemente nos últimos anos. No passado, o malware incluía basicamente vírus e worms, pragas digitais que desaceleravam e ocasionalmente danificavam máquinas pessoais e redes.

Mas hoje o malware costuma ser mais sutil e seletivo, e a tomar por alvo as redes empresariais. E pode servir como ferramenta de espionagem industrial, transmitindo cópias digitais de segredos comerciais, listas de clientes, planos futuros e contratos.

Empresas e agências governamentais investem bilhões de dólares ao ano em software especializado para detectar e combater malware. Ainda assim, os vilões parecem estar conquistando superioridade.

Em uma pesquisa com 443 empresas e agências do governo, publicada no mês passado, o Instituto de Segurança na Computação constatou que 64% delas haviam sofrido infecções por malware, ante 50% no ano anterior. O prejuízo financeiro médio dessas violações de segurança foi de US$ 234 mil por organização.

"O malware é um grande problema, e está se tornando ainda maior", disse Robert Richardson, diretor do instituto, uma organização de pesquisa e treinamento. "E agora o jogo envolve principalmente a conquista de uma posição que permita espionar uma empresa".

Especialistas em segurança dizem que treinamento e conscientização de pessoal são uma defesa crucial. Muitas vezes, as infecções por malware ocorrem como resultado de variantes tecnológicas de trapaças mais antigas. Uma delas, por exemplo, envolveu pequenos drives USB deixados no estacionamento de uma empresa; os drives tinham o logo da companhia, e funcionários curiosos os apanharam e abriram em suas máquinas; o que viram ao abrir a tela foi um documento aparentemente inócuo, mas na realidade o drive continha um software capaz de recolher senhas e outras informações e enviá-las aos agressores, e esse software foi instalado nos computadores em que o drive foi aberto. Malware mais avançado pode permitir que alguém de fora tome o controle de um computador e, com ele, explore a rede da empresa.

Com essa abordagem, os hackers não precisam romper as defesas de uma rede, porque o funcionário, sem perceber, permitiu que entrassem.

Outra abordagem, a que foi usada nos ataques contra o Google, se assemelha aos chamados esquemas de phishing, ou seja, o envio de mensagens de e-mail que fingem ser do banco do destinatário ou outra instituição, e iludem a pessoa a fornecer senhas.

Os trapaceiros enviam esse tipo de mensagem a milhares de pessoas, na esperança de que algumas poucas caiam na esparrela. Mas a nova modalidade de phishing é dirigida a uma pessoa específica e parece vir de um amigo ou colega dentro da mesma empresa, o que torna a mensagem mais crível. Uma vez mais, um arquivo anexo instala software espíão, caso a mensagem seja aberta.

Outras técnicas de invasão de empresas envolvem explorar pontos fracos em sites ou em software para roteadores, e utilizar essas entradas para instalar malware.

Novos ataques e métodos de defesa
Para combater vazamentos de informações confidenciais, o software de segurança de redes procura anomalias em tráfico de redes ¿ grandes arquivos e ritmos acelerados de transmissão de dados, especialmente vindos de locais, na empresa, que abriguem informações confidenciais.

"Combater os crimes de computação requer equilibrar tecnologia e ciência comportamental, compreender a dimensão humana da ameaça", disse Stroz. "Não existe lei em nossos códigos que envie um computador para a cadeia".

Com os avanços nos celulares, surge um novo campo para o malware, e novas formas de exploração. Recentemente, especialistas em segurança começaram a encontrar malware que liga discretamente o microfone e câmera de um celular. "O programa faz do celular um aparelho de vigilância", disse Mark Rasch, consultor de segurança da computação em Bethesda, Maryland, e antigo promotor especializado em crimes da computação, no Departamento da Justiça.

Os celulares invadidos, diz Rasch, também podem oferecer importantes informações empresariais, porque os aparelhos conhecem a própria localização. O paradeiro de um celular que pertença a um executivo de banco de investimento que representa uma empresa em negociações de fusão, ele afirma, pode revelar pistas importantes a um rival na transação.

Os especialistas em segurança afirmam que a abordagem ideal é identificar cuidadosamente os dados e propriedades intelectuais mais valiosos de uma empresa e mantê-los em uma rede separada, sem conexão com a internet, deixando um "intervalo".

"Muitas vezes, a solução de segurança mais barata e melhor é trancar a porta e não se conectar", disse James Lichko, ex-funcionário do setor de segurança do governo norte-americano e hoje executivo da consultoria Cyber Security Professionals.

Algumas empresas vão mais longe e constroem "gaiolas de Faraday", a fim de abrigar seus computadores e dados mais importantes. As gaiolas tipicamente são uma estrutura metálica construída como parte das paredes, de modo a bloquear transmissões eletromagnéticas ou de celulares.

Empresas do setor de defesa e aerospacial, e algumas montadoras de automóveis, empregam gaiolas de Faraday, batizadas em homenagem ao cientista britânico Michael Faraday, que no século XIX criou esse tipo de estrutura para proteger aparelhos elétricos contra relâmpagos e outros choques.

Mas na era da internet, o isolacionismo é muitas vezes impraticável, para muitas empresas. Compartilhar informações e conhecimento com parceiros setoriais e clientes é visto como o caminho para uma maior flexibilidade e eficiência. O trabalho costuma ser realizado rotineiramente por múltiplas equipes em locais separados. Os profissionais precisam de acesso a dados vitais de suas empresas onde quer que estejam.

A maior parte dessa colaboração e comunicação é realizada via internet, o que agrava o risco de ataque externo. E a onipresença do acesso à internet dentro das empresas têm também os seus riscos. No caso de um suposto roubo de segredos industriais recentemente divulgado, um engenheiro de software no banco de investimento Goldman Sachs foi acusado, no ano passado, de roubar software exclusivo da empresa, para uso em transações de alta velocidade, pouco antes de trocar de emprego. O engenheiro, que se declara inocente, carregou o software em um servidor da Alemanha, informa a promotoria.

A complexidade do código de software de diferentes fornecedores, que se mistura em redes empresariais e em toda a internet, também abre as portas a defeitos de segurança que os criadores de malware exploram. Um dito muito repetido entre os especialistas em segurança computação é que "a soma das partes é o lodo".

Mas os especialistas afirmam que o problema vai muito além dos diferentes tipos de software que não interagem bem. Os produtos de software mesmos, afirmam, apresentam muitas vulnerabilidades ¿ milhares de falhas desse tipo são detectadas a cada ano pelo setor. Diversas delas, ao que parece, foram exploradas no recente ataque ao Google, que tinha por alvo último os dissidentes chineses; um desses problemas envolvia o navegador da Microsoft, o Internet Explorer.

A resposta de longo prazo, dizem alguns especialistas, está em colocar o software no caminho da maturidade, com padrões, responsabilidades definidas e responsabilidade judicial por lacunas de segurança, orientadas pelo governo ou um esforço enérgico de autorregulamentação.

Da mesma forma que o governo interferiu para forçar montadoras de carros a instalar cintos de segurança ou fábricas de aviões a reforçar a segurança, diz James Lewis, especialista em segurança da computação no Centro de Estudos Estratégicos e Internacionais. Chegou a hora do software, ele acredita.

Lewis, que foi consultor do governo Obama quanto a segurança de computação, no segundo trimestre do ano passado, lembra de ter servido em um conselho consultivo da Casa Branca, em 1996, para o estudo da proteção a redes públicas. Na época, ele recomendou que o governo não interferisse, presumindo que os incentivos de mercado aos participantes gerariam segurança na internet.

Hoje, Lewis afirma que estava errado. "É uma falha clássica do mercado ¿ o mercado não proveu segurança", disse. "Nossa economia agora depende de toda essa tecnologia fabulosa da internet, mas não está segura. Trata-se de questão que teremos de enfrentar".