Blog

Desde que o site Intercept começou a publicar as mensagens trocadas pelo ministro da Justiça Sergio Moro, quando ainda era juiz, com os procuradores da força-tarefa da Lava Jato, a segurança cibernética virou motivo de preocupação -- surgiu todo tipo de hipótese de como os envolvidos poderiam ter se protegido.

Ainda que atuando como funcionários públicos, os envolvidos provavelmente tiveram seus celulares pessoais invadidos por algum hacker, que obtiveram as conversas mantidas pelo Telegram. Entretanto, os vazamentos de informação viraram também um problema crescente para a administração pública federal. Esse tipo de incidente cresceu pouco mais de 19 vezes em seis anos e virou o segundo maior tipo de ataque sofrido pelos sistemas do governo federal.

Relatório divulgado recentemente pelo Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), subordinado ao Gabinete de Segurança Institucional (GSI), mostra que 20.566 eventos que comprometiam a segurança digital de órgãos federais foram reportados em 2018. Destes, 9.981 foram confirmados.

Os golpes mais comuns foram:

• Abuso de site - 26,23%: ocorre quando um site federal é desfigurado por algum hacker ou tem seus códigos expostos;
• Vazamento de dados - 20,04%: ocorre quando alguma informação fica acessível ao público, seja por ter sido mal protegida ou algum hacker ter tido acesso a ela após explorar alguma falha de segurança;
• Fraude - 15,95%: ocorre quando algum serviço malicioso tenta se passar por um original para enganar algum funcionário federal - é o famoso phishing;
• Indisponibilidade de site - 14,12%;
• Scan - 7,91%: ocorre quando alguém acessa sem autorização sistemas federais para verificar se há alguma vulnerabilidade que pode ser explorada depois;
• Vulnerabilidade DDoS - 7,46%: são os ataques de negação, em que um sistema é bombardeado com diversas requisições de acesso; o intuito é fazer com que o servidor não dê conta e saia do ar;
• Malware - 4,19%: é a inserção de algum código malicioso dentro dos sistemas federais - são os famosos vírus de computador;
• Outros - 7,91%.

Os ataques relacionados a sites federais são campeões históricos dos incidentes cibernéticos. Só que os vazamentos de dados não eram tão comuns em 2013, data das mais antigas estatísticas detalhadas disponibilizadas pelo GSI em seu site.

Se, em 2018, foram registrados cerca de 2.000 incidentes em que informações de órgãos federais acabaram vindo a público, em 2013, foram apenas 105 eventos desse tipo.

O CTIR Gov não dá detalhes de como os incidentes ocorreram, quais órgãos afetaram nem se dados pessoais de cidadãos brasileiros foram vazados. Apenas informa a quantidade total de eventos. O UOL Tecnologia contatou o GSI e atualizará este texto assim que a resposta chegar.

Ainda assim, é possível ter ideia de como nascem esses vazamentos e da dimensão do estrago que a extração de dados sem autorização de bases do governo federal pode ter.

Em abril deste ano, um hacker vazou as informações pessoais de 2,4 milhões de usuários do Sistema Único de Saúde (SUS). Estavam no pacote nome completo das pessoas, nome da mãe, endereços, número de CPF e datas de nascimento.

Em contato com o UOL Tecnologia, o hacker responsável afirmou que só tomou essa atitude porque avisara o Ministério da Saúde sobre uma falha de segurança em seus sistemas e não foi ouvido.

Especialistas ouvidos pelo UOL Tecnologia explicam que os usuários não poderiam ter feito nada para se prevenir, já que o problema foi no servidor de dados do SUS. O máximo que podem fazer é alterar senhas e monitorar contas.

Segundo Martin Hron, pesquisador de segurança sênior da Avast, o fornecedor do sistema do SUS deveria ter feito mais atualizações de segurança, incluindo a criptografia da comunicação e algumas bastante básicas, como a mudança de HTTP para HTTPS.

Para Cecília Pastorino, pesquisadora de segurança da ESET, faltou uma auditoria de segurança, que poderia ter evitado a brecha. Nelas, especialistas vasculham o sistema por vulnerabilidades, tentam explorá-las e medem o impacto de cada uma delas.

Hron explica que esses dados podem ser usados "para tentar hackear outras contas, para chantagem ou roubo de identidade".