Quem é o Brasil na fila da primeira ciberguerra mundial?

Enquanto o mundo está se preparando para a terceira guerra mundial, a brasileirada já está empacotando as coisas enquanto (alguns) comemoram a possível ida de brasileiros pra guerra:

#TerceiraGuerraMundial
"só os homens vão para guerra"

mulheres: pic.twitter.com/5FQFpgBp2X

— Tay Indelicada😒 (@tayindelicada) January 4, 2020

O pessoal da informática, no entanto, especula sobre os possíveis ataques de (cyber)retaliação entre Irã e Estados Unidos. Sabemos que um dos casos mais famosos de hacking no mundo, o Stuxnet (um vírus de 500 kilobytes com um nome fofo, descoberto em 2010), atacou sistemas SCADA, que são padrão na gestão de sistemas domésticos de distribuição de energia, sendo responsável por um prejuízo sinistro ao programa nuclear do Irã.

Depois do habitual vazamento de documentos à imprensa, a desconfiança de que o Stuxnet tenha sido desenvolvido por um governo para sabotar países cresceu. Os profissionais envolvidos na descoberta do vírus detectaram, no próprio código e nos relatórios de campo, que o Stuxnet havia sido projetado para subverter sistemas da Siemens que operam centrífugas no programa de enriquecimento nuclear do Irã. Quase mil centrífugas se autodestruíram. Logo, geral entendeu que foi o primeiro ataque cibernético entre países no mundo moderno, presumidamente bancado por Israel e EUA, contra o Irã. 

Veja também:

• A neurociência não cabe mais nos laboratórios, e colonizar a mente virou a próxima fronteira
• Por que a privacidade é tão importante na internet?
• Empresa expõe impressão digital de 1 milhão de pessoas

O governo iraniano não tem necessariamente um exército de hackers oficial, mas, como outros governos pelo mundo, faz vista grossa quando lhe convém. E os hackers iranianos são mundialmente conhecidos por serem uma das maiores potências em termos de ameaça. Em 2011, foram capazes de lançar um ataque de "service denial", o famoso DDos, em quase quarenta e seis empresas americanas, incluindo AT&T e JPMorgan Chase, deixando serviços offline por quase 4 meses. Os hackers ainda conseguiram entrar em alguns dos maiores bancos dos Estados Unidos, causando milhares de dólares de prejuízo e impedindo clientes de acessarem suas contas. Um membro do mesmo grupo de hackers assumiu o controle dos sistemas que controlam uma barragem não muito longe da cidade de Nova York.

A coisa não é brinquedo. Um ataque cibernético pode ser mais danoso do que um ataque armado — e os países precisam estar preparados. Sem contar que o ataque mais perigoso já realizado a uma empresa supostamente foi executado pelos hackers iranianos: o ataque à Aramco, que deixou vários computadores offline, afetou significativamente a exploração de petróleo pela empresa. 

Mas… e o Brasil nisso tudo? Bem, em 2008, em decreto assinado pelo ex-presidente Luiz Inácio Lula da Silva, foi aprovada a Estrategia Nacional de Defesa. Ela estabelecia a cibersegurança como área prioritária para a defesa nacional, separando uma grana pra isso. Uma das frases que eu destaco do decreto:

"Independência nacional, alcançada pela capacitação tecnológica autônoma, inclusive nos estratégicos setores espacial, cibernético e nuclear. Não é independente quem não tem o domínio das tecnologias sensíveis, tanto para a defesa como para o desenvolvimento". Leia o pdf da estratégia completa aqui.

De lá pra cá algumas coisas aconteceram; outras, não. Em 2019, por exemplo, houve a criação da  Escola Nacional de Defesa Cibernética, chefiada por Paulo Sérgio Reis Filho, formado em Ciência da Computação (Ufa, não é as-tró-lo-go nem xoxo mídia!). Mas a verba para defesa cibernética do Brasil é ridícula, assim como a verba para pesquisa e ciência na área — tanto por parte do governo como por parte de empresas privadas. Menos de R$ 20 milhões foram destinados à cibersegurança no Brasil, quando o mínimo recomendado é R$ 60 milhões, pra começo de conversa.

Robert Muggah, diretor do Instituto de Pesquisa Igarapé e especialista amplamente citado em cidades, segurança e novas tecnologias, ressalta o crescente risco que a negligência na área representa para o Brasil, o sexto país mais populoso do mundo. Em termos de serviços, distribuição de água e energia elétrica, serviços de saúde e transporte, entre outros, são áreas críticas expostas ao ataque de hackers. 

Empresas de segurança reportam que o Brasil teria sofrido 15 bilhões (isso mesmo!) de ataques cibernéticos só nos últimos três meses. Ataques podem destruir não só a distribuição de serviços básicos públicos do Brasil, mas também serviços prestados por empresas e que são essenciais para população. Por exemplo: em São Paulo os bilhetes de transporte estão sendo substituídos por empresas com sistemas internacionais de cartões bancários. Se um ataque mundial acontecer, no mínimo todo mundo viaja de graça. 

Luca Belli, pesquisador da FGV e líder do projeto Cyberbrics, apresentou no encontro do ano de 2019 dos BRICS no Brasil (de que até falei por aqui) a necessidade de o Brasil atualizar suas regulações para proteger seus cidadãos e empresas. Para isso, teria que impulsionar sua área de pesquisa em cibersegurança e investimentos em… educação e formação de trabalhadores capacitados. O Brasil tem várias universidades com núcleos de pesquisa nessa área, com professores supercapacitados e reconhecidos internacionalmente, mas faltam recursos, como mostra esse artigo do professor Diego Aranha.

Com a balbúrdia feita em 2019 pelo MEC na liberação do orçamento para universidades e institutos federais, fica claro que cibersegurança não é prioridade do governo. Também não é prioridade para empresas brasileiras. Bancos e outras instituições que poderiam fazer parcerias com universidades para aprimorar seus sistemas de cibersegurança simplesmente não têm incentivo para investir em laboratórios, já que o cumprimento de leis que poderiam multar ou até mesmo responsabilizar essas entidades em caso de vazamento de dados simplesmente não existe, ou ningém realmente aplica o que está previsto na Lei Geral de Proteção de Dados, lei que foi proposta em meados de 2008 e só em 2018 foi assinada. Tal como no caso do rompimento de barragens no Brasil, as empresas ficam impunes, sem pagar indenização ou multa, enquanto lucram com extração de riquezas: sejam minérios ou dados pessoais. 

O Brasil não está mal de hacker. Há que se respeitar nossa prata da casa. Um dos documentos mais interessantes que li em 2019 foi um resumo da "Recorded Future", uma empresa que faz análise de informações sobre segurança online, sobre as comunidades brasileiras de hackers. Claro, como a área financeira (oi cartão de crédito + CPF público) é uma das mais visadas do mundo, não é à toa que nossos hackers blackhats são mais focados nesse tipo de instituição e em fraudes relacionadas ao setor. O relatório fala, por exemplo, que spam (email, SMS, e WhatsApp) ainda é um dos principais métodos de distribuição de malware e phishing no país. Quem sofre com isso é a população mais vulnerável, que tem os dados de INSS, por exemplo, vazados ou compartilhados de modo irresponsável. O relatório também explica que os cibercriminosos brasileiros não são intimidados pela autenticação de dois fatores (2FA) – uma vez que os protocolos de segurança pra SMS são menos rigososos no Brasil. Mais uma vez, as operadoras não têm incentivo nenhum pra melhorar os sistemas, e as fraudes continuam rolando sem incomodar muito (as empresas), pelo jeito. 

O Brasil figura mal no "National Cyber Security Index", um ranking global para avaliar a situação digital de países. O site tem uma ferramenta de comparação interessante, e o Brasil figura atrás de países como Índia, Rússia e China, e perto do Paquistão. 

Print da descrição do Brasil no índice

Pelo jeito, não temos nem poderio bélico nem visão de futuro na gestão do país. Com a falta de investimento em pesquisas e a falta de incentivo para que empresas melhorem sua segurança, o Brasil está muito vulnerável. Em caso de ataque cibernético do Irã ao Brasil, só vai ter banho quente quem tem painel solar em casa ou quem faz "gato". 

Até porque, quero ver alguém hackear isso aqui:

Imagem de fiação elétrica em São Paulo (Foto: Vitor Sá/Flickr)

Existe uma possibilidade de ataque que não está entristecendo tanta gente assim: um ataque aos bancos que poderia apagar os registros de débito de pessoas com pouco dinheiro em suas contas nos bancos. Ouvi esse boato ontem, em uma conversa com um amigo, sobre uma possibilidade meio Mr. Robot. Claro que seria terrível para o mundo e acabaria causando uma tremenda crise financeira – mas, ao mesmo tempo, seria um jeito de livrar várias pessoas de débitos escorchantes que restaram após empréstimos a juros moralmente errados. Vamos torcer pra que os iranianos sejam criativos – e não ataquem o Brasil.