Ele dedicou toda a sua vida a proteger a privacidade das pessoas online e na empresa F-Secure ele continua com esse trabalho. “Pode-se dizer de várias maneiras … que perdemos a batalha pela privacidade. Muitas pessoas não se lembram de como era o mundo antes da Internet. Para muitas pessoas, o Google ou a Wikipedia sempre estiveram lá. E é natural para eles usarem uma infinidade de serviços na Internet, introduzindo todos os tipos de dados e conteúdos. É assim que você paga na Internet. Fazer um vídeo custa dinheiro, mas pagamos por isso com nossos dados e privacidade ”, não explica a especialista da F-Secure, Miko Hypponen, no RootedCON 2017.
“Podemos ter perdido uma guerra contra a privacidade. Somos aquela geração de pessoas cuja vida pode ser traçada do início ao fim. Todos nós carregamos dispositivos de rastreamento. É muito fácil monitorar onde estamos e com quem nos comunicamos. É fácil saber que tipo de pessoa somos. O que nos interessa. E todos os dados são coletados. Os dados são o novo óleo. É assim e é por isso que falamos de agências de inteligência, mas também de empresas que coletam nossos dados. O Google ganhou 80 bilhões em 2016 … oferecendo serviços gratuitos ”.
Guerra assimétrica contra o crime cibernético
“Perdemos a batalha da privacidade e a batalha da segurança. No entanto, recuso-me a admitir que perdemos o último. Tudo o que fiz desde que comecei a estudar malware e engenharia reversa foi para esse propósito: lutar contra os bandidos. Contra aqueles que enviam malware, ataques de negação de serviço. Mas somos nós que temos o chapéu branco em comparação com os que temos o chapéu preto. Não nego que nosso trabalho seja complicado, porque os atacantes têm acesso às nossas defesas.
“A primeira coisa que eles aprendem é que tipo de segurança precisam quebrar. Esse é o ponto de partida de um invasor. E assim que sabem, decidem como entrar. Eles têm muito tempo para se preparar … e nós pouco para responder. Sempre ouvimos más notícias sobre segurança de computador, sobre ataques, vazamentos, ou sobre usuários fazendo coisas estúpidas, usando a mesma senha para tudo, abrindo links maliciosos. No entanto, onde estávamos há 10 anos? Houve grandes avanços na segurança. Uma década atrás, muitos usuários estavam usando o Windows xp que, por padrão, nem tinha um firewall.
“Em termos de segurança, percorremos um longo caminho. Estamos fazendo grandes avanços, mas, infelizmente, o inimigo também evolui com o tempo. Talvez tenha chegado a hora de encontrar o inimigo, entenda-o. Mas, como costuma acontecer, é mais fácil falar do que fazer. O usuário final não tem noção de quem está por trás dos ataques. Existem hacktivistas, criminosos, bonés brancos, governos, extremistas … existem todos os tipos de hackers. Temos pessoas como Charlie Miller e Chris Vallasek. Eles invadem porque querem melhorar a segurança. O Anonymus tem motivos para protestos políticos. Os criminosos querem ganhar dinheiro escrevendo vírus. E os governos também estão interessados nisso porque os ataques cibernéticos se somam a eles. São eficazes, não são caros e são inegáveis. É uma combinação perfeita quando você pensa do ponto de vista militar. Quando você tem uma arma barata, eficaz e inegável, você tem a combinação perfeita. É por isso que o momento de mudança começa agora ».
Uma nova corrida armamentista cibernética está começando
Estamos no início da próxima batalha armada. Vimos a corrida armamentista nuclear. Estamos agora no das armas cibernéticas. Já começou e vai ficar lá por anos. Levará décadas para falar sobre desarmamento cibernético. E do ponto de vista dos governos, não existem apenas os militares, mas também as forças de segurança. Se alguém tivesse me dito que a polícia teria vírus para infectar cidadãos, eu não teria acreditado, mas é verdade. Não tenho nenhum problema com governos usando tecnologias ofensivas para investigar crimes e caçar terroristas. Você tem que ir atrás deles no mundo físico e no mundo online. Mas se, como cidadãos, damos esse direito às forças de segurança, devemos pedir transparência. Esse poder cibernético ofensivo deve significar que as forças de segurança publicam estatísticas. Infectamos 200 computadores com malware e 150 eram de pessoas que eram más e foram condenadas. Mas também pode ser o oposto. Não há transparência e, portanto, não podemos tomar decisões sobre isso. Mas o maior grupo que ganha dinheiro com ataques são os criminosos. São pessoas que ganham muito e são perseguidas.
As últimas tendências do crime cibernético para ganhar dinheiro às suas custas
“Uma das últimas tendências do crime cibernético tem sido os cavalos de Tróia para roubar bitcoins e moedas digitais. Sabemos que as invenções são óbvias … quando são inventadas. Esses são os melhores. Graças à tecnologia blockchain, as transações podem ser realizadas automaticamente, sem a intervenção de ninguém. Bitcoin e blockchain não são ruins. Eles são bons como dinheiro. O problema é que os criminosos também querem o dinheiro, seja físico ou virtual. É difícil comprar cocaína com cartão de crédito. Mas com bitcoin é mais fácil. Para os criminosos, o bitcoin é como um presente do céu. É por isso que há tanto boom de Trojan. No momento, estamos acompanhando 110 grupos diferentes competindo pelas mesmas vítimas. E nem todos os grupos são da Rússia, também há alguns da Ucrânia.
Como eles procuram por suas vítimas? Primeiro, por meio de explorações que infectaram um computador ao abrir um link. Hoje, a forma mais comum é por meio de um documento do Word e um anexo de e-mail. Isso começou a ser feito em 2008 por meio da macro. E agora está de volta. Portanto, quem pode receber mais ataques são os departamentos de recursos humanos que recebem currículos infectados com links para expandir suas informações. A Microsoft tem que mudar o nome do botão em vez de habilitar o conteúdo, ele teria que dizer ‘infectar meu sistema’ “- risos do público-.
O vírus de computador que 'perdoa' se infectar dois amigos
«Houve até um ransomware - o software que sequestra um computador criptografando suas informações - que pede $ 1.300, mas você pode se salvar infectando duas outras máquinas. Você tem que infectar duas pessoas que acabam pagando a recompensa do ransomware. É a pipoca. Cada vítima tem um url único, portanto, se você enviá-lo para o Facebook, muitas pessoas serão infectadas. Ele é muito criativo e meu inteligente. Vamos voltar para esses caras depois do ransomware. "
O ciberataque contra o LinkedIN tornou o cibercriminoso que o fez um milionário
«Houve um hack do LinkedIN em 2012 e se você estivesse nele…. eles roubaram suas chaves. Então, se você tivesse uma conta nessa rede social, ela foi roubada por um cibercriminoso que agora todo mundo conhece - ele mostrou sua foto. Eu fui uma de suas vítimas. Ele ainda não recebeu a sentença, embora tenha sido detido durante as férias em Praga com sua namorada e espera ser extraditado para os Estados Unidos. O que isso tem a ver com o roubo de 130 milhões de senhas? Bem, outros cibercriminosos viriam até eles. Quanto você pode ganhar vendendo senhas? Não sei. Mas assistindo a algum vídeo no YouTube podemos ter uma ideia. Fale sobre suas férias com carros superesportivos como o Audi R8 e o Lamborghini Hurracane. Além disso, vê-se que ele tem uma Mercedes, um Aston Martin, um Porsche, um Rolex e um Rolls Royce. Quanto ele ganhou? Bem, não sei, mas chega ».
«Se você conseguir essas chaves, poderá acessar 1,3 milhão de contas do Gmail. Porque todos eles têm a mesma senha de linkedIN. Pedimos e 50% dos usuários usam a mesma senha em todos os sites. É muito estúpido. Assim, quando entram no Gmail, procuram e-mails antigos. O Gmail nunca os exclui e eles procuram um tipo específico. Os que você recebe ao se registrar em uma loja na Internet, como a Amazon. Assim, eles sabem que você tem uma conta com este endereço de e-mail, por exemplo, Amazon. E se sua senha não funcionar, não importa. Porque todas as páginas de login têm um botão mágico "Esqueci minha senha" e como eles têm acesso ao Gmail … bem, eles acessam. Depois de acessar o Gmail, eles têm acesso a tudo. Eles podem comprar Xbox, Palystation e você vai pagar por isso ».
A temida Internet das Coisas
«Outro grande desafio em nossas mãos é o futuro brilhante da Internet das Coisas e do ICS, o sistema de controle industrial. Assim, ele mostrou uma reação nuclear ocorrendo em uma piscina. Por que estou mostrando este vídeo? Bem, porque é um exemplo de controle industrial. Este reator é controlado por um PLC, um robô programável. Todas as infraestruturas são gerenciadas por computadores e software. Você tem que ser claro sobre isso. Somos da segurança de computadores e durante anos pensei que tinha que proteger computadores. Mas agora não sei. Nosso trabalho não é proteger os computadores…. Consiste em dar segurança a toda a sociedade. É hora de mudar a maneira como você vê o mundo. E há tantas coisas e se fala de tantas coisas sobre os riscos de IOT e ICS e a primeira é que essas coisas se conectam à Internet mesmo que não precisem se conectar. Essas coisas permitem acesso ao que está por trás. Existem muitos sistemas de fábrica que se conectam à Internet por engano.
Mostrou assim um crematório online, quartos vistos por câmeras de segurança … «Um amigo meu encontra coisas como um barco conectado sem senha. Também cortinas e persianas. E meu amigo diz que quando se pode abrir e fechar cortinas na internet, isso significa que a internet das coisas não está no futuro. Está aqui. E eles são vetores. Você pode acessar uma lâmpada que permite alcançar outros sistemas. Você coloca uma cafeteira com wi-fi e ela se torna o elo mais fraco da cadeia e um dia você acorda e tem todos os seus computadores criptografados. O que fazer? "Nunca use um dispositivo sem colocar senhas fortes."
“O malware Mirai infectou 120 milhões de dispositivos IOT, mas seus proprietários não se importaram. Nós conversamos com eles. Sua câmera de segurança foi hackeada … e eles responderam sim, que legal? Mas funciona bem. Se funcionar, as pessoas não se importam se for usado para um ataque. E o mais triste é que era com poucas senhas que todos os aparelhos usavam. E também usavam o Telnet - um sistema dos anos 80 - porque não era criptografado ».
Os dispositivos eletrônicos devem ser regulamentados: se eles não forem seguros, você deve poder reivindicar
“É preciso investir em segurança. Regulamos a segurança física e a segurança online deve ser regulamentada. Não estou falando de um que estabelece regulamentos sobre eletrodomésticos. Mas é preciso regular que o fabricante seja processado pelos problemas que cria. Se você tem uma máquina de lavar com um curto-circuito, é preciso consertar. E se você não pode processá-la e isso deve ser alcançado no mundo cibernético. Que você pode processar por violação de segurança.
Chegou a hora das armas cibernéticas e do desarmamento cibernético
«Já falei dos governos e dos seus hackeamentos. Temos um assento na primeira fila no desdobramento de ataques contra os EUA nas eleições presidenciais. A Rússia tentou influenciar o resultado das eleições da maior potência mundial. Houve uma entrevista no Bloomber com Putin vários meses antes, mas já era conhecida. Então, eles perguntaram a ele, quem hackeava os democratas? Isso realmente importa? O importante é o conteúdo dos emails. Não distraia o público sobre quem o fez. Isso é guerra cibernética? Não".
Soldados ucranianos mortos depois que seu celular foi infectado … e sendo posicionado em posição geográfica
Mas dois meses atrás, soldados ucranianos viram seus telefones infectados com malware, eles foram posicionados e a artilharia os esmagou. Falo da névoa da guerra cibernética. Essa corrida armamentista em um país específico, você pode saber quantos tanques um país tem…. Mas em cibercapacidas não faço ideia. Sabemos que os EUA são bons, que mais dinheiro foi investido por mais tempo para montar capacidades de defesa cibernética, que Israel, Rússia, China são muito bons. Mas então tudo é muito nebuloso, qual é a capacidade ofensiva cibernética da Suécia? Espanha? Vietnã? Nem idéia. Essa é a nebulosa da guerra cibernética. É por isso que é muito diferente da corrida pelas armas nucleares. Seu poder não estava em seu uso, mas em sua capacidade de criar medo. Hiroshima e Nagasaki foram exemplos claros. Não se trata de usá-lo, mas de mostrar que você os possui. Todo mundo sabe que quando um país tem essa arma ninguém mexe com ela.
Com a nebulosa da guerra cibernética, ninguém sabe de nada. O poder das armas cibernéticas não está em desacordo. É por isso que os vemos. O stuxnet e o hackeamento da rede elétrica na Ucrânia em 2015 ou os soldados ucranianos que morreram no campo de batalha em 2016.
O poder das armas cibernéticas está em seu uso. Armas cibernéticas estão facilmente disponíveis e têm muito poder. O Stuxnet não poderia ser alcançado com capacidade militar pura. Se se tratasse de atrasar o programa nuclear iraniano, o país poderia ser invadido a um custo alto, também em vidas, ou a usina poderia ser bombardeada. Ou você pode escrever stuxnet que custou um milhão. E custou o mesmo que uma saída B52. Mas, ao contrário deste, não é visível.
Os hackers não defendem mais os computadores … agora eles defendem o mundo
«Este é o mundo em que vivemos hoje. Somos todos seguranças. Pensamos que nosso trabalho é dar segurança aos computadores. Mas já não. Agora este trabalho daqui para a frente é dar segurança à sociedade e temos que levar muito a sério porque temos uma grande responsabilidade, mais do que pensamos muito porque somos nós que defendemos a nossa sociedade ».
Você pode ver mais artigos como este no OneMagazine.