O PROBLEMA MALWARE

"Um cadeado fácil de abrir

Caso do Google na China revela crescentes falhas de segurança

Os recentes ataques digitais ao poderoso Google fizeram todas as redes corporativas parecerem um pouco menos seguras.

O confronto do Google com a China -por causa da censura do governo em geral e de ataques específicos aos seus sistemas- é um caso excepcional, claro, estendendo-se aos direitos humanos e à política internacional, além da espionagem tecnológica. Mas a intrusão nos computadores do Google e os ataques correlatos de dentro da China a cerca de 30 outras empresas apontam para a crescente sofisticação nesse tipo de ação e para a vulnerabilidade até das melhores defesas, segundo especialistas.

"O caso do Google lança uma luz brilhante sobre o que se pode fazer em termos de espionagem e intrusão em redes corporativas", disse Edward Stroz, ex-agente do FBI especializado em crimes digitais, hoje diretor de uma empresa de segurança da informática em Nova York.

MALWARE

A segurança digital é uma competição em contínua escalada entre os chamados agressores "black-hat" e os defensores "white-hat". Uma das principais ferramentas dos agressores é o software malicioso, ou malware, que tem evoluído constantemente nos últimos anos. O malware deixou de ser apenas vírus ou worms, que interferem e às vezes danificam computadores pessoais e redes.

Hoje, o malware é provavelmente mais sutil e seletivo, aninhando-se em redes corporativas. E ele pode ser uma ferramenta para a espionagem industrial, transmitindo cópias digitais de segredos comerciais, listas de clientes, planos e contratos.

Empresas e órgãos públicos gastam bilhões de dólares por ano em softwares destinados a detectar e combater malwares. Mesmo assim, os "black-hats" parecem estar à frente.
Numa pesquisa com 443 empresas e órgãos públicos divulgada no mês passado, o Instituto da Segurança de Computadores dos EUA concluiu que 64% delas relatavam malwares. No ano anterior, eram 50%.

O prejuízo com isso foi em média de US$ 234 mil por organização. "O malware é um enorme problema que está ficando maior", disse Robert Richardson, diretor do instituto.

Especialistas afirmam que a conscientização e o treinamento dos funcionários são uma defesa crucial. Muitas vezes, as infecções por malwares são resultado de alterações de alta tecnologia em velhos golpes.

Um deles, por exemplo, envolve um pen drive com o logotipo da empresa, deixado no estacionamento da sede. Empregados curiosos o pegam, o colocam nos seus computadores e abrem o que parece ser um documento inócuo. Na verdade, ele instala um software que recolhe senhas e outras informações confidenciais e as envia ao agressor. Um malware mais avançado pode permitir que um estranho domine completamente o PC.

Outra abordagem, usada nos ataques ao Google, é uma variação do chamado "phishing", em que um e-mail que diz ser de um banco ou outra instituição induz a pessoa a informar senhas. Os golpistas enviam essas mensagens a milhares de pessoas, na esperança de laçar algumas. Mas, com o chamado "spear phishing" ("phishing de arpão"), o e-mail falso é enviado a uma pessoa específica e parece vir de um amigo ou colega de dentro da empresa, tornando-o mais crível. Novamente, um arquivo anexado, quando aberto, aciona o software espião.

Outras técnicas para invadir empresas envolvem a exploração de fraquezas no site ou no software de roteamento de rede.

Para combater o vazamento de dados confidenciais, os softwares de segurança de rede buscam anomalias no tráfego -grandes arquivos e taxas rápidas de transmissão de dados, especialmente vindo de locais corporativos.

"Lutar contra o crime informático é um equilíbrio entre tecnologia e ciência comportamental, entender a dimensão humana da ameaça", disse Stroz. "Não há lei nos livros que jamais irá jogar um computador na cadeia."

Conforme os celulares se tornam mais poderosos, eles oferecem um novo terreno para a exploração do malware. Recentemente, os especialistas em segurança começaram a ver malwares que ligam subrepticiamente o microfone ou a câmera do celular. "Ele transforma um 'smartphone' em um dispositivo de vigilância", disse Mark Rasch, consultor de segurança digital.

Especialistas dizem que a abordagem ideal é identificar cuidadosamente a propriedade intelectual e os dados mais valiosos de uma empresa e colocá-los em uma rede separada, sem ligação com a internet.

"Às vezes a solução de segurança melhor e mais barata é trancar a porta e não se conectar", disse James Litchko, ex-funcionário governamental da área de segurança, hoje gerente da consultoria Cyber Security Professionals.

Mas, na era da internet, o isolamento costuma ser uma abordagem nada prática. Compartilhar informações e conhecimento com parceiros e clientes é considerado o caminho à flexibilidade e eficiência empresarial.

O trabalho é rotineiramente feito por equipes espalhadas. Profissionais móveis querem ter os dados vitais da empresa acessíveis onde quer que eles estejam. A maior parte dessa colaboração e comunicação é feita pela web, aumentando o risco de ataques externos.

A complexidade do código de software de diferentes fornecedores, inserido em redes corporativas e na internet, também abre as portas para fraquezas de segurança. Os especialistas em segurança digital dizem com ironia que "a soma das partes é um buraco".

Segundo eles, os próprios softwares estão repletos de vulnerabilidades. A reposta de longo prazo, garantem alguns especialistas, é colocar o setor do software num caminho em que se torne uma indústria madura, com padrões, obrigações definidas e responsabilidades por falhas de segurança, guiada por uma autorregulamentação rigorosa ou pelo governo.

"É uma clássica falha do mercado -o mercado não ofereceu segurança", disse James Lewis, especialista do Centro de Estudos Estratégicos e Internacionais. "Nossa economia se tornou dependente da internet, mas [a rede] não é segura. E essa é uma questão com a qual teremos de lutar."

FONTE: reportagem de STEVE LOHR publicada no The New York Times e reproduzida hoje (25/01) na Folha de São Paulo.