Em inglês na Wired: The Worst Hacks of the Decade
Foram 10 anos difíceis em cibersegurança – e só está piorando.
Na última década, hackear tornou-se menos uma novidade e mais um fato da vida de bilhões de pessoas em todo o mundo. Pessoas comuns perderam o controle de seus dados, enfrentaram vigilância invasiva de regimes repressivos, tiveram suas identidades roubadas, perceberam que um estranho estava à espreita em sua conta Netflix, lidaram com blecautes da Internet impostos pelo governo ou, pela primeira vez, literalmente se viram pegos no meio de uma guerra cibernética destrutiva.
Há décadas era previsível que um mundo cada vez mais informatizado inevitavelmente convidaria ameaças digitais constantes. Mas a evolução real do hackeamento – com todos os seus golpes, mercados negros criminosos e forças patrocinadas pelo Estado – tem sido caracteristicamente humana, não um artefato estéril e desapaixonado de um futuro desconhecido. Aqui em ordem cronológica estão as violações de dados e ataques digitais que ajudaram a moldar a década. Dê um passeio cheio de ansiedade pela estrada da memória – e se cuide lá fora.
Stuxnet
O Stuxnet foi o primeiro malware a causar danos físicos a equipamentos, cruzando uma linha muito temida. Criado pelo governo dos Estados Unidos e Israel, o worm foi usado em 2010 para destruir centrífugas em uma instalação iraniana de enriquecimento nuclear. O Stuxnet interconectou quatro chamadas vulnerabilidades de dia zero (zero-day exploits) juntas para primeiro atingir o Microsoft Windows e, em seguida, procurar um software de controle industrial chamado Siemens Step7 na rede comprometida. A partir daí, o Stuxnet manipulou os controladores lógicos programáveis que automatizam os processos industriais. Embora o Stuxnet tenha atingido o programa nuclear iraniano, ele também poderia ter sido usado em outros ambientes industriais.
Shamoon
Shamoon é um “limpador” para Windows que indexa e carrega os arquivos de um computador-alvo para o do atacante, depois limpa os dados e destrói o “registro mestre de inicialização” do computador-alvo, que o primeiro setor fundamental do disco rígido de um computador. O Shamoon pode se espalhar através de uma rede e foi famoso em um ataque destrutivo em agosto de 2012 contra a companhia de petróleo da Arábia Saudita Saudi Aramco. Basicamente destruiu 30.000 computadores. Alguns dias depois, Shamoon atingiu a empresa RasGas, do Catar.
O Shamoon foi desenvolvido por hackers iranianos apoiados pelo Estado, aparentemente inspirando-se em ferramentas ofensivas de hackers criadas pela Agência de Segurança Nacional (EUA), incluindo o Stuxnet e as ferramentas de espionagem Flame e Duqu. Uma versão evoluída do Shamoon ressurgiu em uma série de ataques durante 2017 e 2018. O worm é significativo por ser um dos primeiros usados em ataques de Estados nacionais que foram criados para destruição de dados e para tornar inoperantes os dispositivos infectados.
Sony Hack
Em 24 de novembro de 2014, um esqueleto vermelho apareceu nas telas dos computadores nas operações da Sony Pictures Entertainment nos Estados Unidos. Os hackers que se autodenominavam “Guardiões da Paz” haviam se infiltrado nas redes da empresa e alegavam ter roubado 100 terabytes de dados. Mais tarde, eles jogaram centenas de gigabytes, incluindo filmes inéditos da Sony, e-mails, e-mails internos, detalhes sobre remuneração de atores e informações sobre funcionários, como salários, avaliações de desempenho, dados médicos sensíveis e números de Seguro Social. Os atacantes causaram estragos nos sistemas da Sony, não apenas roubando dados, mas liberando um malware limpador para excluir arquivos e configurações, para que a Sony tivesse que reconstruir grandes partes de sua infraestrutura digital do zero. O hackeamento acabou sendo revelado como obra do governo norte-coreano, provavelmente em retaliação pelo lançamento de The Interview, uma comédia sobre o assassinato de Kim Jong-un.
Violação do Escritório de Gestão de Pessoas (EUA)
Uma das violações de dados mais insidiosas e importantes da década é a violação do Office of Personnel Management, que era realmente uma série de violações e infecções orquestradas pela China durante 2013 e 2014. O OPM é o departamento administrativo e de recursos humanos dos funcionários do governo dos EUA e armazena uma grande quantidade de dados muito confidenciais, porque gerencia liberações de segurança, realiza verificações de antecedentes e mantém registros de todos os funcionários federais anteriores e atuais. Para hackers que buscam informações sobre o governo federal dos EUA, esse é um tesouro inigualável.
Os hackers vinculados ao governo chinês entraram na rede da OPM duas vezes, primeiro roubando os projetos técnicos da rede em 2013 e iniciando um segundo ataque logo depois, no qual obtiveram o controle do servidor administrativo que gerenciava a autenticação para todos os outros logins do servidor. Em outras palavras, quando o OPM percebeu o que de fato havia acontecido e agiu para remover os invasores em 2015, os hackers já haviam conseguido roubar dezenas de milhões de registros detalhados sobre todos os aspectos da vida dos funcionários federais, incluindo 21,5 milhões de números do Seguro Social e 5,6 milhões de registros de impressões digitais. Em alguns casos, as vítimas não eram nem funcionários federais, mas estavam simplesmente ligadas de alguma forma a funcionários do governo que haviam sido submetidos a verificações de antecedentes. (Essas verificações incluem todos os tipos de informações extremamente específicas, como mapas da família, amigos, associados e filhos de uma pessoa.)
Os dados roubados do OPM nunca circularam online ou apareceram no mercado negro, provavelmente porque foram roubados por seu valor de inteligência e não por seu valor criminal. Os relatórios indicaram que os operadores chineses podem ter usado as informações para complementar um banco de dados catalogando os cidadãos dos EUA e a atividade do governo.
Blecautes Ucranianos
Dois momentos cruciais da década ocorreram em dezembro de 2015 e 2016, quando a Rússia, já em guerra física com a Ucrânia, lançou dois ataques digitais contra a rede elétrica que causou dois apagões muito sérios. Ambos os ataques foram orquestrados pelo grupo de hackers do governo russo Sandworm, conhecido por suas campanhas agressivas. O primeiro apagão foi causado por um conjunto de malware, incluindo uma ferramenta chamada BlackEnergy, que permitia aos hackers roubar credenciais e obter acesso para desativar manualmente os disjuntores. O segundo visava uma única estação de transmissão com um malware mais evoluído, conhecido como Crash Override ou Industroyer. Nesse ataque, os hackers poderiam manipular diretamente os sistemas que controlam os fluxos de energia, em vez de ter que usar artimanhas como no primeiro ataque à rede. O segundo ataque que causou blecaute foi planejado para destruir fisicamente equipamentos, resultando em danos duradouros se tivesse ocorrido conforme planejado. Um pequeno erro técnico, no entanto, resultou que o apagão durou apenas cerca de uma hora.
Embora os blecautes induzidos por hackers tenham sido um pesadelos imaginado há décadas, o Sandworm foi o primeiro grupo de hackers a realmente lançar ataques de rede disruptivos no mundo físico. Ao fazer isso, a Rússia também demonstrou que não estava apenas travando uma guerra cinética com a Ucrânia, mas uma guerra cibernética avançada.
Shadow Brokers
Um grupo que se autodenominava Shadow Brokers apareceu pela primeira vez em agosto de 2016, publicando uma amostra de ferramentas de espionagem que alegou terem sido roubadas do Equation Group da Agência de Segurança Nacional (EUA), um grupo de elite de hackers focado em espionagem internacional. Mas em abril de 2017, o grupo lançou outro conjunto mais extenso de ferramentas da NSA que incluíam uma exploração do Microsoft Windows conhecida como “EternalBlue”.
Essa ferramenta tira proveito de uma vulnerabilidade no protocolo de compartilhamento de arquivos Server Message Block da Microsoft, presente em praticamente todos os sistemas operacionais Windows da época. A Microsoft lançou um patch para a falha, a pedido da NSA, apenas algumas semanas antes dos Shadow Brokers tornarem o EternalBlue público, mas os usuários do Windows – incluindo grandes instituições – demoraram a adotá-lo. Isso abriu as portas para um ataque de hackers relacionados ao Eternal Blue em todo o mundo.
O primeiro exemplo de destaque é o ransomware malformado conhecido como WannaCry, que usou o EternalBlue para varrer o mundo em 12 de maio de 2017. Construído por hackers norte-coreanos patrocinados pelo Estado aparentemente para gerar receita e causar algum caos, o ransomware atingiu serviços públicos e grandes empresas, principalmente na Europa e no Reino Unido. Por exemplo, o WannaCry atrapalhou hospitais e instalações do Serviço Nacional de Saúde no Reino Unido, impactando as salas de emergência, procedimentos médicos e atendimento geral ao paciente.
Os pesquisadores suspeitam que o WannaCry foi um tipo de experimento que escapou do laboratório – um malware que os hackers norte-coreanos ainda estavam desenvolvendo quando perderam o controle. Isso ocorre porque o ransomware possui grandes falhas de design, incluindo um mecanismo que especialistas em segurança foram capazes de usar como um interruptor para impedir a disseminação do WannaCry. O ransomware gerou apenas cerca de 52 bitcoins para os norte-coreanos, que valiam menos de US $ 100.000 na época e cerca de US $ 369.000 atualmente.
O vazamento do Eternal Blue e sua subsequente exploração em massa alimentaram o debate sobre se as agências de inteligência e as forças armadas dos EUA deveriam acumular conhecimento das principais vulnerabilidades de software e como explorá-las, para fins de espionagem e ataques ofensivos. Atualmente, a comunidade de inteligência usa uma estrutura chamada “Processo de Equidades de vulnerabilidade” (Vulnerability Equities Process) para avaliar quais bugs são de importância suficientemente grande para a segurança nacional e devem permanecer secretos e sem patches. Mas alguns argumentam que esse mecanismo de supervisão não é adequado, dado o péssimo histórico do governo dos EUA em garantir a segurança dessas ferramentas e a ameaça de outro incidente do tipo WannaCry.
Hackeamento das eleições presidenciais de 2016 nos EUA
Os hackers russos não passaram a última década apenas aterrorizando a Ucrânia. Eles também lançaram uma série de campanhas de desinformação e vazamento de dados desestabilizadores contra os Estados Unidos durante a temporada de campanha das eleições presidenciais de 2016. Dois grupos de hackers russos conhecidos como APT 28 ou Fancy Bear e APT 29 ou Cozy Bear realizaram campanhas maciças de desinformação de mídia social, usaram ataques de phishing por email para violar o Comitê Nacional Democrata e vazaram publicamente a correspondência embaraçosa da organização e se infiltraram na conta de email de John Podesta, chefe da campanha de Hillary Clinton. Operadores russos vazaram os dados roubados através da plataforma anônima WikiLeaks, alimentando controvérsia no momento em que os eleitores dos Estados Unidos formavam suas opiniões sobre em quem poderiam votar no dia da eleição. Os hackers russos também se intrometeram nas eleições presidenciais francesas em 2017.
A Rússia está longe de ser o único país a tentar promover seus interesses por meio de interferência eleitoral. Mas o país foi talvez o mais descarado de todos os tempos e escolheu um alvo de alto nível, concentrando-se nos EUA em 2016.
NotPetya
Em 27 de junho de 2017, uma onda do que parecia ser um ransomware se espalhou pelo mundo. Porém, o NotPetya, como seria chamado, não foi um ataque de ransomware – foi um malware destrutivo criado para bloquear computadores, devastar redes e criar o caos. O NotPetya foi desenvolvido pelo grupo russo de hackers Sandworm, aparentemente para atingir a Ucrânia. Os danos na Ucrânia foram extensos, mas o malware se mostrou muito virulento e se espalhou pelo mundo, atingindo empresas multinacionais, inclusive na Rússia. No total, o governo dos EUA estima que o NotPetya resultou em pelo menos US $ 10 bilhões em danos, interrompendo empresas farmacêuticas, transporte marítimo, empresas de energia, aeroportos, transporte público e até serviços médicos na Ucrânia e em todo o mundo. Foi o ataque cibernético mais caro de todos os tempos.
NotPetya foi o que pode ser chamado de ataque à cadeia de suprimentos. Os hackers espalharam o malware pelo mundo comprometendo as atualizações do sistema do onipresente software de contabilidade ucraniano MeDoc. Quando usuários regulares do MeDoc executavam uma atualização de software, eles inadvertidamente baixavam o NotPetya também. Além de tornar visível o perigo crítico de danos colaterais na guerra cibernética, o NotPetya também ressaltou a ameaça real de ataques à cadeia de suprimentos, especialmente em software.
Equifax
Embora tenha chegado relativamente tarde na década, a enorme violação de 2017 da empresa de monitoramento de crédito Equifax é a mãe de todas as violações de dados corporativos, tanto por sua escala e gravidade, quanto porque a Equifax lidou com a situação tão mal. O incidente expôs as informações pessoais de 147,9 milhões de pessoas – os dados incluíam datas de nascimento, endereços, alguns números de carteira de motorista, cerca de 209.000 números de cartão de crédito e números de Seguro Social – o que significa que quase metade da população dos EUA teve potencialmente exposto seu identificador secreto crucial.
A Equifax divulgou a violação no início de setembro de 2017 e, ao fazê-lo, desencadeou outra série de eventos infelizes. O site informativo que a empresa montou para as vítimas era vulnerável a ataques e solicitou que os últimos seis dígitos dos números de previdência social das pessoas para verificar se seus dados foram afetados pela violação. Isso significava que a Equifax estava pedindo aos estadunidenses que confiassem neles com seus dados novamente. A Equifax também transformou sua página de resposta a violações em um site independente, em vez de fazer parte de seu domínio corporativo principal – uma decisão que convidava a cosntrução de sites de impostores e tentativas agressivas de phishing. A conta oficial do Equifax no Twitter twittou por engano um link de phishing em particular quatro vezes. Quatro vezes! Felizmente, o link era uma página de pesquisa de prova de conceito, não um site malicioso real. Desde então, houve inúmeras indicações de que a Equifax possuía uma cultura de segurança perigosamente negligente e falta de procedimentos resposta preparados.
Embora tenha sido notavelmente grave, a violação do Equifax é apenas uma de uma longa linha de violações problemáticas de dados corporativos que assolaram os últimos 10 anos. A violação da Target no final de 2013 que comprometia os dados de 40 milhões de clientes agora parece um ponto de virada na conscientização geral sobre dados em risco. Logo depois, as empresas Neiman Marcus e Michaels anunciaram grandes violações de dados de clientes em 2014. Em setembro do mesmo ano, a Home Depot também foi violada, expondo informações de aproximadamente 56 milhões de cartões de crédito e débito de clientes.
E, em julho de 2015, os hackers violaram o Ashley Madison, um site que existe especificamente para facilitar casos e encontros extraconjugais. Em um mês, os hackers haviam postado quase 10 gigabytes de dados roubados no site, que continham detalhes do cartão de pagamento e da conta de aproximadamente 32 milhões de usuários da Ashley Madison. Essa informação incluía detalhes sobre preferências e orientações sexuais. Para os usuários que digitaram seu nome real – ou um pseudônimo reconhecível – no site, o conjunto de dados simplesmente revelou o fato de que eles tinham uma conta na Ashley Madison, além de vincular informações pessoais a eles. Embora a violação tenha gerado muitas manchetes durante o verão de 2015, também teve grandes consequências para os usuários do site.
Aadhaar
O banco de dados de identificação governamental Aadhaar armazena informações pessoais, biometria e um número de identificação de 12 dígitos para mais de 1,1 bilhão de cidadãos indianos. O Aadhaar é usado em tudo, desde a abertura de uma conta bancária até a inscrição em serviços públicos ou para cadastrar uma conta de telefone celular. E as empresas de tecnologia podem se conectar à Aadhaar para rastrear os clientes. Todas essas interconexões, no entanto, levaram a numerosas exposições importantes aos dados do Aadhaar quando terceiros, ou o próprio governo indiano, armazenam as informações de maneira inadequada. Como resultado, os pesquisadores estimam que todos os 1,1 bilhão de números de Aadhaar e grande parte dos dados associados foram violados apenas durante o ano de 2018. Há um mercado negro em expansão para esses dados.
Pouquíssimas instituições têm dados de um bilhão de pessoas a perder. Por outro lado, há o Yahoo, que sofreu duas violações de dados separadas. Uma delas, que ocorreu no final de 2014 e foi divulgada em setembro de 2016, expôs 500 milhões de contas do Yahoo. Outra, que ocorreu em agosto de 2013 e foi originalmente divulgada em dezembro de 2016, revelou em outubro de 2017 que expôs todas as contas do Yahoo existentes em 2013, totalizando três bilhões.
Violações de dados como OPM e Equifax são complicadas, porque aparentemente são o resultado da espionagem do Estado nacional e os dados nunca vazam publicamente ou mesmo em fóruns criminais. Isso significa que é difícil avaliar o risco diário das pessoas comuns representadas por essas violações. Mas com exposições como Aadhaar, Yahoo, Target e muitas outras em que os dados vazam publicamente e começam a circular na dark web, há uma conexão muito clara com fraudes generalizadas, comprometimentos de contas digitais e os golpes que se seguem.