Uma onda de ataques cibernéticos a sites de órgãos públicos brasileiros chamou atenção este ano. Somente em novembro, pelo menos cinco invasões virtuais foram noticiadas, sendo uma delas ao Tribunal de Justiça do Rio Grande do Sul (TJRS). As outras quatro foram o Superior Tribunal de Justiça (STJ), o Ministério da Saúde, o Tribunal Superior Eleitoral (TSE) e o Tribunal Regional Federal da 1ª Região (TRF1). As invasões ao portal do STJ e ao portal do Ministério da Saúde ocorreram nos dias 3 e 5 de novembro, respectivamente. Um dos sites do TJRS foi invadido em 11 de novembro, o TSE divulgou a informação em 15 de novembro e o TRF1 teve o site hackeado em 26 de novembro.
O ataque ao portal do STJ foi definido pelo órgão como “o pior ataque cibernético já empreendido contra uma instituição pública brasileira, em termos de dimensão e complexidade”. “Por 26 horas após o ataque, o ambiente de rede não pôde ser manipulado, a fim de preservar as provas do ato criminoso. A Polícia Federal continua apurando os efeitos do ataque, inclusive com relação à extensão do acesso aos arquivos e eventual cópia de dados”, informou o STJ. O órgão ainda ressaltou que “as ações internas de reestruturação e de elevação de segurança de dados serão constantemente aprimoradas”.
Mesmo que não tenha sido informado qualquer prejuízo para as instituições ou a violação de algum sigilo - como furto de informações dos bancos de dados -, o contexto traz um alerta sobre as vulnerabilidades dos sistemas digitais das instituições públicas como um todo e até mesmo das redes particulares. Da mesma forma como precisamos nos proteger no “mundo real”, explica a professora do Instituto de Ciências Matemáticas e de Computação (ICMC) da Universidade de São Paulo (USP), Kalinka Castelo Branco, também precisamos estar atentos aos riscos do “mundo digital”.
De acordo com Kalinka, os tipos de invasões cibernéticas realizadas foram diferentes em cada uma das ocasiões, bem como os objetivos das pessoas que de fato atacaram os portais. “Existem várias finalidades que podemos elencar, uma delas é descredibilizar essas instituições. Dessa forma você consegue demonstrar que determinado tribunal ou ministério, por exemplo, não tem uma boa forma de agir”, afirma. Outro ponto, segundo ela, é simplesmente o fato de que alguns ataques desferidos foram bem simples. “Aparentemente feitos por pessoas que não têm grandes conhecimentos, não são grandes grupos atacantes, e querem muitas vezes chamar atenção, o que efetivamente conseguem, pois paralisar alguns órgãos demonstra que algo não está legal.”
A prevenção aos ataques e os riscos
Uma das principais indicações qugando se trata de segurança digital, diz Kalinka, é que seja realizada uma auditoria nos sistemas para que uma empresa de fora possa analisar e ver quais são os problemas que existem, quais as possíveis falhas, para que eles possam ser consertados, evitando novas invasões. “Nós, como cidadãos, temos a LGPD (Lei Geral de Proteção de Dados Pessoais) para cobrar do governo e de todas as empresas que dados sigilosos sejam preservados. Temos que cobrar porque vamos estar realmente exercendo o nosso direito, então é preciso que sigamos batendo o pé para que façam essas auditorias, para que essas vulnerabilidades sejam consertadas”, ressalta.
Ao ingressar em um portal ilegalmente, seja de empresa privada ou de instituição pública, é possível que o hacker tenha acesso a informações pessoais de milhares de pessoas. “Com CPF, senhas e nome completo das pessoas, é possível que haja tentativa de acesso a outros sites, por isso normalmente pedimos para que as pessoas não usem as mesmas senhas em vários locais, mas em geral isso segue acontecendo. Pode ser que a senha encontrada pelo hacker seja a mesma que aquele usuário utiliza em outros locais e isso pode levar a um prejuízo muito maior para as pessoas que foram alvo”, destaca.
Outro fator é que, dependendo das pessoas sobre as quais os atacantes têm acesso à informação, isso pode causar desconforto muito grande, alguma repercussão midiática ou até extorsão no caso de roubo de dados. “Se as informações pessoais forem obtidas, é possível até abrir contas bancárias digitais, solicitar empréstimos, o hacker está com todos os elementos necessários para fazer uma grande bagunça na vida de uma pessoa ou de várias pessoas.” Geralmente portais de empresas e de órgãos federais, como o Ministério da Saúde, por exemplo, têm um banco de dados repleto de informações sobre muitas pessoas.
Depois de um ataque a um site específico, Kalinka reforça que é preciso redobrar os cuidados. “A partir do momento que um hacker tem acesso a um sistema do governo, que em geral todos fazem parte de uma mesma rede, um tem acesso ao outro. Então quando há uma invasão, aquela pessoa consegue normalmente ter acesso a outros locais, dentro da instituição, se isso não for bem implementado”, explica. Como os portais se mostraram “um tanto abertos a esses ataques”, eles podem se tornar alvos fáceis.
Se existem vulnerabilidades tão simples, segundo a professora da USP, provavelmente outras barreiras também não estão seguras. “Podem estar deixando portas abertas para que eventualmente outros sistemas do governo sejam invadidos. Dados mais sigilosos e específicos da União podem estar à mercê de pessoas que têm capacidades mais elevadas para conseguir explorar essas outras vulnerabilidades. Se um criminoso vê que um portão está aberto, ele vai entrar no pátio para ver se a porta da casa está trancada ou se a janela está encostada, vai tentando ver todas as possibilidades. É que acontece no mundo digital.”
Estatísticas
O total de notificações recebidas pelo Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), no primeiro semestre de 2020, foi de 318.697, 2% menor que o do segundo semestre do ano passado e 42% menor que o recebido no mesmo período de 2019.
O CERT.br é responsável por tratar incidentes de segurança envolvendo redes conectadas à Internet no Brasil. O Centro também desenvolve atividades de análise de tendências, treinamento e conscientização, com o objetivo de aumentar os níveis de segurança e de capacidade de tratamento de incidentes no Brasil.
As notificações de tentativas de fraude totalizaram 18.024 no primeiro semestre de 2020, correspondendo a uma queda de 35% em relação ao segundo semestre de 2019 e a um aumento de 54% em relação ao primeiro semestre. As notificações de páginas falsas que não envolvem bancos e sites de comércio eletrônico tiveram um aumento de 12% em relação ao segundo semestre de 2019 e de 140% em relação ao primeiro semestre. Nesses casos estão incluídos os serviços de documentos em nuvem, streaming de vídeo, webmail e redes sociais.
Os ataques a servidores web totalizaram 8.811 notificações no primeiro semestre de 2020, uma queda de 5% em relação ao segundo semestre e de 33% em relação ao mesmo período de 2019. Os atacantes exploram vulnerabilidades em aplicações web para comprometer sistemas e então realizar as mais diversas ações, tais como: hospedar páginas falsas de instituições financeiras, armazenar ferramentas utilizadas em ataques e propagar spam e/ou scam.
Ataques na pandemia
O fato de estarmos vivendo uma pandemia acabou potencializando os riscos de ciberataques. Conforme Kalinka, o fato de a oferta de serviços digitais ter sido ampliada acaba chamando atenção de quem faz esses ataques. “Temos vários elementos, hoje em dia temos Carteira Nacional de Habilitação (CNH) digital, e-Título, RG digital, o governo está tentando colocar todos os documentos no formato digital, o que é interessante, mas é preciso ter cuidado redobrado com a segurança.”
Segundo ela, não só as entidades governamentais devem ter cuidado com a segurança dessas novas ferramentas no mundo digital, mas também cada pessoa.
“Quando temos uma guerra, melhoramos todo o esquema de segurança. Nesse caso, a pandemia foi algo que acelerou essas pessoas mal intencionadas a atacarem, mas obviamente isso faz com que as que querem proteger esses sistemas também coloquem sua criatividade em prática”, destaca. O lado negativo é o fato de os cibercriminosos estarem dispostos a se aproveitar da situação para prejudicar entidades governamentais, empresas e pessoas físicas, mas o cenário favorece melhorias na segurança digital. “As pessoas têm se preocupado cada vez mais com esse fator, a segurança digital deixou de ser considerada item de perfumaria e começou a ser tratada como algo sério.” O segmento, de acordo com Kalinka, vem ganhando força e com a pandemia houve uma afirmação ainda maior sobre a importância desses profissionais.
“Mesmo fotos nossas, videoconferências, estamos com tudo isso no ar, temos que tomar muito mais cuidado com as informações que estão girando pela rede, da mesma forma como temos que tomar no mundo real.” Sobre o uso dos aparelhos celulares, Kalinka enfatiza que é preciso cuidar deles como se fossem a própria carteira. “Não podemos emprestar, deixar em qualquer lugar, porque tem muitas informações hoje que são sigilosas e estão cadastradas nos aparelhos.” E isso se estende para as empresas que, em muitos casos, estão trabalhando com os acessos remotos nesse período de pandemia. “Muitas pessoas estão em casa acessando a rede da empresa, é preciso colocar outras camadas de segurança para esses acessos.”
Como se trata de uma área em expansão, Kalinka reforça que há necessidade de bons profissionais no mercado, que sejam especializados nessa área e que possam realmente responder à altura. “Uma coisa é agir após um ataque cibernético, mas o que deveríamos pensar é em fazer algo preventivo e não esperar ser atacado para reagir. A segurança, na área da computação, passou a ser vista como uma das disciplinas mais importantes. É algo de grande importância para que você consiga manter o funcionamento dos sistemas.”
O professor do Instituto de Informática da Universidade Federal do Rio Grande do Sul (Ufrgs) Jéferson Nobre sustenta que existe uma necessidade importante na formação de recursos humanos para o setor. “Precisamos de capacitação de profissionais e campanhas de conscientização, e deve-se refletir sobre a precarização dos setores de tecnologia. É sabido que a Tecnologia da Informação precisa de investimentos significativos e é necessário que da mesma forma se ampliem os investimentos nesses setores.”
Kalinka diz que há falta de profissionais capacitados. “É um segmento em ascensão e cada vez mais precisaremos desse tipo de profissional.” Sobre o investimento em segurança digital, Kalinka ressalta que não se trata apenas de instalar um antivírus, principalmente no caso de grandes empresas ou instituições públicas. “É preciso trabalhar com análises constantes, auditorias frequentes e testes para verificar se os sistemas estão bons”, destaca. Atualmente, bancos e empresas estão investindo na ISO 27001, que é a norma internacional de gestão de segurança da informação. “São todos requisitos necessários que essas empresas têm que seguir para tentar garantir o mínimo de segurança dentro da instituição bancária ou empresas maiores, então acabam investindo bastante no setor.”
O fato de estarmos vivendo uma pandemia acabou potencializando os riscos de ciberataques, pois cresceu a oferta de serviços digitais. Acima, algumas matérias publicadas pelo Correio do Povo relacionadas a tentativas de ataques ou a falhas nos sistemas de informática
Dicas práticas para segurança digital pessoal
- Não ter senhas iguais.
- Ter antivírus instalado.
- No caso das senhas, sempre utilizar termos mais complexos, nunca usar nome de gato, cachorro, data de nascimento, data de casamento, etc.
- Sempre colocar informações diferentes que sejam fáceis de lembrar.
- Sempre baixar aplicativos de lojas oficiais.
- Se for acessar banco, sempre digite o nome do site e não clique em links que cheguem por e-mail.
- Quando receber por e-mail um link encurtado, parar o cursor em cima para ver onde aquele link te leva. É possível verificar a informação na parte de baixo do navegador, onde você vai ver o link estendido.
- Sempre que receber um e-mail, olhe de onde está vindo. O texto diz que é uma cobrança de um banco, mas veja qual o e-mail que te encaminhou aquela cobrança.
- Observe os e-mails que você recebe e fique atento a esse tipo de situação. As fraudes podem não ser fáceis de diagnosticar e, na tentativa de exploração, nem sempre percebemos.
- Em caso de e-mail duvidoso, não abra anexos, não clique em links que não pareçam confiáveis, desconfie de todos os arquivos “estranhos”. Se for realmente importante alguém vai te ligar.
- Em caso de dúvidas, procure no site daquela empresa ou ligue para saber se realmente há algum problema com a sua conta bancária ou com uma compra feita pela internet.
- Sempre manter todos sistemas dos dispositivos atualizados, seja computador, televisão, celulares.
- Não acesse os aplicativos de banco ou qualquer outra coisa que seja sensível através de uma lan house ou internet de algum local público. Preferencialmente faça os acessos do 3G/4G do seu celular, pois há garantia maior. Não sabemos se em determinado estabelecimento a rede está sendo monitorada, se estão coletando os dados que estão passando por ela. Podem estar roubando as informações.
O STJ foi uma das instituições alvo de ataques cibernéticos esse ano. Foto: Marcello Casal Jr / Agência Brasil / CP
4 de novembro
O Superior Tribunal de Justiça (STJ) sofreu ataque hacker e precisou trabalhar em regime de plantão por quase uma semana. Durante o período, ficaram suspensas todas as sessões de julgamento por videoconferência e também as sessões virtuais destinadas à apreciação de recursos internos (agravos internos, agravos regimentais e embargos de declaração), bem como as audiências.
Nove dias após o ataque, em 14 de novembro, o STJ ainda mantinha os trabalhos de recuperação dos sistemas afetados. Após a restauração do backup do servidor do sistema de integração, os tribunais de todo o país voltaram a encaminhar processos ao STJ por meio eletrônico e, da mesma forma, a receber processos da Corte.
De acordo com nota divulgada na ocasião, assinada pelo presidente do STJ, ministro Humberto Martins, foram realizados ajustes pontuais em aplicações administrativas que ainda apresentavam instabilidade. A investigação sobre a dinâmica e extensão dos efeitos do ataque, assim como sua autoria, está a cargo da Polícia Federal, e corre sob sigilo.
5 de novembro
Nessa data, técnicos do Ministério da Saúde investigavam se a rede da pasta havia sofrido ataque cibernético. Os servidores foram orientados a não acessar o sistema da Saúde por meio de computadores pessoais. Na manhã do dia 5, a rede do ministério foi desativada. Não era possível abrir o e-mail funcional, por exemplo. Servidores disseram que um hacker invadiu o sistema durante a madrugada. O Ministério da Saúde só reconheceu a ocorrência do ataque oito dias depois, no dia 13. "Após o início das investigações sobre o vírus que afetou nossa rede de tecnologia, na semana passada, há indício de que a pasta também foi alvo de tentativa de ataques cibernéticos", disse o secretário executivo da pasta, Elcio Franco, em pronunciamento à TV Brasil. "Desde o início da ocorrência todas as medidas necessárias para preservar a integridade de sistemas, servidores e dados do Ministério da Saúde foram tomadas. Não houve comprometimento, sequestro ou vazamento de informações." Para alertar sobre golpes que têm sido registrados, o secretário afirmou que o Ministério não está realizando pesquisas nem pede dados de usuários do SUS.
11 de novembro
O sistema informativo do Tribunal de Justiça do Rio Grande do Sul (TJRS) ficou temporariamente comprometido e adulterado após invasão de hackers no dia 11 de novembro. Poucos instantes após a ocorrência, o TJRS emitiu uma nota comunicando a estabilização do portal e alegando que não houve comprometimento dos sistemas. "Constatou-se que consistiu em um ataque que não atingiu processos e outros bancos de dados do Judiciário estadual", afirmou nota assinada pela Direção de Tecnologia da Informação e Comunicação. O órgão ainda ressaltou o reforço na proteção para impedir novos acessos criminosos e rastrear a autoria do ato.
15 de novembro
O Tribunal Superior Eleitoral (TSE) foi alvo de diversas tentativas de ataques cibernéticos ao sistema de totalização de votos no domingo do primeiro turno das eleições municipais. No mesmo dia, o presidente do Tribunal, Luís Roberto Barroso, afirmou em coletiva de imprensa que isso não interfere no resultado das urnas.
A equipe de especialistas da Secretaria de Tecnologia da Informação do TSE identificou 486 mil conexões por segundo para tentar derrubar, sem sucesso, o sistema de totalização de votos. “Houve um ataque massivo proveniente dos Estados Unidos, da Nova Zelândia e do próprio Brasil para tentar ultrapassar as barreiras de segurança de Tecnologia da Informação do TSE, mas que não obteve nenhum êxito”, garantiu Barroso.
19 de novembro
Uma análise da Polícia Federal em conjunto com o TSE apontou que o suposto ataque hacker que acessou dados pessoais de funcionários do tribunal foi mais amplo que o divulgado anteriormente e teria ocorrido neste ano. O invasor teria conseguido acessar dados de 2020, como endereços e telefones, no Portal do Servidor, um sistema administrativo e sem relação com o processo eleitoral. A informação inicial, porém, era de que os dados obtidos pelo hacker se referiam somente ao período de 2001 a 2010.
A suspeita é de que o ataque tenha acontecido até o início de setembro, pois o material não mostra informações registradas nos arquivos do TSE após o dia 2 daquele mês.
27 de novembro
Um ataque hacker atingiu os sistemas do Tribunal Regional da Primeira Região (TRF-1). Os invasores diziam ter obtido acesso a arquivos em mais de 40 bases de dados do tribunal e que, dessa forma, conseguiram mostrar a "vulnerabilidade" do sistema do TRF-1. O tribunal, que abrange casos de 13 Estados e do Distrito Federal, é o que abriga mais processos no país.
Em um site usado por hackers para expor vazamentos, foram publicados nomes de arquivos que estariam em bases de dados do TRF-1 acessadas pelos invasores. Os arquivos, no entanto, não foram publicados. A assessoria do TRF-1 confirmou o ataque e disse que o banco de dados do tribunal está em manutenção para analisar uma possível falha na segurança, mas a princípio houve somente divulgação de material que já era de domínio público.
Durante abertura do evento “Enastic Justiça Federal – Encontros Nacionais de Tecnologia, Inovação e Cultura”, dias 14 e 15 de dezembro, o presidente do TRF-1, Ítalo Fioravante Sabo Mendes, destacou que uma das principais preocupações de sua gestão é com a segurança da informação para garantir a condução do processo eletrônico e a aplicação da Lei Geral de Proteção de Dados, a LGPD.
28 de novembro
Operação coordenada pela Polícia Federal (PF) em parceria com a Polícia Judiciária Portuguesa prendeu dia 28, em Portugal, um suspeito de envolvimento no ataque hacker ao sistema Tribunal Superior Eleitoral (TSE), que divulgou dados do tribunal no dia do primeiro turno das eleições municipais. Segundo a PF, o inquérito policial aponta que um grupo de hackers brasileiros e portugueses, liderados por um cidadão português, foi responsável pelos ataques criminosos aos sistemas do TSE no primeiro turno das eleições de 2020. A PF apura o acesso ilegal a dados de servidores públicos divulgados no dia 15 de novembro, além de outras atividades criminosas do grupo. Os crimes são os de invasão de dispositivo informático e de associação criminosa, ambos previstos no Código Penal, além de outros previstos no Código Eleitoral e na Lei das Eleições. Segundo a corporação, não foram identificados elementos que possam ter prejudicado a apuração ou a integridade dos resultados da votação.
