A web é social. Chegou-se nessa conclusão com a explosão dos sites de redes sociais, que buscam formar comunidades virtuais e disponibilizar ao usuário um meio para se apresentar ao mundo. Se de um lado estes sites apenas exploram o lado mais social do meio de comunicação que é a Internet, do outro estão os riscos à privacidade e à segurança do internauta que fizer uso desses serviços.
No Brasil, o site mais visitado por internautas interessados em uma rede social é o Orkut, do Google. Nos Estados Unidos e em outros países de língua inglesa, o MySpace, da News Corp., é mais popular. Apesar de possuírem funcionalidades e recursos diferentes, esses dois sites (e outras dezenas que surgiram para tentar sugar um pouco dos usuários que procuram por uma rede social) possuem o mesmo objetivo.
Um pouco de história
Os ataques mais violentos ao Orkut começaram no início de 2006, talvez um pouco antes, mas foi só na metade daquele ano que eles se intensificaram. No início de abril de 2006, a matéria Bankers utilizam Orkut para se espalhar, publicada aqui noBT HACKER, comunicou a existência de mensagens maliciosas que circulavam pelo Orkut. As mensagens espalhavam vírus, mas ainda não se sabia se as mensagens eram enviadas automaticamente pelo vírus ou manualmente por criminosos que roubaram dados da conta de um internauta.
A resposta chegou no mês seguinte, em maio, quando uma praga digital automatizada atacou o Orkut. A agressividade com que a praga se espalhou deixava claro que os outros ataques de que se tinha conhecimento até aquele momento tinham sido feitos manualmente. Em matéria do dia 22 de maio, a BTHacker publicou uma ferramenta para remover a praga.
Em alguns dias, a ferramenta alcançou a marca de 300 mil downloads. Os próprios usuários do Orkut é que espalharam links pelas comunidades divulgando a ferramenta. Mais tarde, criminosos se aproveitaram da situação para enviar mensagens maliciosas que ofereciam a “ferramenta de remoção”, mas que na verdade distribuíam um vírus semelhante ao que a ferramenta verdadeira se encarregava de remover.
Porque atacar usuários de redes sociais
Sites de redes sociais dependem exclusivamente de conteúdo enviado por seus usuários. Qualquer tentativa de restringir ou dificultar o envio ou o acesso a informações pode resultar numa queda no número de recados, depoimentos ou discussões que acontecem dentro da rede. O site não deve testar a paciência dos usuários com verificações de legitimidade de cada ação que ele faz, pois isso pode diminuir o interesse do internauta em usá-lo.
A facilidade com que um humano ou ferramenta automatizada pode enviar mensagens aos sites de redes sociais é um claro incentivo para criminosos. É fácil poluir a rede com mensagens maliciosas para espalhar todo tipo de praga digital e o primeiro passo de evolução nesse sentido foi automatizar o ataque.
As pragas espalhadas pelo Orkut geralmente roubam senhas de banco, o que também demonstra um incentivo financeiro. É um mercado negro e, quanto mais dinheiro se ganha, mais se pode investir na evolução das técnicas de infecção e disseminação. Há uma necessidade constante de evolução para acompanhar melhorias em ferramentas de segurança e no conhecimento do usuário, que vai aprendendo a lidar com golpes mais antigos.
O número de sites que as pragas digitais monitoram também aumentou e com ele o número de possíveis vítimas. Não só de bancos, mas usuários de lojas online e de sites de companhias aéreas — que vendem passagens pela Internet — também são alvo do roubo de dados.
Ao utilizar a rede social, o criminoso recebe um grande bônus. Se um usuário está infectado, este enviará as mensagens que espalham a praga digital para as pessoas que estão em seu círculo de amigos. Isso significa que apenas pessoas que já o conhecem e confiam de alguma forma é que receberão a mensagem, aumentando as chances de a infecção ir adiante.
Abusando da confiança entre os usuários das redes sociais e das próprias redes e seus usuários, os vírus podem se espalhar facilmente, mesmo com táticas simples de engenharia social. Em outras palavras, ataca-se redes sociais porque é fácil e efetivo.
Fim da privacidade?
Ser alvo de um código malicioso automatizado é um problema, sem dúvida, mas muitos internautas participantes de redes sociais jogam fora o pouco que lhes resta da privacidade, já corroída no mundo globalizado.
Alguns empregadores perguntam pelo endereço do perfil do Orkut de candidatos. Os motivos variam, mas estar exposto em uma rede social já não é mais diferente e muitas crianças já querem ter seu perfil online para adicionar seus amigos e participar de comunidades.
O uso de nicks ou apelidos para se comunicar na Internet sempre foi a regra, porém as redes sociais fazem a conexão do internauta com o mundo real. As conseqüências dessa ligação estão apenas começando a aparecer, mas está ficando claro que a sociedade offline parece já esperar que qualquer pessoa tenha suas ações online expostas em um perfil de uma rede social.
Se as informações disponíveis online forem utilizadas cada vez mais para julgar uma pessoa no mundo real, pode ser que essas informações sejam transformadas ou alteradas para sempre apresentar um lado positivo de cada um, servindo como ferramenta de marketing pessoal.
Os perfis são também minas de ouro para criminosos, tanto reais como virtuais. Roubos e seqüestros podem ser facilitados. Ataques de engenharia social, isto é, enganação, também são facilitados quando se conhece a vítima de forma mais pessoal. A própria natureza da rede social exige que seus participantes informem preferências e dados pessoais para facilitar que outras pessoas de interesses semelhantes os encontrem.
Qualquer um ainda pode tirar proveito dos recursos de redes sociais preservando sua identidade e sua privacidade. O MySpace, por exemplo, permite que o perfil seja configurado como privado para que somente amigos possam ver as informações ali presentes. Isso diminui de forma significativa a exposição gerada pelo uso da rede social. Entretanto, o MySpace também tem seus problemas, tanto de privacidade como de segurança, e já foi alvo de códigos maliciosos e adwares várias vezes, porém, por não ser tão popular aqui no Brasil, não será discutido a fundo.
O importante é que cada usuário esteja consciente da exposição e avalie se ela é mesmo desejada e positiva. É preciso estar longe da ilusão de que existe algo protegendo os dados dentro da rede, tal como o requerimento de convite exigido por algumas delas. Qualquer um que realmente queira pode conseguir um sem dificuldade. No entanto, ele só poderá ver aquilo que cada um estiver disposto a mostrar e, se informações falsas encontrarem um lugar dominante nas redes sociais, pode ser que estas redes percam seu valor.
