Ataque a Certificado de Autenticação afeta usuários do Google

Leia Também

• NovidadeBlogger tem nova interface
• ProteçãoFacebook paga U$ 40 mil para quem encontrar falhas de segurança
• Sem conexãoGoogle Docs, Agenda e Gmail têm versão offline

A empresa de segurança internacional Vasco anunciou nesta terça-feira (30/08) que a DigiNotar, sua subsidiária, detectou uma invasão em sua infraestrutura de Certificado de Autenticidade (CA). Conforme o comunicado, isso resultou em pedidos fraudulentos de pedidos de certificado em uma série de domínios, incluindo o Google.com

“Uma vez detectada a intrusão, a DigiNotar agiu em concordância com todas as regras relevantes e procedimentos”, explicou a nota. O site de notícias Hipertextual colocou a imagem do pedido fraudulento de confirmação do certificado de autenticidade, relatando a história de um leitor vítima do ataque. “Acho que esse ataque tem algo a ver com o governo, porque moro no Irã”, ponderou o leitor. O problema foi relatado no domingo (28/08).

Conforme o material da Vasco, uma auditoria externa de segurança concluiu, recentemente, que todos os problemas envolvendo os CAs haviam sido dissipados. Porém, há poucos dias, foi descoberto que apenas um deles ainda não havia sido resolvido.

Depois de ter sido notificada pela organização governamental holandesa Govcert sobre essa reincidência, a DigiNotar tomou providências. O ataque foi direcionado aos certificados do tipo SSL e EVSSL. Nenhum outro tipo foi afetado. A companhia anunciou que, como medida preventiva, suspenderá temporariamente as vendas destas ofertas, retomando o processo apenas após auditorias de segurança feitas por empresas terceirizadas.

A Vasco informou que a interrupção das vendas não vai afetar seus  resultados, uma vez que, nos primeiros seis meses de 2011, as receitas advindas das comercializações dos produtos foram menos de cem mil euros.

Facebook paga U$ 40 mil para quem encontrar falhas de segurança

m apenas 21 dias, o Facebook pagou US$ 40 mil dólares aos hackers que participam do programa “caça-bugs” da companhia que visa a descoberta de falhas de segurança. O prêmio máximo que a empresa paga é de US$ 5 mil – quando a pessoa consegue descobrir e consertar os problemas graves apresentados pela rede social.

Segundo um post no blog do chefe do setor de segurança do site, Joe Sullivan, o pagamento mínimo oferecido pela companhia é de US$ 500 e uma pessoa já teria recebido o valor máximo de US$ 5 mil.

Sullivan afirmou que o programa “caça-bugs” é um esforço da companhia para reconhecer e recompensar as pessoas que tem ajudado o Facebook a encontrar falhas de segurança.

“Foi fascinante assistir a implantação deste programa. Primeiro, tem sido incrível ver como especialistas independentes em todo o mundo se mobilizaram para nos ajudar. Nós conhecemos e temos relações com um grande número de experts em segurança, mas este programa aumentou o diálogo com um novo e cada vez maior conjunto de pessoas em todo o globo, em mais de 16 países, da Turquia  a Polônia, que são apaixonados por segurança na Internet.”

Hackers invadem site que guarda código-fonte do kernel do Linux

Responsáveis pelo site notaram a ação no domingo (28/8), mas só a divulgaram ontem; grupo garante que o código-fonte não foi afetado.

Como todo fã de Linux sabe, existem dois tipos de hackers: os do bem, que desenvolvem software livre, como o kernel do Linux, e os do mal, que invadem computadores dos outros.

E os hackers do mal fizeram uma visitinha indesejável à turma do bem no mês passado, invadindo o site Kernel.org – que é o lar do projeto Linux. Eles conseguiram ter acesso ‘root’ a um servidor conhecido como Hera e, como saldo, comprometeram “diversos servidores da infraestrutura do Kernel.org”, de acordo com nota divulgada quarta-feira (31/8) no site Kernel.org.

Os administradores do site souberam do problema no domingo (28/8) e logo descobriram vários problemas em seus servidores. Arquivos foram modificados, um programa malicioso foi incluído no script de iniciação e alguns dados de usuário foram gravados em um arquivo de log.

Os responsáveis pelo Kernel.org chamaram as autoridades policiais dos EUA e da Europa e estão na fase de reinstalar a infraestrutura do site e descobrir o que aconteceu.

Eles acreditam que os hackers podem ter roubado as credenciais de login de um usuário para invadir o sistema. O site decidiu fazer com que cada um de seus 448 usuários mudem suas passwords e chaves SSH (Secure Shell).

A invasão preocupa porque o Kernel.org é o lugar a partir do qual os distribuidores Linux baixam o código-fonte para o kernel do sistema, que é amplamente utilizado em todo o mundo. Mas o aviso do site destaca que, mesmo com acesso ‘root’, seria difícil para um hacker infiltrar código malicioso no kernel do Linux sem ser notado. Isso porque o sistema de controle de versões guarda um índice criptográfico de cada arquivo na hora em que ele é publicado.

Assim, se um componente do kernel do Linux fosse gravado e publicado no Kernel.org, “não seria possível mudar as versões antigas sem que a ação não fosse notada”, afirmou o site Kernel.org.

Este tipo de ataque tem-se tornado perturbadoramente comum. Em janeiro, servidores utilizados pelo projeto Fedora – a versão comunitária do Red Hat Enterprise Linux – foram invadidos. E, quase na mesma época, outro site de desenvolvimento de software open source, chamado SourceForge, também foi invadido.

10 tendências tecnológicas para os próximos dez anos

Quais tendências tecnológicas você acha que podem impactar sua vida nos próximos dez anos? O futurista e chefe do grupo de soluções de internet da Cisco, Dave Evans, preparou uma lista com dez delas. Confira a relação:

• Internet das coisas: nascido em 2008, o conceito é definido basicamente pelo crescente número de aparelhos que estarão conectados à grande rede. Para o grupo de internet da Cisco, até 2020, 50 bilhões de dispositivos terão acesso à web, algo como seis por pessoa.
• Zettaflood: a capacidade de armazenamento de cinco exabytes foi criada em 2008, o equivalente a um bilhão de DVDs. Três anos mais tarde, diz o futurista, o montante de informação criada era de 1,2 zettabytes. Muita da informação criada neste momento já é multimídia, a previsão é que em 2014 90% do tráfego na web seja vídeo. Assim, a era do zettaflood demandará muito das redes.
• Explosão da nuvem: até 2020, a previsão é que ao menos um terço dos dados estejam abrigados ou passem por uma nuvem. Até 2014, o gasto de TI em inovação e cloud computing deve chegar a US$ 1 bilhão. Para as empresas, aconselha, é importante entender que esses ambientes são bons apenas se o ambiente de rede der o suporte adequado.
• Próxima web: o futurista usa sua própria casa como exemplo e diz que, desde 1990, a velocidade da conexão aumentou 170 mil vezes. Nos próximos dez anos, acredita que isso crescerá três milhões de vezes.
• O mundo está plano, assim como a tecnologia: com aumento da velocidade, melhora da comunicação e recursos disponíveis, as pessoas estão progredindo mais rapidamente. As revoltas árabes são exemplos do engajamento que pode ocorrer com o avanço da tecnologia. Tivemos ainda os alertas de Tsunami na costa norte-americana após o terremoto do Japão. Com esses eventos, a captura, disseminação e consumo das histórias ao vivo torna tudo em tempo real e mais próximo. Temos aí três pontos: banda larga móvel, internet e produção a qualquer hora e em qualquer lugar.
• Poder: com o crescimento populacional e também da urbanização, cidades com um milhão de habitantes serão criadas a cada mês nas próximas duas décadas. Isso trará demandas imensas, inclusive energéticas. Mas algumas respostas existem. A energia solar é algo que poderá ajudar muito.
• O ponto central estará em você: temos sempre nos adaptado às tecnologias. No futuro, isso irá mudar, elas se adaptarão aos nossos estilos. A última fronteira de integração serão as interfaces de máquinas cerebrais que, eventualmente, permitirão às pessoas com lesão na medula ter uma vida normal.
• A próxima dimensão: temos assistido a um grande progresso do mundo físico para o virtual. Antes, comprávamos DVDs, cds, livros. Hoje tudo é baixado nos computadores e outros dispositivos com acesso à internet. Algo que tem crescido também é a impressão 3D. Num futuro não tão distante, eles acreditam que será possível imprimir órgãos humanos.
• Nova árvore familiar: os avanços tecnológicos têm permitido a criação de entidades artificiais. Caracteres automáticos podem reconhecer voz e fazer projeções. Além disso, temos o avanço da robótica. Até 2020, os robôs serão superiores aos humanos. Acredita-se ainda que até 2025 a população de robôs vai ultrapassar a de humanos no mundo desenvolvido, para, em 2035, substituir os humanos enquanto força de trabalho.
• Apenas o melhor: temos cruzado o limite da descoberta e nos tornamos mestres de nosso próprio destino. Somos praticamente o sol de nossos átomos e rapidamente estamos ganhando o controle sobre eles. De acordo com Stephen Hawking, ‘os humanos estão iniciando o estágio de uma evolução auto-concebida’. Essas tendências são apenas para nos lembrar o quão bom é o mundo e, assim, temos sempre que responder a questão: estamos prontos?

Codifique uma vez, codifique sempre

Leia Também

• FuturoAnalistas apostam no sucesso da computação em nuvem
• SegurançaTransparência é chave para segurança em nuvem
• ArtigoNuvem: migrar ou não migrar?

Um dos temas mais discutidos em TI é a segurança em nuvem. O motivo geral desta preocupação é a prevenção ao acesso a dados e aplicativos não autorizados, e quando o tema é perseguido, e não apenas reconhecido como um problema, geralmente esbarra em duas questões principais: impedir o acesso por terceiros (hackers, crackers, entre outros) e de partes internas, como por exemplo, entrada de funcionários não autorizados.

Os dois são problemas, mas, em ambos os casos, os fornecedores de plataformas em nuvem oferecem garantia que parece reconfortante. Ou seja, eles dispõem de mais segurança de hospedagem de dados que a maioria. A principal razão para isso é que eles investem grande parte do tempo controlando ferramentas de segurança, monitorando ameaças e impondo controles de permissão.

O que não está claro na disputa dos fornecedores em nuvem, no entanto, é que existe uma terceira possibilidade de acesso, que os provedores não vão barrar: quando a entrada for do próprio usuário ou a pedidos das agências governamentais.

Provedores de computação em nuvem variam muito em relação as restrições que concedem aos dados, no entanto, nenhum acesso é forçado. Muitas empresas como a Dropbox, usam dados codificados, mas tem a desvantagem de ter que decifrar tudo o que foi criptografado.

A reação que vemos frequentemente nesta política comum é, “ se eu não estiver fazendo nada errado, eu deveria me preocupar”. Esta visão é, claro, um pouco ingênua. Pois mesmo que você não faça nada errado, os orgãos governamentais vão examinar os documentos da sua empresa sem obrigação contratual de mantê-los em segurança. Em outras palavras, por um simples problema burocrático de acesso a contas erradas, por exemplo, as agências do governo podem disseminar informações confidenciais livremente.

Algumas empresas, como a Box.net, não codificam seus dados a menos que você compre um plano que inclua este serviço. No começo desta semana, a Microsoft anunciou que os consumidores estrangeiros não estavam imunes a problemas semelhantes, ou seja, a USA Patriot Act Forces pode ter acesso irrestrito a qualquer hospedagem de dados que residam dentro ou fora do país.

Esta é a grande preocupação. Duas partes (o governo e o provedor de nuvem) têm acesso aos dados, mesmo quando este estiver codificado. Nas duas ocasiões o acesso é irrestrito.

Os provedores não vão defender os seus dados em seu nome, e ainda terão que fornecer tudo o que for solicitado pelo governo. Em último caso, o acesso é praticamente livre. O provedor pode ainda mudar os termos de privacidade a qualquer momento e sua única chance será apagar seus arquivos – possibilidade que pode gerar grandes prejuízos caso a infraestrutura de sua empresa dependa de um aplicativo em nuvem.

Recompensa por bugs: Por que pagar hackers te deixa mais seguro

Caça a falhas de software e brechas de segurança podem render prêmios de até US$ 200 mil a hackers e pesquisadores de segurança.

Você pagaria um ladrão para invadir sua casa? As pessoas mais espertas diriam provavelmente que não, mas companhias inteligentes de tecnologia estão cada vez mais dizendo que sim. Empresas como a Google oferecem recompensas para hackers que consigam encontrar maneiras de entrar em seus softwares.

Essas companhias frequentemente pagam milhares de dólares pela descoberta de apenas um bug - o suficiente para que a caça a bugs possa fornecer uma renda significativa. E em um nível diferente, mais amplo, o hacker que encontrar a melhor forma de proteger as aplicações Windows de serem comprometidas está na fila para receber 200 mil dólares da Microsoft na competição BlueHat Prize.

As empresas envolvidas dizem que os programas de recompensa tornam seus produtos mais seguros. "Nós recebemos mais relatos de bugs, o que significa que temos mais correções, o que significa uma melhor experiência para nossos usuários", afirmou Adam Mein, gerente de programa de segurança responsável pela divisão de aplicativos da Web do Programa de Recompensa de Vulnerabilidade da Google. “Também desenvolvemos relacionamentos positivos com os pesquisadores que estão a caça desses bugs”.

Mas os programas não estão livres de controvérsias. Algumas empresas, em especial a Microsoft, acreditam que as recompensas devem apenas serem usadas para pegar cibercriminosos, para não encorajar as pessoas a encontrar as falhas. E também há a questão de double-dipping - a possibilidade de um hacker receber um prêmio por ter achado a vulnerabilidade e então vender a informação sobre o mesmo bug para compradores maliciosos.

A grande dança

O “Campeonato Mundial de Pôquer” para hackers é o Pxn2own, competição hackers anual que acontece durante a conferência de segurança CanSecWest.

“Nossas grandes recompensas atraem a cobertura da grande imprensa, e a sensibilização dos consumidores sobre as vulnerabilidades de segurança", diz o gerente de logística da Pwn2Own, Aaron Portnoy.”Isso pressiona fornecedores como a Apple e a Google a responder a questões sobre a segurança de seus produtos”.

Qualquer um que obtenha sucesso ao hackear um celular ou navegador na Pwn2Own leva para casa um prêmio de 15 mil dólares e o aparelho usado para a ação. A Google adoça o negócio recompensando pesquisadores de segurança que conseguiram invadir um produto da empresa com um prêmio adicional de 20 mil dólares. Ao todo, a competição já distribuiu mais de 160 mil dólares de prêmios em dinheiro desde que começou, em 2007.

Mas isso é fichinha comparado às recompensas que a Google oferece em seus próprios produtos. Desde o início, em novembro passado, o Programa de Recompensa por Vulnerabilidade da Google já pagou quase 500 mil dólares para os caçadores de bugs que relataram falhas de segurança no Chromium (a base de código aberto para o navegador Chrome do Google) ou para qualquer um dos diversos aplicativos do Google.

Isso é uma bolada, mas em troca a empresa resolve centenas de falhas que de outra forma não poderiam ter sido descobertas antes que cibercriminosos as aproveitassem para algum tipo de intrusão. O pessoal da Google visualiza as recompensas como despesas que valem a pena porque incentivam pesquisadores de segurança a relatar vulnerabilidades de softwares para desenvolvedores, em vez de explorar essas falhas para ganhos privados.

A Google já contratou um caça-recompensas como pesquisador de segurança full-time, e mais contratações podem acontecer. Claramente, grandes prêmios são uma boa maneira de atrair e estimular os melhors caçadores de bugs - alguns tão bons que poderiam viver apenas identificando vulnerabilidades.

Analise o Chromium Secutiry Hall of Fame, por exemplo, e você verá que o pesquisador Sergey Glazunov ganhou quase 20 mil dólares este ano, como um caçador de bugs. E isso foi só da Google. Com a proliferação de grandes recompensas, que estão sendo oferecidas por fornecedores ou equipes de pesquisa de segurança, como TippingPoint (recentemente comprada pela HP) é possível que pesquisadores talentosos ganhem a vida de forma mais decente, como caçadores de prêmios.

Zero Day Initiative

Dando aos pesquisadores de segurança reconhecimento positivo - e grandes prêmios em dinheiro - por reportar falhas, a Zero Day Initiative, um programa de compra de vulnerabilidades, espera tornar a internet mais segura. Toda vez que a ZDI pagar por uma falha, ela informa ao fornecedor responsável pela vulnerabilidade, livre de cobranças.

"Todo ano nós informamos centenas de bugs para a Microsoft e a Adobe gratuitamente", disse Aaron Portnoy, que gerencia a Zero Day Initiative, além de trabalhar na competição Pwn2Own. "Se o fornecedor não tiver uma correção pronta em seis meses, nós liberamos os detalhes da exploração publicamente. Colocamos pressão sobre os fornecedores para corrigir esses problemas."

Mas a ZDI não é totalmente altruísta. Ela pode pagar recompensas de até 25mil dólares por dados sobre bugs porque a organização monetiza as falhas por meio da Digital Vaccine, um serviço de filtro de malware baseado em assinatura da HP (que também é a dona da ZDI) A Digital Vaccine fornece proteção imediata das vulnerabilidades encontradas pelo ZDI para quem estiver disposto a pagar por isso, permitindo o lucro da iniciativa enquanto recompensa pesquisadores de segurança.

E o double-dipping?

Uma pergunta óbvia: como a Google e a ZDI podem garantir que um hacker que descobre uma vulnerabilidade e reivindica a recompensa também não vai vender as informações sobre que exploram a cibercriminosos? A resposta é que eles não podem. Mas isso talvez não importe tanto quanto você pensa.

Todo programa de recompensas que investigamos tem um sistema de honra, que exclui os pesquisadores que fazem o double-dipping. Mas a longo prazo, quem oferece recompensas não se preocupa muito com a possibilidade de que caçadores de recompensas por bugs passarem informações sobre as vulnerabilidades descobertas para mal intencionados, porque elas se tornarão obsoletas na próxima correção. Em última instância ZDI ganha com a venda da Digital Vaccine para assinantes que pagam pelo privilégio de receber correções de bug quase que de maneira imediata para seus produtos e serviços favoritos, em vez de esperar que os fornecedores para corrijam as vulnerabilidades descobertas.

Mire nos hackers, não nos bugs

A filosofia dos programas de recompensas se resume a isso: Capturar assaltantes é muito difícil, portanto, em vez, vamos ter certeza que a casa é realmente segura. "Localizar hackers é cada vez mais difícil", diz Portnoy. "A Web é anônima. Hackers podem facilmente compartilhar bugs, por isso, é muito mais fácil simplesmente eliminar brechas."

Nem toda empresa concorda com esse ponto de vista. A Microsoft defende que as recompensas em dinheiro devem ser oferecidas apenas para atormentar hackers notórios.

"Os programas de 'recompensas' oferecidas somente pela Microsoft são prêmios para ajudar a trazer os cibercriminosos à justiça", escreveu Jerry Bryant, gerente de grupo do Grupo de Computação Confiável da Microsoft, em um e-mail à PCWorld. "Esses são muito diferentes dos programas de recompensas por bugs", que não oferecemos. "

A Microsoft postou vários prêmios de 250 mil dólares por informações que levem à prisão de hackers infames, incluindo os responsáveis pela botnet Rustock, o vírus Conficker, e o worm Sasser. A recompensa pelo Sasser levou à prisão de um adolescente que supostamente escreveu o worm (ele foi entregue às autoridades por dois amigos). Os outros prêmios ainda não resultaram em detenções.

BlueHat Pize

Na Conferência BlueHat Security, a Microsoft anunciou um tipo diferente de recompensa. Ela não é por cibercriminosos ou bugs. Em vez disso, o Prêmio BlueHat é um prêmio de 200mil dólares pelo protótipo mais inovador que impeça a exploração de vulnerabilidades de segurança de memória em aplicativos Windows.

"Ao considerar o Prêmio BlueHat, queríamos olhar além do padrão “pay-per-vuln” e abordar questões realmente de grande impacto na indústria de segurança, e recompensar o trabalho em soluções inovadoras que podem mitigar classes inteiras de ataques ", escreveu Bryant, da Microsoft. Em outras palavras, os empreendedores de caça a recompensas devem ser grandes ou irem para casa.

Hackers invadem site de prefeitura de SC e fazem apologia à maconha

Invasores publicaram mensagens em defesa da legalização da maconha e a letra de "Cachimbo da Paz"

Hackers invadiram neste domingo o site oficial da Prefeitura de Barra Velha, no litoral de Santa Catarina. O ataque ocorreu horas após o prefeito do município, Samir Mattar (PMDB), sofrer um impeachment e ter o mandato cassado, devido a um escândalo de corrupção. Até as 15h30, mensagens de apologia à maconha apareciam no site www.barravelha.sc.gov, que teve todo o conteúdo original apagado.

No portal, os hackers ainda publicaram a letra da música "Cachimbo da Paz" do cantor Gabriel O Pensador. Uma foto de Fernando Henrique Cardoso e uma suposta frase atribuída a ele também aparecem nas mensagens dos autores da invasão.

Alvo de uma operação da Polícia Federal, o prefeito de Barra Velha já havia sido afastado pela Justiça Federal antes do impeachment.Mattar é acusado de desviar recursos federais destinados aos afetados por catástrofes naturais entre 2008 e 2009. A PF identificou a existência de um esquema de prática na elaboração de projetos de obras e serviços superfaturados. Mais de R$ 1 milhão teriam sido desviados.

"Não temos prova de que o ataque dos hackers tenha relação com impeachment. Pode ter sido uma coincidência", avaliou o vice-prefeito Claudemir Matias (PSB), que assumirá o executivo. Ele disse ter se surpreendido com o teor pró-legalização da maconha das mensagens, já que não haveria motivos para o município ser relacionado ao tema. "Eu, particularmente, sou totalmente contra a legalização", disse Matias.

Até o início da tarde deste domingo, a prefeitura não havia conseguido localizar os responsáveis por uma empresa contratada pela gestão do prefeito cassado para manter o site. Com isso, não há previsão de quando o portal terá a normalidade restabelecida. O município nega que os hackers tenham conseguido acessar dados sigilosos. O caso já foi repassado à Polícia Civil.

Telhado de vidro

Especialistas garantem "não estamos vivendo um ataque cibernético. Eles são comuns". A prova está nos números. Enquanto você lê esta reportagem, milhares de sites ao redor do mundo estão sendo invadidos. Tal constatação pode ser feita em tempo real no zone-h.org, plataforma que também funciona como ranking de hackers. IMPRENSA identificou que extensões terminadas em "gov.br" sofreram, nos primeiros cinco meses de 2011, mais de 700 invasões. No dia 22 de junho, os hackers miraram portais importantes como os da Presidência da República, Ministério do Esporte, Portal Brasil, Ministério da Cultura, Receita Federal, Senado, Petrobras e IBGE.

Crédito: Divulgação

Marcelo Lau

Foi o maior ataque cibernético já sofrido pelo governo brasileiro. Segundo o Serviço Federal de Processamento de Dados (Serpro), as ações não afetaram os servidores e os hackers só tiveram acesso a informações sem importância estratégica. Apesar da ação rápida do Serpro, o órgão que deveria ter atuado neste caso não foi sequer acionado, já que ainda não está em atividade.

Criado em agosto de 2010, o Núcleo de Defesa Cibernética (Nu CD Ciber) - que passará a ser chamado de Centro de Defesa Cibernética -, gerido pelo Exército em parceria com o Gabinete de Segurança Institucional (GSI), segue sem prazo para funcionar.

Entre os responsáveis pelas ações de junho, estão dois grupos. O primeiro é o LuIzSec Brazil, que admitiu atacar sites "apenas por diversão". O segundo, o Anonymous, existe há oito anos e já havia chamado atenção em 2010, quando defendeu o WikiLeaks atacando sites das empresas Mastercard e Paypal. No Brasil, o grupo afirmou que os ataques deste ano foram uma maneira de protesto contra a manutenção do sigilo eterno de documentos públicos. 

Cristine Hoepers, analista de segurança do Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), entidade mantida pelo NIC.br, lembra que o crescimento no número de ataques na internet tem acompanhado o aumento da importância da web no dia a dia das pessoas. "Todos os setores que se destacam na sociedade e que prestam serviços passam a ser alvos dos mais diversos tipos de ataques". A analista comenta que o caso dos ataques ao governo não foram diferentes daqueles que ocorrem todos os dias contra redes comerciais e acadêmicas.

:

Cyberativismo

Os recentes ataques chamaram tanto a atenção de políticos, os quais forçaram a Comissão de Ciência e Tecnologia, Comunicação e Informática da Câmara dos Deputados (CCTCI) a adiantar a votação do substitutivo ao Projeto de Lei nº84/99, de autoria do senador Eduardo Azeredo (PSDB-MG), que tipifica a pena para crimes na internet. Há dois anos na Câmara, o projeto - votado em 26 de junho - agora aguarda parecer da Comissão de Constituição, Justiça e Cidadania antes de seguir para o plenário.

O senador Magno Malta (PR-ES), que teve seu site invadido por hackers, diz estudar, com sua assessoria jurídica, a criação de um projeto de lei que torne a invasão de hackers um crime hediondo. O vice-presidente Michel Temer cobrou ação mais severa do Congresso contra as invasões e seus autores. "Eles invadem todo e qualquer site. O Congresso deve se mobilizar e verificar como isso acontece e quais suas consequências", disse. Outro político vítima, o presidente da Câmara dos Deputados, Marco Maia (PT-RS), classificou como "absurdas" as ações e defendeu uma regulamentação mais rigorosa para a internet.

Para o consultor e especialista em segurança digital, Marcelo Lau, não existe motivo parapânico. Por outro lado, as pessoas devem entender que a segurança cibernética, assim como no mundo real, precisa ser pensada constantemente. "Tais ataques são oriundos de pessoas que se aproveitaram do momento para ganhar audiência".

Já Cristina De Luca, diretora de conteúdo do IDG Now, acredita que, no caso das invasões a sites do governo, a questão é a divulgação e não a ação propriamente dita. "Geralmente os hackers e crackers não saem por aí alardeando o que fazem". Cris alerta que o governo precisa investir mais em prevenção.

Crimes Virtuais

À parte das invasões a sites por motivos políticos ou criminosos, a questão dos crimes digitais - e entre eles a pedofilia - também ganhou novos capítulos no Brasil. Segundo a legislação, crime é todo fato que a lei assim o descreva e sua prática pela internet não o descriminaliza ou o torna aceitável. Se um estelionato ou venda de entorpecente for praticado pela web, será investigado, denunciado e julgado como se tivesse sido praticado presencialmente. "Dito isso, pode-se afirmar que crime cibernético é qualquer conduta que a lei tipifique como crime praticado pela internet, ou com uso de computadores ou outro elemento de tecnologia da informação, como celulares e iPads", orienta Silvio Castro Cerqueira, delegado-chefe da Delegacia Especializada em Crimes Cibernéticos do Distrito Federal (DICAT/PCDF).

Castro ressalta que, quando o fato, não importa qual, for praticado pela internet, possui, assim como no "mundo real", vítima e autor, e produz resultado que afeta a vida das pessoas envolvidas. E revela "No DF, houve aumento de 96% de registros de crimes praticados pela internet em 2010 em comparação com 2009".

Os crimes registrados apontam avanços no setor também registrados pela SaferNet Brasil. O presidente da entidade, Thiago Tavares, afirma que a evolução foi grande desde que a instituição foi criada, em 2005. "Nossas principais áreas de atuação foram transformadas, os principais atores, entre eles provedores, políticos, polícia e ONGs, amadureceram para tratar de tais crimes".

Tavares reforça que uma das grandes armas contra os crimes cibernéticos está na educação. "Com as organizações inspiradas, começamos a desenvolver ações principalmente no âmbito da educação". Ele também destaca a criação, em junho de 2008, de uma unidade específica para receber denúncias. Com a criação do Grupo Especial de Combate aos Crimes de Ódio e à Pornografia Infantil na Internet (GCOP), o tema passou a ter uma ação específica e houve um aumento de quase 2.000% em termos de operações. No caso dos ataques a sites de governo, até agora o problema verificado é a forma de enquadrar essas ações como crime, já que não existe um código específico para punir os culpados.

Empresa descobre vulnerabilidade em sistema da Siemens

Algumas das pesquisas mais alarmantes cujos resultados foram divulgados nas conferências Black Hat e Defcon, em Las Vegas, revelam vulnerabilidades em sistemas de computação antigos que gerenciam usinas de energia, fábricas de produtos químicos, sistemas de distribuição de água e outras instalações industriais ao redor do mundo.

A empresa de pesquisas NSS Lab revelou uma "porta dos fundos" em sistemas de controle indústrial da alemã Siemens AG que poderia permitir que hackers causassem estragos em usinas nucleares, gaseodutos e oleodutos, sistemas de tratamento de água, fábricas de farmacêuticos e outros empreemdimentos críticos para a infraestrutura.

A "porta dos fundos" é um ponto de acesso não documentado que permite que alguém invada remotamente o sistema usando softwares de comunicação com protocolos "telnet", além de uma senha de seis caracteres usada em todos os sistemas da Siemens e que não pode ser alterada. Alexander Machowetz, porta-voz da Siemens, disse que a companhia estava investigando o assunto. "Não estamos cientes de nenhum caso real em que um hacker tenha influenciado o controle de uma fábrica de algum de nossos clientes", disse.

No último verão (do hemisfério norte), pesquisadores descobriram o vírus Stuxnet, feito para atacar os sistemas de controle industrial da Siemens que operam máquinas complexas em fábricas. O Stuxnet foi usado para atacar uma fábrica de enriquecimento nuclear em Irã, em um duro golpe para o programa nuclear do país.