Recentemente, o mundo tecnológico acordou com a má notícia de que a Wikileaks tinha revelado uma grande quantidade de dados que mostravam que a CIA tinha a capacidade para espiar smartphones Android, iPhone e mesmo tomar conta de televisores inteligentes da Samsung através de um protocolo cujo nome não deixava de ser alarmante: com o “weeping angel”, algo como “anjo em pranto”, a CIA conseguiria colocar a televisão Samsung num estado de falso Off, permitindo à CIA continuar a ouvir as conversas de todas as pessoas na casa, a partir dos microfones do televisor.
Inicialmente foi o pânico e o escândalo. Até Edward Snowden, falando desde o seu refúgio na democrática Rússia, não resistiu e comentou o suficiente para aumentar o alarmismo em torno de toda esta questão. Mas estará a CIA mesmo a espiar-nos os smartphones e televisões?
A resposta curta é um rotundo não. Vamos à resposta longa?
O escândalo Vault 7
O escândalo Vault 7 começou no dia 07 de Março, quando a Wikileaks iniciou uma nova investida conta as agências de segurança Norte-Americanas, revelando um amplo conjunto de ferramentas através das quais a CIA conseguiria controlar smartphones, computadores e até Smart TVs com recurso a dispositivos de hacking, vírus e trojans, além de vulnerabilidades inerentes aos dispositivos.
Aparentemente, estas ferramentas deveriam ser secretas, mas parece que algures ao longo do caminho os operativos se tornaram demasiado confiantes e começaram a partilhar entre si as ferramentas e os conhecimentos, até ao ponto em que a CIA deixou de ter qualquer controlo sobre as ferramentas e estas foram parar às mãos da Wikileaks.
Ao todo são 8,761 documentos que detalham todas estas ferramentas e estabelecem modos de operar de forma a colocar um smartphone sob controlo e seguir assim as actividades completas de um indivíduo.
O Modus Operandi da CIA
Quando ligamos as palavras CIA e Espionagem, podemos pensar automaticamente em 
sistemas de controlo em massa de pessoas e dispositivos. No entanto, os mais de 8 mil documentos apontam para aquilo que é banalidade no quotidiano de um grupo de hackers.
Nos documentos indicados pela Wikileaks não parecem existir técnicas esotéricas ou inéditas: para seguir um indivíduo, a CIA recorre a um grupo amplo de ferramentas que permitem colocar no seu telemóvel ou computador um troiano ou outro tipo de malware de forma a roubar dados, rastrear ou gravar as suas actividades. São actividades corriqueiras, que não mostram provas das mais loucas teorias da conspiração quanto às capacidades reais da espionagem Americana.
As técnicas da CIA incluem a exploração de vulnerabilidades “dia zero” por corrigir nos sistemas operativos, algo que muitos hackers fazem silenciosamente todos os dias. Todas as empresas de segurança, a Google inclusivamente, investem fortemente na investigação destas vulnerabilidades por descobrir, procurando-as e encontrando modos de as corrigir.
Para sermos claros: todos os dispositivos electrónicos conectados possuem algum tipo de vulnerabilidade que permitirá a atacantes com conhecimentos utilizá-los de um modo nada saudável para o dono do dispositivo.
Talvez o exemplo mais recente desta realidade sejam os Botnets, que afectam dispositivos conectados que podem ser tão básicos quanto termostatos ou fechaduras inteligentes. Estes dispositivos possuem a capacidade inerente de comunicar via Internet, pelo que é fácil utilizá-los para ataques em massa.
Recentemente, uma Universidade por especificar sofreu um ataque em massa deste género quando os seus dispositivos inteligentes se viraram contra a própria instituição, fazendo pedidos repetidos de restaurantes de marisco, colocando em risco toda a rede da instituição, relata a ZDNet.
Em Outubro de 2016, milhões de dispositivos IoT conseguiram deitar abaixo uma grande quantidade de sites depois de terem apontado as armas aos servidores que forneciam os DNS de acesso a esses mesmo sites. O excepcional do ataque foi ter recorrido basicamente a tudo, desde leitores de DVD a lâmpadas inteligentes.
“Mas a CIA podia controlar uma Smart TV da Samsung”, dizem-me. Sim, mas curiosamente a CIA não tinha como chegar à televisão via Internet. Para utilizar o hack, os operativos da CIA teriam de aceder à televisão e infectá-la via USB, pelo que esta técnica tão destacada nos documentos provavelmente nunca foi utilizada.
Do que foi até agora possível aprender do material libertado pela Wikileaks, a CIA não tem armas milagrosas, e tem de fazer o mesmo trabalho que qualquer hacker. A diferença estará talvez que enquanto a Google investiga vulnerabilidades para as corrigir, a CIA mantém-nas para seu próprio uso. A diferença será também quanto aos recursos, com a agência estatal a possuir recursos legais e financeiros fora do alcance da maioria do comum dos mortais.
Um extenso grupo de armas eficazes e completamente obsoletas
Como dissemos, todos os dias se descobrem vulnerabilidades que afectam uma ou outra família de dispositivos, e os fabricantes procuram corrigi-las rapidamente. Apesar do hilariante que possa ser imaginar a maioria dos operativos da CIA a correr como baratas tontas para apagar os traços das suas acções, aparentemente a maior parte das vulnerabilidades descobertas remonta a 2013 e os documentos parecem remeter para 2016.
A própria Apple, no exacto dia da revelação da Wikileaks, comunicou que a maioria das vulnerabilidades já tinham sido corrigidas nas versões mais recentes do iOS. Convém aqui realçar que “a maioria” é utilizada com cautela: no momento a Apple não tinha ainda analisado a fundo os documentos para perceber quantas ameaças existiam e quantas permaneciam por corrigir.
O mesmo se aplica à Google, que utilizou quase as palavras da Apple, para indicar que a maioria das falhas já tinham sido corrigidas.
O lado negativo destas declarações é que entretanto a CIA já terá desenvolvido novas técnicas para controlar dispositivos alheios, mas muitas já terão sido, mais uma vez, corrigidas.
A súmula que podemos fazer desta questão volta a ser a seguinte: não foram detectadas falhas globais que afectem todos os smartphones do mesmo modo, e muitas as vulnerabilidades já estão completamente corrigidas. Portanto, não, a CIA não tem como espiar milhões de smartphones ao mesmo tempo, onde quer que estejam.
O meu smartphone está seguro?
Se tem um smartphone com menos de dois anos e actualizado, a resposta é sim, mas com reservas.
É altamente recomendado que todas as empresas e utilizadores singulares actualizem os seus dispositivos com as mais recentes actualizações de segurança. Estas existem por um motivo: os sistemas informáticos são completos e, mais do que falhas individuais, existem falhas sistémicas que permitem a sua exploração de modos imprevistos pelos programadores. Os esforços são reais quanto à procura de novas falhas e imediata correcção.
Smartphones mais antigos são um maior risco de segurança porque raramente os fabricantes se comprometem com actualizações após dois anos. Muitos destes dispositivos continuam por isso em circulação com vulnerabilidades que não terão correcção.
Mas não convém esquecer que o maior perigo para o utilizador é o próprio utilizador: é aconselhada cautela quanto aos sites visitados, às actividades levadas a cabo com os dispositivos e com a instalação de aplicações não oficiais.
Outras questões a considerar
O timing da fuga de informação da Wikileaks é questionável. Chega numa altura em que se colocam em causa as acções da Rússia durante as eleições Norte-Americanas, com alegações recentes de que conselheiros do Presidente Trump terão estado em contacto com hackers Russos durante as eleições.
A fuga de informação é agora apontada a hackers Russos. Não nos compete colocar isto em causa ou confirmar, mas a CIA não está sozinha nesta questão de espionagem cibernética, nem podemos deixar que as atenções aí focadas nos desviem das restantes ameaças.
Comprometida com mais de mil milhões de contas hackeadas, a Yahoo tentou defender que teria sido espionagem de Estado. Se voltarmos a 2016, um grupo de hackers Chineses tentou um ataque direccionado a diplomatas internacionais que se encontravam a bordo do porta-aviões Americano USS Ronald Reagan, com potencial avassalador para comprometimento de informações militares.
As ligações de qualquer grupo de hackers a um Estado em particular são sempre difíceis ou impossíveis de avaliar, mas é ingénuo imaginarmos que a CIA é diferente de qualquer outra agência de segurança nacional, de qualquer país.
A possibilidade de que estas agências possuam equipamentos de espionagem em massa não é prática. O seu objectivo é utilizar recursos limitados para encontrar ameaças contra a segurança nacional (ou percepcionadas como tal). Esse objectivo não pode ser cumprido se os métodos não forem seleccionados e direccionados contra alvos específicos. Por outras palavras, a mera ideia de que a CIA poderia utilizar espionagem indiscriminada contra qualquer pessoa em qualquer local não tem mérito. À procura de um criminoso, a polícia não para cidadãos ao acaso na rua.
O pior de tudo isto é que, cada vez mais, vivemos num mundo completamente ligado à Internet de um modo ou de outro. Uma coisa é um computador, outra um smartphone, outra ainda uma câmara de vigilância ou um mero router. Neste último caso, a maioria dos utilizadores mantém a vulnerável password de fábrica e não vai aperceber-se de qualquer infecção que mantenha a operação normal do dispositivo, já que se trata de um dispositivo esquecido pela casa.
Mas o que acontecerá com os equipamentos Google Home ou Amazon Echo quando forem hackeados, e quem garante a segurança das nossas informações pessoais nas casas inteligentes?
Que tal estas perguntas?
