Chamaram de hacker. Mas e se ele só souber apertar Enter?

Existe uma promoção instantânea no mundo digital: alguém rouba uma senha, executa um programa pronto e acorda “hacker” na manchete do dia seguinte. Talvez não saiba escrever o código, explicar o ataque ou sobreviver à primeira mensagem de erro sem procurar um tutorial. Mesmo assim, recebeu gratuitamente um título que pode exigir anos de conhecimento para merecer.

O problema não é semântico; é dar crédito técnico a quem talvez tenha demonstrado muito pouco. Uma pedra pode destruir uma vitrine cara, mas ninguém chama o autor de engenheiro de demolição. No computador, curiosamente, o tamanho do prejuízo costuma virar currículo.

Para imprensa e Justiça, essa diferença interessa porque palavras criam uma percepção de capacidade. Chamar qualquer cibercriminoso de hacker pode transformar um operador de ferramenta, um golpista ou um iniciante em uma espécie de gênio de capuz preto. O crime não fica menor quando damos o nome certo; só o criminoso deixa de ganhar uma promoção.

O tamanho do estrago não mede o tamanho da habilidade.

— - Wanzeller

O botão não vem com diploma

Existe até um nome antigo e pouco elegante para quem usa ferramentas e scripts de terceiros sem compreender bem o que está fazendo: script kiddie. A própria Europol usa a expressão ao tratar de jovens com pouca experiência técnica capazes de realizar ataques usando ferramentas já disponíveis. O sujeito pode causar um belo problema, mas isso não significa que saiba construir aquilo que colocou para funcionar.

Profissionais experientes também usam ferramentas prontas, obviamente, porque ninguém precisa fabricar o próprio martelo antes de pregar um quadro. A diferença costuma aparecer quando o botão deixa de funcionar: um entende o mecanismo e investiga; o outro procura outro botão. É uma distinção pequena na tela e gigantesca em competência.

Engenharia social não transforma conversa em código

Há ainda o atacante que não quebra sistema algum: quebra a confiança de alguém. Ele telefona, manda uma mensagem convincente, cria urgência e consegue que a própria vítima entregue senha, código ou informação sensível — exatamente o tipo de manipulação descrito pelo NIST como engenharia social. Pode ser um excelente golpista, mas isso não prova que saiba explorar uma vulnerabilidade informática.

O computador, aliás, pode ter funcionado perfeitamente. Recebeu uma credencial válida e abriu a porta, como foi programado para fazer. Chamar automaticamente o autor de hacker seria como chamar de chaveiro alguém que enganou o porteiro.

Quando uma caixa de pesquisa parece um ataque a Portugal

Há poucos dias escrevi sobre um exemplo particularmente interessante: o especialista italiano em cibersegurança que não invadiu Portugal. Andrea Mavilla encontrou telefones, e-mails e outros dados de figuras públicas portuguesas em plataformas comerciais de consulta, mas as informações conhecidas não demonstravam servidor comprometido, defesa tecnológica ultrapassada ou infraestrutura portuguesa invadida. O caso era importante pela exposição dos dados, não pela existência comprovada de alguma operação digna de Mr. Robot.

Esse exemplo revela como nasce parte do exagero: nomes importantes, dados sensíveis e a palavra “cibersegurança” entram na mesma frase, e nossa imaginação fornece o restante. Uma consulta numa plataforma passa a soar como invasão; usar uma credencial vira “hackear”; executar uma ferramenta transforma o operador em especialista. Às vezes, a sofisticação cresce muito mais rápido no vocabulário do que no ataque.

Antes de chamar de hacker, descubra o que ele fez

Hacker não deveria funcionar como sinônimo automático de criminoso que usou um computador. O próprio RFC 4949 distingue o sentido técnico original do termo e registra como inadequado seu uso automático como sinônimo de cracker, observando inclusive a frequência dessa confusão no jornalismo. A bronca, portanto, já vem de fábrica.

Antes da próxima manchete, vale uma pergunta simples: ele descobriu uma falha, contornou uma proteção, desenvolveu uma técnica ou demonstrou conhecimento profundo do sistema? Ou conseguiu uma senha, comprou uma ferramenta, copiou um script e apertou Enter? As duas coisas podem causar estrago; só uma delas demonstra determinada habilidade técnica.

Dar o nome correto não absolve ninguém e não reduz a gravidade do fato. Apenas impede que script kiddies, golpistas e operadores de ferramentas recebam da imprensa o título que talvez mais gostassem de colocar na própria biografia.

Às vezes, o capuz preto só aparece quando a notícia é publicada.