O especialista italiano em cibersegurança que não invadiu Portugal

Andrea Mavilla, especialista italiano em cibersegurança, encontrou números de celular, endereços de e-mail, endereços residenciais e outros dados de figuras públicas portuguesas em plataformas comerciais vendidas por assinatura. O caso envolve pessoas em funções sensíveis e merece investigação. Mas a informação tornada pública descreve uma consulta a bases de contatos, não uma invasão aos sistemas do Estado.

Isso é importante por um lado e bastante menos extraordinário por outro. Contatos verdadeiros podem facilitar fraudes, engenharia social, recuperação indevida de contas e ataques direcionados. O especialista teve mérito ao demonstrar a concentração desses dados e ao alertar as autoridades. Até agora, porém, não demonstrou ter explorado uma vulnerabilidade, quebrado credenciais ou ultrapassado qualquer defesa tecnológica portuguesa.

Até o momento, ninguém apresentou um servidor comprometido, um acesso não autorizado, uma vulnerabilidade explorada ou uma infraestrutura nacional afetada. O Centro Nacional de Cibersegurança afirmou não haver “indícios de comprometimento” de qualquer infraestrutura conhecida. Podem existir elementos técnicos reservados ainda não divulgados; se surgirem, a avaliação deverá mudar. Com as provas disponíveis, o nível de alarme resulta da importância dos nomes encontrados, não da dificuldade técnica de procurá-los.

A importância de quem aparece em uma lista não mede a dificuldade de encontrar a lista.

— Wanzeller

O problema começa quando o título de especialista e a sensibilidade dos alvos conferem à pesquisa uma sofisticação que o método conhecido não sustenta. Plataformas de enriquecimento de contatos são utilizadas por equipes comerciais, recrutadores e profissionais de prospecção. O usuário cria uma conta, paga ou recebe créditos, digita um nome e consulta o resultado. Qualquer pessoa com o mesmo acesso pode repetir a pesquisa. Não precisa programar um crawler, explorar código, contornar autenticação ou descobrir uma falha desconhecida. Precisa conhecer a plataforma. A especialização pode ajudar a interpretar o risco; não torna o botão de pesquisa tecnicamente mais difícil.

Considero mais sério o caminho percorrido pelos dados do que o caminho percorrido pelo cursor. Um contato pode sair de uma agenda sincronizada, de um aplicativo com permissões excessivas, de uma extensão, de uma base comprada ou de alguém que conhecia as pessoas certas e decidiu vender o arquivo certo. Depois, a tecnologia cruza nomes, cargos e perfis públicos, limpa a tabela e devolve tudo em um painel elegante. É o nosso elo perdido da importância: ignoramos durante anos a circulação opaca dos dados e ficamos deslumbrados quando alguém finalmente os encontra em uma caixa de pesquisa.

Não defendo que a exposição seja desvalorizada. As pessoas devem ser protegidas, as plataformas devem explicar a origem dos contatos e as autoridades devem seguir a cadeia de coleta e comercialização. Defendo apenas que chamemos cada problema pelo nome: exposição de dados não é, sem prova adicional, invasão informática.

No dia em que surgir uma prova de intrusão, será preciso reconstruir o ataque e explicar como as defesas foram ultrapassadas. Até lá, a agenda foi a única coisa que sofreu uma escalada de privilégios: entrou como lista de contatos e saiu como ameaça à segurança nacional.