Chamaram-lhe hacker. Mas e se ele só souber carregar no Enter?

Existe uma promoção instantânea no mundo digital: alguém rouba uma palavra-passe, executa um programa pronto e acorda “hacker” na manchete do dia seguinte. Talvez não saiba escrever o código, explicar o ataque ou sobreviver à primeira mensagem de erro sem procurar um tutorial. Mesmo assim, recebeu gratuitamente um título que pode exigir anos de conhecimento para merecer.

O problema não é semântico; é dar crédito técnico a quem talvez tenha demonstrado muito pouco. Uma pedra pode partir uma montra cara, mas ninguém chama o autor de engenheiro de demolição. No computador, curiosamente, o tamanho do prejuízo costuma transformar-se em currículo.

Para a imprensa e a Justiça, esta diferença interessa porque as palavras criam uma perceção de capacidade. Chamar hacker a qualquer cibercriminoso pode transformar um operador de ferramentas, um burlão ou um principiante numa espécie de génio de capuz preto. O crime não se torna menos grave quando lhe damos o nome certo; o criminoso apenas deixa de receber uma promoção.

O tamanho do estrago não mede o tamanho da competência.

— - Wanzeller

O botão não vem com diploma

Existe até um nome antigo e pouco elegante para quem usa ferramentas e scripts de terceiros sem compreender bem o que faz: script kiddie. A própria Europol usa a expressão ao referir-se a jovens com pouca experiência técnica capazes de realizar ataques com ferramentas já disponíveis. O indivíduo pode causar um grande problema, mas isso não significa que saiba construir aquilo que pôs a funcionar.

Profissionais experientes também usam ferramentas prontas, obviamente, porque ninguém precisa de fabricar o próprio martelo antes de pendurar um quadro. A diferença costuma aparecer quando o botão deixa de funcionar: um percebe o mecanismo e investiga; o outro procura outro botão. É uma distinção pequena no ecrã e gigantesca na competência.

Engenharia social não transforma conversa em código

Há ainda o atacante que não quebra sistema algum: quebra a confiança de alguém. Telefona, envia uma mensagem convincente, cria urgência e consegue que a própria vítima entregue uma palavra-passe, um código ou informação sensível — exatamente o tipo de manipulação descrito pelo NIST como engenharia social. Pode ser um excelente burlão, mas isso não prova que saiba explorar uma vulnerabilidade informática.

O computador, aliás, pode ter funcionado perfeitamente. Recebeu uma credencial válida e abriu a porta, como foi programado para fazer. Chamar automaticamente hacker ao autor seria como chamar serralheiro a alguém que enganou o porteiro.

Quando uma caixa de pesquisa parece um ataque a Portugal

Há poucos dias escrevi sobre um exemplo particularmente interessante: o especialista italiano em cibersegurança que não invadiu Portugal. Andrea Mavilla encontrou números de telefone, endereços de e-mail e outros dados de figuras públicas portuguesas em plataformas comerciais de consulta, mas os factos conhecidos não demonstravam qualquer servidor comprometido, defesa tecnológica ultrapassada ou infraestrutura portuguesa invadida. O caso era importante pela exposição dos dados, não pela existência comprovada de alguma operação digna de Mr. Robot.

Este exemplo revela como nasce parte do exagero: nomes importantes, dados sensíveis e a palavra “cibersegurança” entram na mesma frase, e a nossa imaginação fornece o resto. Uma consulta numa plataforma passa a soar a invasão; usar uma credencial passa a ser “hackear”; executar uma ferramenta transforma o operador em especialista. Por vezes, a sofisticação cresce muito mais depressa no vocabulário do que no ataque.

Antes de chamar hacker a alguém, descubra o que fez

Hacker não deveria funcionar como sinónimo automático de criminoso que usou um computador. O próprio RFC 4949 distingue o sentido técnico original do termo e regista como inadequado o seu uso automático como sinónimo de cracker, assinalando inclusivamente a frequência desta confusão no jornalismo. A correção, portanto, já vem de fábrica.

Antes da próxima manchete, vale uma pergunta simples: descobriu uma falha, contornou uma proteção, desenvolveu uma técnica ou demonstrou conhecimento profundo do sistema? Ou conseguiu uma palavra-passe, comprou uma ferramenta, copiou um script e carregou no Enter? As duas coisas podem causar estragos; só uma delas demonstra determinada competência técnica.

Dar o nome correto não absolve ninguém nem reduz a gravidade do facto. Apenas impede que script kiddies, burlões e operadores de ferramentas recebam da imprensa o título que talvez mais gostassem de pôr na própria biografia.

Às vezes, o capuz preto só aparece quando a notícia é publicada.