O especialista italiano em cibersegurança que não invadiu Portugal

Andrea Mavilla, especialista italiano em cibersegurança, encontrou números de telemóvel, endereços de correio eletrónico, moradas e outros dados de figuras públicas portuguesas em plataformas comerciais vendidas por subscrição. O caso envolve pessoas em funções sensíveis e merece investigação. Mas a informação tornada pública descreve uma consulta a bases de contactos, não uma intrusão nos sistemas do Estado.

Isso é importante por um lado e bastante menos extraordinário por outro. Contactos verdadeiros podem facilitar fraudes, engenharia social, recuperação indevida de contas e ataques dirigidos. O especialista teve mérito ao demonstrar a concentração desses dados e ao alertar as autoridades. Até agora, porém, não demonstrou ter explorado uma vulnerabilidade, quebrado credenciais ou ultrapassado qualquer defesa tecnológica portuguesa.

Até ao momento, ninguém apresentou um servidor comprometido, um acesso não autorizado, uma vulnerabilidade explorada ou uma infraestrutura nacional afetada. O Centro Nacional de Cibersegurança afirmou não haver “indícios de comprometimento” de qualquer infraestrutura conhecida. Podem existir elementos técnicos reservados ainda não divulgados; se surgirem, a avaliação deverá mudar. Com as provas disponíveis, o nível de alarme resulta da importância dos nomes encontrados, não da dificuldade técnica de os procurar.

A importância de quem aparece em uma lista não mede a dificuldade de encontrar a lista.

— Wanzeller

O problema começa quando o título de especialista e a sensibilidade dos alvos conferem à pesquisa uma sofisticação que o método conhecido não sustenta. Plataformas de enriquecimento de contactos são utilizadas por equipas comerciais, recrutadores e profissionais de prospeção. O utilizador cria uma conta, paga ou recebe créditos, introduz um nome e consulta o resultado. Qualquer pessoa com o mesmo acesso pode repetir a pesquisa. Não precisa de programar um crawler, explorar código, contornar autenticação ou descobrir uma falha desconhecida. Precisa de conhecer a plataforma. A especialização pode ajudar a interpretar o risco; não torna o botão de pesquisa tecnicamente mais difícil.

Considero mais sério o caminho percorrido pelos dados do que o caminho percorrido pelo cursor. Um contacto pode sair de uma agenda sincronizada, de uma aplicação com permissões excessivas, de uma extensão, de uma base comprada ou de alguém que conhecia as pessoas certas e decidiu vender o ficheiro certo. Depois, a tecnologia cruza nomes, cargos e perfis públicos, limpa a tabela e devolve tudo num painel elegante. É o nosso elo perdido da importância: ignoramos durante anos a circulação opaca dos dados e ficamos deslumbrados quando alguém finalmente os encontra numa caixa de pesquisa.

Não defendo que a exposição seja desvalorizada. As pessoas devem ser protegidas, as plataformas devem explicar a origem dos contactos e as autoridades devem seguir a cadeia de recolha e comercialização. Defendo apenas que chamemos cada problema pelo nome: exposição de dados não é, sem prova adicional, invasão informática.

No dia em que surgir uma prova de intrusão, será preciso reconstruir o ataque e explicar como as defesas foram ultrapassadas. Até lá, a agenda foi a única coisa que sofreu uma escalada de privilégios: entrou como lista de contactos e saiu como ameaça à segurança nacional.