Malware-as-a-Service: um negócio chamado cibercrime

Se há uns anos estava associado à típica imagem de um indivíduo encapuzado numa cave a distribuir ciberataques com um propósito próprio, hoje esta imagem já não corresponde à realidade. O mundo do cibercrime “profissionalizou-se”, é hoje uma indústria e permite que qualquer pessoa contrate um serviço a um hacker profissional.

Falta de cultura em cibersegurança é transversal

Na era do XaaS, nem o cibercrime escapa. Numa entrevista à agência Lusa no início de abril, José Tribolet, professor universitário e fundador do Instituto de Engenharia de Sistemas e Computadores, Investigação e Desenvolvimento (INESC), chamou a atenção para a falta de uma cultura de cibersegurança em Portugal. No que à segurança cibernética diz respeito, não existem, obviamente, remédios milagrosos nem soluções infalíveis. No entanto, as vulnerabilidades a que o país está exposto vão além de pequenas falhas de segurança.

José Tribolet afirmou ainda, na entrevista, que para deitar os sistemas informáticos de uma empresa abaixo não são necessárias grandes quantias de dinheiro, mas apenas de pequenas “perturbações”. “Em vez de criar uma perturbação, crie quatro, cinco, seis ou sete, repetidas massivamente durante uma semana". "Não há nenhum Governo que resista", advertiu. O professor universitário foi ainda mais longe e disse que com “cem mil euros e uma pequena equipa” seria capaz de “deitar abaixo o Governo em 15 dias”.

Também Pedro Veiga, ex-coordenador do Centro Nacional de Cibersegurança, em entrevista ao Expresso, afirmou que existem ataques à venda na internet, muitas vezes por quantias insignificantes, e que são capazes de colocar em risco a segurança dos sistemas informáticos da administração pública de vários países.

Falta de talentos agrava paradigma

“A crescente dependência que a sociedade tem das tecnologias da informação e a necessidade crescente do imediatismo em ter coisas a funcionar leva a que, por um lado, se queimem etapas e não se façam todos os testes devidos; por outro lado, em alguns países, tal como Portugal, há uma falta brutal de recursos humanos”, salientou Pedro Veiga. Esta é outra face do problema do cibercrime.

Hoje o cibercrime é um negócio e qualquer pessoa pode “comprar” na dark web os mais variados ataques informáticos por quantias que dependem da escala desses mesmos ataques: o ex-coordenador do Centro Nacional de Cibersegurança disse que, por exemplo, um ataque de DDoS é relativamente fácil de comprar na dark web, à semelhança de um ataque de ransomware.

Pedro Veiga explicou também na entrevista a forma como um ataque pode ser contratualizado online: “A pessoa subscreve, é-lhe dado acesso a uma conta e depois define o seu alvo (por exemplo, enviar e-mails para endereços que terminem em ‘dominio.com’). O sistema envia e-mails que estão infetados e bloqueia os computadores. As vítimas recebem posteriormente uma referência para desbloquear mediante o pagamento em bitcoins”.

Esta é apenas uma versão suave de tudo o que se pode comprar na dark web. A dark web é um mundo e permite comprar todo o tipo de serviços, incluindo serviços de hacking.

Com o cibercrime profissionalizado, o espetro das ameaças não para de aumentar e todos somos um alvo. É, por isso, fundamental que cada vez mais as empresas invistam na sua segurança, se formem em cibersegurança e tenham pessoas dedicadas a este tema dentro de casa. A preparação é fundamental para uma proteção e resposta mais eficazes a ciberataques.