Vazamento de petróleo no Golfo do México em 2010.

Todo mundo quer seus dados, mas ninguém parece capaz de resguardá-los


12/3/19 às 14h38

Na era do “dados são o novo petróleo”, toda empresa quer saber tudo sobre sua vida, mas nenhuma parece capaz de garantir a segurança dos seus dados e que eles não serão usados contra você. Ouça o Tecnocracia desta semana:

Ou se preferir, baixe o MP3.

O Tecnocracia está nas principais plataformas de podcasts. Acompanhe-o pelo seu app favorito: Apple Podcasts, Google Podcasts, Spotify ou RSS para os demais.

Não sabe ouvir podcasts? Este guia lhe será útil.

Abaixo, a transcrição integral desta edição:


Num dia no segundo semestre de 2010, a central de atendimento do UOL recebeu a ligação de um sujeito que dizia ter perdido o acesso à sua conta de e-mail. “Sem problema”, disse o(a) atendente. “Basta confirmar alguns dados pessoais que a gente reseta [a senha]”. A pessoa do outro lado informou CPF, data de nascimento, nome completo e outros dados e o UOL passou, pelo telefone mesmo, uma nova senha para acessar a conta.

Esta seria mais uma história monótona de SAC no Brasil se o e-mail cuja a senha tinha acabado de ser redefinida não fosse o de Dilma Rousseff e a pessoa que fez a ligação pedindo a nova senha não fosse a Dilma.

Com acesso à conta do UOL, o invasor conseguiu alterar também a conta do Gmail da então candidata. Dilma, àquela altura, estava envolvidíssima com a campanha eleitoral à Presidência da República, eleição que ela levaria com uma vantagem de 12 milhões de votos sobre José Serra, do PSDB.

A Polícia Federal descobriu que a invasão foi feita por um sujeito chamado Douglas Lopes, que se identificava no Twitter como membro do Anonymous, grupo de hacking global conhecido pelas ações ousadas e pelo total anonimato dos seus membros.

Após a invasão, Douglas tentou vender e-mails para partidos políticos opositores ao PT e veículos de imprensa. Pelo menos no discurso oficial, ninguém quis. Em depoimento à PF, Douglas disse que invadiu a conta da então candidata à presidência por estar desesperado financeiramente e que tentou avisar Dilma quando foi ao Palácio do Planalto. O cara não tem só o e-mail da presidente, mas também, provavelmente, outras formas mais efetivas de comunicação como números de telefone e precisa ir até o Palácio do Planalto. Tá bom…

Ainda que Douglas se apresente como membro do Anonymous (e não há garantia nenhuma disso), o que ele fez não exige nenhum tipo de sofisticado conhecimento técnico. Na verdade, você nem precisa saber programar para conseguir repetir. A invasão do e-mail de Dilma Rousseff foi mais um truque psicológico de que técnico. Douglas ligou para o SAC com as informações exigidas pelo UOL para resetar a senha da conta.

Qualquer candidato a cargo público no Brasil é obrigado a divulgar informações próprias, como CPF, nome completo e os bens em seus nomes. Sabe aquelas reportagens que saem sempre semanas antes e depois das eleições mostrando a evolução nos bens de um determinado candidato? São baseadas nas informações que o Tribunal Superior Eleitoral (TSE) exige que os candidatos divulguem. O trabalho de Douglas de apuração nem foi tão complicado assim.

Está tendo ideias ao ouvir isso? Então saiba que, ainda que você nem consiga acesso à conta de ninguém, passar-se por outra pessoa é crime previsto pelo artigo 299 do Código Penal, o de falsidade ideológica. Pena: reclusão, de um a cinco anos, e multa, se o documento é público; e reclusão de um a três anos, e multa, se o documento é particular. Internet não é parquinho, bonitinho.

A falta de cuidado das empresas

O Tecnocracia desta semana vai falar não sobre crimes contra candidatos à Presidência, mas sobre a falta de cuidado de empresas e governos na hora de lidar com os dados pessoais de milhões de pessoas e que tipos de consequências isso podem ter para você.

Vamos tirar logo uma coisa da frente: a privacidade digital está morta. Há de se lutar para que existam regras mais claras sobre o que pode ou não pode fazer, mas, no estado atual sem regras claras para nada, esconder-se dos olhares digitais de empresas e governos é uma tarefa muito difícil, a ponto de ser quase impossível. Dentre as ações possíveis, já que ninguém aqui tem o dia inteiro para se preocupar em formas de blindar a própria privacidade da sanha predatória de Facebooks e Googles da vida, é possível só tomar algumas ações para deixar o mínimo de informações próprias disponíveis online.

A morte da privacidade é um assunto batido. Você já ouviu incontáveis vezes e isso, por incrível que pareça, trabalha contra a conscientização. Cansa ouvir a mesma coisa sempre. Uma hora, cansado ou cansada, você simplesmente parte a ignorar. Quem melhor entendeu isso e aplicou à política é o presidente norte-americano Donald Trump: crie tantos factóides, mentiras e teorias da conspiração que, uma hora, as pessoas se cansam de acompanhar política e aquelas decisões mais difíceis passam sem que ninguém perceba. É uma estratégia chamada “firehosing”, nascida na Rússia e que o presidente do Brasil não só notou como já começou a aplicá-la.

A melhor explicação sobre a popularização do firehosing entre governos que tendem à direita está em um episódio do StrikeThrough, uma série muito boa da Vox. O cansaço que as pessoas demonstram neste papo sobre dados não parece ter uma estratégia por trás, como Trump e Jair Bolsonaro fazem, mas é excelente para as empresas, já que você continua fazendo exatamente o que sempre fez: dando dados para que elas cuidem deles bem porcamente.

Essa é uma discussão que sempre se foca em como empresas que dependem dos seus dados como modelo de negócios tomam decisões eticamente questionáveis, para não dizer criminosas. Sim, a gente está falando dos repetidos abusos de poder do Facebook, mas não dá para tirar o Google ou a Amazon do foco. Há, porém, um outro lado desta discussão que quase ninguém fala: a responsabilidade de empresas que não dependem exclusivamente de dados para sobreviverem, pelo menos não agora.

Há uma frase que você ouve insistentemente: “os dados são o novo petróleo”. Embaladas pela máxima, qualquer empresa está louca para ter seus dados. O problema é que, assim que elas os conseguem, não há qualquer tipo de cuidado ao lidar com eles, o que acaba criando oportunidade atrás de oportunidade para gente como o invasor do e-mail da Dilma.

Estamos falando de empresas com as quais lidamos diariamente. Deixa eu contar uma história para vocês e aqui vale um “full disclosure”. Eu já fui jornalista, hoje não sou mais. Eu sou empresário, tenho uma empresa de análise de dados. Toda empresa tem que ter uma conta pessoa jurídica e lá fui eu abrir a da minha empresa em um dos maiores bancos do Brasil. A gerente que me atendeu trouxe um calhamaço de papéis para assinar que tinha informações como: endereço, contatos pessoais, contato de indicações, onde trabalho e, principalmente, o faturamento da minha empresa nos últimos 12 meses. A primeira versão tinha informações erradas. Ela corrigiu e imprimiu um novo calhamaço para eu assinar. O que fazer com o velho? Ela pegou, rasgou em quatro pedaços e deixou em cima da mesa.

Por pura curiosidade, perguntei o que o banco fazia com esse tipo de documento cheio de informação confidencial. Imaginei que ele passasse por uma picotadora, que nem é a melhor solução, ou, melhor, fossem queimados. “A gente joga no lixo”. Mas assim? Com tanta informação legível?? “É”. Eu peguei os quatro pedaços do calhamaço antigo e coloquei na mochila, trouxe para casa e eu mesmo picotei.

É uma mania minha. Sempre que chega carta eu recorto o nome, o endereço e qualquer outra informação pessoal antes de jogar fora. “Ah, Guilherme, tem que ser muito paranóico para achar que tem gente que revira lixo atrás de informações pessoais dos outros”. Talvez seja. Mas você garante que não tem ninguém, seja funcionário corrompido ou criminoso mais esperto, que não esteja revirando os sacos de lixo de Bradescos, Itaús, Caixas e Bancos do Brasil? Eu não garanto.

Quantas empresas, hoje, armazenam os dados que revelam toda sua vida? Seu banco? Sua academia? Sua faculdade? Seu empregador? O supermercado onde você faz compras? A farmácia ao lado da sua casa? A loja de biquinis onde você comprou uma peça há três anos? A escola onde seus filhos estudam? O hotel onde você fica quando vai para outra cidade? O programa de fidelidade do restaurante japonês onde você leva sua família uma vez por semana? Mais que isso: quem garante que todas essas empresas estão mantendo seus dados sob sigilo para que ninguém tente se passar por você para ter um ganho pessoal?

Mantendo o sigilo

Manter o sigilo dos dados inclui não ter funcionários que desviam informações e as vendem para terceiros, como já aconteceu com operadoras de telecom, ou ter bancos de dados escondidos do resto do mundo.

O primeiro caso é mais popular que a gente imagina: o sujeito trabalha numa grande empresa com acesso a dados sensíveis e vê ali a chance para ganhar uma grana extra.

Em 2016, a Polícia do Maranhão desarticulou uma quadrilha que dava golpes clonando o WhatsApp alheio. Os bandidos arranjavam o número de telefone e o CPF da vítima e ligavam para Wanderson Soeiro, que trabalhava em uma das grandes operadoras do Brasil (a polícia não disse qual). Wanderson transferia a linha para um chip novo, que estava em poder dos bandidos. Assim, abria-se acesso ao WhatsApp da vítima.

É um golpe que tem se tornado bem comum nos últimos anos. Dúvida? Entra no ReclameAqui e busque por “chip clonado”. Os bandidos nem precisam ter um funcionário infiltrado, ainda que isso ajude muito. Basta fazer a mesma coisa que Douglas fez para obter acesso ao e-mail da Dilma. Até políticos já caíram no golpe. Em 2015, o então governador do Distrito Federal, Rodrigo Rollemberg, teve seu celular clonado por Jefferson Rodrigues Filho. Como? Jefferson descobriu o número, ligou para a Vivo, a operadora de Rollemberg, e convenceu a atendente que era o dono da linha. A partir daí, passou a se portar como o governador.

Reportagem do Metrópoles:

Jefferson tentou ser nomeado na Secretaria de Habitação, mas não conseguiu. Em seguida, foi bem sucedido nas tratativas com o então secretário de Ciência e Tecnologia Paulo Salles, que o encaminhou para uma entrevista de emprego com a presidente da Fundação de Apoio e Pesquisa (FAP).

Ele ganhou o emprego como gerente de projetos tecnológicos da FAP. O caso diz tanto sobre a incompetência das operadoras em validar com certeza os dados pessoais de um cliente ao tomar uma ação tão drástica como dar acesso à linha telefônica como sobre a política de indicações de um governo que acabam levando para qualquer estatal gente incompetente.

Eu falei que manter o sigilo envolve duas outras questões. Já falamos da primeira — não ter funcionários que vendam informações pessoais. A segunda é garantir que ninguém tenha acesso a elas.

Desde o ano passado, temos visto uma sucessão de empresas que fazem o contrário. Há várias formas de vazar os dados dos seus clientes, mas está na moda agora uma instância ElasticSearch, um dos servidores de busca corporativa mais popular do mundo, disponível para quem tiver o link. Empresas criam APIs com informações dos seus clientes para uso interno. O software no ponto de venda, por exemplo, vai buscar informações sobre um cliente X que quer atualizar seu plano. Essas APIs deveriam estar disponíveis apenas para funcionários da companhia, mas, em alguns casos, ficam abertas para o mundo, sem senha. Quem quiser pode copiar o banco de dados inteiro da empresa.

Só no Brasil, Sky e Fiesp deixaram à mostra centenas de milhões de registros por simplesmente não habilitarem uma função que “esconde” a instância. Talvez eu esteja falando grego com esses termos técnicos. O que você precisa entender é o seguinte: é fácil não expôr esses dados, basta configurar direitinho. Quando você configura seu Wi-Fi em casa, escolhe o nome da rede e se é aberta ou fechada. Em uma instância ElasticSearch, é a mesma coisa. A falha não é técnica — é humana. A empresa com quem você confiou seus dados não consegue configurar um maldito servidor para que seu endereço e seu cartão de crédito não vazem. É inacreditável. E não acontece só no Brasil.

“Ah, Guilherme, sorte a nossa que os governos, que têm informações ainda mais sensíveis nossas, tomam cuidado, né?” Aí você se engana. Nem o governo sabe tratar os dados que tem, o que é ainda pior, já que existe uma responsabilidade cívica que empresas da iniciativa privada não têm.

Quando a Prefeitura de São Paulo publicou pela primeira vez o banco de dados do IPTU da cidade, com todos os imóveis registrados, a planilha tinha os CPFs completos de centenas de milhares de cidadãos. A boa decisão de abrir o banco de dados e a péssima decisão de fazê-lo sem qualquer filtro de privacidade vieram da gestão do ex-prefeito Fernando Haddad (PT). Quantas pessoas, hoje, têm esse arquivo guardado num HD? Ninguém sabe.

O sucessor de Haddad, João Dória (PSDB), estarreceu a comunidade que estuda privacidade digital ao oferecer para a iniciativa privada os dados de uso do Bilhete Único, o cartão para uso de ônibus em São Paulo. O que tem nesse banco de dados: nome, endereço, CPF, RG, nome da mãe e uma foto de rosto. A legislação de proteção a dados, aprovada pelo Senado em julho, barra a ação, mas só a partir de agosto de 2020, quando entrará em vigor. Até lá? Ninguém sabe, ninguém viu.

Nesse cenário, parece um milagre que não tentem clonar seu celular uma vez por semana.

A ideia deste Tecnocracia não é introduzir uma paranoia na sua cabeça que vai fazer você pagar tudo com cédulas não sequenciais e dormir com uma pistola .45 debaixo do travesseiro.

(Essa última frase — lúgubre, eu sei — é uma citação direta à melhor reportagem sobre tecnologia publicada em 2019. O The Verge ouviu dezenas de funcionários que fazem o monitoramento de posts no Facebook. É uma leitura estarrecedora: os sujeitos que decidem se algum post ou vídeo é racista ou fere a lei trabalham muito, ganham pouco e estão, aos poucos, perdendo suas sanidades mentais. Um dos revisores, de tanto ler teorias da conspiração sobre o 11 de setembro, começou a acreditar que a queda das Torres Gêmeas foi um trabalho interno, desenvolveu transtorno de estresse pós-traumático, o tipo de trauma psicológico comum em quem volta de uma guerra, e dorme todo dia com uma pistola debaixo do travesseiro, com medo de sofrer uma tocaia durante o sono. E você acha seu emprego ruim… Não tem nada a ver com o assunto, eu sei, mas é uma leitura obrigatória.)

A ideia não é desenvolver paranóias nos ouvintes. Mas é preciso que todo mundo que tem alguma informação pessoal armazenada em algum banco de dados digital (ou seja, todo mundo) tenha noção da escala da problema. Todos querem os seus dados, ninguém parece capaz de resguardá-los ou manejá-los de maneira segura.

Quando você entende o tamanho do problema no qual a gente está inserido e todos os riscos inerentes a qualquer falha, ações como a da gerente de banco que se desfaz de qualquer jeito de um calhamaço de dados extremamente sensíveis sobre você ou sua empresa são revoltantes! Porque eu não quero que uma empresa relapsa neste tratamento tenha informações minhas. Mas como eu consigo garantir hoje que determinada empresa limpe minha existência dos seus bancos de dados? Eu não consigo. Não existe legislação correta. Até fechar uma conta no site de um varejista de roupas é difícil, que dirá exigir que seus dados sejam totalmente apagados. Já virou um mantra do Tecnocracia, mas cabe aqui de novo: nesta zona legal cinzenta da tecnologia em que vivemos hoje, empresas da área podem tudo. E o prejudicado é sempre o consumidor. Nós.

O e-mail invadido da Dilma, o celular clonado do Rollemberg, o cartão de loja varejista criado com identidade falsa, a movimentação suspeita na conta corrente. Para esses golpes, é preciso um número mínimo de informações pessoais sobre as vítimas. Não é difícil arrumar mais que este mínimo. As empresas que a gente usa diariamente facilitam o acesso. O público em geral parece não dar a mínima para isso, talvez por não entender direito o que dá para fazer com dados pessoais caso eles caiam nas mãos de alguém minimamente esperto e com intenções maliciosas. Ou talvez por pensar que vai ser sempre com o outro. Ou talvez, quando acontecer, por não conseguir atrelar a divulgação de dados ao golpe, como se a invasão fosse algo escrito na pedra, que iria acontecer de todo jeito.

Existe uma peça de teatro do dramaturgo alemão Bertolt Brecht chamada O Círculo de Giz Caucasiano que conta a história de como uma mulher pobre vira uma mãe melhor para uma criança do que seus pais naturais, muito ricos. A essência da história — e isso aqui não é spolier — é que deve ficar com a criança quem é melhor capaz de atendê-la, de prepará-la para a vida que ela tem adiante. Escrevendo esse episódio do Tecnocracia eu não consegui tirar o livro da cabeça. Principalmente por que a peça do Brecht nos oferece uma opção. Se fossemos usar a metáfora para o atual estado do mercado de tecnologia, ia sobrar a pior mãe possível para tomar conta da criança.

Foto do topo: kris krüg/Flickr.

Colabore
Assine o Manual

Privacidade online é possível e este blog prova: aqui, você não é monitorado. A cobertura de tecnologia mais crítica do Brasil precisa do seu apoio.

Assine
a partir de R$ 9/mês