Época: o dilema da segurança digital

Um cartão de crédito com limite de R$ 1.000 vendido a R$ 190 com senha. Nome de usuário e senha de serviços de streaming. Aplicativos que burlam o sistema de auxílio emergencial do governo federal. O balcão de negócios do mundo do crime é vasto e variado. Na semana passada, esses três exemplos circulavam livremente em diversos grupos de Telegram. Em um fórum de hackers na internet, informações sobre mais de 200 mil usuários da SPTrans, a empresa que administra o transporte público de São Paulo, estão disponíveis para quem quiser ver, escreve Dimitrius Dantas na edição desta semana da revista do Grupo Globo. Continua a seguir.

Foi com a intenção de fazer empresas privadas e órgãos públicos cuidarem melhor do que coletam de usuários e também serem mais transparentes sobre como usam esses dados que o Congresso aprovou uma nova lei, a Lei Geral de Proteção de Dados, em vigor desde meados de setembro e à espera de regulamentação. Pelo menos no papel, a nova legislação impõe regras para todo o processo de coleta e também para o descarte. “Nos próximos meses, os internautas brasileiros terão de se acostumar com avisos nos sites perguntando quais informações desejam que sejam mantidas”, disse José Aparecido de Oliveira, engenheiro de produto da Compugraf, empresa de segurança digital. Em tese, qualquer pessoa poderá exigir a eliminação de seus dados guardados por companhias privadas e órgãos públicos.

Questionada, a SPTrans afirmou que adota procedimentos rígidos de segurança e os aprimora constantemente visando a proteção da informação de nossos bancos de dados. E trabalha para a efetiva implementação da Lei Geral ed Proteção de Dados e está atenta às melhores práticas de mercado.

A expectativa hoje é que casos como o da varejista on-line Netshoes, cujo sistema foi invadido e que foi condenada a pagar R$ 500 mil no ano passado, se multipliquem, mas com valores maiores. Pelas novas regras, a aplicação das multas pode chegar a até R$ 50 milhões, dependendo do faturamento da empresa que for alvo de um vazamento e não tiver uma boa explicação para justificar as falhas de segurança.

Para companhias de diferentes setores, a vida não se resume a tentar proteger nome, CPF e número de cartão de crédito dos clientes. Históricos de consumo e navegação nos sites, endereço e profissão são exemplos de indicadores que ajudam a montar padrões para tentar prever comportamentos. Como fica claro no documentário O dilema das redes, da Netflix, plataformas digitais, como Facebook e Google, são imbatíveis na obtenção de dados sobre seus usuários. No caso das redes sociais, o objetivo é aumentar o engajamento para a venda de anúncios. Em empresas de outros segmentos, a meta costuma ser a venda de produtos e serviços. Quanto mais sabem sobre seus clientes, quanto mais informações guardam e processam sobre eles, mais chances têm de sucesso. Na economia digital, dados são ouro.

Ironicamente, o próprio Senado Federal, que aprovou a entrada em vigor da Lei Geral de Proteção de Dados, foi alvo de um vazamento criminoso. As informações de pelo menos dois funcionários do Senado foram obtidas ilegalmente no final de agosto. O ataque foi compartilhado no YouTube por um hacker que se apresenta como VandaTheGod, um dos mais famosos do país, com um currículo que supostamente inclui a invasão de mais de 5 mil sites. VandaTheGod teve acesso às contas de e-mails dos dois servidores e ao painel do site do Senado. Questionado por ÉPOCA, o Senado disse que está tomando todas as providências sobre o caso. Afirmou ainda que não houve comprometimento do sistema.

De olho nesse mercado que se abre com a nova lei, escritórios de advocacia falam de uma grande transformação. Ao lado de empresas de tecnologia da informação, estão ativamente prospectando novos clientes com a mensagem “melhor agir agora do que chorar depois”. Para as empresas evitarem condenações pesadas após vazamentos, elas terão de provar que tomaram todas as medidas preventivas cabíveis. “A principal mudança na lei será cultural. As empresas terão de educar seus funcionários”, disse a advogada Paula Mena Barreto, do escritório Campos Mello, de São Paulo.

Ainda é cedo para saber com certeza quais mudanças provocadas pela pandemia do coronavírus se firmarão como tendência por décadas. Caso o trabalho remoto prove ser produtivo e mantenha um nível alto de adesão, mesmo após a descoberta de uma vacina eficaz, o certo é que as empresas terão mais dor de cabeça. Nos últimos seis meses, com muita gente trabalhando em casa, o número de phishings, a prática de roubar informações confidenciais com golpes por e-mail ou em sites, deu um salto. Segundo dados coletados pela NewSpace, empresa especializada em soluções cibernéticas, a quantidade de phishings no primeiro semestre deste ano foi 45% superior à do mesmo período de 2019.

Com uma lei mais severa, há também quem preveja o crescimento de um crime conhecido por “a cobrança de resgate”. Nessa modalidade, o hacker obtém dados e cobra um determinado valor para devolver o que roubou sem fazer alarde. Quem acredita no aumento desses casos prevê que um número maior de empresas considere mais vantajoso pagar o resgate do que ficar com a multa. “A longo prazo, a lei vai fomentar o mercado de segurança da informação, vai aumentar o cuidado das empresas. Ela é benéfica. Mas, ironicamente, acreditamos que, no curto prazo, teremos um efeito contrário: um boom de invasões”, disse João Lucas Melo Brasio, da Elytron Security, empresa especializada em segurança da informação.