[Segurança] Acesso escancarado ao banco de dados de segurança pública do Brasil

Uma reportagem do SBT divulgada há poucos dias gerou um certo buzz na mídia: os repórters do SBT mostrou um esquema de venda de senhas do INFOSEG, o banco de dados unificado de Segurança Pública do país, que reúne informações pessoais, dados financeiros e policiais (como informações sobre processos) de milhões de brasileiros. Nas mãos da polícia e de órgãos da Justiça, estas informações são utilizadas para investigação e para combater crimes. Mas, ao cair nas mãos de criminosos, estas informações permitem facilmente fraudar documentos, placas de carros ou aplicar diversos golpes. Por R$ 2 mil, é possível comprar na Santa Ifigênia o acesso ilícito ao INFOSEG durante 30 dias.

Mas, lamentavelmente, não há nenhuma novidade sobre isso. O próprio SBT já tinha feito uma reportagem muito parecida em 2008, quando comprou uma senha do INFOSEG por R$ 2mil e consultou dados do Lula, da Dilma e alguns políticos e empresários. Ídem em 2009. A BAND também fez uma reportagem sobre isto em 2010.



Ou seja, o problema existe há cerca de 5 anos: criminosos tem acesso as senhas do INFOSEG, um sistema que mantém informações sigilosas de todos os cidadãos brasileiros, e comercializam estas senhas de acesso para quem quiser pagar.

A pergunta que não quer calar: como um sistema importantíssimo desses continua vulnerável depois de tanto tempo e tantas denúncias? Descaso, para falar o mínimo.

O pior de tudo é que seria muito fácil implementar alguns controles de segurança para minimizar a chance de vazamento das senhas e, assim, impedir o acesso não autorizado ao INFOSEG. O Edson Fontes deu algumas dicas simples e objetivas, que eu reproduzo abaixo:

• Melhorar a autenticação do sistema: Para um sistema desta criticidade deveríamos ter o uso de vários fatores de autenticação, como certificados digitais, biometria ou tokens. Qualquer um destes mecanismos evitaria o vazamento das senhas: seria inútil roubar ou ceder uma senha de acesso ao sistema se o criminoso não tiver acesso ao segundo fator de autenticação. Provavelmente o mais fácil seria adotar o uso de tokens de autenticação OTP (One Time Password, iguais aos utilizados por vários bancos) ou certificados digitais ICP-Brasil. Várias empresas e os bancos já usam estas tecnologias há vários anos, com sucesso.
• Revisão periódica dos usuários válidos: A revisão periódica evitará o acesso fraudulento através de contas de usuários que deveriam estar inativos, como ex-funcionários, policiais aposentados, etc. É um processo puramente burocrático e trabalhoso, mas importantíssimo.
• Monitorar a quantidade de consultas: Provavelmente o acesso fraudulento ao INFOSEG deve gerar um número de consultas muito maior do que o uso normal. A monitoração ou limitação de quantidade de acessos pode facilmente alarmar quando o sistema está sendo utilizado fraudulentamente.
• Controle de acesso a partir da localização física: Um controle relativamente simples, uma vez que a maioria das consultas do sistema deve acontecer a partir de funcionários de órgãos governamentais. Por isso, é possível limitar o acesso somente a partir de endereços IPs associados as redes do governo. Usuários remotos seriam obrigados a acessar a rede do governo via VPN, o que dificultaria em muito o acesso não autorizado por criminosos.
• Envio de relatórios dos acessos para o usuário: Outra medida muito simples: os usuários poderiam receber, através de correio eletrônico, m pequeno relatório sobre seus acessos ao INFOSEG. Assim, o próprio usuário válido pode verificar se sua conta está sendo usada fraudulentamente por outras pessoas.

Em nenhum momento falamos de alguma tecnologia nova ou algum sistema extremamente complexo. Pior ainda, todas estas sugestões acima já são conhecidas pelo mercado e utilizadas com sucesso há vários anos por empresas de todos os portes e segmentos.

Veja também:

• Post do Coruja de TI: "Criminosos compram acesso a banco de dados de segurança pública do Brasil – alguma novidade ?"
• Post do Edson Fontes: "Senha do INFOSEG é vendida na Internet"