[Cidadania] A eleição das redes sociais (com memes)

Ufa! Bem ou mal, finalmente acabaram as eleições de 2018! Não sentiremos saudades desse período eleitoral, em particular!

Essa foi uma eleição marcada pela polaridade e discursos exaltados, brigas e discussões infindáveis. Em minha opinião, essa polarização foi fruto do discurso de ódio e medo que dominou o período eleitoral, alimentadas por um volume jamais visto de notícias falsas fake news espalhadas pelas reses sociais e aplicativos de comunicação.

Passado o pesadelo das eleições presidenciais de 2018, não há como negar que o grande destaque foi a importância que tiveram as redes sociais e os aplicativos de comunicação instantânea (ou seja, Facebook e WhatsApp). Eles foram usados massivamente como meio de propaganda e contra-propaganda, para beneficiar candidatos e prejudicar os adversários.

Na minha opinião, há dois aspectos bem interessantes a analisarmos:

• O sucesso das redes sociais como forma de campanha: já tínhamos visto isso em eleições anteriores (a Marina Silva, por exemplo, investiu muito nas redes sociais nas eleições de 2014), mas neste ano dois candidatos foram os que melhor se beneficiaram das redes sociais: o Jair Bolsonaro e o Amoedo, do partido NOVO. Afastados da mídia tradicional, aonde tinham direitos a tempos irrisórios nos horários de campanha eleitoral, os dois investiram massivamente no marketing boca-a-boca através das redes sociais. Mesmo hospitalizado após o atentado, o Bolsonaro continuou ativo na campanha graças as redes sociais, aonde constantemente publicou mensagens e vídeos direcionados a seus eleitores;

• A predominância das "fake news": elas foram uma presença constante durante o período de campanha eleitoral, e muito utilizadas nas campanhas dos dois candidatos que lideraram o pleito: Haddad e Bolsonaro. Fake News não são novidade e acontecem nas campanhas antes mesmo da popularização da Internet, mas neste ano o volume de notícias falsas e caluniosas foi excessivo! Todos nós fomos bombardeados frequentemente por notícias falsas através do Facebook e dos grupos nos WhatsApp. Tais notícias traziam diversos tipos de acusações contra cada um dos candidatos, variando desde denúncia de pedofilia, falsas provas de enriquecimento ou pagamento de propina ao Roger Waters, por se manifestar durante sua turnê no Brasil.

As fake news, em particular, alimentaram o clima de polarização entre o eleitorado, que acabou se dividindo entre dois grupos radicais: os eleitores do Bolsonaro (apoiadores dele ou contrários ao PT) e os eleitores do Haddad (formado por apoiadores tradicionais do PT ou contrários a figura do Bolsonaro). Como os dois candidatos eram os que possuíam maior rejeição, a polarização dos eleitores foi muito baseada no discurso de ódio e repulsa ao candidato concorrente.

Eu acredito que um dia conseguiremos mapear que essa polarização, que já era muito forte no 1o turno, foi plantada artificialmente para beneficiar os dois candidatos. Ou seja, a única chance de um dos dois (Bolsonaro ou Haddad) vencer era se fosse com o outro candidato, pois todos os demais tinham menor rejeição. E, acredito, os dois partidos apostaram nessa possibilidade, e assim fomentaram indiretamente essa polarização. Isso não é difícil de ser feito, basta lembrarmos o bombardeio de notícias sobre pesquisas apontando que nenhum outro candidato venceria esses dois nos segundos turnos. Adicione a isso os discursos de ódio anti-PT e a repulsa contra o Bolsonaro, e esses dois candidatos acabaram ganhando preferência dentre os demais.

Além de tudo que foi dito acima, teve outra trocada master da galera do ciber crime: ciber criminosos colocaram um aplicativo na Google Play chamado "Mitos17", que roubava dados bancários de eleitores do Bolsonaro.

Para acabar esse post, não custa lembrarmos alguns memes que circularam durante o período eleitoral...

Resumindo...

Aproveitando o tema das "fake news" nas eleições, vale a pena ver o excelente vídeo do pessoal do Porta dos Fundos sobre o assunto:

Para saber mais...

• A tragicomédia das mentiras que moldam as eleições no WhatsApp
• Cinco ‘fake news’ que beneficiaram a candidatura de Bolsonaro 

OBS: Post atualizado em 01/11 para incluir mais um meme e o vídeo do porta dos fundos.

[Carreira] O perfil dos profissionais de Segurança

O (ISC)², International Information System Security Certification Consortium Inc., divulgou recentemente um estudo sobre o perfil dos profissionais de segurança em todo o mundo, o "(ISC² Cybersecurity Workforce Study". O estudo entrevistou cerca de 1.500 profissionais de segurança em todo o mundo.

O relatório é extenso e tem várias informações legais sobre o mercado de trabalho e os desafios na carreira. Algumas estatísticas são bem interessantes e também descrevem algumas características do perfil médio dos profissionais de segurança em todo o mundo:

• As três principais qualificações para os profissionais de segurança são:
• Experiência relevante em segurança cibernética (49%);
• Conhecimento de conceitos avançados de cibersegurança (47%);
• Possuir certificações de segurança cibernética (43%);
• 35% dos profissionais de segurança pesquisados ​se ​identificaram como millennials; enquanto 49% se identificam como baby boomers e geração X;
• As mulheres representaram 24% dos profissionais de segurança;
• Em média, os profissionais de segurança trabalham há 13 anos na área de TI, com 7 anos dedicados à segurança;
• O salário anual dos profissionais de segurança pesquisados é, em média, de US$ 85.000.
• Os profissionais de segurança com certificações ganham um pouco acima da média, US$ 88.000, enquanto o salário médio anual dos profissionais sem certificação é de US$ 67.000;
• 63% dos entrevistados relatam que suas organizações têm uma escassez de funcionários dedicados a segurança cibernética;
• Aproximadamente 48% das empresas representadas na pesquisa pretendem aumentar o time de segurança cibernética nos próximos 12 meses.

A imprensa destacou que essa pesquisa deixa claro a grande escassez de profissionais de segurança no mercado de trabalho, totalizando cerca de 2,93 milhões vagas em aberto globalmente. Surpreendentemente, a Ásia é a região com maior falta de profissionais: 2,14 milhões de vagas em aberto! A América do Norte é a segunda região mais crítica, com uma escassez aonde a demanda supera a oferta em 498.000 profissionais. Em seguida vem a Europa, Oriente Médio e África, com uma estimativa de 142.000 posições abertas, e a América Latina, com falta de 136.000 profissionais.

Notas adicionadas em 31/10:

• Segundo a Fortinet, a área de segurança tem uma taxa de desemprego de zero porcento! Impressionante, não é?
• "Cybersecurity Unemployment Rate Drops To Zero Percent"

[Cidadania] Abrindo a urna eletrônica

O canal Manual do Mundo fez um vídeo bem interessante e bem feito, em conjunto com o TSA, mostrando como funciona a Urna Eletrônica brasileira.

Eles fizeram o unboxing da urna, desmontaram ela e deram uma visão rápida de seus principais componentes. Além disso, eles deram uma visão geral de seu funcionamento no dia da eleição: como a urna ligada, o boot dela (e nessa hora mostra que ela roda um Linux customizado, o que pode ser uma novidade para quem não acompanha as discussões sobre o funcionamento e segurança da urna), o processo de "zerésima", a votação e a impressão do resultado final.

[Segurança] Ciber criminosos presos

Nos últimos meses vimos algumas notícias de quadrilhas de ciber criminosos que foram presos pela polícia. Os lucros obtidos com a fraude são impressionantes!

• Em setembro, a Polícia Civil do Tocantins informou que conseguiu recuperar cerca de R$ 710 mil, frutos de fraude online, que estavam armazenados em moedas digitais. A investigação faz parte da Operação Ostentação, iniciada em maio deste ano, contra uma quadrilha baseada em Tocantins e Goiás. Durante a investigação, a polícia conseguiu encontrar dados de 394 mil clientes, possíveis vítimas de crimes. Espalhados por 23 estados do país, esses clientes tiveram suas contas bancárias invadidas e dinheiro furtado através de transferências e pagamentos de boletos de impostos (ICMS, IPVA, etc). Há indícios de que os investigados movimentavam cerca de R$ 10 milhões, principalmente investindo em bitcoins. Uma instituição bancária teria tido um prejuízo de aproximadamente R$ 1 milhão;
• Ainda em setembro desse ano, a Polícia Civil e o MP-RJ prenderamm 29 suspeitos de integrar quadrilha que fraudava contas bancárias de pessoas físicas e grandes empresas. Entre os criminosos, havia um cantor sertanejo no interior do Paraná acusado de ser um dos "hackers" do grupo e que usaria o dinheiro das fraudes para financiar seus clipes. A quadrilha, organizada em 7 funções diferentes, furtou mais de R$ 30 milhões de contas bancárias em um ano, usando engenharia social para obter acesso a conta das vítimas. O dinheiro era transferido para contas de laranjas e sacado em seguida. A "Operação Open Doors" envolveu sete estados do país e 237 suspeitos denunciados;
• Em outubro, a Polícia Civil de São Paulo prendeu três integrantes de uma quadrilha que arrecadou cerca de R$ 400 milhões em 18 meses, através da invasão de contas bancárias e desvio de dinheiro para contas fantasmas e de laranjas. Segundo a investigação, eles criaram 5 empresas para lavar o dinheiro obtido no esquema, incluindo um escritório de fachada, com 600 m², no último andar de um centro empresarial no Itaim Bibi. A policia apreendeu carros que valem mais de R$ 1 milhão, como Ferraris, Lamborghinis, Porsches, Maseratis, além de joias e dinheiro. Tamanho era o lucro obtido com as fraudes, que o líder da quadrilha, Paulo Borges,  usou o dinheiro roubado para alugar um iate e assistir a corrida da Fórmula 1 em Mônaco. Ele foi chamado de "Pablo Escobar" do ciber crime, na newsletter The Hack.

OBS: Pequena atualização em 29/10.

[Carreira] Dicas de viagem de um viajante frequente

No mundo profissional, é muito comum encontrar empregos aonde as viagens de negócio são rotina. Isso acontece principalmente com quem trabalha em empresas multinacionais e que são responsáveis por atender clientes (ou sites da sua empresa) espalhados pelo país ou por vários países. Essa rotina também é comum para quem trabalha na área comercial e quem trabalha na área técnica, com consultoria ou implementação de projetos.

Embora pareça glamuroso você viajar por vários países em uma mesma semana, a verdade é que a rotina de trabalho e o tempo gasto em trânsito (isto é, dentro de taxis, em salas de espera no aeroporto e dentro de aviões) são muito cansativos.

Quem vive esta rotina de viagem pode se beneficiar de algumas dicas básicas que podem facilitar a sua vida e diminuir o stress.

• Acumule milhas. Isso só traz vantagens a médio e longo prazo: comprar passagens sem gastar nada, fazer upgrades de cabine e acesso a salas VIPs nos aeroportos!
• Escolha os melhores assentos nos aviões, de acordo com o seu gosto e preferência. No momento da emissão da passagem, vá no site da compania aérea e, com o seu código de reserva, acesse as informações de seu vôo e marque os assentos o mais rápido possível, para pegar os melhores lugares. Você provavelmente gosta de sentar na janela ou no corredor, mas com certeza ninguém gosta de ficar na poltrona do meio! Gosta de ficar na frente do avião, mais perto da entrada e saída?
• Se você tem status na compania aérea, aproveite para pegar lugares com mais espaço ou pleitear um upgrade;
• Faça o check-in on-line Isso pode poupar bastante tempo, especialmente se o viajante não for despachar a bagagem;
• Aproveite e salve uma imagem do cartão de embarque em seu celular, é mais prático. Além disso, algumas companhias aéreas low-cost cobram para imprimir o cartão de embarque, então de quebra o viajante também economiza dinheiro;
• Tenha os principais documentos de viagem sempre guardados em um único lugar: passaporte, cartões de milhagem de companias aéreas, etc;
• Tenha uma balança de viagem, para evitar as taxas de excesso de bagagem exorbitantes. Pese as suas malas assim que acabar de fazê-las e, se necessário, reorganize suas coisas para distribuir melhor o peso;
• Coloque objetos de valor na mala de mão. As malas despachadas podem ser extraviadas;
• Leve uma muda de roupa na mala de mão, você vai precisar se, por azar, a companhia aérea adiar seu vôo (ou conexão) ou se eles perderem a sua mala (nesses casos, em geral pode demorar um ou dois dias para a mala chegar);
• Ao passar no raio-x do aeroporto, coloque todos os seus acessórios metálicos (celulares, relógios, moedas, óculos escuros, chaves) no bolso do casaco e coloque o casaco na esteira do Raio-X. É mais rápido, fácil e prático, e diminui o risco de você esquecer algo no raio-X.

Veja mais algumas dicas no vídeo abaixo:

Para saber mais:

• Vida de quem viaja muito a trabalho tem menos glamour que você imagina, defende pesquisa
• Como preservar seus dados e manter a privacidade ao cruzar fronteiras
• Tips For Traveling Executives: How To Stop Putting Your Company At Risk
• O pessoal do Catraca Livre também escreveu um artigo bem legal com "10 dicas para não perder tempo no aeroporto";
• Vídeo: Airport & Airplane TRAVEL HACKS

[Segurança] Estatísticas de segurança

Eu fiz uma rápida coletânea de relatórios e estatisticas recentes sobre ciber ataques no Brasil e no mundo, e segue abaixo alguns dados interessantes:

• O artigo "Top 10 Malware April 2018" lista os principais malwares mais ativos no mundo e mostra que a forma mais comum de infecção é através do envio de mensagens de SPAM;

• Segundo a Proofpoint, os Trojans Bancários representaram a maioria dos malwares no primeiro trimestre de 2018 (59%);
  
  
  
  
  
• Os dados do primeiro trimestre de 2018 divulgados pela Kaspersky no relatório "IT threat evolution Q1 2018. Statistics" são astronômicos:
• As soluções da Kaspersky Lab bloquearam 796.806.112 ataques lançados a partir de 194 países em todo o mundo;
• 282.807.433 URLs únicas foram reconhecidas como maliciosos.
• Dados do Phishing Activity Trends Report, 4th Quarter 2017 (Publicado em Maio, 2018):
• Quase 20% de todos os sites de phishing identificados em 2017 usavam domínios protegidos por HTTPS;
• Quase 60% das organizações usadas como tema de phishing eram instituições financeiras;
• Alguns dados sobre os ataques no Brasil:
  • Aumento de 379% nos ataques de phishing do terceiro para o quarto trimestre de 2017;
  • Aumento de 245% nos sites falsos e aumento de 247% nas fraudes usando mídias sociais;
  • Em média, cada malware bancário brasileiro teve como alvo 10 empresas.

• O "2018 Internet Security Threat Report" da Symantec é enorme e bem completo (o Sumário Executivo e um infográfico também estão disponíveis online).

Para saber mais:

• IT threat evolution Q1 2018. Statistics
• 10 Must-Know Cybersecurity Statistics for 2018
• 60 Must-Know Cybersecurity Statistics for 2018
• Top cybersecurity facts, figures and statistics for 2018

[Cyber Cultura] Vício em se manter conectado

Todos nós já passamos por isso em algum momento... imagine uma situação aonde você fica um tempinho, digamos 1 ou 2 horas, sem usar o seu celular. A bateria acabou, ou você está em algum lugar sem sinal, por exemplo. Imediatamente vem aquela angústia, aquela preocupação, de que alguém pode estar tentando te ligar ou te mandar uma mensagem, e você não tem como responder.

E se a sua esposa (marido) precisa falar algo urgente? E se você perdeu uma mensagem da sua gerente?

O nosso excesso de conectividade aos smartphones e, mais precisamente, às redes sociais, nos traz a necessidade de estarmos conectados e disponíveis 100% do tempo.

E esse fenômeno tem um nome:

FOMO (Fear of Missing Out)

O FOMO não surgiu agora, e pode ter várias outras origens além de ficar desconectado da Internet, mas o mundo atual potencializou esse vício e o tornou algo comum nos dias de hoje. Pior: pode causar angústia, mau humor e até mesmo depressão!

Essa necessidade de ficar o tempo todo nas redes sociais causa um outro transtorno de comportamento, batizado de...

Phubbing

O phubbing é uma invenção dos tempos modernos, quando ficamos conectados online e ignoramos as pessoas a nossa volta. Isso acontece frequentemente no ambiente de trabalho, nos encontros com família e amigos, e até entre casais. As pessoas a sua volta se sentem ignoradas e hoje em dia é muito comum vermos situações em que quase todos, em uma roda de conhecidos, estão com o rosto colado no celular sem interagir com quem está ao lado.

Sem perceber, o ambiente de trabalho ou pessoal fica jogado a segundo plano, causando um desconforto nos demais. Um esforço simples para ficar desconectado por alguns minutos já resolveria isso, mas a necessidade de permanecer conectado nos deixa cegos, e raramente percebemos estes excessos.

[Carreira] Seu QR code no Linkedin

Há alguns meses atrás o Linkedin criou uma nova funcionalidade para facilitar a conexão entre seus usuários: você pode criar um QR Code dentro do aplicativo e outra pessoa, através do aplicativo dela, consegue se conectar a você lendo esse QR Code. Um recurso muito fácil e prático de usar!

Para escanear o QR code de alguém e se conectar a essa pessoa é muito simples: na barra de busca por perfis, tem um indicador pequeno e discreto com o símbolo de um QR Code. Ao clicar nele, o app acessa a câmera do celular para escanear o código do coleguinha.

Para saber mais:

• How to create a QR code for your LinkedIn profile
• Using a LinkedIn QR Code to Connect with Members

[Segurança] Whaling

Phishing, todo mundo faz. Se você prepara um phishing direcionado para uma empresa específica, ou um grupo de usuários específicos, já estamos acostumados a chamar isso de "spear-phishing". Mas, se você faz um phishing direcionado apenas para altos executivos de uma empresa, aí temos uma buzzword para isso...

Whaling

O "whaling" é o phishing direcionado especificamente para os "peixes grandes", as nossas "baleias" corporativas. Ele pode ter uma grande efetividade pois normalmente os alto executivos são tão vulneráveis quanto os usuários normais, mas não estão sujeitos a regras tão rígidas de segurança quanto os demais usuários das empresas: eles tem equipamentos diferenciados, muitas vezes com mais opções de acesso (pelo computador, celular e tablet), e não é raro os alto executivos faltarem nas sessões de treinamento de segurança.

É muito comum as áreas de tecnologia serem obrigadas a flexibilizar as regras de acesso e os controles de segurança para não causar inconveniente aos executivos. A área de TI cria um novo bloqueio? Tem que liberar para eles. Instala uma ferramenta nova? Desabilita para eles. Dá um treinamento? Eles não vão.

Isso tudo faz dos executivos um grupo de usuários mais vulnerável a ataques, mesmo os mais básicos. São intocáveis pela equipe de TI e segurança, mas estão na mira doa atacantes!

[Segurança] Como as urnas brasileiras foram provadas vulneráveis

Aproveitando o debate que sempre acontece nas vésperas das eleições, eu achei um vídeo com uma entrevista muito legal sobre como foi possível burlar a segurança das urnas nos últimos testes públicos realizados pelo TSE.

O André Noel, do site Vida de Programador, publicou em seu canal de vídeos uma conversa informal com o Dr. Pedro Barbosa sobre as vulnerabilidades técnicas encontradas no último teste público nas urnas eletrônicas brasileiras, que foi realizado pelo TSE.

O Pedro é Doutor em Ciência da Computação pela UFCG, e participou de uma equipe interdisciplinar que foi montada para os testes públicos das urnas eletrônicas, juntando o Prof. Dr. Diego Aranha com alguns especialistas em testes de invasão, que participam de competições de CTF.

Nessa conversa, eles falaram um pouco sobre o funcionamento das urnas eletrônicas e, em seguida, o Pedro detalhou um pouco mais tecnicamente os problemas de segurança durante os testes realizados, e qual foi a posição do TSE. O vídeo é bem interessante pois ele descreve alguns aspectos técnicos dos testes, além de deixar claro que os times tiveram que enfrentar várias restrições para realizar estes testes. Ao contrário de possíveis atacantes, os pesquisadores tiveram acesso limitado ao código e as urnas, e foram obrigados a trabalhar em um horário reduzido: apenas 5 dias, somente no horário comercial (com pausa para almoço).

O mais interessante no trabalho da equipe do Diego Aranha e do Pedro, é que eles conseguiram inserir e rodar qualquer código nas urnas eletrônicas, incluindo com a capacidade de evitar que um voto fosse contabilizado pela urna. Infelizmente, eles não tiveram tempo suficiente para rodar um último teste, que permitiria inserir um código para alterar a contabilidade de um voto.

Em vários momentos o Dr. Pedro reforçou que o nosso sistema eleitoral baseia-se na premissa de que o TSE controla totalmente o processo eleitoral e, por algum motivo inquestionável, o TSE deve ser considerado imune a falhas. Mas, no cenário apresentado pelos testes acima, alguém que tivesse acesso ao código fonte, poderia inserir uma rotina maliciosa sem ser percebida. Isso poderia acontecer de forma intencional (alguém que tenha sido convencido ou corrompido), ou não intencional, no caso hipotético de um computador do TSE ter sido invadido, permitindo o acesso remoto de um atacante que tenha interesse em adulterar o processo eleitoral. Nesse cenário, tal agente malicioso com acesso ao código, poderia alterar a forma que a urna contabiliza os votos dos eleitores.

Para saber mais:

• https://urnaeletronica.info

[Cidadania] As urnas eletrônicas são seguras?

Após o debate no Mind The Sec São Paulo, e com a proximidade das eleições, a eterna discussão sobre a (in)segurança da urna eletrônica brasileira voltou a chamar a atenção.

Eu gostaria de destacar dois artigos recentes:

• "A urna eletrônica é segura? Em princípio sim, mas há quem discorde", da Exame;
• "A segurança da informação, a urna eletrônica e fraude das eleições", do Adilson Santos da Rocha.

A Exame fez uma pequena reportagem, curtinha, que aborda principalmente o painel que teve no Roadsec, e traz alguns pontos de vistas divergentes para enriquecer o artigo. A favor da urna eletrônica, ela sumarizou alguns pontos apresentados pelo representante do TSE e incluiu um depoimento do Fernando Amate e do Mikko Hyppönen:

• "Desde que foi implementada, não existem mais fraudes. Existem suspeitas, mas fraude, em si, não existe." - Rodrigo Coimbra, chefe da Seção de Voto Informatizado do TSE;
• "O código-fonte das urnas eletrônicas será aberto o mais breve possível" - Rodrigo Coimbra, TSE;
• Os partidos podem participar dos processos de auditoria;
• Quando são produzidas, as urnas têm responsividade apenas nas teclas anula e confirma, para evitar quaisquer tentativas de adulteração ou influência nos resultados. Todas as demais teclas só passam a funcionar depois que estão dentro do TSE;
• "Se a gente roubasse uma urna, o TSE cancelaria a assinatura eletrônica dela e os votos que nela constavam não seria incluídos na contagem" - Fernando Amatte, diretor de inteligência cibernética da Cipher;
• "Em todas as pontas do processo que eu conheço, o sistema de votação brasileiro é seguro" - Fernando Amatte, Cipher.

Do outro lado, questionando a segurança da urna, a Exame apresentou as opiniões do Diego Aranha, professor-assistente da Universidade de Aarhus, na Dinamarca:

• "Os principais problemas são o fato de o código-fonte não ser público, não haver nenhum registro em papel para uma auditoria com recontagem de um modo que não seja digital e o processo atual de auditoria existente, que pode dar margem à fraude interna." - Diego Aranha
• "Um ponto de crítica por ser o fato de que ele está sob uma entidade única que faz tudo, o TSE" - Fernando Amatte, Cipher.
• "A urna eletrônica ser como uma “caixa-preta” à qual poucas pessoas têm acesso" - Mikko Hyppönen, diretor de pesquisa da F-Secure;
• "O sistema de votação tradicional, em papel, funciona bem. Você pode recontar os votos, se quiser. Se você deixa isso com um computador, não há como checar duas vezes o número encontrado como no voto em papel" - Mikko Hyppönen, F-Secure.

No artigo do Adilson, ele deu uma visão rápida de alguns poucos cenários específicos de vulnerabilidades que poderiam afetar as urnas brasileiras: Acesso Físico (conectar algum pendrive ou dispositivo fisicamente na urna eletrônica), ataques via Eletricidade (alterar registros ou fazer um "wipe" dos dados através da rede elétrica?) e uso de Ondas Magnéticas para acessar a urna (via wireless, Bluetooth, IR) ou identificar as teclas pressionadas pelo eleitor para quebrar a sigilo do voto.

Dentro dessa análise superficial nesses cenários bem limitados, o Adilson concluiu que "fraudar uma eleição como um todo seria uma tarefa muito complicada", além de muito caro e perigoso.

Mas, em seu artigo, o Adilson não abordou o cenário de injeção no código da urna, seja por um agente interno do TSE (algum funcionário ou terceiro que tenha acesso ao código fonte) ou por alguma outra forma maliciosa. Afinal, essa uma das principais críticas do Diego Aranha: não há auditoria pública do código-fonte da urna e os controles de integridade do código são falhos. Lembro também de ter visto uma discussão, há algum tempo atrás, da possibilidade de alguém trocar os cartões de memória com o programa executável da urna, colocando uma versão adulterada código.

O risco, nesses cenários, é de que haja uma rotina maliciosa na urna que altere a contagem dos votos. Imagina se a urna trocar os votos de uma parcela dos eleitores: alguns dos eleitores que votarem no candidato "A"terão seu voto computado para o candidato "B". Faça isso para, por exemplo, 20% dos votos, para chamar menos a atenção. Além de não termos auditoria do programa que roda nas urnas, também não temos como auditar os votos, pois não é possível "recontar" os votos realizados.

Outros cenários de ataque, ignorados no artigo do Adilson, dizem respeito ao sistema de totalização dos votos: como garantir que os votos de cada urna foram transmitidos e calculados sem chance de adulteração.

Outro ponto a discutir é que, ao contrário do que diz o TSE, a identificação biométrica traz pouca segurança ao processo eleitoral. Um dos maiores problemas é o caso de pessoas que votam no lugar de outros eleitores - ou alguém que se identifique com um documento falso, ou o caso de mesários mal intencionados, que votam em nome dos eleitores que tenham faltado no dia da eleição. É comum ouvir histórias de pessoas que não foram votar mas tiveram a sua presença identificada pelo TSE. Google it! A identificação biométrica do eleitor poderia resolver isso, se não fosse por um detalhe: em caso de falha na identificação biométrica, o presidente da seção eleitoral pode liberar o voto do eleitor!

Ou seja, qualquer pessoa pode votar sem a necessidade de identificação biométrica, incluindo um mesário mal intencionado ou outra pessoa que se passe pelo eleitor original.

Recentemente, eu participei de um debate aonde, no final, questionaram sobre a segurança das urnas brasileiras. A minha resposta foi que me preocupa o fato do TSE conduzir os "testes públicos" de forma rígida, limitando os tipos de testes que podem ser realizados. E, nesse cenário, me preocupa saber que, mesmo assim, em ambiente controlado, em todos os testes foram encontradas falhas e vulnerabilidades.

Nós, Brasileiros, trocamos a garantia do voto (ou seja, a possibilidade de auditar o processo de votação), pela velocidade de apuração dos resultados.