[Segurança] Aprovado o projeto de lei dos crimes cibernéticos

Nota: escrevi uma versão atualizada deste post aqui, após os projetos de lei serem sancionados e virarem lei. 


Nesta semana a Câmara dos Deputados aprovou os dois principais projetos de lei (PL) sobre crimes cibernéticos que estavam em discussão no congresso, dando fim a vários anos de uma tramitação que parecia que não teria fim. Para virarem lei, falta apenas a sanção da presidente Dilma Rousseff.

Os projetos aprovados foram o famoso "PL do Azeredo" (PL 84/99), também conhecido maldosamente como "AI-5 Digital" e o PL do deputado Paulo Teixeira (do PT), chamado de "Lei Carolina Dieckmann" (PL 2793/2011).

Eu já discuti aqui a importância de termos um projeto de lei sobre os crimes cibernéticos e também critiquei a "Lei Carolina Dieckmann", principalmente porque ela corre o sério risco de criminalizar a pesquisa em segurança.

O importante a ser notado é que, no final das contas, o Congresso conseguiu fazer uma baita de uma "lambança": aprovou a lei Carolina Dieckmann às pressas, em cerca de um ano, e aprovou um mini-frankstein do PL do Azeredo, que teve quase todos os artigos originais cortados para retirar todo e qualquer ponto polêmico e, assim, conseguir ser aprovado após tramitar no Congresso por quase 12 anos. Ou seja, discutiu um projeto demais, outro de menos, e acabou aprovando algo que está longe do ideal, embora certamente darão um certo suporte jurídico ao combate ao crime cibernético.

Uma coisa a se notar é que o processo de criação de leis no Brasil é intrisicamente lento e, normalmente, envolve dezenas de discussões. De uma forma geral, um projeto de lei surge em uma das "casas" (a Câmara dos Deputados ou o Senado). Após ser discutido em várias comissões e após ser discutido e aprovado no plenário (o que pode durar várias reuniões), o projeto segue para a avaliação da outra casa. Nesta casa, ele também vai passar por várias comissões e votações, aonde pode ser alterado várias vezes, até ser aprovado pelo plenário. Quando o projeto de lei volta para a casa original, ele segue para a "reta final" aonde não pode mais sofrer alterações: o plenário pode apenas aprovar ou rejeitar as alterações propostas pela outra casa, ou retirar alguma coisa do texto original. Nada mais pode ser alterado ou incluído. Com a aprovação do plenário, aí o PL segue para sanção da Presidência da República, que pode aprovar o projeto integralmente, vetar algum parágrafo específico ou vetar tudo. Ou seja, um projeto proposto por um Deputado Federal, por exemplo, vai tramitar durante um tempão na Câmara, depois vai para o Senado, vai passar por todos os trâmites burocráticos e discussões do Senado, e quando a proposta voltar para a Câmara ela deve ser aprovada para ir para a Presidência, lembrando que a Câmara não poderá mudar nada no projeto após recebê-lo do Senado - só poderá, no máximo, retirar algum artigo ou parágrafo do projeto original ou algo que tenha sido adicionado ou alterado pelo Congresso.

Meio confuso, né? Por isso mesmo que um projeto de lei demora vários anos para ser aprovado, e por isso mesmo dá um frio na espinha ver um projeto aprovado as pressas por todo mundo.

Os dois projetos de lei, em conjunto, incluem no Código Penal crimes como a invasão de computadores, violação de senhas, roubo de dados, ataques de DDoS (Distributed Deny of Service) e até mesmo clonagem de cartão de crédito ou débito. Também criminalizam a criação de código malicioso. Isto certamente é positivo, pois a legislação atual não prevê estes delitos e, por isso, os tribunais eram obrigados a recorrer a boa vontade e interpretação dos juizes para relacionar um crime cibernético a uma modalidade de crime tradicional. E, mesmo assim, somente na esfera cível, pois o Código Penal não permite este tipo de interpretação - somente é julgado um crime que esteja descrito especificamente na lei, sem margem a interpretações.

Mas, cá entre nós, o que foi aprovado? Para responder esta questão, eu resolvi criar a "tabelinha" abaixo, que resume os principais pontos incluídos pela redação final do PL do Azeredo e pela Lei Carolina Dieckmann (quando o projeto incluir algo em uma lei existente, eu marquei o trecho incluído em negrito).

PL	Lei	Artigo	Resultado...
Azeredo	Código Penal	Art. 298 - Falsificar, no todo ou em parte, documento particular ou alterar documento particular verdadeiro: Pena - reclusão, de um a cinco anos, e multa. Parágrafo único. Equipara-se a documento particular o cartão de crédito ou débito.	1 a 5 anos de prisão para falsificação de cartão de crédito ou débito.
Azeredo	Código Penal Militar	Art. 356. Favorecer ou tentar o nacional favorecer o inimigo, prejudicar ou tentar prejudicar o bom êxito das operações militares, comprometer ou tentar comprometer a eficiência militar: I - empreendendo ou deixando de empreender ação militar; II - entregando ao inimigo ou expondo a perigo dessa consequência navio, aeronave, força ou posição, engenho de guerra motomecanizado, provisões, dado eletrônico ou qualquer outro elemento de ação militar; III - perdendo, destruindo, inutilizando, deteriorando ou expondo a perigo de perda, destruição, inutilização ou deterioração navio, aeronave, engenho de guerra motomecanizado, provisões, dado eletrônico ou qualquer outro elemento de ação militar; IV - sacrificando ou expondo a perigo de sacrifício fôrça militar; V - abandonando posição ou deixando de cumprir missão ou ordem: Pena - morte, grau máximo; reclusão, de vinte anos, grau mínimo.	20 anos de prisão ou pena de morte para roubo de dados militares.
Azeredo	N/A	Os órgãos da polícia judiciária estruturarão, nos termos de regulamento, setores e equipes especializadas no combate à ação delituosa em rede de computadores, dispositivo de comunicação ou sistema informatizado.	N/A
Azeredo	Lei nº 7.716, de 5 de janeiro de 1989	Art. 20. Praticar, induzir ou incitar a discriminação ou preconceito de raça, cor, etnia, religião ou procedência nacional. Pena: reclusão de um a três anos e multa. § 1º Fabricar, comercializar, distribuir ou veicular símbolos, emblemas, ornamentos, distintivos ou propaganda que utilizem a cruz suástica ou gamada, para fins de divulgação do nazismo. Pena: reclusão de dois a cinco anos e multa. § 2º Se qualquer dos crimes previstos no caput é cometido por intermédio dos meios de comunicação social ou publicação de qualquer natureza: Pena: reclusão de dois a cinco anos e multa. § 3º No caso do parágrafo anterior, o juiz poderá determinar, ouvido o Ministério Público ou a pedido deste, ainda antes do inquérito policial, sob pena de desobediência: I - o recolhimento imediato ou a busca e apreensão dos exemplares do material respectivo; II – a cessação das respectivas transmissões radiofônicas, televisivas, eletrônicas ou da publicação por qualquer meio; III - a interdição das respectivas mensagens ou páginas de informação na rede mundial de computadores. § 4º Na hipótese do § 2º, constitui efeito da condenação, após o trânsito em julgado da decisão, a destruição do material apreendido.	Obriga a remoção de conteúdo online associado a discriminação ou preconceito de raça, cor, etnia, religião ou procedência nacional.
Dieckmann	Código Penal	Art. 154-A. Invadir dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades para obter vantagem ilícita: Pena – detenção, de 3 (três) meses a 1 (um) ano, e multa. § 1º Na mesma pena incorre quem produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir a prática da conduta definida no caput. § 2º Aumenta-se a pena de um sexto a um terço se da invasão resulta prejuízo econômico. § 3º Se da invasão resultar a obtenção de conteúdo de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas, assim definidas em lei, ou o controle remoto não autorizado do dispositivo invadido: Pena – reclusão, de 6 (seis) meses a 2 (dois) anos, e multa, se a conduta não constitui crime mais grave. § 4º Na hipótese do § 3º, aumenta-se a pena de um a dois terços se houver divulgação, comercialização ou transmissão a terceiro, a qualquer título, dos dados ou informações obtidos. § 5º Aumenta-se a pena de um terço à metade se o crime for praticado contra: I – Presidente da República, governadores e prefeitos; II - Presidente do Supremo Tribunal Federal; III - Presidente da Câmara dos Deputados, do Senado Federal, de Assembleia Legislativa de Estado, da Câmara Legislativa do Distrito Federal ou de Câmara Municipal; ou IV - dirigente máximo da administração direta e indireta federal, estadual, municipal ou do Distrito Federal. Art. 154-B. Nos crimes definidos no art. 154-A, somente se procede mediante representação, salvo se o crime é cometido contra a administração pública direta ou indireta de qualquer dos Poderes da União, Estados, Distrito Federal ou Municípios ou contra empresas concessionárias de serviços públicos.	Mínimo de 3 meses a 1 ano de prisão detenção para invasão de computadores ou criação e distribuição de programas para invasão. (OBS: a pena aumenta para 6 meses a 2 anos de prisão se envolver acesso a segredos comerciais ou dados sigilosos)
Dieckmann	Código Penal	Art. 266 - Interromper ou perturbar serviço telegráfico, radiotelegráfico ou telefônico, impedir ou dificultar-lhe o restabelecimento: Pena - detenção, de um a três anos, e multa. § 1º Incorre na mesma pena quem interrompe serviço telemático ou de informação de utilidade pública, ou impede ou dificulta-lhe o restabelecimento.  § 2º Aplicam-se as penas em dobro se o crime é cometido por ocasião de calamidade pública.	Mínimo de 1 a 3 anos de prisão detenção para ataques de DDoS.
Dieckmann	Código Penal	Art. 298 - Falsificar, no todo ou em parte, documento particular ou alterar documento particular verdadeiro: Pena - reclusão, de um a cinco anos, e multa. Parágrafo único. Para fins do disposto no caput, equipara-se a documento particular o cartão de crédito ou débito.	1 a 5 anos de prisão para falsificação de cartão de crédito.

É interessante notar que os dois PLs alteram o artigo 298 do Código Penal, criminalizando a falsificação de cartões de débito e crédito. A redação é ligeiramente diferente, e eu particularmente não sei qual das duas terá precedência e será a redação final, o que não faz tanta diferença assim. Coincidência? Claro que não, tolinho... não se esqueça que estes projetos de lei são resultado do lobby da Febraban e, além do mais, o PL do Deputado Paulo Teixeira foi criado a partir do texto do PL do Azeredo.

Não custa lembrar que o Walter Capanema, da OAB/RJ, fez uma palestra excelente no SegInfo deste ano aonde ele discutiu e criticou muito bem os projetos de lei sobre crimes cibernéticos. Vale a pena dar uma olhada no vídeo.



Para saber mais, além dos vários links citados acima, eu recomendo...

• Podcast "Para Sua Segurança" de junho deste ano em que discuti com o Ricardo Castro e a Dra Gisele Truzzi (Truzzi Advogados) sobre a aprovação relâmpago o PL 2793.
• Artigo do Dr. Coriolano Camargo (OAB/SP) sobre "Um panorama sobre os projetos de lei de crimes digitais"
• Artigo bem objetivo do site Linha Defensiva sobre a aprovação dos PLs
• Artigo no Blog do Pablo Ximenes em que ele acredita que a redação final da Lei Dieckmann não vai criminalizar os pesquisadores de segurança. Eu, particularmente, continuo com medo que a redação final ainda dê margem a interpretações que penalizem os profissionais da área.
• Não custa lembrar que o documentário "We Are Legion" faz uma crítica muito madura sobre a discrepância existente nas leis americanas no tocante a punição para os protestos tradicionais e protestos online, e que alguns hacktivistas americanos estão correndo risco de enfrentar até 15 anos de prisão por conta de seus protestos online.

Atualização em 11/11: Após uma excelente conversa com a Dra. Gisele Truzzi e o Ricardo Castro, fiquei sabendo que pena de detenção é diferente de pena de reclusão. Reclusão é o que nós, leigos no direito, chamamos de prisão ou "ver o sol nascer quadrado". A detenção, na verdade, representa uma privação da liberdade em menor grau. O código penal define que a pena de reclusão deve ser cumprida em regime fechado, semi-aberto ou aberto, enquanto a pena de detenção é cumprida em regime semi-aberto ou aberto.

Atualização em 04/12: No dia 30 de Novembro, a presidenta Dilma Rousseff sancionou os dois projetos de lei, foram publicados no Diário Oficial de 03 de Dezembro. O PL Carolina Dieckmann foi aprovado em sua totalidade, como Lei Nº 12.737, enquanto o PL do Azeredo virou a Lei Nº 12.735 e foi cortado pela metade: a Dilma vetou os artigos sobre o código penal militar e o artigo semelhante ao que existia no PL Dieckmann. Com isso, após mais de 10 anos de discussões no Congresso, o PL do Azeredo ficou reduzido aos artigos que definem a estruturação das polícias especializadas em crime cibernético e a remoção de conteúdo online associado a discriminação ou preconceito.

[Cyber Cultura] Hackers: Magos da Era Digital

Acabei de assistir este documentário super interessante feito em 1984, chamado "Hackers: Wizards of the Electronic Age", e que fala sobre o nascimento da cultura hacker.

O documentário discute o que é ser um hacker, alguém apaixonado por tecnologia e pelos desafios relacionados aos computadores. O filme contém entrevistas bem legais com algumas figurinhas que já eram influentes na época e são bem conhecidas até hoje, como Steve Wozniak, Richard Stallman e o jornalsta Steven Levy. O documentário também mostra várias pessoas que foram os pioneiros responsáveis pelo surgimento dos primeiros computadores pessoais e pelo início da indústria de TI.

Como o documentário foi gravado há quase 30 anos atrás, acaba sendo divertido ver também as imagens da tecnologia da época, principalmente os primeiros Macs, os programas utilizados na época e as BBS's. O documentário também discute o licenciamento de software e o surgimento da pirataria de software, dos freewares e sharewares, o surgimento da "democracia eletrônica" e, pasmem, fala até de sobrecarga de informação ("information overload").

[Cyber Cultura] Anonymous e Guy Fawkes se encontram em 5 de Novembro

No dia 5 de Novembro é celebrado, na Inglaterra, a "Noite da Fogueira" ("Bonfire Night", mas também chamada de "Noite de Guy Fawkes" ou "Dia de Guy Fawkes" - "Guy Fawkes Night" ou "Guy Fawkes Day"), para celebrar que a monarquia escapou da "Conspiração da Pólvora", uma tentativa de atentado em 1605 que imortalizou a figura de um de seus principais personagens, Guy Fawkes.

De traidor em 1605, Guy Fawkes se tornou um símbolo dos cyber ativistas 400 anos depois, e da luta contra governos autoritários.

E é interessante analisar como houve esta mudança.

Guy Fawkes foi um soldado inglês nascido em 13 de abril de 1570, que teve participação chave na chamada "Conspiração da pólvora" ("Gunpowder Plot"), um plano que pretendia criar um levante católico a partir do assassinato do rei Jaimes I da Inglaterra e dos membros do parlamento - o que seria conseguido com a explosão do Parlamento Inglês. Guy Fawkes foi o responsável por posicionar os barris de pólvora abaixo do prédio do Parlamento e iria usá-los para explodir o local durante uma sessão no dia 5 de Novembro de 1605. Entretanto a conspiração foi descoberta e Guy Fawkes foi preso e torturado. Após o julgamento, Guy Fawkes e outros participantes da conspiração foram executados na forca.

Desde então, o fracasso da "Conspiração da pólvora" é celebrado na Inglaterra todo o dia 5 de novembro, na "Noite das Fogueiras". Nesta data é tradição inglesa soltar fogos de artifício e queimar em fogueiras bonecos que representam Fawkes. Algo parecido com a "malhação do Judas", que acontece em várias cidades brasileiras. Ou seja, Guy Fawkes representa, para os britânicos, o mesmo que o Judas representa para os Brasileiros. Não poderia ser diferente, em um país aonde a maioria é protestante e pró-monarquia.

Entretanto, com o passar dos anos a reputação de Fawkes foi sendo revista e, lentamente, reabilitada, a ponto dele ser referido, às vezes, como sendo "o último homem a entrar Parlamento com intenções honestas."

Mas a grande mudança do papel de Guy Fawkes na cultura popular aconteceu graças a graphic novel "V de Vingança" ("V for Vendetta"), criada por Alan Moore com arte de David Lloyd a partir de 1981 (quando a Inglaterra estava sob o governo de Margaret Thatcher). Na história, a Inglaterra está sob o domínio de uma ditatura totalitária facista no "futurístico" ano de 1998 até que surge um "terrorista" que utiliza o codinome V e uma máscara inspirada no rosto de Guy Fawkes, que irá promover uma revolução contra o governo e seus principais líderes, incluindo a explosão do Parlamento para representar o fim do regime opressivo.

Em 2005 o livro foi adaptado para o filme de mesmo nome, V de Vingança, que por sua vez reforçou ainda mais o caráter revolucionário e heróico do personagem V. Além do mais, o filme serviu para difundir universalmente a imagem da máscara estilizada do Guy Fawkes - que posteriormente foi adotada pelo grupo hacktivista Anonymous como símbolo da luta contra os governos, além de permitir aos seus membros realizarem protestos no mundo real escondendo suas identidades.

Embora o uso de uma máscara representando o Guy Fawkes tenha raízes nas antigas celebrações da "Noite da Fogueira", o ilustrador David Lloyd criou uma versão estilizada da máscara na graphic novel V de Vingança, em conjunto com uma vestimenta usada pelo personagem principal formada por roupa preta, capa e chapéu, que foi mantida na sua adaptação para o cinema de 2005. Assim, a máscara estilizada que apareceu no filme passou a representar o sentimento de protesto e de rebelião popular depois que ela foi usada como um elemento importante na trama.

Mas é interessante notar que o próprio Alan Moore foi contra o filme e se recusou a assistí-lo.

E não é para menos: embora a adaptação para o cinema tenha mantido algumas cenas-chave do comic book, ela retirou muito da caracterização facista e controladora do governo imaginado (e criticado) por Alan Moore. Pior ainda, a versão para o cinema alterou bastante o final da história original. Para exemplificar, sem estragar a surpresa para quem não leu o livro, uma das cenas mais emblemáticas do filme, em que a população sai às ruas vestindo máscaras do Guy Fawkes e marchando contra o governo, simplesmente não existe na história original. E, mais interessante ainda, esta é uma cena constantemente utilizada na propaganda visual do Anonymous para representar o caráter coletivo e revolucionário do grupo.

Neste dia 5 de Novembro, enquanto os Ingleses comemoram a vitória da monarquia sobre a "conspiração da pólvora", talvez algumas crianças ainda ateiem fogo em bonecos representando Guy Fawkes. Entretanto, graças a versão heróica da imagem de Guy Fawkes criada por Alan Moore e imortalizada por Hollywood, vários integrantes do grupo Anonymous ao redor do mundo também aproveitarão esta data para se manifestar (vide OpJubilee, OP maZYNGA e OpRemember).



Mais informações:

• Página da Wikipedia sobre o Guy Fawkes (a página em inglês é muito mais completa)
• O artigo sobre a Conspiração da Pólvora na Wikipedia em inglês é super detalhado
• Página interessante da Wikipedia (em inglês) sobre a máscara do Guy Fawkes
• Excelente entrevista do Alan More para a MTV sobre a adaptação do comic book V de Vingança para o cinema. Na entrevista, ele critica o filme e a decisão da DC Comics de produzí-lo, além de explicar a motivação ao criar a graphic novel.
• Excelente artigo no site do History Channel: "Guy Fawkes Day: A Brief History" (Adicionado em 6/11; ótima dica do Alan Yoshida através da lista Exploits-Brasil)
• Em 2011 o jornal The New York Times publicou uma reportagem sobre a relação da máscara do Guy Fawkes com a Time Warner: "Masked Protesters Aid Time Warner’s Bottom Line". (Adicionado em 15/06/2013; ótima dica do Alberto Fabiano) 

[Segurança] Espionagem industrial

Estava fazendo uma pesquisa sobre espionagem industrial e comercial e, embora este tipo de crime seja muito comum no Brasil e no mundo, há poucos relatos na imprensa de casos em nosso país de conhecimento público.

A espionagem industrial envolve roubo de dados e segredos por parte de concorrentes, como informações de preços e cotações, além de projetos e fórmulas industriais. Pela minha experiência e conversando com amigos empresários, um dos casos mais comuns é o roubo de informações sobre cotaçoes e listas de preços para que os concorrentes possam obter vantagem comercial facilmente. Normalmente estes casos envolvem funcionários descontente ou ex-funcionários, e com o uso das tecnologias atuais, é muito fácil roubar informações sem ser percebido. Para piorar o cenário, uma prática muito comum no Brasil é que os funcionários façam cópias das informações da empresa, principalmente dos dados que mantém em seus computadores, e levem consigo estas cópias quando saem da empresa.

Embora os exemplos sejam poucos, eu achei algumas histórias interessantes no Brasil e no mundo:

• Em 1993 um ex-diretor da General Motors na Europa, José Ignacio López de Arriortúa, foi acusado de roubar documentos e planos sigilosos da GM e entregá-los para a concorrente, após ser contratado para um alto cargo na Volkswagen. Uma das informações mais importantes que vazaram da GM foi o projeto de uma fábrica que teria dado origem à unidade de fabricação de caminhões e ônibus da Volks em Resende, no Rio de Janeiro.
• Em 1994, um técnico de som entregou quatro fitas à Spal, empresa engarrafadora da Coca-Cola em São Paulo, com conversas gravadas na Pepsi sobre um plano estratégico confidencial para ampliar o número de pontos de venda, fábricas e caminhões. As fitas chegaram até a sede da Coca em São Paulo, onde foram transcritas pelo então gerente de operações Antônio Cesar Santos de Azambuja. A história só veio à tona quando o funcionário denunciou o ocorrido, depois de ser demitido sem motivo aparente.
• Em 2001, a Procter & Gamble (P&G) contratou uma empresa especializada em investigação para ter mais informações sobre os negócios da concorrente Unilever nos Estados Unidos, principalmente os projetos voltados para cuidados com os cabelos. Um dos detetives contratados pela P&G foi surpreendido revirando o lixo da Unilever, em busca de dados secretos da empresa.
• No final de 2002 a maior empresa de recrutamento de executivos do Brasil, a Catho, foi acusada de roubar curriculos e dados pessoais acessando irregularmente a base de dados de concorrentes, e praticar concorrência desleal. A denúncia partiu de uma das suas maiores concorrentes, a Curriculum, mas ao longo das investigações descobriu-se que outras empresas também tiveram seus arquivos acessados pela Catho, entre elas o Guia OESP e a Embratel.
• Em um escândalo de grandes proporções no Brasil, em 2004 a Polícia Federal descobriu que a empresa de investigação particular Kroll foi contratada pela Brasil Telecom (controlada pelo Opportunity) para espionar a concorrente Telecom Italia, pois o Opportunity e a Telecom Italia travavam uma batalha judicial sobre o controle da Brasil Telecom. A espionagem acabou atingindo autoridades do governo, como o ministro Luiz Gushiken e o presidente do Banco do Brasil, Cassio Casseb. Em 2012 a Justiça Federal absolveu o banqueiro Daniel Dantas, do Opportunity, e a ex-executiva da Brasil Telecom, Carla Cicco.
• Em 2005, a Justiça americana acusou o conselho de administração da HP de usar meios ilegais para investigar os autores de vazamentos de informações e documentos sigilosos para a imprensa. A HP grampeou telefones e contratou detetives particulares com identidades falsas. Com o burburinho, Jay Keyworth, um diretor antigo da HP, confessou ter passado documentos da empresa para o The Wall Street Journal.
• Em 2007, um gerente de qualidade da LG Eletronics foi acusado por quatro funcionários da Philips da Amazônia (Zona Franca de Manaus) de usar uma identidade falsa para entrar na unidade e ter acesso a detalhes sobre um novo produto da concorrente, a TV de LCD de 52 polegadas.
• Em 2007, um funcionário do Co-Rio (Comitê Organizador do Pan de 2007) foi demitido por copiar sem autorização arquivos da multinacional Event Knowledge Services (EKS)
• Em junho de 2007, a equipe Ferrari denunciou a McLaren à justiça italiana, acusada de roubo de segredos industriais. A Ferrari suspeitava havia meses que seu engenheiro e ex-chefe dos mecânicos Nigel Stepney teria passado um dossiê com mais de 700 desenhos secretos da Ferrari modelo F2007 a Mike Coughlan, projetista-chefe da McLaren. Coughlan foi demitido pouco tempo depois, mas a suspeita de que a McLaren teria tirado vantagem das informações contidas no dossiê comprometeram a lisura da disputa do campeonato de 2007.
• Em 2008, o serviço secreto brasileiro investigou o caso de radiotransmissores flutuantes que foram encontrados perto do centro de lançamento de foguetes de Alcântara, que na época tinha um projeto brasileiro–ucraniano para lançamento de satélites usando o míssil ucraniano “Zenit”. A ABIN identificou a existência de equipamentos de telemetria (que podem captar, enviar e processar dados à distância) instalados em bóias apreendidas em praias que cercam a base de Alcântara.
• Em Setembro de 2008 o ex-engenheiro da Intel, Biswahoman Pani, foi investigado pelo FBI por roubo de informações secretas da empresa. Ele teria roubado documentos com dados e desenhos confidenciais de projetos de processadores da Intel após ter sido contratado pela AMD. Pani se defendeu dizendo que apenas roubou os dados secretos da Intel com a intenção de impressionar os seus novos chefes e que a AMD não estava ciente do roubo de dados. A Intel estimou o valor das informações roubadas entre 200 e 400 milhões de dólares.
• Em 2010 um grupo liderado pelo empresário chinês Su Bin (com residência no Canadá) conseguiu roubar e exportar documentos secretos referentes aos projetos dos caças F-22 e F-35 e da aeronave de trasporte C-17. Somente os dados do C-17 totalizaram 630,000 arquivos e 65 gigabytes de dados. Segundo as acusações do FBI, formalizadas em Junho de 2014, Su Bin liderava um grupo formado por mais dois indivíduos na china, especializados em ciber ataque e roubo de dados.
• Em fevereiro de 2010 um ex-funcionário de origem chinesa da Boeing foi condenado a 15 anos de prisão por entregar informações sobre uma nave espacial ao governo chinês. Dongfan “Greg” Chung, um chinês de 74 anos naturalizado americano, espionou para a China durante mais de 30 anos. Quando Chung foi detido, em fevereiro de 2008, agentes federais encontraram em sua casa 250 mil documentos de companhias como Boeing e Rockwell, além de uma série de correspondências com funcionários chineses.
• Em julho de 2010, veio à tona uma denúncia de espionagem da Motorola contra a empresa chinesa Huawei, acusada pela de roubar informações sigilosas desde 2001, através de 13 empregados da Huawei que usaram a fornecedora Lemko para ter acesso aos dados.
• Em agosto de 2010, a MGA Entertainment, fabricante das bonecas Bratz, acusou a Mattel, da Barbie, de fazer espionagem industrial há mais de 15 anos. Segundo a MGA, funcionários da Mattel usaram crachás de identificação falsos para burlar a segurança das fábricas e tirar fotos dos novos produtos das marcas.
• Em novembro de 2010, um funcionário da FORD foi acusado de espionagem industrial e oferecer informações da empresa para companhias chinesas. Mike Yu, um engenheiro de 49 anos, copiou ilegalmente mais de 4 mil documentos confidenciais. As informações eram relacionadas às tecnologias aplicadas em motores, caixas de câmbio, carrocerias e até equipamentos elétricos. Yu se declarou culpado em seu julgamento e incrimou a Baic, fabricante de Pequim, que o contratou pelos dados privilegiados.
• Em janeiro de 2011, a Renault suspendeu três diretores suspeitos de vazar informações importantes sobre o projeto de um carro elétrico. Os líderes da companhia consideram o caso como “muito grave". Entretanto, alguns meses depois surgiu a suspeita de que as acusações teriam sido inventadas por um agente de segurança da Renault. Embora os funcionários tenham sido inocentados, há uma notícia que diz que eles se suicidaram.
• No início de 2011, uma decisão judicial considerou a rede de hotelaria Hilton Hotels culpada de roubar dados da rede Starwood Hotels & Resorts. Em abril de 2009, a Starwood acusou a Hilton de roubar seus planos para o conceito de serviços da rede W, chamado The Den Zen. O Hilton, com ajuda de dois executivos da Starwood, roubou as informações e lançou um novo empreendimento com o nome Denizen. A decisão judicial ordenou a Hilton que devolvesse os documentos roubados, além de proibí-los de contratar ex-funcionários da Starwood e de usar qualquer estilo de marca parecido com a da concorrente até janeiro de 2013.
• Em Abril de 2011 o ex-chefe de vendas da Hewlett-Packard na Ásia, Adrian Jones, foi processado por ter supostamente roubado centenas de documentos e e-mails importantes sobre planos financeiros, dados de vendas e de funcionários da HP. Jones teria copiado as informações em um dispositivo USB antes de pedir demissão da HP para ir trabalhar na rival Oracle.
• Em março de 2011 a polícia de São Paulo prendeu Giulliano Schincariol Bordieri de Carvalho, acusado de ter chefiado um assalto à casa do empresário Alexandre Nascimento Manoel, com objetivo de roubar três computadores que continham uma fórmula secreta de cosmético para alisar o cabelo. Giulliano Schincariol já estava negociando a fórmula com compradores na França e na África.
  
• Em 2012, dois ex-funcionários da Fepsa (Feltros Portugueses SA) foram condenados por espionagem industrial em um caso que envolveu empresas Brasileiras e Portuguesas. O caso remonta a 2008, quando um funcionário da Fepsa, engenheiro têxtil, vendeu a uma concorrente brasileira, Chapéus Cury, informação sobre o processo de feltragem. O engenheiro têxtil foi detido em 2008, quando se encontrava de partida para o estrangeiro, após ter subtraído “documentação à qual não tinha acesso, nem dizia respeito às suas funções”. A empresa brasileira lucrou com as informações transmitidas pelos antigos funcionários da Fepsa, pois conseguiu melhorar sua tecnologia.
• No início de 2012 surgiu a notícia de que durante quase uma década, hackers chineses tiveram amplo acesso à rede corporativa de computadores da Nortel Networks. Usando sete senhas roubadas de altos executivos da Nortel, incluindo seu diretor-presidente, os hackers começaram a invadir os computadores da Nortel desde pelo menos 2000, e tiveram acesso a relatórios técnicos, de pesquisa e desenvolvimento, planos de negócios, e-mails de funcionários e outros documentos.
• Em junho de 2012, a empresa ESET divulgou um caso de ataque direcionado de malware na América Latina, com o objetivo de roubar arquivos (projetos, desenhos, etc) de AutoCAD dos computadores infectados. A chamada Operação Medre foi direcionada exclusivamente a um país da região, o Peru, com objetivo de enviar todos os projetos de AutoCAD abertos no sistema infectado para contas de e-mail hospedadas na China.
• Em setembro de 2012 tivemos o caso de dez funcionários do Comitê Organizador das Olimpíadas e Paralimpíadas de 2016 no Rio de Janeiro que foram demitidos por ter baixado ilegalmente os arquivos de computador das Olimpíadas de Londres. Eles faziam parte de um grupo de 200 funcionários do Comitê Organizador dos Jogos Olímpicos Rio-2016 que foram enviados a Londres a fim de estudar a experiência de organização e realização dos Jogos Olímpicos de 2012. Uma das funcionárias demitidas, Renata Santiago, tentou justificar o caso em carta endereçada ao presidente do comitê, dizendo que todos os dados trazidos por ela ao Brasil eram "abertos".
• Em novembro de 2012 a Polícia Federal fez a Operação Durkheim para desarticular duas organizações criminosas, uma especializada na venda de informações sigilosas e outra voltada à prática de crimes contra o sistema financeiro nacional. A Polícia Federal descobriu uma grande rede de espionagem ilegal, composta por vendedores de informações sigilosas que se apresentam ao mercado como detetives particulares, e por seus fornecedores, pessoas com acesso aos bancos de dados, como funcionários de empresas de telefonia, bancos e servidores públicos. Dentre as vítimas há políticos, desembargadores, uma emissora de televisão e um banco.
• Em julho de 2014 um relatório o time de segurança cibernética da Airbus Defense and Space citou uma campanha do tipo APT executada por um grupo aparentemente chinês, que recebeu o nome de Pitty Tiger. O grupo atacou empresas do setor de defesa, energia, telecomunicações e desenvolvimento Web. Especula-se que este grupo estava ativo desde 2008.
• Em Dezembro de 2015, o FBI prendeu o chinês Xu Jiaqiang, engenheiro de software da IBM na China, acusado de roubar o código fonte de um software e tentar vendê-lo para outras companias e compartilhar com o governo Chinês.
• Em 2016, um empregado da T-Mobile na República Tcheca roubou uma base de dados de marketing com os dados pessoais de 1,5 milhões de clientes da empresa para revendê-los.

O destaque do Brasil no cenário global, em parte por causa dos bons ventos da economia Brasileira e do país hospedar a Copa de 2014 e a Olimpíada se 2016, podem atrair o interesse de governos e empresas internacionais, e com isso, aumentar os riscos de espionagem industrial no Brasil.

O Jornal da Band fez uma reportagem sobre o setor de espionagem industrial, que embora seja interessante, focou na espionagem eletrônica e falhou em não abordar também os riscos de roubo de dados através de ex-funcionários e do uso da informática.

Nota: Post atualizado em 04/12/2012, com mais alguns casos. Atualizado novamente em 19/02/2015 e em 19/07/2016.

Atualização (23/01/2019): Esse artigo do portal CSO Online aborda muito bem a espionagem corporativa, como funciona, casos, etc: "What is corporate espionage? Inside the murky world of private spying".

• Artigo com vários casos de espionagem corporativa: "Industrial Espionage: Secrets Stolen, Fortunes Lost"

[Cyber Cultura] Inauguração do Matehackers

Neste sábado, dia 3/11, o pessoal de Porto Alegre vai fazer um encontro para inaugurar oficialmente o Matehackers, o primeiro hackerspace no Rio Grande do Sul.

Recentemente eles conseguiram um espaço compartilhado no Bunker360, um espaço de co-working localizado na Av. Independência 330, sala 206 (mapa)

Para participar do Matehackers, visite o site deles, a página no Facebook e participe da lista de discussão.

[Segurança] Morris Worm: Quando a Internet parou há 24 anos atrás

Amanhã, 2 de Novembro, fará 24 anos que surgiu o "Morris Worm", a primeira grande infestação por vírus (o correto seria chamar de "verme") da história.

O vírus foi criado por um estudante da Universidade de Cornell, Robert Tappan Morris, em 2 de Novembro de 1988. Embora não tivesse intenção maligna, uma falha em seu código fez com que o vírus se espalhasse por boa parte dos servidores existentes e, como ele infectava o mesmo equipamento várias vezes, tornava o servidor extremamente lento.

Estima-se que o Morris Worm infectou cerca de 6.000 servidores, o que correspondia a 10% dos servidores existentes na "Internet" da época. O esforço conjunto para identificar e limpar o vírus fez com que vários especialistas se juntassem pela primeira vez e isto acabou motivando o surgimento do CERT/CC, o mais importante centro de respostas a incidentes.

Outro aspecto interessante é que Robert Tappan Morris é filho de Robert Morris, um dos co-autores do UNIX e cientista chefe do National Computer Security Center, da National Security Agency (NSA).

O portal CSO Online publicou recentemente uma lista com os 20 virus, vermes e botnets mais famosos, que obviamente inclui a "façanha" do Robert Morris.

[Cyber Cultura] O primeiro jogo de computador

O blog do Google publicou um texto hoje em homenagem ao espanhol Leonardo Torres-Quevedo, um engenheiro civil considerado o inventor do primeiro jogo de computador.

A invenção dele em nada se parece com o que conhecemos hoje em dia como "games". O invento, chamado "El Ajedrecista" ("O enxadrezista"), foi criado em 1912 e apresentado publicamente em Paris em 1914. Ele era uma máquina capaz de jogar xadrez contra um humano de forma totalmente automatizada, que calculava os movimentos e tinha um braço mecânico que movimentava as peças sobre o tabuleiro. Foi algo bem distante dos jogos que conhecemos hoje em dia e, certamente, menos espertinho do que o Deep Blue, o super-hiper-mega computador desenvolvido pela IBM especializado em jogar xadrez.

[Cyber Cultura] We Are Legion

Finalmente, o documentário "We Are Legion" está disponível online, através do iTunes.

O trailer do filme já estava disponível online já fazia um certo tempo, e dá uma bela amostra de como é o filme e sobre os assuntos que ele aborda. O documentátio também possui um canal no YouTube aonde foram colocados alguns vídeos extras, curtinhos e que também merecem ser vistos.


Eu tive a feliz oportunidade de assistir o documentário We Are Legion durante a Defcon XX, e ele é excelente. É um documentário super bem feito em todos os sentidos, incluindo na história e no acabamento final, que descreve, detalha e discute o novo tipo de hacktivismo que vivemos hoje em dia.

O filme aborda muito bem o surgimento do grupo Anonymous a partir do fórum 4Chan, passando pelos protestos mais recentes e pelo movimento Occupy Wall Street. O filme também descreve muito bem como e porque os protestos do grupo Anonymous foram ganhando importância desde que o grupo lançou o movimento contra a igreja da Scientologia.

Uma boa parte do filme também discute e critica o que eles consideram como sendo a exagerada reação do governo contra as pessoas que tem participado dos protestos online. O argumento é baseado no fato de que, se você participa de um protesto real, nas ruas, o máximo que acontece é ser preso e solto logo em seguida, enquanto o pessoal que tem participado dos protestos online, se juntando a operações que utilizam ataques de DDoS contra alguns sites específicos, tem enfrentado longos processos, com multas exorbitantes e sujeitos a serem condenados a vários anos de cadeia. O filme mostra alguns exemplos de pessoas comuns que se juntaram a protestos online por acreditarem na causa e acreditarem que estavam fazendo algo válido e ao mesmo tempo inofensivo, mas agora são assombrados pela possibilidade de terem punições desproporcionais ao tipo de ato que fizeram.

A Wired publicou uma reportagem legal sobre o lançamento do documentário ("Updated Anonymous Doc We Are Legion Gets Online Release") que mostra como o diretor Brian Knappenberger teve que enfrentar a difícil decisão de em que momento deveria finalizar o filme, uma vez que o hacktivismo atual e o grupo Anonymous está em constante evolução e mudanças. Como ele disse para a reportagem, quando eles começaram a produzir o documentário nada do que acontece nos últimos 45 minutos do filme sequer haviam acontecido e o presidente egípcio Hosni Mubarak ainda estava no poder.

Nota importante (adicionada em 4/11): O documentário está disponível apenas na loja iTunes dos EUA, e não na loja Brasileira (a versão em HD sai US$ 12,99 para compra e $4,99 para alugar). Assim, nós brasileiros não conseguimos comprar ou alugar o filme, pois geralmente temos conta no iTunes cujo cadastro consta o Brasil como país de origem. Mas a boa notícia é que é possível comprar e abaixar o filme por US$ 9,90 diretamente a no site http://wearelegionthedocumentary.com

Nota mais importante ainda (29/9/2014): O filme está disponível para download gratuitamente no site archive.org.

[Segurança] Dia do Saci. Ou seria o ano da SaciCon?

No dia 31 de outubro é "comemorado" o Dia do Saci, uma data não-oficial que foi proposta há alguns anos atrás para promover as lendas brasileiras e a cultura popular, aproveitando que tem gente por aí tentando trazer para o Brasil o costume americano do Halloween.

Acontece que o Halloween está relacionado a cultura européia e celta, e nada tem a ver com a tradição cultural brasileira. Comemorar o Halloween no Brasil é uma babação de ovo sem sentido, seria como decretar feriado o dia 4 de Julho só porque é o dia da independência nos EUA, ou tão estranho e artificial quanto começar a celebrar o Dia de Ação de Graças (Thanksgiving Day) aqui no Brasil.

Entretanto, eu acho muito simpática a iniciativa de criar o Dia do Saci, pois é um resgate das tradições e lendas tipicamente brasileiras, que surgiram da mistura entre os índios, os escravos africanos e colonizadores portugueses, além dos diversos povos que ajudaram a formar o país que temos hoje. Infelizmente, até hoje poucas cidades e apenas o Estado de São Paulo oficializaram a data.

Mas, aproveitando o Dia do Saci, não custa mencionar que neste ano foi realizado a primeira edição da SaciCon, um evento de segurança idealizado e organizado pela Flipside (leia-se Anderson e Priscila, sempre sensacionais) e que tem como objetivo ser um evento brasileiro em inglês, para atrair palestrantes e participantes de outros países, e de quebra, fomentar o mercado nacional de segurança e divulgar a nossa comunidade internacionalmente.

Na minha humilde opinião, esta é uma iniciativa excelente, pois os eventos brasileiros tem pouca atratividade para o pessoal de fora, incluindo o pessoal dos outros países latino-americanos. Isto porque os eventos brasileiros são realizados praticamente apenas em português, e quando muito, há uma tradução inglês-português para que a platéia brasileira consiga entender um palestrante internacional. Mas é comum vermos que, depois de palestrar, o palestrante fica perdidinho da silva, pois não tem como acompanhar o evento pois raramente ele tem a opção de um tradutor português-inglês. Ou seja, a grande maioria dos eventos nacionais não atraem o público de fora do país, mesmo estes que se auto-intitulam eventos ou congressos latino-americanos ou internacionais. E este não é um problema exclusivo da área de segurança.

Só para exemplificar, eu já fui algumas vezes na Ekoparty, um ex-ce-len-te evento de segurança realizado na Argentina. Pela proximidade da língua, o evento naturalmente atrai muitos palestrantes e participantes de toda a América Latina, inclusive da Espanha. E sempre há algumas poucas dezenas de brasileiros por lá. Mas o contrário não acontece no Brasil: raramente vemos alguém da américa latina em um evento brasileiro. E viva a barreira do idioma!

Nós somos quem mais perde com isso, pois perdemos a chance de interagir e trocar conhecimento com pesquisadores e profissionais de outros países. Os nossos profissionais, pesquisadores e nosso país como um todo vive em uma grande ilha, praticamente isolado do resto do mundo. E não custa lembrar que, nos eventos que tem tradução simultânea do inglês para o português, é comum vermos mais da metade da platéia recorrendo a tradução simultânea.

Por isto, eu sou o maior fã da iniciativa de criar a SaciCon e atrair pesquisadores e profissionais de segurança de outros países para o Brasil. Neste ano, o evento aconteceu praticamente junto com a H2HC e com a Co0L BSidesSP, formando quatro dias muito intensos e produtivos para quem teve a oportunidade de participar destes eventos.

Que 31 de Outubro seja o Dia Nacional do Saci !!!
Que 2012 seja o ano da SaciCon !!! E o primeiro ano de muitos!!!

Mais informações:

• Sociedade dos Observadores de Saci
• Site da SaciCon

[Segurança] Cyber crime no Brasil: algo entre 1,5 e 15 bilhões de reais

Há pouco tempo atrás saíram algumas estatísticas novas sobre o cyber crime no Brasil:

• Segundo a Federação Brasileira de Bancos (Febraban) os bancos sofreram prejuízo de R$ 1,5 bilhão em 2011.
• Segundo um estudo da Norton (da Symantec), o crime cibernético gerou prejuízos de R$ 15,9 bilhões no Brasil no último ano.

Ninguém precisa ser PHD em matemática, economia ou cyber crime para perceber que há uma pequena diferença entre estes números: as estimativas da Norton são dez vezes maiores do que as da Febraban.

Recentemente eu comentei aqui neste blog sobre um vídeo de uma empresa aonde, aparentemente, o pessoal de marketing tem dificuldade de contar até 10. Mas a explicação sobre o porque desta diferença entre as estatísticas da Febraban e da Norton possivelmente envolve alguns aspectos que eu considero interessantes e que valem a pena ser discutidos:

• Qual é a metodologia que cada um adotou para chegar nesta estimativa?
• Qual é o interesse em divulgar estes números?

A verdade é que a Febraban e a Norton usam meios diferentes de estimar o valor do prejuízo com o ciber crime e ambas tem interesses totalmente opostos.

Os dados da Febraban foram divulgados na ICCYBER, quando a entidade relatou que os bancos brasileiros sofreram prejuízo de R$ 1,5 bilhão em 2011 com fraudes eletrônicas, um aumento de 60% em relação a 2010. Segundo a Febraban, os prejuízos incluem os serviços bancários via Internet e celular, as transações de call center, e os gastos com cartões de crédito e de débito. Indo um pouquinho mais além, a Febraban disse que as fraudes referentes exclusivamente a Internet e ao "mobile banking" representaram "apenas" R$ 300 milhões.

Segundo alguns colegas que tem contato com a Febraban ou já trabalharam na comissão de fraude cibernética, estes dados são calculados a partir das estimativas de fraude que cada banco reporta a comissão. Aí a Febraban soma todas estas estimativas (cada uma calculada de cada jeito por cada banco) e bota tudo em um grande "saco". Mas a Febraban e os bancos tem interesse em estimular o uso do Internet Banking, para aumentar a automação e diminuir seus custos. Portanto, eles não tem interesse em mostrar números muito alarmantes. Não é a tôa que a Febraban passou alguns anos sem divulgar estas estatísticas, entre 2006 e 2010. OK, R$ 1,5 bilhão (ou melhor, R$ 300 milhões do Internet / Mobile banking) é muito dinheiro, mas a Febraban sempre insiste em reforçar que os bancos tem investido em segurança e que estes números crescem anualmente em uma taxa abaixo do crescimento da quantidade de usuários de Internet Banking.

Já a Norton, uma empresa privada que vende soluções de segurança para usuários finais, tem interesse em mostrar um quadro alarmante para que as pessoas se sintam inseguras online e tenham a necessidade de comprar soluções de segurança para seus computadores. Segundo o estudo da Norton (Norton Cybercrime Report 2012), o crime cibernético gerou prejuízos de R$ 15,9 bilhões no Brasil no último ano, e 28,3 milhões de pessoas foram vítimas deste tipo de crime no país – cada uma perdeu, em média, R$ 562. A Norton chegou a estes dados através de uma pesquisa global na qual foram entrevistados 13 mil adultos com idade entre 18 e 64 anos em 24 países, sendo que a companhia entrevistou 546 pessoas no Brasil.

Peraí... O Brasil tem 54 milhões de pessoas "bancarizadas" (isto é, com contas correntes) e 42 milhões de contas correntes com Internet Banking. E a empresa entrevistou 546 pessoas? Além disto estar super desproporcional, se compararmos os dados da Norton (28,3 milhões de vítimas do cyber crime) com a quantidade de pessoas que usam Internet Banking (42 milhões), isto significaria dizer que mais da metade dos usuários de Internet Banking sofreram prejuízo. Desculpe-me, mas eu acredito que se esta estimativa fosse verdade, nem os bancos nem os clientes iriam querer usar o Internet Banking nunca mais na vida. Metade dos clientes sofrendo fraude assusta qualquer um: cliente e empresa. Seria o caos.

	Febraban	Norton
Estimativa	R$ 1,5 bilhão	R$ 15 bilhões
Como	Coleta e reúne dados dos bancos	Entrevistou 546 pessoas
Interesse	Passar a imagem de que o Internet Banking é seguro Estimular o uso do Internet Banking	Passar a imagem de que a Internet é perigosa Estimular a venda de soluções de segurança para os usuários finais

Sem querer criticar uma empresa ou outra, o fato é que estatísticas são estimativas, e como tal, possuem uma margem de erro, ou imprecisão. E tal imprecisão é fruto do processo pelo qual as estatísticas foram criadas. E a imprensa, por outro lado, adora estatísticas: elas tornam um assunto complexo mais palpável e mais fácil de noticiar. Mas, muitas vezes, a imprensa sequer questiona os dados que recebe.