Queria ser neurologista, mas, numa reviravolta, ganha a vida a testar os limites de cibersegurança de empresas. “O cérebro sempre me fascinou”, explica Teresa Pereira ao Observador, acabada de regressar dos EUA, onde competiu numa das maiores provas de vishing do mundo — uma técnica de phishing de voz através de uma chamada telefónica. As chamadas que recebemos de vozes robóticas com promessas de emprego são um exemplo de vishing.

A prova em que Teresa competiu é diferente — é feita por hackers éticos, com o objetivo de testar a defesa do alvo, no caso uma empresa, com regras. O objetivo é obter o máximo de informações — por exemplo que sistema operativo usa ou até quem faz a limpeza do escritório — numa chamada telefónica feita perante uma plateia numa cabine insonorizada. Há apenas 14 concorrentes na prova, que é um exemplo da exploração da engenharia social, em que informações aparentemente inofensivas podem ser exploradas para tentar a intrusão, digital ou física, numa empresa. Indiretamente, Teresa continua a explorar tudo o que “mexe com o cérebro”, reconhece entre risos.

Aos 27 anos, é cyber threat hunter numa multinacional do setor da energia — anda à “caça” de vulnerabilidades que possam tornar-se uma ameaça. A medicina e a neurologia foram trocadas pela engenharia informática. “Não tinha média para medicina. Um bocado por conselho da minha mãe acabei por ir para engenharia informática, que era o que estava a dar na altura”, contextualiza.

“A engenharia informática não era a paixão da minha vida”, confessa. No Politécnico de Leiria, onde estudou entre 2016 e 2020, a programação era uma área forte no curso, mas Teresa não se via a programar “para o resto da vida”. A cibersegurança tinha uma presença mais discreta no currículo do curso. Começou a trabalhar em plena pandemia de Covid-19 e, ao chegar à consultora KPMG, uma das áreas com necessidade de recursos foi a da cibersegurança. “Não sabia muito bem o que era, mas queria aprender. Foi a melhor escolha que fiz”, diz ao telefone.

Começou a fazer testes de intrusão (pentests), um serviço contratado pelos clientes da consultora para que sejam detetadas vulnerabilidades na segurança. “Por iniciativa própria e nos tempos livres, estudava horas para aprender mais.” Foi na consultora, na qual já não trabalha, que começou a praticar vishing, ou seja, a fazer “chamadas telefónicas com o objetivo de obter informação, muitas vezes sensível ou confidencial, de quem está do outro lado.” Uma prática que envolve muito tempo de preparação e bastante pesquisa. “Há muito trabalho envolvido, é preciso conhecer a empresa, definir cenários… E depois ligar para muitas pessoas, não é algo assim muito fácil.”

Foi justamente esta atividade que levou a jovem da Marinha Grande até à DEFCON, que este ano decorreu de 7 a 10 de agosto, em Las Vegas. A competição de vishing, na qual participou não é transmitida online e “não pode ser gravada”. Isto porque as empresas escolhidas como alvo são reais e, por isso, há que “garantir que a empresa não é posta em xeque”. Os concorrentes não podem revelar para quem ligaram ou sequer identificar quem lhes atendeu o telefone. O que se passa em Las Vegas fica em Las Vegas.

Os 22 minutos dentro da cabine em Las Vegas, onde “há muita sorte envolvida”

Desde 1993 que, durante três dias, a comunidade hacker reúne-se em Las Vegas para a DEFCON. O que começou como uma festa de despedida de um hacker, com cerca de cem pessoas, transformou-se numa convenção anual que recebe, em média, 30 mil pessoas.

Durante esses três dias, há diversas sessões, palestras e muitas competições. Os participantes são encorajados a utilizar o seu “alias”, uma espécie de alcunha — o de Teresa Pereira é starmtp, que usou na competição. A DEFCON divide-se em comunidades com diferentes apetências e valências. Na de engenharia social, há dois grandes eventos: a competição de vishing e a batalha dos bots, em que as equipas têm de treinar um agente de inteligência artificial para que esta ligue para um alvo.

“Todos os anos há um concurso onde é dada uma empresa-alvo, que temos de investigar, descobrir o número de telefone, para onde ligar, desenvolver todo o cenário e fazer as chamadas”, explica Teresa Pereira. “Eu gostava tanto de fazer as chamadas [de vishing] que pensei ‘por que não tentar candidatar-me a isto?’” O concurso é “aberto ao mundo inteiro mas só escolhem 14 candidaturas. Pensei ‘vou tentar a minha sorte’, mas achei que nunca na vida [ia acontecer] — qual era a probabilidade de escolherem uma pessoa de Portugal?”

Teresa Pereira enviou a candidatura com “um vídeo de até dois minutos a explicar a razão para ser escolhida”. “Lá enviei o vídeo, escrevi também um texto…” O anúncio dos participantes escolhidos estava marcado para 18 de maio — dia de eleições legislativas em Portugal. “Fui mantendo as expectativas baixas, mas sempre com esperança”. Até que chegou o dia. “Fui votar e pensei que se não me disserem nada [de Las Vegas] não fazia mal. Mas, quando fui ao email, vi que tinha recebido um aviso de que a minha candidatura tinha sido aceite.” Ficou entusiasmada. “Nunca tinha ido à conferência sequer.” Já tinha uma viagem marcada para os EUA e aproveitou ter sido escolhida para fazer uma paragem em Las Vegas.

Não foi preciso muito tempo até que lhe fosse indicado o seu alvo — uma das várias regras da competição é que a empresa é indicada com tempo para que possam ser preparados cenários e pretextos que justifiquem a chamada. Os vencedores recebem um troféu e são convidados a regressar ao concurso na qualidade de treinadores. É possível participar individualmente ou em equipas de duas pessoas (neste caso é permitido que as duas pessoas estejam dentro da cabine). Cada participante tem acesso a quatro treinadores, que vão sugerindo técnicas ou dando indicações sobre a preparação para a prova. Os participantes estão proibidos de ter contacto direto com o alvo: não há chamadas, emails ou visitas físicas a escritórios.

Toda a preparação feita até à chegada à cabine também é avaliada pelos treinadores e jurados. “Toda a investigação que fiz remotamente foi avaliada e contou para pontos. Por isso é que já existia uma tabela [de classificação] antes de começar a competição”, conta a “caçadora”.

A fase final do concurso, a chamada dentro da cabine, realizou-se a 8 de agosto. Cada concorrente tem uma lista de objetivos a atingir, sendo que, “naquele caso, não estamos a tentar obter informação sensível”. “É avaliado como é que se guia a conversa, como se conseguem extrair os objetivos durante a chamada”, diz Teresa. Ao todo, os candidatos têm 25 objetivos-chave, incluindo descobrir “o sistema operativo, o nome da empresa que faz a limpeza do edifício, da empresa que gere o lixo, e se utilizam badges para aceder ao escritório”, enumera.

No dia da prova, ditou a sorte que fosse a primeira a competir. “Tinham-me atribuído o slot das nove às dez, a dividir por mim e outra equipa. Mandaram uma moeda ao ar para ver quem ia primeiro — fui eu. Portanto, às nove da manhã, primeira vez na conferência, primeira vez na competição… Nunca tinha visto aquilo antes, porque não pode ser gravado, nunca tinha visto como funciona”, contextualiza.

Teresa entrou na cabine de vidro com um plano. Do lado de fora, um técnico que, além de assegurar os meios técnicos da chamada, também vigia o cumprimento das regras. Mas entre o plano e a realidade há muito espaço para mudanças. “Tendo 22 minutos para fazer as chamadas, há muita sorte envolvida. Houve cerca de dez minutos em que ninguém me atendeu.” Algumas equipas nem chegaram à fala com alguém, nota. “Tudo conta a partir do momento em que começa o contador — e as pessoas podem atender ou não”. Já quando fazia as chamadas de vishing a título profissional era confrontada com silêncio. “É uma coisa no mundo real: há pessoas que não atendem, porque ou vai parar ao voicemail ou estão de férias…”

Dentro da cabine, não se deixou afetar pela espera e conseguiu terminar no oitavo lugar, com um total de 636 pontos. “[A sorte] É uma variável que nós não controlamos, ninguém controla.” Ainda por cima, “estava a ligar às nove da manhã dos EUA, a uma sexta-feira, em agosto.” Ainda assim, conseguiu alguns dos objetivos. “Muitos dos pontos que tive foi porque, vá lá, um senhor me atendeu a chamada e consegui extrair alguma informação. Já estava atrasado para uma reunião”, o que terá ajudado a relaxar algumas defesas.

Na única imagem que tem da prova, Teresa Pereira é vista com um telemóvel. “É o meu telemóvel, mas não é de lá que está a ser feita a chamada. Eles têm todo um sistema montado” para assegurar a segurança da chamada. “Estava apenas a usar o meu telemóvel para uma técnica de vishing, que são os barulhos de fundo.” Um dos pontos de preparação de Teresa passou por guardar vários sons de ambiente de call center para usar.

“Uma das técnicas que faz a pessoa do outro lado da linha ter mais confiança são os barulhos de fundo. Imagine que lhe ligo, há um som de um call center e digo que estamos a ter um dia muito atribulado e que temos mesmo de concluir a tarefa até ao fim do dia. Se dizer um ‘pode-me ajudar, por favor’, se calhar tinha mais predisposição a ajudar-me do que se não ouvisse nada”, contextualiza. Esta é uma técnica que permite “usar a emoção e que leva a outra pessoa a ajudar-nos”.

2 fotos

Teresa garante que “estava bastante calma” durante a prova. “Também estava com jet lag“, o que “provavelmente ajudou”, graceja. Dentro da cabine, conseguiu sentir o efeito de comunidade. “Todos estavam a sentir o mesmo nervosismo, quando alguém dava uma informação ficavam felizes. Era como se aquilo fosse um trabalho de equipa e não eu sozinha. Riam-se, batiam palmas. Foi uma atmosfera muito envolvente e muito boa.” Alguns concorrentes recorrem até a disfarces ou máscaras para dar um tom mais divertido: há quem use bonés da Starbucks, do Shake Shack ou até da Southwest para entrar no espírito.

Teresa Pereira faz um balanço positivo da experiência. “Aprendi muitas técnicas novas. Aprendi, para futuros projetos, como organizar todo o processo e fazê-lo de forma mais eficaz. E, às vezes, como chegar a certos sítios a que, se calhar, se estivesse sozinha nunca chegaria porque nunca teria pensado naquilo na vida.”

“Houve muita troca de ideias, muito treino, muito feedback”, explica. Comentaram que o o seu sotaque pode ter tido influência no resultado da chamada. “Disseram-me que se calhar não ter um sotaque americano terá interferido… Eu acho que não interfere em nada, não sei se há muita relação.”

Chamadas envolvem “muitas horas de pesquisa” e há um “código de ética a respeitar”

Seja para competir em Las Vegas ou para chamadas no mundo real, é certo que há “muitas horas de pesquisa”. E, acima de tudo, “jogo de cintura” e perseverança. “Humanamente, quando temos uma pessoa do outro lado da linha que nos diz ‘não, não vou dar essa informação’, a primeira tendência é desligar, porque é muito mais complicado continuar.”

Com o tempo e a prática, aprendeu mais técnicas para ultrapassar essa barreira. Teresa Pereira costuma apostar na simpatia. Até porque, como diz, não gosta da “ameaça ou do medo”, técnicas que, de qualquer forma, violariam o código de ética usado na competição de Las Vegas. “Não devemos usar técnicas como dizer às pessoas ‘se não me der isso o seu computador vai ser bloqueado ou vai ser despedido’.” O código de ética dita ainda que “não se podem extrair informações confidenciais ou sensíveis, incluindo passwords”.

Em Las Vegas, também puxou da técnica: ‘corrija-me se estiver errado’. Dá como exemplo a questão “está a usar Windows, não está?”. “O ser humano tem tendência, quando ouve uma coisa errada, a dizer o que está certo, muitas vezes dando a informação. É mais fácil assumir e ouvir a resposta do que perguntar diretamente qual é o sistema operativo que usam na sua empresa”, exemplifica.

“É preciso saber guiar a conversa, é preciso fazer a investigação”, remata. Como é feita a investigação sobre um alvo que não se pode contactar? “Hoje em dia não é muito difícil fazer todas as etapas até à chamada”, diz. “Existem redes sociais e as pessoas, quer queiramos quer não, colocam lá informação.” Teresa Pereira afirma que, muitas vezes, “as pessoas não têm noção de que podem ser a porta de entrada” nos sistemas de uma empresa. “Estão habituadas a ver-se como o alvo final, a dizer ‘ninguém quer saber, a minha informação não interessa’. Às vezes não é bem verdade”, nota.

Com os anos já se habituou a estar atenta a pormenores que podem parecer inofensivos. “Há que tentar perceber como é que funciona aquela empresa, quem são as pessoas, a hierarquia, onde é que têm escritórios, onde é que não têm, como é que falam internamente”, exemplifica. Ou até questões tão simples como “o que chamam ao IT Helpdesk [apoio técnico de tecnologia]”. “Todas as empresas têm sempre nomes internos muito específicos, uma linguagem interna.” Se alguém do outro lado da linha usar os mesmos termos internos, é meio caminho andado para conquistar a confiança.

“Fraude do CEO”. Sofisticado ataque que gera perdas de 43 mil milhões também mexe em Portugal

“São muitas horas de investigação, de ver, de aprender. Não posso dizer o alvo, mas, em Las Vegas, cheguei ao fim do processo e senti que já trabalhava para aquela empresa, porque já sabia tanta coisa…”, refere. Usou como fontes o próprio site da empresa, redes sociais e até o Reddit. “Há muitos subreddits onde as pessoas dizem ‘ah, na minha empresa fazem assim, como é que fazem na vossa?’ Há muita partilha de experiências, que às vezes pode nem ser assim tão importante para as pessoas que estão a ler, mas, quando utilizado no contexto certo, pode ser bastante interessante e pode levar-nos mesmo ao objetivo neste caso do vishing.”

Para Teresa, até uma simples ida ao supermercado pode ser um caso de estudo. “Às vezes é só estarmos atentos e ouvirmos a forma como dizem as coisas, como falam uns com os outros, como é que se vestem. Isso também é bastante interessante, mas aqui não do ponto de vista de vishing, mas do ponto de vista de engenharia social aplicada à intrusão física, para entrar em edifícios”, exemplifica. “Há todo um conjunto de coisas que, às vezes, podem não importar muito, mas quando utilizadas no contexto certo podem garantir o sucesso.”

Com a crescente automatização e recurso à inteligência artificial, Teresa Pereira defende que mais do que nunca é preciso aprender a desconfiar de quem está do outro lado do telefone. “Espero que as pessoas aprendam a desconfiar para que seja tudo muito mais seguro. Acho que as pessoas confiam demasiado quando recebem uma chamada. Deviam aprender primeiro a desconfiar e não confiar em tudo o que lhes dizem nem em tudo o que leem na internet.”

Bastam segundos para clonar uma voz com inteligência artificial. Vamos ter de aprender a desconfiar do que ouvimos