Este ano tem sido marcado por sucessivos ataques informáticos que atingiram o nervo de grandes instituições: a TAP, bancos, câmaras, até o Estado-Maior General das Forças Armadas. Os cibercrimes que surgem em Portugal e no mundo estão mais sofisticados. E os alvos não são só instituições e empresas. Nós, cidadãos, também estamos em risco. Quem usa e quem protege os nossos dados? Andar com um telemóvel torna-nos um alvo em movimento? Como detectar? Como nos defendermos? Hoje falo de segurança digital, proteção de dados, ciberataques, um tema sempre quente, cada vez mais crítico. Para isso convidei o brasileiro Hélio Santana. Ele é analista em tecnologia da informação e especialista em cibersegurança. Trabalhou em Israel e no Brasil para as Forças Armadas, para a presidência, para o governo e para hospitais, por exemplo, sendo formador em medidas de proteção, modernização de sistemas, mitigação de ataques e proteção de dados. Olá, Hélio, bem-hajás por ter aceitado este meu convite. Bem-vindo ao Observador.

Obrigado, João. Obrigado pela oportunidade. Obrigado à audiência do Observador. É um prazer estar aqui.

Quando eras pequeno, só para ligar um pouco à tua carreira, tu chegaste a ser escoteiro. Tu foste escoteiro?

Fui. Na verdade, fui até diretor, dirigente de um grupo escoteiro no Brasil. É realmente uma iniciativa muito interessante de ser voluntário, ajudar crianças, ajudar famílias e a comunidade. Eu acho que todo mundo deveria fazer algum serviço voluntário na vida.

Tens aquela missão da boa ação, que também é sempre importante.

Sempre.

A tua boa ação hoje é a propósito e a defender os nossos dados, que é muito importante, contra estes ataques. Tu, entretanto, andaste num colégio militar e foste primeiro tenente oficial. Neste momento, estás na reserva, é isso?

Sim. Fui oficial enlisted, como dizem em alguns países.

Oficial técnico de informática e de IT. Não é?

Exato.

De informação e tecnologia. Depois, licenciaste-te em sistemas de informação, fizeste uma pós-graduação em gestão de informação e tecnologia, uma pós-graduação em perícia digital e um mestrado em segurança cibernética. Tu és a pessoa que mais estudou este assunto. Agora estás sediado em Portugal, moras cá agora?

Sim, agora eu estou aqui em Portugal.

Tu trabalhaste, aprendeste técnicas de hacking e tiveste em 2014, por exemplo, uma formação chamada Hacker Techniques, Exploits and Incident Handling. Aprendeste mesmo como é que estes hackers conseguem entrar na net e na dark web, nestes sítios, e roubar dados e pedir resgates. No fundo, é disso que estamos a falar. Estes ataques são cada vez mais.

Na verdade, a gente aprende as técnicas dos bad guys para ajudar as empresas a se protegerem. A melhor forma de você construir barreiras é saber as técnicas que eles usam para te sensibilizar.

E eles não estão sempre um passo à frente? Eu só penso nas portas e nas fechaduras muito sofisticadas das portas. Sempre que inventa-se uma fechadura nova, o ladrão na semana seguinte já sabe como dar a volta a isso e passar à frente.

Existe o pensador que diz que construir alguma coisa boa demora-se muito. Você precisa convencer muita gente, precisa desenvolver uma coisa sólida e ter uma boa ação. Agora, destruir é muito fácil. Eles trabalham meramente com a destruição e com o roubo.

Esta parte também fizeste, esta formação que fizeste já em 2012 de Advanced Computer Forensic Analysis. Isto tem a ver com os computadores, por exemplo, que são em locais de crime ou que foram usados em crimes, conseguir analisar os dados e perceber como é que eles conseguiram os cavalos de Troia e todos esses vírus que eles conseguiram implementar. É isso?

Exato.

É o estudo disso, desses dados?

Exato. É o estudo da perícia forense ou a computação forense. Todo processo pode ser repetido e cientificamente comprovado que um processo digital foi executado. Então dentro da perícia forense digital, nós aprendemos como que são as técnicas, quais são os processos que levam os sistemas computacionais a mudarem ou não o seu comportamento, e a partir daí a gente consegue traçar o caminho reverso de um ataque cibernético, de um roubo de informação ou até mesmo de um vazamento.

Vazamento é quando há um leak. Não é? Um WikiLeaks, Football Leaks, esse tipo de coisas.

Exatamente.

Quando passam informação e dados, e vendem esses dados ou essa informação.

E existe todo um rol de práticas que precisam ser respeitadas para que uma evidência, por exemplo, coletada de um crime scene, possa ser considerada válida nos tribunais.

Exatamente.

Então dentro desse estudo, existe também o estudo relacionado à preservação de evidências cibernéticas, evidências digitais, que é análogo à preservação de uma evidência real de um crime convencional.

Como sangue em qualquer lado. Vocês conseguirem o log desses computadores, saber o que o criminoso teve a engendrar e a consultar antes de fazer.

Enfeito.

Muito bem. Também és membro da Associação de Investigação Criminal de Alta Tecnologia, cá está, isso tem a ver com as tuas áreas de trabalho. Tu tens experiência na área de tecnologia e informação há mais de 20 anos e em cibersegurança há mais de 15. As tuas áreas de trabalho têm a ver com esta segurança, com as plataformas de ambientes de virtualização, gestão de risco. És formador, tu dás cursos de segurança de redes e sistemas, de medidas de proteção, proteção de dados. Também és consultor em projetos de segurança e defesa cibernética, para vários clientes, entre governo e privados. Trabalhaste no Exército também, no governo brasileiro, chegaste a estar também na presidência e vice-presidência da República, como diretor de Tecnologia de Informação.

Um grande desafio.

Um grande desafio. E experiência também nas Forças Armadas Brasileiras, no Centro de Ciberdefesa do Exército Brasileiro. Tu monitoravas aquelas redes, monitorizavas aquelas redes e coordenação.

Tivemos a oportunidade de fazer análise de riscos e, principalmente, identificar vulnerabilidades e corrigir tais vulnerabilidades durante o período dos grandes eventos. O Brasil sediou grandes eventos em 2014, 2016.

Os Jogos Olímpicos, o Mundial, a Copa do Mundo.

E foi logo que eu deixei o exército, ou seja, saí, me despi da farda e fui trabalhar como consultor civil.

Aliás, quatro ministérios usaram das tuas capacidades, o Ministério do Desenvolvimento, Indústria e Negócios Estrangeiros, o Ministério da Defesa. Portanto, nessa altura, e depois desde 2015, trabalhas no Serviço Federal de Processamento de Dados também.

Sim, tive a oportunidade de trabalhar lá também.

Quando foi esses grandes eventos que estavas a falar, dos Jogos Olímpicos do Rio em 2016 e o Mundial 2014, aí também chamaram-te e tiveste a treinar equipas para Prevenir este tipo de ataque cibernético?

Sim, eu liderei algumas equipes para a gente realmente identificar em todas as infraestruturas que eram responsáveis por proteger o Estado, se elas estavam devidamente protegidas. Montamos também, em decorrência desse trabalho, algumas equipes de resposta a incidentes, que são equipes responsáveis por quê? Monitorar infraestruturas, no caso ali é uma infraestrutura de Estado, e tomar as ações devidas para reverter.

E aconteceram esses ataques de vez em quando?

Sim, esses ataques estão a acontecer a todo momento.

De volta e meia tiveram mesmo que agir para neutralizar coisas.

Para neutralizar, exatamente. Não tivemos nenhum incidente grave que tenha causado uma disrupção de algum serviço, mas, sem dúvida nenhuma, observamos ataques e atividades maliciosas acontecendo.

Ali todo mundo estava com os olhos postos completamente no Brasil, naquela altura, no Rio, impressionante. Hospitais também, desde 2017, na Empresa Brasileira de Serviços Hospitalares, tens a ver com isso, com a análise de vulnerabilidade, com estas apps que aparecem agora de gestão para hospitais universitários, também são desenvolvidas por ti, e o Hospital das Forças Armadas, onde também trabalhaste, a Polícia Federal, foste analista também de suporte sênior, o Conselho Federal de Arquitetura, etc. Há depois uma grande ligação contigo a esta CySource, é uma empresa israelita.

Sim.

Portanto, sediada em Tel Aviv, e Israel é considerado um dos países mais atacados do mundo a nível cibernético, não é?

Exato.

E, portanto, tu foste responsável por este Cyber Workforce Group em Israel e, no fundo, és um bocado o responsável também agora, neste momento, na CySource, trabalhas lá como country manager, tens a ver com a implementação da CySource em Portugal ou noutros países da Europa.

A CySource é uma empresa israelita. Nós entendemos que existe hoje no mundo, a partir de dados de uma pesquisa da empresa ASQ, uma grande lacuna de profissionais no mundo todo. A CySource foi fundada por dois ex-oficiais das Forças de Israel, e eles me chamaram para compor o time justamente pela minha experiência em Forças Armadas, governo, setor privado, e durante alguns anos no governo brasileiro, eu fui parte do time que elaborou a Política Nacional de Segurança da Informação do governo brasileiro e a Estratégia Nacional de Segurança Cibernética do governo brasileiro.

Foi por isso que convidaram a CySource. Aliás, já tem especialistas que já detetaram falhas na defesa de empresas como o Facebook, WhatsApp e a Amazon.

É, alguns dos nossos especialistas identificaram vulnerabilidades em sistemas dessas grandes empresas e ajudaram essas empresas a recompor a segurança.

A protegerem-se.

Exato.

Exatamente. Chega agora a Portugal, então, com o foco na segurança e na formação de profissionais qualificados. É muito importante isso, porque a CySource é responsável pela proteção cibernética de grandes companhias internacionais, mas é uma plataforma online, onde a empresa aplica muitos cursos e treinos em língua portuguesa. Isso é muito importante, porque é uma hipótese das pessoas se treinarem, se prepararem para as suas empresas, por exemplo, não sofrerem esses ataques. E tem vários cursos, estou a ver este aqui, o Pen Test Professional, que é profissional, aliás, porque isto é em língua portuguesa, não é?

Português, exato.

E portanto, que permite o quê? As pessoas fazendo esse curso, um curso online.

A grande dificuldade, como você pôde ver aí, eu passei por várias formações. Você passar por uma gama grande de formações e chegar até um nível de maturidade, é muito difícil. Eu demorei 20 anos pra chegar aí.

Exatamente.

O que a CySource fez, ela teve uma ideia muito inteligente. A gente possui uma ferramenta de skill assessment, então a gente identifica todas as lacunas de conhecimento de um profissional alinhados ao objetivo de carreira dele. Então, por exemplo, um profissional da área de redes, um network manager. Ele quer se tornar um pen test analyst, como você mesmo mencionou. Então nós temos uma ferramenta de skill assessment, que avalia toda a capacidade dele e identifica ali quais são as lacunas, e traçamos um plano de trabalho específico para aquele indivíduo.

Mas, portanto, há vários cursos para vários tipos de profissionais aí nas empresas.

Sim.

Desde os CEOs até aos que lidam com redes, aos engenheiros informáticos, não é?

Exato. A nossa plataforma é destinada justamente para preencher esse gap de conhecimento nas organizações de forma transversal. Então ela serve tanto pro CEO, CFO, CTOs.

Como, se calhar, os vendedores e como toda a gente que se não tiver cuidado, pode ser alvo de um ataque destes. Roubaram-lhes os dados, phishing, aquela coisa.

Exato. É como a gente falava agora há pouco nos bastidores. A cibersegurança é um esporte coletivo.

É um esporte coletivo, sim.

Exato. Se eu não fizer a minha parte, não adianta toda a resta da equipe.

A equipa toda sofre.

Exato. Toda a equipa vai estar vulnerável pela minha falha.

É engraçado tu falares nisso, porque, por exemplo, quando aconteceram estes grandes ataques em Portugal e concretamente em janeiro, na Empresa, e em fevereiro, na Vodafone, que atingiram milhares e milhares de pessoas, por exemplo, soube-se que partiu este grande roubo, aliás, partiu este ataque do roubo de credenciais, o login e a password, de um funcionário da empresa, bastou um funcionário, o paciente zero, como lhe chamaram.

Exato.

Conseguiram entrar graças aos dados dele, e então todo este, quer na Empresa, quer depois na Vodafone, na Vodafone então ainda foi muito mais grave, porque deixou sem rede, de repente, quase 4 milhões de clientes. Teve um efeito tremendo de cascata, porque a Vodafone serve muitos serviços, o INEM, os bombeiros, o SIPS, portanto, os Multibancos, tudo isso sofreram com este ataque.

Serviços críticos.

Cá está, por terem conseguido aceder à password de um funcionário, pode ser até um recepcionista, e assim conseguiram entrar na empresa.

E basta um elo fraco na cadeia de cibersegurança pra que o bandido entre, faça movimentos laterais, busque por outras vulnerabilidades de sistema.

Eles sabem de informática como ninguém.

Exato. E por isso as empresas precisam estar testando os seus mecanismos de segurança e, principalmente, continuamente verificando e validando o conhecimento dos seus profissionais.

As empresas têm que estar atentas a isso, não é uma coisa que se faça e fica feita.

Exato.

Por isso é que nos pedem tanto nas empresas hoje em dia para refazer a password de X em X meses.

E também uma reciclagem de todo esse conhecimento, porque hoje as vulnerabilidades são umas. Daqui a cinco dias, um sistema que nós corriqueiramente utilizamos aqui pode estar vulnerável e a gente precisa atualizá-lo.

Hackeado, exatamente. Isso é engraçado, e as portas vão se tornando, havendo mais portas. Eu lembro que bastava dar a nossa password que nós sabíamos num certo site, agora já Esse site depois manda para o nosso telemóvel um código que temos que inserir para fazer a transação. Quer dizer, as coisas têm que se reforçar, porque esses ataques são cada vez mais frequentes.

Sim, e essa abordagem que você mencionou é o que a gente chama de duplo fator de autenticação.

Exatamente.

Ela usa um primeiro fator digital e depois um analógico, que seria o físico. Para justamente garantir a integridade que você é essa pessoa mesmo que possui aquela autorização.

Exatamente. E também és autor de um livro de ciência e forense digital nas redes sociais, que é uma edição tua.

Sim, essa foi uma publicação de uma dessas minhas

Na Universidade Católica de Brasília?

Exato, foi uma publicação que eu fiz.

Já foi há uns anos.

Foi uma análise forense, justamente de como que as pessoas se faziam passar por outras nas redes sociais e como a gente poderia identificar alguns critérios para atribuir identificadores únicos.

Hélio, e vamos mais longe, isso aconteceu com um dos meus irmãos, que de repente, alguém conseguiu, de certo modo, roubar no WhatsApp, a identidade dele do WhatsApp, e todos os amigos dele do WhatsApp receberam mensagens dizendo que precisava de ajuda, mandem dinheiro. Não era ele, depois a mandar mensagens para toda gente a dizer: "Isto não sou eu", mas era com a fotografia dele, tudo, a identificação dele, e não era, foi um perfil falso criado.

E é, normalmente esses ataques são muito bem planejados. Ou seja, eles identificam a pessoa de interesse, pegam uma foto dela, sabem qual é o número.

Exato.

E aí usam os mecanismos de recuperação de senha para o quê? Roubar a identidade.

Completamente.

E realizar ali durante um período curto, até o dono, de fato, da conta conseguir recuperar a sua conta.

Exatamente.

Mas aí alguns crimes já foram feitos, algumas pessoas já transferiram alguns Mways

Trabalharam a transferência, o tempo de espera.

Por aí vai.

Exatamente.

O mal já foi feito.

Estava a dizer que este ano, o início deste ano, foi marcado por grandes ataques informáticos cá em Portugal. Falei da TAP, que foi agora no verão, o Estado Maior-General das Forças Armadas, a Impresa, a Vodafone, o Serviço Nacional de Saúde, o Millenium, câmaras, hotéis, clínicas, hospitais, muitos outros. Este mundo é cada vez mais informatizado, interligado, globalizado, e os ciber crimes cresceram muito em Portugal e no mundo, estão cada vez mais sofisticados. Vamos perceber um bocadinho de onde vem esta ameaça, o que é que podemos fazer, se somos ou não somos alvos só porque temos um telemóvel no bolso. Estávamos a falar, Hélio, destes ataques grandes que têm acontecido em Portugal nos últimos tempos, de acordo com o Relatório Anual de Segurança Interno, o RASI 2020. Houve um aumento de 93% em relação a 2019 e depois mais não sei quantos por cento para este ano. Portanto, estes ataques têm vindo consistentemente a aumentar. Dizem que o phishing, aquela tecnologia usada para enganar utilizadores recorrendo a fraudes eletrónicas, as burlas digitais, tudo isto tem aumentado. Houve um crescimento muito grande, a tendência de crescimento tem sido forte. Agora Portugal está um bocadinho mais acordado para isso, nem sequer estamos muito abaixo na tabela. Este plano de resiliência e de recuperação e resiliência tem 130 milhões de euros inscritos para o reforço do quadro geral de cibersegurança, é muito bom. No ano passado houve aquele hospital de Ponta Delgada com um grande ataque, depois os laboratórios de análises de Germano de Sousa, coisa que também foi grave, mas todos estes serviços críticos têm regime legal obrigatório. A tendência tem sido alargar a privados. Falei já da Impresa. É muito curioso porque, por exemplo, mesmo na Vodafone, havia a ideia que tinha sido um caso típico de ransomware, quando se procura resgate pelos dados que se sacaram, mas depois a motivação, ao final, descobriu-se ter sido a pura destruição dessa informação, o vandalismo, uma sabotagem. Falei da TAP também, uma coisa muito recente, fuga de informação de dados. Até o Presidente da República veio falar nisso, o Primeiro-Ministro António Costa e outros elementos do governo também viram dados seus ser hackeados por este grupo. Ragnar Locker, um grupo de hackers que diz que tem dados de mais de 400 mil clientes da TAP. Das mais graves, agora em setembro, foi o EMFA, o Estado Maior-General das Forças Armadas, centenas de documentos enviados pela NATO a Portugal classificados como secretos, ficaram também à disposição na dark web. E o Millenium BCP, muito. Portanto, lá fora também acontece. No teu Twitter, ainda antes de ontem, falava de um caso que aconteceu na Deloitte da Índia.

Exato. Um dos colaboradores da Deloitte era um dos grandes participantes de um grupo hacker que perpetrou uma série de ataques cibernéticos pelo mundo.

Foi uma coisa relatada por Sunday Times.

É justamente, óbvio, para a Deloitte isso é um passivo muito grande, mas é uma empresa de renome, responsável justamente por promover segurança e uma segurança de país.

Exatamente, a quem as pessoas entregam, as empresas entregam os seus dados

Exato, confiam.

Exatamente, para eles monitorizarem e consultar.

A imagem da empresa se manteve. A Deloitte é consagrada, ela tem em todo o mundo um processo de admissão muito forte, muito rigoroso.

Sim, mas vai ter que reforçar muito agora as suas

Sem dúvida nenhuma, nenhuma empresa está livre de, sem querer, contratar um indivíduo com algumas características pessoais não muito interessantes.

Exatamente. Um gangue de hackers que tinha como alvo então empresas britânicas, funcionários do governo e jornalistas, segundo este relatório do Sunday Times. Foi agora mesmo, foi há dois dias. Estamos a falar então destes ciberataques, estes eventos ciber. Estamos a falar, como aconteceu o WikiLeaks com o Julian Assange, o Rui Pinto, o famoso do nosso Football Leaks. Essas coisas podem acontecer. Falamos há uma vez, aqui num programa anterior, da tipologia dos atacantes, estes script kiddies ou os hacktivistas, o ciber crime organizado e os agentes estatais.

Aí tem muito a ver com a motivação.

Se é solitário ou se é

As motivações podem ser as mais diversas. Pode ser desde um jovem querendo se provar, querendo ganhar notoriedade em relação aos grupos. Mas também existem algumas outras motivações, como o próprio ransomware. A motivação pura ali é dinheiro.

Dinheiro, exatamente.

E a gente vem vendo algumas motivações derivadas, inclusive, dos conflitos geopolíticos. Os conflitos geopolíticos são originários pelos interesses das nações. Por exemplo, a guerra

Na Rússia

Contra a Ucrânia, a gente teve um desdobramento muito interessante dessa guerra. O Japão se posicionou em favor da Ucrânia e ato contínuo, a Toyota foi atacada por hackers russos.

Impressionante.

E que pararam a produção da Toyota, afetando a produção de 13 mil veículos. Então é uma coisa absurda. Qualquer um hoje, desde que esteja presente na internet, pode ser vítima de qualquer tipo de ataque.

E também houve este coletivo hacktivista dos Anonymous, que também, pelo contrário, foram atacar, até o site do Kremlin esteve embaixo por causa disso, foi bastante bombardeado com ataques nas redes de televisão russas, por causa exatamente desta questão da guerra. Eu tenho ideia também, Hélio, que Um hacker pode fazer um ataque à democracia. Essas coisas podem acontecer, hoje em dia as guerras, e também a inteligência artificial, o uso daquelas deepfakes, os presidentes a discursarem não são eles que estão a dizer aquilo.

Exato. Tem alguns exemplos interessantíssimos que você vê o presidente Obama, dos Estados Unidos, proferindo algumas palavras polêmicas que ele jamais havia falado.

Mas é impressionante, a inteligência artificial ao trabalhar, as pessoas acreditam naquilo, veem aquilo.

E não é só imagens, você tem também por áudio, a capacidade de modular o áudio, você se perfazer como um outro indivíduo pra burlar sistemas de reconhecimento de voz e por aí vai. Ou seja, sistemas complexos como uma imagem, como a nossa própria voz, que possui um fingerprint, uma identidade única.

Claro, tem uma marca que é só nossa, exatamente.

Se esses sistemas são passíveis de serem hackeados, de alguma forma, imagina nossas senhas, nossos sistemas de controle de acesso físico, que são todos mecanismos digitais que no final das contas podem ser burlados.

É impressionante, assusta só pensar o que se pode fazer. Depois há esses mitos associados à cibersegurança. Por exemplo, nós não temos consciência do grau de dependência que nós temos. Nós achamos que não temos nada de interesse para os gigantes, mas no fundo, se eles podem ter acesso, todos dependemos da tecnologia. Mesmo as pessoas que não têm Facebook, ou o que seja, de qualquer maneira usam o telemóvel, usam o WhatsApp, usam não sei o quê, e pode ser alvo do ataque.

Todas as pessoas são pessoas de interesse hoje, não importa. Porque, por exemplo, se eu quero afetar uma empresa grande de telecomunicações, eu nem sempre vou direto na empresa. Eu vou monitorar quem são, não só o cliente, mas eu digo internamente. Por exemplo, vou atrás de uma informação pessoal de um diretor, de um dirigente. Normalmente dirigentes são pessoas de mais experiência profissional e às vezes até com alguma dificuldade tecnológica no uso de um computador, no uso de um notebook ou de um mecanismo de segurança.

Não é o departamento de informática.

Exato. Não são especialistas, e nem tem que ser especialista. Então o que ele descobre? Descobre onde o filho dele estuda. O filho já está mais afeto à tecnologia, mas ele tem o quê? Uma literacia na tecnologia, mas não na proteção dos seus dados. E às vezes, isso acaba virando um vetor de ataque. O filho de uma pessoa de interesse vira um vetor de ataque pra atacar seu pai. A gente teve um caso muito famigerado, que é o do Stuxnet. O Stuxnet foi um malware que afetou as centrífugas do programa iraniano.

O malware é o quê? É um vírus?

Malware é um código malicioso desenvolvido com a finalidade criminosa. E ele afetou o programa nuclear iraniano. Então basicamente o que esse malware fazia? Ele desconfigurava as centrífugas, fazendo com que ela não respondesse ao esperado, que era a produção de substâncias nucleares.

Do combustível nuclear, urânio ou o que fosse.

Exato. Aí basicamente o que eles identificaram. Não se sabe exatamente ainda quem foram os autores desse malware, mas eles identificaram exatamente quais eram as infraestruturas utilizadas, eram centrífugas, se eu não me engano falaram à época que eram da Siemens, e identificaram exatamente quais eram as linguagens de máquina utilizadas. Só que esses computadores eram todos offline. E aí era o grande desafio: como que se infecta um sistema offline? Por meio de uma pessoa que trabalha no programa. Então você infecta o computador pessoal por meio de um phishing, por meio de um pen drive.

Ah, uma pen, que é posta no computador.

Exato, você pode se fingir de um fornecedor. "Olha, toma o pen drive da sua empresa."

"Está aqui umas fotografias das minhas férias, vê lá."

Exato. Ele põe no computador pessoal, depois vem com o outro pen drive, passa pra esse outro pen drive, ele usa esse pen drive, leva pro trabalho e infecta o computador do trabalho. Então assim pode ser feito por qualquer organização.

Até o programa, neste caso, nuclear, uma coisa impressionante.

Exato. Por isso é importante trabalhar sempre na conscientização, no cyber awareness.

Portanto, essa coisa importante, é outro mito: "Ah, só acontece aos outros, é uma coisa distante". Não, pode acontecer com qualquer um e cada vez mais está acontecendo com cada um de nós. E depois há outro mito, ainda o último, que diz: cibersegurança não é só um tema de tecnologia, é um tema de cidadania, que nós devemos, isso é muito importante.

É como eu falei, a literacia cibernética é algo muito importante. Nós sofremos muito com o Covid, e em relação a isso tivemos que evoluir tecnologicamente e nos digitalizar de uma forma muito rápida.

Reuniões de Zoom, não sei o quê, aulas por Zoom.

De um dia pro outro tivemos que virar a chave e trabalharmos remotamente.

Evoluir pra isso.

Acessar remotamente nossas empresas.

Exatamente.

Então o que aconteceu? De um dia pro outro ficamos 100% digitais e com isso a nossa maturidade não acompanhou essa digitalização Então muitos flancos ficaram abertos para ataques. Acho que o grande trabalho hoje das organizações é elevar o nível de maturidade em relação à consciência.

Para ver se acompanha.

Exato.

Porque, no fundo, a pandemia tornou-nos muito mais online, ficamos todos ligados em rede, agora não há um voltar atrás, certo? Não há. Mas também é potenciador de mais ataques. Quer dizer, se a gente não acompanha essa maturidade, alguma coisa fica defasada e muitas portas de entrada, o pessoal pode-

Sem dúvida. Com a amplificação do uso de sistemas, quanto mais sistemas-

Estão ligados online no mundo inteiro, claro

...mais sistemas que podem ser vulneráveis.

É o governo, não sei o quê. Claro.

Mais dados pessoais nossos estão em sistemas que podem, se forem mal feitos-

Hackeados

...vazarem nossos dados.

É muito importante, porque há setores destes, há muitos ataques, ransomware, portanto ransom tem a ver com resgate, intrusão numa rede, cifrar dados, pedidos de resgate em bitcoins para descodificar, por exemplo. É muito importante ter atenção a estes setores, porque isto é uma coisa que pode paralisar um país. Se a gente atinge a água, a energia, serviços bancários, transportes aéreos, como aconteceu agora, marítimos, terrestres, o mercado de valores.

Exato, as chamadas infraestruturas críticas.

As gasolineiras, tudo isto pode levar a uma série de disrupção do sistema.

Sem dúvida. Nós chamamos essa classe de serviços públicos, que são as infraestruturas críticas. É qualquer tipo de serviço que é prestado à sociedade e que pode gerar uma disrupção muito grande na estabilidade de uma nação. Então cada país define esse hall de serviços, como aquilo que é importante para si. Mas são serviços críticos que estão cada vez mais sendo afetados por ameaças, por ataques.

No Brasil, está muito centrado ainda no Estado. O Estado controla ainda parte da água, não sei o quê. São coisas do Estado.

Sim. Nos países como o Brasil, que tem uma presença forte do Estado, na vida do cidadão, nós temos vários serviços que são prestados exclusivamente pelo Estado. No caso das telecomunicações lá é privado.

Sim.

Então você tem uma agência que regula a prestação desse serviço e ela impõe algumas regras aos prestadores de serviço, no que tange a proteção do dado pessoal e a segurança cibernética. Mas quando é o Estado, a gente sabe, o Estado fica responsável pela prestação do serviço e pela proteção desse serviço. E o que torna o trabalho mais difícil.

É que é mais complicado, porque muitos privados tomam conta da eletricidade, da água, não sei o quê, é um bocadinho diferente.

É, o trabalho do Estado recai sobre a supervisão desses serviços.

Hélio, quais tu dirias que são as principais tendências destes ataques? Isto com certeza tem uma evolução, desde que começaram, digamos, anos 90, começaram esses ataques cibernéticos. Qual é a evolução? Nos próximos anos, o que é que nós prevemos? Esses ataques vão tender mais para quê? Para estarmos atentos.

Sem dúvida nenhuma, as infraestruturas críticas, isso que falamos agora estão entre as tendências, por quê? A gente falou sobre roubo de informações de hospitais, que tem muitos dados pessoais.

Exatamente.

Imagina a ficha médica sendo vazada.

Como foi o Germano, exato.

Isso é muito crítico, isso é valor. No final das contas, informação é valor. Então a infraestruturas críticas, sem dúvida nenhuma, está entre os halls que certamente-

São mais suscetíveis de sofrer ataques

...são mais suscetíveis, sem dúvida nenhuma. Água, transporte, alimentação. A gente certamente vai ver cada vez mais ataques em todos os países, não só Portugal, todos os países. Outros também são relacionados às novas infraestruturas 5G. Muitos países estão implementando cada vez mais serviços, como 5G, identificação de tracking, de transportes, etc.

Exatamente.

Shipments. Então cada vez mais nós vemos o 5G presente em nossas vidas. Geladeiras inteligentes.

Vem a acelerar muitas coisas, a 5G, exatamente.

Carros autônomos.

A domótica, as casas inteligentes.

Exato. Imagina o ataque a um carro autônomo. Imagina o ataque às casas inteligentes. Você simplesmente prender alguém dentro de casa.

Exatamente. Fecha tudo e a porta não abre mais.

Exato. E aí leva isso para uma escala industrial. Empresas que controlam a produção de armas, controlam a produção de alimentos, caminhões que são conectados à internet, que podem ser hackeados.

À distribuidoras.

Exato. Então você pode certamente afetar a logística de um país e pará-lo.

Exatamente.

Então essas são as tendências. E por último, o IoT.

IoT é o quê?

Internet of Things, a internet das coisas.

Sim.

São justamente também esses dispositivos conectados às redes 5G, que estão cada dia mais presentes ao nosso dia a dia.

Controlam tudo hoje em dia.

Sim, uma cafeteira que está conectada a uma rede 5G, que pode estar me monitorando, uma babá eletrônica que monitora o seu bebê.

Uma babysitter.

Exato. Pode ser utilizada como um vetor de ataque. Tem umas redes chamadas botnets, que são redes que usam computadores zumbis e vulnerabilidades de dispositivos de IoT. Então basicamente o que ela pode se valer é estabelecer uma rede de comando e controle Hackear a babá eletrônica que você tem em casa.

Estamos a falar daqueles aparelhos que se põe nos quartos das crianças para ver se elas estão a chorar, por exemplo.

Sim, uma câmera IP como essa daqui.

Tu podes dizer que isso pode ser hackeado e, portanto, uma empresa, um ladrão de dados, pode entrar por lá e filmar-te, ouvir-te e entrar nos teus dados?

Não só isso. Roubar informações que estão aqui em volta, utilizar a imagem.

Filmá-las, gravá-las.

Filmar, utilizar essa filmagem, utilizar esse equipamento para atacar um terceiro. Por exemplo, supondo que eu sou um concorrente de uma empresa de telecomunicações e eu quero derrubar o serviço da minha concorrente. Eu posso utilizar uma botnet como essa, vários computadores zumbis ou câmeras ou babás eletrônicas, para direcionarem o tráfego de internet dela para aquele endereço daquela minha concorrente e derrubar o serviço dela.

Isto é o fim.

É o fim. Sem dúvida.

São muitos riscos andar com o telemóvel. Há esta ideia que nós também temos, Hélio, que o telemóvel e um computador, um PC normal, conheço amigos que já, embaixadores, que já têm umas coisinhas para tapar as câmeras, porque eles dizem que mesmo quando o computador está desligado, pode estar a filmar e a gravar as tuas conversas.

Exato.

Dizem também que o telemóvel pode fazer isso. Mesmo com o telemóvel desligado, pode estar a gravar as tuas conversas, a ouvir e a filmar-te. Isso é possível? Isso acontece?

O telemóvel, normalmente, já faz isso por padrão.

Mas quando está desligado? Se o aparelho está desligado, está desligado.

Sim, mas quando ele está desligado, ele tem uma bateria embutida que está rastreando todos os seus dados de GPS, ou seja, onde você foi.

Tudo o que você ofertar.

Exato. Então o seu telemóvel atua como um rastreador hoje, sem dúvida nenhuma, desligado. Enquanto ele tiver bateria, ele está registrando seus dados de GPS, seus dados de geoposicionamento, para posteriormente ofertar isso para o aplicativo que você permitiu que ele compartilhasse esses dados.

Eu lembro quando houve esta polêmica da Face App, por exemplo, foi muito engraçado, a fotografia como é que tu és daqui a 10 anos, a 20 anos, e é uma app russa. E houve uma polêmica aqui, falou-se disso, porque dizia que aquilo também ia ler todos os dados do teu telemóvel, portanto, onde é que vão esses dados, o que a Rússia ia fazer com esses dados. E eu dizer: não, isso é uma novidade agora?

Essas tendências são super tendências, por quê?

Mas o Google faz isso, toda a vida fez isso, e o WhatsApp faz isso, a Meta faz isso.

Mas olha que interessante. Temos vários tipos de dados. Temos nossos dados biográficos, que é nome, telefone, telemóvel, endereço, por aí vai. Temos nossos dados biométricos. É a nossa fingerprint, nossa foto propriamente dita, por aí vai. Nós protegemos uma série de componentes no nosso dia a dia, a gente não fala o nosso telemóvel para todo mundo, não dá nosso endereço para todo mundo. Mas quando aparece uma tendência da internet, nós fornecemos de graça para uma empresa russa, a nossa identidade, que é a nossa face. Ou seja, é um dado biométrico. Isso inclusive é protegido por lei, pela RGPD aqui em Portugal, a GDPR no âmbito da Europa e a LGPD no Brasil.

Proteção de dados.

É proteção de dados pessoal.

Estou a pensar nas CCTVs na China, por toda a China, milhões de câmeras.

Monitoramento.

Conseguem ver a tua cara, identificar na rua e conseguem ver onde é que tu estás, o que é que estás a fazer, onde é que tu foste, se foste a alguma manifestação, se foste a algum site que não devias ter ido.

Além do que dizem, que há um controle social na China, a gente não tem dados, porque é um país muito fechado, mas existem informações de que há um controle social por esses dados biométricos, mas no final das contas, isso também é dinheiro. Porque se eu consigo rastrear, por exemplo, o João em determinados lugares, em vários lugares onde você frequenta com muita frequência, exato, o que vai acontecer? Eu vou identificar tendências. Tendências significa preferências, preferências significa advertisement.

Publicidade, claro.

Exato.

Isso já faz a net, quando tu fazes pesquisas na net, já começa depois a receber anúncios que eu sabe onde é que tu estás.

E quando você fala próximo do seu telemóvel, ele também está capturando tudo o que você fala. Tem aquela história clássica.

E quando pomos gosto nisto ou gosto naquilo.

Exato.

Isso claro que depois vão chegar anúncios de coisas que eu gosto para conseguirem cobrar-te dinheiro.

Busque falar sobre um assunto que você não usa corriqueiramente, sei lá, qualquer outra coisa. Esgrima. Comece a falar de esgrima perto do seu telemóvel durante toda a tarde.

Mais tarde ou mais cedo, aparece anúncios.

Um anúncio. Florete, sabre. A melhor sabre de esgrima. Exato.

É impressionante. Portanto, andar com o telemóvel e como nós temos, que é um computador potentíssimo no bolso hoje em dia, torna-nos um alvo em movimento?

Não tenha dúvida, a gente precisa utilizar mecanismos de proteção. Hoje os telemóveis, e com a pandemia isso ainda ficou um pouco mais complicado, porque todos nós estávamos usando face masks o tempo todo. E nós utilizamos vários mecanismos de autenticação. Então pessoas que utilizam aplicativos como WhatsApp, Telegram para trabalho, informações sensíveis, precisam implementar várias camadas de segurança. De preferência, que utilizam dados biométricos, que não podem ser facilmente adivinhados.

Mas quem é que me diz que eu tenho um Huawei, as empresas chinesas são por lei obrigadas a fornecer dados à China.

É o que dizem.

É o que dizem. Alegadamente. Pronto.

Exato.

Quem é que me diz que por mais cuidado que eu tenha, estou a pôr os meus dados e ligo com o meu dedo e faço não sei o quê. Quem é que diz que não passa tudo para a China e que eu fico a saber tudo? Quem é que defende os nossos dados nesse aspeto?

As legislações e as estratégias de segurança cibernética mundo afora vêm tentar criar algumas amarras legais para impedir isso. A própria Apple sofreu uma ação na justiça lá na França, onde o software do iPhone lá tinha um comportamento, ele foi identificado que os mais antigos tinham um comportamento diferente, ou seja, fazia com que a duração da bateria fosse menor. A França identificou isso, meteu um lawsuit na Apple.

Um processo judicial.

E lá na França, a bateria tem um uso normal, tem a longevidade normal.

Voltou a ser, exatamente.

Exato. Então esse tipo de informações, geoposicionamento, tudo isso pode ser utilizado para monetização, para algum tipo de atividade legítima e ilegítima.

Claro. Nós aqui vamos terminar agora, que o nosso tempo voou, Hélio, e ainda bem. Mas é muito importante falar destes assuntos. Eu acho que só com esta nota que eu queria deixar da formação que deve começar Pelas crianças, nas escolas e em casa, é muito importante isso.

Importante.

A CYSOURCE, por exemplo, também tem cursos para cidadãos comuns em casa, por exemplo, as pessoas podem ir informar-se?

Eu sou responsável por vários países. Brasil, América Central, Portugal, e a gente vai expandir a partir de Portugal para outros países da Europa, mas a gente trabalha em vários segmentos. Temos programas de educação em nível acadêmico, em diversos países, onde a gente entra para completar as lacunas que os cursos acadêmicos não trazem, que são experiências práticas.

Concretas.

As concretas. A prática aliada à teoria que esses cursos fornecem. Nós também estamos em parceria com algumas escolas básicas, na introdução de conhecimentos como programação da linguagem Python, que é a mais utilizada para cibersegurança, a introdução de técnicas de cibersegurança e técnicas hacking techniques, para justamente preencher a lacuna também do mercado. Nossos cursos são onlines, é uma plataforma SaaS, software como serviço, e nós temos todas as trilhas de formação de profissionais.

Que é bom para as pessoas saberem e poderem ir fazer esses cursos, se informarem.

Exato. E temos cursos destinados aos líderes. Ou seja, o C-level, o CEO, o CIO, porque eles precisam entender como a tecnologia se alia para propagar o negócio deles. Então eles precisam entender o quanto que a tecnologia pode impactar negativamente os seus negócios. Assim como o recepcionista precisa conhecer de proteção de dados.

Claro, todas as empresas em todos os níveis, é uma coisa transversal, como tu dizias.

Transversal.

Muito importante. Aqui este alerta que é muito importante. Nós, infelizmente, não temos mais tempo. Hélio Santana, queria te agradecer muito a tua disponibilidade em vires aqui ao Observador.

Eu que agradeço.

Oxalá consigas cada vez mais sucessos nesta divulgação das boas práticas entre cidadãos, escolas, empresas, instituições, nesta área tão importante e tão urgente que é cibersegurança. Bem-hajas, Hélio. Até breve.

Obrigado. Posso só falar o nosso Instagram?

Cinco segundos.

Certo. É @cysource.ltd, limited, e temos o meu Instagram pessoal, que é @heliosantanabr.

Pronto, está feito. Um abraço, até breve.

Um abraço, até logo.