Quatro histórias de segurança não relacionadas vieram à tona nas últimas semanas. Um pesquisador descobriu que um alarme automotivo instalado posteriormente chamado KARR — instalado em mais de 2 milhões de veículos, segundo estimativas — pode ser desbloqueado, desarmado ou desativado silenciosamente por qualquer pessoa dentro do alcance do Bluetooth. Um pesquisador de ameaças da Bitsight descobriu que um popular dispositivo barato de streaming, o H96, vem há anos alugando discretamente as conexões de internet de seus proprietários e clicando em anúncios fraudulentos enquanto se passa por um celular. Um hacker se declarou culpado por invasões relacionadas aos dados de mais de 100 milhões de pessoas; ele obteve acesso não por meio de alguma exploração engenhosa, mas usando senhas de clientes que estavam armazenadas desde uma infecção por infostealer ocorrida anos antes, em contas nas quais a autenticação multifator nunca havia sido ativada. E pesquisadores demonstraram que malwares podem, nas condições certas, extrair chaves de acesso sincronizadas pelo Google Password Manager — justamente o sistema que muitos de nós adotamos especificamente para deixar para trás os riscos das senhas.
Lidas individualmente, essas são quatro categorias diferentes de problema: uma falha de hardware, um esquema de fraude na cadeia de suprimentos, uma violação corporativa e um problema de implementação de criptografia. Mas elas compartilham uma causa fundamental que não tem nada a ver com a tecnologia envolvida. Em todos os casos, o elemento vulnerável foi instalado, ativado ou criado uma vez — e depois ninguém voltou a examiná-lo.
O padrão por trás das manchetes
A dívida de segurança se acumula exatamente nos lugares aos quais você deixa de prestar atenção. Um alarme automotivo é instalado durante um pacote adicional da concessionária e nunca mais passa pela sua cabeça, até ser o motivo pelo qual seu carro foi parar nas mãos de outra pessoa. Um dispositivo de streaming é conectado à TV, funciona bem durante anos e nunca dá nenhum sinal de alerta porque continua reproduzindo o que você pediu — o tráfego de fraude publicitária e o compartilhamento de banda acontecem invisivelmente em paralelo. Uma credencial de login é criada, funciona quando solicitada e depois fica em um banco de dados durante anos, muito depois de o dispositivo que a vazou ter sido esquecido, porque trocar uma senha na qual você nem pensa não é uma tarefa que ninguém coloca no calendário. Uma chave de acesso é configurada especificamente para ser "mais segura que uma senha", e essa reputação se torna um motivo para deixar de pensar no que protege o dispositivo onde ela está armazenada.
Nada disso exigiu que um invasor sofisticado encontrasse alguma falha inédita que ninguém tivesse previsto. O alarme automotivo e o roubo das chaves de acesso envolveram, sim, pesquisa técnica real. Mas o que de fato permitiu que o dano acontecesse em escala foi a lacuna entre "configurado uma vez" e "nunca revisitado".
Uma auditoria de 20 minutos do que você já possui
Você não precisa comprar nada nem se tornar um tipo diferente de pessoa para fechar a maior parte dessa lacuna. Você precisa passar uma vez pelas categorias acima, tratando isso como uma tarefa recorrente, e não como uma configuração única.
1. Dispositivos instalados posteriormente e acessórios adicionais
Percorra tudo o que foi instalado por terceiros em vez de vir integrado de fábrica — alarmes automotivos, câmeras veiculares, fechaduras inteligentes, rastreadores instalados posteriormente. Verifique no aplicativo ou site do fabricante se há um mecanismo de atualização de firmware e realmente execute a atualização. No caso específico do alarme KARR, os pesquisadores observaram que uma indicação visual fácil é um adesivo com a inscrição "KARR" na janela do lado do motorista; se você tiver um, consulte o instalador ou o fabricante sobre uma correção antes de presumir que está tudo bem. O hábito mais amplo que vale a pena desenvolver: qualquer coisa com um rádio e um aplicativo do fabricante é um dispositivo que precisa de manutenção ocasional, assim como seu telefone ou laptop.
2. O que quer que esteja conectado à sua TV
Vale a pena examinar atentamente os aparelhos de streaming genéricos vendidos em marketplaces com nomes como H96, frequentemente anunciados por um pagamento único por conteúdo "ilimitado". Se você possui um, entenda que o risco não é apenas o conteúdo pirateado — é que o próprio dispositivo pode estar se comportando como um segundo computador na sua rede, com sua própria agenda. Se você não consegue verificar o que um dispositivo está fazendo na sua rede e ele veio de uma marca desconhecida que promete algo bom demais pelo preço, isso já é motivo suficiente para isolá-lo em uma rede de convidados ou substituí-lo por um dispositivo de streaming convencional de uma empresa que tenha uma reputação a proteger.
3. Senhas antigas, especialmente as reutilizadas ou inativas
A violação relacionada à declaração de culpa do hacker ligado ao Snowflake não foi causada por uma falha na plataforma. Foi causada por credenciais coletadas anos antes por um malware no computador de alguém, credenciais que ninguém trocou, em contas nas quais a autenticação multifator havia sido desativada. Esse é um modo de falha completamente evitável, e é comum: qualquer conta que você configurou uma vez e acessa raramente é exatamente o tipo de conta que pode estar usando agora uma senha vazada de anos atrás. Se o seu gerenciador de senhas oferecer uma verificação de vazamentos ou reutilização, execute-a. Se uma conta permitir MFA e ele estiver desativado, ative-o — esse único controle teria impedido a invasão que expôs os registros de mais de 100 milhões de pessoas.
4. A conta que protege suas chaves de acesso
As chaves de acesso são uma melhoria real em relação às senhas para o problema específico de phishing e reutilização. Mas a pesquisa recente sobre o roubo de chaves de acesso sincronizadas pelo Google Password Manager é um lembrete útil de que uma chave de acesso não é mágica — ela herda a segurança da conta e do dispositivo pelos quais é sincronizada. Isso significa que a conta que armazena seu gerenciador de senhas ou a sincronização das chaves de acesso merece a proteção mais forte que você tem: um código de acesso forte e exclusivo no próprio dispositivo, MFA na conta que faz a sincronização e atenção ao que você instala nesse dispositivo, já que a pesquisa depende de um malware que já esteja em execução na máquina, e não de uma falha que você possa "corrigir" nas próprias chaves de acesso.
Por que vale a pena fazer isso agora, e não depois
Nenhuma dessas quatro histórias descreve uma ameaça com a qual você precise entrar em pânico hoje. Mas as quatro descrevem ameaças que cresceram durante meses ou anos precisamente porque ninguém voltou a verificá-las. A solução não é uma ferramenta nova nem uma assinatura — é escolher um momento recorrente, talvez junto de um hábito que você já tenha, como conferir o extrato bancário, para fazer uma pergunta entediante sobre as coisas que você já possui e nas quais já confia: quando foi a última vez que verifiquei isso, e alguém ainda tem algum motivo para ficar de olho nisso além de mim?
