Google busca um método de proteger as eleições de fraudes tecnológicas

Enquanto os Estados Unidos continuam se perguntando como os russos conseguiram realizar um ataque cibernético durante as eleições norte-americanas, o Google quer evitar que isso aconteça fora das suas fronteiras. A Jigsaw – filial da empresa-mãe Alphabet que desenvolve ferramentas de segurança para grupos civis – é literalmente um esquadrão de quase 100 hackers contratados pelo Google para criar ferramentas que impeçam fraudes tecnológicas em processos eleitorais. Faz esse trabalho sem ganhar, como parte da sua missão de manter a informação a salvo.

O Google nasceu com a tarefa de colocar ordem na informação da Internet. Uma premissa clara, mas com diferentes leituras. A empresa é o paladino da neutralidade na Rede, ou seja, para que um conteúdo não sobressaia sobre outro, mas também decidiu agir contra quem deseja usá-la para alterar a política. As recentes eleições holandesas foram sua primeira experiência, um primeiro contato com o mundo real: a Jigsaw, junto com o Google, defendeu um site que fornecia informação aos eleitores e que havia sido atacado durante as eleições, informa a Reuters.

O Google não quer exagerar, mas fornece alguns dados. O Kieskompas, um comparador de propostas eleitorais, e o Nos, um site jornalístico local, foram vítimas de um ataque de DDoS (negação de serviço, na sigla em inglês). Agora, eles optaram por acrescentar a camada de segurança do Google. A empresa de Mountain View não cobra por isso. Entende que “é importante dar proteção grátis a essas organizações, porque são elas que dão informações aos eleitores para que tomem decisões com conhecimento”, diz uma fonte interna.

França e Alemanha serão os próximos países importantes a terem eleições, em abril e setembro, respectivamente. O gigante das buscas observa que não se aterá à Europa, e que no futuro próximo pretende continuar com essa operação onde quer que haja um processo democrático.

Segundo a versão oficial, compartilhada por um porta-voz da empresa, o Google oferece um pacote de ferramentas contra os ataques mais habituais, mas não se limita a isso, pois proporciona também ações específicas para as campanhas eleitorais. “Estamos imersos no programa Protect Your Election [proteja sua eleição], contatando também com meios de comunicação, centros de monitoramento eleitoral e os próprios candidatos para assegurar que eles tenham as ferramentas necessárias para estarem seguros no aspecto digital.”

Mas quais são as ameaças? Em geral, há dois tipos recorrentes, que são bem conhecidos e, se tiverem sucesso, causam grande impacto: os DDoS e o phishing (usurpação de identidade). O primeiro deles é uma negação de serviço. O preço para realizar uma dessas ações pode ser bastante baixo – a ativação sai por menos de 20 reais –, e suas consequências podem se estender durante horas. Consiste na acumulação reiterada de solicitações a um servidor, que se torna incapaz de administrá-las e acaba parando de oferecer o serviço. A página, aparentemente, caiu. Simplificando muito, seria como uma padaria onde entram muitos clientes, começam a pedir café da manhã, se pisoteiam entre si, se amontoam ao redor do balcão e não vão embora, e continuam entrando cada vez mais clientes, até que a padaria fica bloqueada. É impossível servir um só café. O Project Shield (projeto escudo) foi pensado para evitar essa situação.

O phishing, popularizado pelas incidências nos sites de bancos, é uma invasão a fim de usurpar dados ou entrar numa página com a senha alheia. Serve geralmente para acessar contas privadas. Uma forma muito difundida de fraude consiste na criação de um site ou no envio de um email que imita o de um serviço do qual a vítima é cliente. Os golpistas simulam o site do banco, o cliente coloca seu nome de usuário e senha, mas não consegue acessar o serviço real, apenas uma cópia criada pelos delinquentes cibernéticos especificamente para esse fim. Uma vez que os golpistas estão de posse dessa valiosa informação, entram na conta da vítima e a liquidam, usando-a para compras online ou transferência de recursos. Isto também pode acontecer com um endereço de email. Em política, é lógico pensar que, mais do que roubar dinheiro ou usurpar uma identidade, o que se quer é informação pessoal dos protagonistas da disputa. O antídoto desenvolvido contra essa técnica é o Password Alert, uma extensão que funciona no Chrome, o navegador do Google, e alerta ao usuário se o site visitado tentar roubar seus dados.

David Barroso (Palencia, Espanha, 1977), fundador do CounterCraft, uma empresa de segurança cibernética, aprecia a facilidade de uso da oferta do Google e a boa intenção, mas aponta a uma vulnerabilidade difícil de frear: a incapacidade de detectar, por enquanto, o elo mais frágil, os humanos. “A Jigsaw quer ajudar os partidos políticos e os organizadores de eleições, mas no final muitos dos ataques realizados utilizam engenharia social e procuram debilidades nos seres humanos, não na tecnologia. Os grupos, os partidos políticos e os organizadores de eleições devem contar com uma estratégia e medidas de segurança adequadas para tentar ao menos minimizar as repercussões de um incidente.”

Pablo San Emeterio López (Madri, 1980), embaixador de Segurança da Eleven Paths, a unidade de segurança cibernética da Telefónica, acredita que a desinformação é um fator importante em processos eleitorais, mas que o Google não pôs nenhuma ferramenta para freá-la: “Uma campanha de desinformação costuma ser detectada quando a notícia começa a se tornar viral, existem serviços como a Vigilância Digital da Telefónica que podem detectá-la antes que isto ocorra”. Também considera que, se as ferramentas forem complexas, se não se adaptarem aos diferentes níveis de uso das potenciais vítimas, é como se não existissem.

Tanto o FBI como a CIA e a NSA deram por válidas as informações que sustentam que as eleições dos EUA foram alvo de técnicas invasivas como as descritas acima, começando pelo vazamento de emails do Comitê Democrata, da candidata Hillary Clinton e do seu diretor de campanha, John Podesta. Na semana passada, James Comey, diretor do FBI, advertiu sobre o que está por vir: acredita que os hackers russos estarão presentes nas próximas eleições e começarão a atacar em 2018. No caso de Podesta, o problema poderia ter sido evitado com o Password Alert. O chefe de campanha mordeu a isca e entregou sua senha a uma página maliciosa, achando que era o Google.

Chama a atenção que a Jigsaw ofereça seus serviços a jornalistas quando a tarefa principal é proteger eleições. O Google fornece dados para defender essa decisão: “Muito frequentemente, os ataques de DDoS têm como objetivo o trabalho de jornalistas investigativos ou de grupos que garantem a transparência nas eleições, como aconteceu no México, Holanda, Equador, Malásia, Myanmar e Montenegro, entre outros. Nos últimos anos, temos visto um aumento de ataque contra veículos de comunicação e jornalistas”.