Embora as empresas de tecnologia geralmente mantenham esse tipo de informação em sigilo, o Google divulgou suas descobertas, aparentemente interrompendo toda a operação. Por que eles expuseram os esforços de contraterrorismo de um aliado dos EUA? E eles estavam certos em fazer isso?

O que sabemos até agora?

O Project Zero do Google é uma equipe de pesquisadores de segurança que estuda vulnerabilidades de dia zero (falhas de segurança que ainda não foram corrigidas) em softwares populares. Eles analisam aplicativos móveis, navegadores da web, sistemas operacionais e bibliotecas de código aberto. Quando a equipe descobre uma vulnerabilidade, eles a relatam aos fornecedores de software e informam o público.

Pesquisadores do Project Zero, junto com o Threat Analysis Group (que luta contra hackers relacionados a governos), anunciaram que, ao longo de 2020, hackers altamente sofisticados exploraram 11 vulnerabilidades de dia zero no Android, iOS e Windows. As explorações usaram sites infectados para entregar malware aos visitantes. Essas descobertas levaram ao fim das atividades dos hackers e os bugs foram corrigidos.

No início parecia que a história iria terminar ali, mas uma reviravolta inesperada trouxe de volta aos holofotes públicos. Logo depois que as correções iniciais foram implementadas, o Google revelou que essas vulnerabilidades foram usadas por um aliado dos EUA em operações de contraterrorismo. Não se sabe qual governo aliado estava implicado, ou se o Google os informou antes de anunciar publicamente a descoberta.

Cibersegurança e ética

As ações do Google reacenderam um acalorado debate em torno da ética da cibersegurança e da responsabilidade das empresas privadas. Muitos comentaristas ficaram se perguntando se o Google fez a coisa certa ao comprometer a operação, ou se eles tinham o dever de agir como agiram. Embora todos concordem que os governos devem tomar as medidas necessárias para combater o terrorismo, isso deveria ser feito enfraquecendo a segurança de todos?

Se os pesquisadores conseguissem encontrar as vulnerabilidades de dia zero, elas também poderiam ter sido descobertas por criminosos e usadas para lançar hacks e ataques cibernéticos.

O recente hack da SolarWinds levantou novas suspeitas de que agências governamentais americanas estavam usando backdoors de criptografia, o que poderia eventualmente comprometer a segurança de milhares de empresas e instituições.

Os riscos de vulnerabilidades não corrigidas

Vamos voltar no tempo alguns anos para entender como essas situações podem piorar. Em 2017, o mundo foi atingido por um violento ataque de ransomware chamado WannaCry, que tinha como alvo os usuários do Windows. Os cibercriminosos infectaram mais de 200.000 computadores em 150 países e exigiram pagamentos de resgate em Bitcoin.

Os hackers usaram o EternalBlue, uma vulnerabilidade de software no Windows, que foi explorada pela NSA (National Security Agency) nos últimos dois anos. A NSA não avisou a Microsoft sobre o EternalBlue e pode tê-lo usado para seus próprios fins.

As informações sobre esta vulnerabilidade vazaram um mês antes do ataque do WannaCry por um grupo de hackers chamado Shadow Brokers. Os criminosos começaram a explorar o EternalBlue para roubar senhas de navegadores e instalar malware em dispositivos.

Depois que WannaCry foi lançado, a Microsoft culpou a NSA por não compartilhar as informações sobre o bug e os acusou de colocar os usuários em risco. “Precisamos que os governos considerem os danos aos civis decorrentes do armazenamento dessas vulnerabilidades e do uso dessas explorações”,

As ações do Google podem ser justificadas?

Agora vamos voltar à decisão do Google de revelar as 11 vulnerabilidades que estavam sendo usadas na operação de contraterrorismo. A empresa estava simplesmente insatisfeita com o fato de governos estrangeiros farejarem seu quintal? Ou essas vulnerabilidades eram muito arriscadas para não serem corrigidas?

Nenhum provedor de serviço deseja deixar bugs em seu software que possam ser usados ​​por malfeitores. Com os ataques cibernéticos cada vez mais sofisticados a cada ano, ignorar falhas não corrigidas pode levar a danos incalculáveis ​​no futuro.

Por outro lado, especialistas em segurança nacional argumentaram que pode levar muito tempo e recursos para regenerar tais explorações. E se eles fizessem parte de uma operação importante, que poderia ter impedido ataques terroristas em potencial? Não há respostas fáceis aqui.

Não sabemos exatamente por que o Google decidiu abrir o capital e revelar informações confidenciais sobre essas vulnerabilidades. No entanto, uma coisa é certa. Governos e corporações ainda não encontraram um terreno comum sobre o assunto de privacidade e a prevenção de ameaças necessária. Até que o façam, as tensões entre eles continuarão a aumentar.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.