Como funciona o cibercrime brasileiro

Um doce para quem adivinhar quem é Raul. Não, não é o Raul Seixas. Também não é o Raul Gil. Não é ninguém exatamente famoso, embora alguns tentem. São vÁrios deles, talvez milhares. E querem roubar o seu dinheiro.

"Raul" é uma espécie de apelido utilizado entre os cibercriminosos brasileiros envolvidos no roubo de informações bancÁrias através de malwares do tipo cavalo-de-troia e na clonagem de cartões de crédito. E, pasmem, o termo surgiu em um rap feito para exaltar a "profissão":

"TrombÁ quem trombÁ, dialogar e calcular a hora certa e o tempo certo nem de função nós falou, jÁ vou chegar da favela pra mansão no clima é a ilusão, no artigo eu sou função, na confiança é só os irmãos da leste, oeste, norte e sul.... sou da profissão Raul.

Ùnion, CEF, Itaú, Real, Banrisul, nespa, BB, hs, brb, rural, bnc e também bnp, Bradesco e Credicard, o melhor é Nossa Caixa."


Fotos: Arquivo da Polícia Federal

A cara-de-pau é tanta que a música foi colocada no Youtube. Aos curiosos de plantão: infelizmente, jÁ foi retirada do ar. Mas não fiquem tristes. HÁ muitas outras por lÁ, fazendo apologia a diversos crimes parecidos.






Como isso é possível? Graças à impunidade. No Brasil, não hÁ leis específicas para os crimes de Internet. Explicamos um pouco sobre isso no nosso especial sobre segurança digital durante a Copa do Mundo: o crime passa a existir só quando uma pessoa mal-intencionada usa os dados que obteve pela Internet, com meios ilícitos, na vida offline. Ou seja, criar um malware, distribuí-lo ou aplicar phishing não tem punição prevista na legislação do país.

Para continuar multiplicando dinheiro e enaltecendo suas façanhas publicamente na web sem ser pego pela polícia, obviamente foi preciso desenvolver um bocado de artimanhas. E isso deu origem a um perfil de cibercriminoso tipicamente brasileiro. Isso foi esmiuçado durante a conferência ibero-americana da Kaspersky, realizada em Cancun, no México, entre os dias 25 e 27 de agosto. Nossa equipe esteve lÁ e conta para você, nas próximas pÁginas, como estÁ configurado o cenÁrio do cibercrime no Brasil e nos demais países latinos.


{break::A estrutura atual do cibercrime}Entre 2009 e 2011, os ataques por malwares na América Latina cresceram 490%, superando a marca dos 2,5 milhões, conforme os dados da Kaspersky. Isso se deve, em parte à crescente quantidade de transações e negócios realizados pela Internet. O e-commerce na região, por exemplo, deve alcançar US$69,7 bilhões somente neste ano, segundo projeções da firma de pesquisas E-Consulting. O Brasil representa o maior mercado de comércio online, com 45% do total estimado e a empresa ainda prevê o aumento de 27% na quantidade de compradores online no país até o final de 2011.



O Brasil também lidera o uso de Internet Banking na América Latina. Em 2010, esse tipo de serviço no país atingiu o recorde histórico de 12,8 bilhões de transações, um aumento de 27,4% na comparação com 2009, segundo a Federação Brasileira de Bancos (Febraban). Com isso, o Internet Banking representa o segundo canal mais utilizado para operações financeiras, com 23% do total, perdendo apenas para o caixa eletrônico (ATM), com 31,1%. Some-se a fatores como esses a capacidade de programar malwares e a relativa facilidade de distribuí-los e cria-se um cenÁrio completamente favorÁvel para o roubo de grandes quantias de dinheiro. E sem sair de casa e nem correr o risco de ser pego pela polícia em flagrante. Mas para um golpe ser bem-sucedido, os cibercriminosos desenvolveram uma série de artimanhas.

O ecossistema do cibercrime evoluiu ao longo de, aproximadamente, dez anos, como aponta Dimitri Bestuzhev, diretor da equipe global de investigação e anÁlise da Kaspersky para a América Latina. Antes, o criminoso criava o vírus, distribuía, atingia a vítima que tinha seus dados roubados e, com eles, esse mesmo criminoso conseguia roubar dinheiro e utilizÁ-lo. Mas aí surgiu um problema: essa estrutura minimalista tornava muito fÁcil rastrear o culpado e acusÁ-lo.

Foi preciso, então, criar uma estrutura mais complexa, com, pelo menos, seis níveis hierÁrquicos.

Não basta mais criar um malware e espalhÁ-lo para obter a "recompensa". O negócio é vender códigos, contratar laranjas e administrar uma rede complexa de criminosos. Nos demais países latinos, a preferência dos criminosos, como aponta Bestuzhev, são as botnets. Por aqui, no Brasil, o perfil é diferente.

Por razões culturais, segundo a Kaspersky, o brasileiro é mais imediatista e busca um resultado rÁpido. Não hÁ muito tempo nem dedicação disponíveis para alimentar uma botnet, infectar legiões de computadores-zumbi e, então, esperar o retorno financeiro. Como funciona, então, o cibercrime no Brasil?

{break::"Viciado e iludido da favela pra mansão"}Chegamos, enfim, à "raulzada". Os caras que, com alguma engenhosidade, roubam milhões e milhões sem precisar sair de casa – e ainda postam hinos de exaltação à sua "profissão" no Youtube. Bestuzhev, em sua palestra na conferência ibero-americana da Kaspersky, afirmou acreditar que, em poucos anos, não existirÁ mais distinção entre o crime comum e o cibercrime, de tão ligados que vão estar. "Tudo serÁ chamado de, simplesmente, crime", ressalta. E o que ocorre no Brasil é um ótimo exemplo disso.

- Continua após a publicidade -



Em 2010, 36% de todos os cavalo-de-troia bancÁrios que circularam no mundo tinham origem brasileira, de acordo com dados da empresa. Se contabilizarmos apenas os ataques de malware dentro do país, 95% têm a intenção de roubar informações de acesso aos bancos.

E aí você se pergunta... o negócio dÁ certo? Tanto que jÁ ultrapassou, hÁ muito, o roubo convencional de bancos. Em 2010, foram R$900 milhões roubados através de golpes online, contra "só" R$55 milhões do crime tradicional. E a tendência é de aumentar, e muito: apenas na primeira metade deste ano, foram R$685 milhões desviados via Internet.



FÁbio Assonlini, analista de malware da Kaspersky no Brasil, em sua apresentação no evento, apresentou algumas diferenças entre o criminoso brasileiro e os demais de língua latina. Basicamente, por aqui, o desejo de recompensa é imediato, a linguagem de programação utilizada é o Delphi (enquanto outros usam C, C++ e Java) e os malwares são poucos sofisticados e se espalham através de técnicas de engenharia social. Nos demais países ibero-americanos, a maior parte dos códigos maliciosos é bem mais complexa, os ataques são combinados e a preferência é pelas botnets.

E quem é o "Raul"? Normalmente, é alguém que vem das favelas, de baixa-renda, e trabalha quase sempre em conjunto com os carders, os clonadores de cartão. E o dinheiro obtido com os cartões roubados "geralmente alimenta outros crimes, como o narcotrÁfico", ressalta Assolini. Não é bem o perfil de "cracker" que se imagina normalmente. De onde vem, então, o conhecimento desses cibercriminosos?



Na verdade, não é preciso muita coisa, senão um pequeno investimento inicial e a predisposição ao crime. Isso porque, como em qualquer parte do mundo, os códigos maliciosos estão disponíveis para comercialização, como demonstrou Bestuzhev. Sabe o Mercado Livre? HÁ algo bem parecido entre as pessoas que compõem os diversos níveis da escala do cibercrime. Existe até um sistema de qualificações para denunciar vendedores que não entregam a mercadoria – neste caso, o código malicioso.




Imagens: Kaspersky Lab


O criminoso que quer roubar uma boa quantia não precisa de muita coisa, senão ter os "contatos" certos e ficar de olho nas melhores ofertas. E, é claro, conseguir bons laranjas, para não ser pego com a mão na massa. E é aí que entra outra parte do negócio.

Existem, basicamente, dois tipos de laranja, como mostrou Bestuzhev: as pessoas físicas e as pessoas jurídicas. Os criminosos espalham, inclusive por sites legítimos, anúncios do tipo "ganhe dinheiro sem sair de casa". JÁ viu algum desses? Normalmente, são recrutadores de laranjas. O especialista ressalta que, em boa parte dos casos, esse "empregado" sequer sabe que estÁ fazendo parte de uma cadeia de cibercrime, jÁ que recebe um contrato de trabalho aparentemente inofensivo. Sua função serÁ a de depositar uma certa quantia em dinheiro na conta dos verdadeiros criminosos, e, com isso, embolsarÁ entre 5% a 10% do montante roubado.

- Continua após a publicidade -


Imagem: Kaspersky Lab


As pessoas jurídicas, ou seja, empresas, trabalham de um modo um pouco diferente, mas com o mesmo objetivo. Normalmente, são lojas desconhecidas, mas que apresentam ofertas irresistíveis, com preços muito abaixo do mercado. Significa que os criminosos usaram cartões de crédito roubados para adquirir produtos, colocar na loja a preços muito baixos e, então, obter o dinheiro ilegal indiretamente.

Com a "proteção" dos laranjas e a impunidade, o cibercriminoso se sente livre para enaltecer seus feitos e anunciar seus produtos publicamente, inclusive em redes como o Twitter. Sem contar que o cibercriminoso brasileiro ainda é bastante criativo. "Os brasileiros foram os primeiros no mundo a criar um banker rootkit q infecta sistemas 64-bit", apontou Assolini. "Foram também os pioneiros em usar o Twitter como uma central de comando e controle de seus códigos maliciosos. O cavalo-de-troia lia os comandos na rede e executava ações, como baixar suas atualizações."



O mesmo se dÁ com o método de disseminação mais utilizado por aqui, a engenharia social. Desde o ano passado, tornou-se comum o envio de mensagens, supostamente de bancos, que incluem o nome completo e o CPF do destinatÁrio. Esse ataque personalizado recebe o nome de spear phishing. Para obter esses dados, os criminosos invadem sites de e-commerce, por exemplo, como explica Assolini. Para realizar qualquer compra em sites desse tipo, é preciso introduzir nome completo, endereço e CPF. E por mais confiÁveis e renomados que sejam, não são 100% imunes a ataques de terceiros. Existe ainda um comércio de dados. "DÁ para comprar, na Santa Efigênia, DVDs com informações pessoais por R$100", afirma o especialista.

{break::O papel do usuÁrio}Investindo pouco dinheiro, é possível ganhar grandes quantias por meios obscuros. E o cibercrime, agora, chega a ser maior que o trÁfico de drogas, em todo o mundo. Conforme estimativas do Norton Cybercrime Report, os prejuízos do crime online chegaram a US$114 bilhões, que, somados aos US$274 bilhões gastos para reparar os estragos e com o tempo perdido, somam US$388 bilhões. A soma é bem superior aos US$288 bilhões movimentados no mercado negro do trÁfico de cocaína, heroína e maconha. E o valor estÁ chegando perto ao do trÁfico de todas as drogas somadas, que estÁ na casa dos US$411 bilhões. 

A cada segundo, 14 adultos tornam-se vítimas de algum tipo de golpe online, mas 41% das pessoas não atualizam seus softwares e 61% não usam senhas complexas e sequer se preocupam em alterÁ-las com regularidade. Jorge Mieres, analista de malware da Kaspersky, alertou que essas são algumas das causas pelas quais malwares antigos, como o Conficker, continuam causando estragos no mundo inteiro.

"Os códigos maliciosos que ganharam expressão na mídia ao longo dos anos exploravam vulnerabilidades no sistema da Microsoft, o que não quer dizer que o sistema é ruim", ressalta o especialista. Ele lembra, porém, que é importantíssimo manter todos os aplicativos atualizados, bem como o sistema operacional, além de utilizar softwares devidamente licenciados. Conforme os dados da Kaspersky, dois a cada três sistemas operacionais instalados na América Latina são piratas. E, em pequenas e médias empresas, 63% dos sistemas não têm licença.

Isso se torna ainda mais grave na medida em que o trabalho se mistura à vida pessoal, como mostrou Vicente Diaz, analista de segurança sênior da empresa. "Atualmente, somos mais dependentes da tecnologia. Com ela, o trabalho aumenta e o tempo livre diminui. Mistura-se, então, o tempo livre com o do trabalho", explica.

As pessoas levam trabalho para casa e, ao mesmo tempo, exercem algumas atividades de lazer no ambiente corporativo, como o acesso a redes sociais e e-mail pessoal, por exemplo. "Trabalhando em casa, nos livramos das políticas de segurança das empresas e, portanto, corremos riscos", alerta. O trabalho no ambiente doméstico em conjunto com as redes sociais dÁ origem a ataques extremamente direcionados, vindo de cibercriminosos que sabem informações precisas, como onde a pessoa trabalha e qual a sua função.

O Brasil é um dos poucos países ibero-americanos que ainda não têm uma lei consolidada para punir crimes de Internet. O projeto do senador Eduardo Azeredo (PSDB-MG), aprovado em 2008, conhecido como "Lei Azeredo", voltou a ser foco de discussão após os recentes ataques praticados pelos membros do LulzSec Brazil a sites governamentais. Embora seja uma tentativa vÁlida de regulamentar certas atividades na rede, provoca, hÁ três anos, discussões e polêmicas pelo texto impreciso e generalista, que pode transformar em "crime" algumas atividades corriqueiras, bem como o trabalho de hackers e de analistas de segurança. Mas esse é um assunto para outro artigo. Por enquanto, cabe a cada um refletir sobre que medidas têm tomado para proteger a si mesmo, e portanto, ajudar a combater, mesmo que pouco a pouco, um crime que jÁ nem merece mais distinção de outros tipos de delitos praticados no mundo "real".

Assuntos
Tags
  • Redator: Risa Lemos Stoider

    Risa Lemos Stoider

    Formada em Jornalismo pela Universidade Federal de Santa Catarina (UFSC) e gamemaníaca desde os 4 anos de idade. Já experimentou consoles de várias gerações e atualmente mantém uma ainda modesta coleção. Aliando a prática jornalística com a paixão pela tecnologia e os games, colabora com a Adrenaline publicando notícias e artigos.

Qual a sua marca de mouses para jogos favorita? - Pesquisa de Periféricos 2020

O que você achou deste conteúdo? Deixe seu comentário abaixo e interaja com nossa equipe. Caso queira sugerir alguma pauta, entre em contato através deste formulário.