O ponto fraco dos cibercriminosos: eles sofrem de esgotamento, diz pesquisador da Universidade de Edinburgh

Em artigo publicado no jornal Wall Street Journal, o especialista em crimes virtuais Ben Collier, da Universidade de Edinburgh, aponta como estão estruturadas as redes de crimes virtuais pelo mundo, e quais são os pontos de vulnerabilidade desses criminosos.

Segundo ele, existe uma percepção equivocada de que a pessoa envolvida em crimes cibernéticos seja hacker altamente qualificado, vive no estilo lobo-solitário. Ou um espião de um governo estrangeiro. Ou ainda um chefão do crime organizado.

Ele afirma que, sim, esses personagens existem. Mas o crime cibernético mais perigoso não é território de marginais individuais. É um grande negócio. E, para a maioria dos envolvidos, não se trata do mundo empolgante e lucrativo - ou até glamouroso - que algumas representações da mídia podem sugerir.

"É só um trabalho. Normalmente, um trabalho monótono, mal remunerado, sem perspectivas e altamente frustrante, que acaba levando ao esgotamento físico e mental. A maioria dos cibercriminosos não passa de engrenagens em uma rede crescente de serviços que dão apoio àqueles por trás dos ataques", escreve o especialista.

Segundo ele, essa realidade pouco glamourosa e próxima da realidade de trabalhadores do meio da pirâmide tem enormes implicações sobre como policiar o crime cibernético.

"Resumindo", diz ele, "o segredo é manter o foco não nos líderes das organizações criminosas, ou em seus capatazes, mas, sim, na legião de trabalhadores e nas redes mantidas pelo crime cibernético".

Indústria

Ben Collier relemebra que o crime cibernético se tornou uma enorme indústria, cada vez mais baseada na divisão do trabalho e na especialização. O modelo de negócio predominante é o que se tornou conhecido como "cybercrime-as-a-service", ou crime cibernético como serviço.

Na maioria das vezes, aponta Collier, um grupo de profissionais qualificados constrói sofisticadas ferramentas digitais, mais tarde adquiridas por uma comunidade maior, com o objetivo de cometer crimes cibernéticos.

"Na outra ponta dessa escala, adolescentes pagam uma assinatura mensal de US$ 5 pelos chamados serviços de inicialização, que lhes permitem direcionar botnets - redes de computadores controlados - para derrubar a conexão de seus rivais em jogos online com os chamados "denial-of-service attacks" (ataques de negação de serviço)."

Serviços ainda mais nocivos, como os ataques ransomware, são gerenciados no nível de empresa para empresa, exigindo altas somas em dinheiro, explica o pesquisador da Universidade de Edinburgh.

"O que todos esses serviços têm em comum é que os usuários não precisam de quase nenhuma capacitação técnica. Para tanto, eles contam com os provedores, que não apenas vendem as ferramentas necessárias, como também oferecem suporte técnico."

Para Ben Collier, tudo isso se baseia em operações de negócios criminosos, centradas em redes de servidores, o que criou uma variedade de empregos monótonos, porém essenciais, que mantêm o hardware dessas empresas funcionando e gerencia seus clientes.

"Todo mundo precisa configurar servidores, gerenciar redes de computadores infectados, montar sites e administrar e supervisionar sistemas de pagamentos. Quando um cliente não consegue fazer com que seu sistema funcione, ou ameaça cancelar o serviço e mudar para o concorrente, é necessário recrutar gerenciadores e pessoal da área de suporte na comunidade, para evitar perder do negócio."

Trabalhadores descontentes

O especialista afirma que tanto ele quanto seus colegas que atuam com pesquisas na área de crimes virtuais já perderam noites em claro entrevistando as pessoas que gerenciam esses serviços, participamos de fóruns online e canais de chat, além de vasculhar enormes volumes de dados (dezenas de milhões de posts de dezenas de fóruns) para saber o que eles estão fazendo.

"Nossos entrevistados", afirma, "nos contaram que o trabalho administrativo inicial e de atendimento ao consumidor é considerado fácil, o que atrai os novatos", ele diz.

"Funciona no piloto automático", disse a ele um dos entrevistados, que trabalha como administrador de serviços de inicialização, "Posso ficar sentado na minha cadeira, fumando maconha e, ainda assim, ganhar dinheiro".

"No entanto, a maioria das pessoas que entrevistamos e encontramos em fóruns online ganhavam apenas alguns trocados, e não desenvolviam competências de invasão, ou construíam qualquer reputação na comunidade hacker", diz ele. Muitas dessas pessoas, ainda segundo Ben Collier, reclamavam das desvantagens do trabalho; o equilíbrio entre vida pessoal e profissional não está entre as vantagens da indústria de crimes cibernéticos.

Segundo o especialista, essa constatação tem enormes implicações no policiamento. "Como parte de nossa pesquisa, observamos o que aconteceu quando autoridades policiais usaram diversas táticas contra os negócios de crime cibernético que estudamos. Táticas baseadas em prisões e duras sentenças para líderes de organizações de crimes cibernéticos parecem não surtir efeito".

Ele conta que sempre que grandes players foram presos, o efeito foi insignificante, com novas empresas surgindo para ocupar o lugar em questão de dias, às vezes usando a mesma infraestrutura de servidores de computador e prestadores de serviço.

No entanto, quando o alvo das ações policiais foi o pessoal de suporte, a mão de obra da qual a indústria do crime depende, com apenas algumas prisões, o efeito foi muito maior. "Não é diferente de pressionar um contador da máfia, em vez de prender chefes do crime."

A conclusão do pesquisador é que melhor do que as prisões, o caminho seja desmontar a infraestrutura do crime, tornando o trabalho administrativo na área ainda menos atraente do que já é, e, assim, provocar a saída dos trabalhadores e desestimular novas contratações.

"Em vez de descrever o trabalho de hackers como qualificado, emocionante e lucrativo, a cobertura policial e da mídia deveria refletir melhor a realidade: está mais para "The Officer" do que para "The Matrix"."