É grave caso de alertas falsos com sistema da Defesa Civil

Tassius Veloso fazendo uma participação especial para a gente aqui nesse final de semana na programação da CBN com vinheta e tudo, hein, Tassius? Tudo bem? Boa tarde para você.

Hora extra rodando aqui. Vamos lá, boa tarde, Muniz, boa tarde para os ouvintes da CBN.

Vamos aproveitar então essa hora extra para falar sobre esse caso que deu o que falar, tá dando o que falar ainda, né, Tassius? A divulgação ali, aquele alerta falso, alerta indevido enviado pelo sistema da Defesa Civil para diversas regiões aqui do nosso país. Evidentemente foi uma invasão do sistema, né, até pelo conteúdo ali das mensagens. E agora a Polícia Federal abriu uma investigação para tentar entender o que aconteceu.

A participação também da Anatel, que tem relação com esse caso. E aí, Tassius, vendo com base nas informações que a gente já tem, com tudo que a gente já sabe do que aconteceu, que que a gente já pode explicar sobre a dinâmica desse caso? Já dá para entender como é que conseguiram acesso a esse sistema, Tassius?

Ainda não, ainda não tem como saber. Por isso que a participação de peritos da Polícia Federal será tão importante para trazer esses esclarecimentos. Um caso bizarro algo estranhíssimo, uma perturbação do sono de muita gente, da tranquilidade de muita gente. O Ministério da Integração e Desenvolvimento Regional trata como incidente cibernético. Eles ainda não chamam de ataque, que seria uma das formas de se fazer ou sofrer um incidente cibernético no caso.

Mas acompanhando desde cedo, e ontem eu tava acordado quando isso aconteceu, meu celular apitou também, tô no Rio de Janeiro, Nós temos aqui em sua essência duas possibilidades, colocando as hipóteses para o ouvinte, né, para a gente poder conversar e elaborar em cima disso. A primeira delas é o que me parece mais provável até agora, é o seguinte: o Ministério, ele possui um negócio chamado Interface de Divulgação de Alertas Públicos, o IDAP.

O IDAP é uma plataforma que você acessa inclusive pelo celular, pelo computador, só que precisa ter um login e senha compatíveis com isso, porque dessa forma os agentes de Defesa Civil espalhados pelo Brasil conseguem enviar esses alertas. O sistema foi tirado do ar assim que as situações começaram a acontecer durante a madrugada. Agora, pode ser que um funcionário, um servidor público de alguma localidade teve o seu login, a sua senha comprometidos, e nisso um hacker acessou a própria plataforma como se estivesse acessando o Gmail de alguém.

Roubou a senha e acessou o Gmail de alguém, mandou lá uma mensagem, e a partir daí fez esses disparos em 10 cidades ou 10 regiões a partir desse sistema da Defesa Civil. Então essa é a primeira possibilidade, é a que me parece ser a mais factível no momento, e tem até alguns vídeos circulando na internet. É muito difícil difícil cravar a veracidade deles. Então, comento aqui, mas por enquanto são rumores, são vídeos mostrando uma suposta pessoa, né, fazendo esses disparos.

Você vê que parece uma plataforma normal digital, um site como qualquer outro. Mas isso é uma possibilidade. A outra possibilidade é de fato uma invasão mais bem orquestrada, mais sofisticada, no sentido de entrar nos computadores, nos, né, os computadores centrais, os chamados servidores da Defesa Civil nacional e a partir daí conseguir explorar falhas nessa plataforma. Para isso você precisa de desenvolvedores, programadores, enfim, especialistas que consigam entender essas brechas, essas vulnerabilidades e com isso realizar o ataque.

Então são coisas muito distintas. Uma senha 12345, lembra no ano passado, Muniz, quando teve aquela história do Museu do Louvre e a senha era Louvre? Sim. E nisso conseguiram, então, É uma coisa muito mais até simples, imbecil, quando acontece dessa forma. Ou então pode ser algo mais sofisticado. Agora, a Polícia Federal, ela tem quadros especializados nisso, conseguem fazer esse tipo de checagem. E para ouvinte ter a noção, desde já tem algumas décadas que qualquer estudante de engenharia de software ou de engenharia da computação é apresentado a um conceito que é o do log, L-O-G.

O log É um registro que fica em todo o sistema, software, computador, celular e por aí vai. E o que, para que serve o log? O log serve para registrar quem acessou, qual foi a ação e em que momento ela aconteceu. Então se isso está bem construído na plataforma do Ministério, né, da integração, é um dos caminhos, creio eu, que os peritos utilizarão para conseguir detectar o que aconteceu. Um sistema bem construído deveria ter ali, ó, usuário X, né, com a credencial tal, acessou em determinado horário, potencialmente até indicando de onde acessou, para disparar essas mensagens.

E aí você vai lá, o investigador checa isso e tenta bater e liga para pessoa, vai lá na casa dela, vê se o mesmo login foi utilizado nas várias cidades em que o alerta ocorreu, E numa dessas você já tem muitas evidências para entender, né, para ir montando esse quebra-cabeça. Então acredito que este log, né, este registro será importante para o esclarecimento do que aconteceu.

Ou seja, ficam rastros, né, Tassius? Quando a pessoa faz esse tipo de ataque, de incidente ou de ataque, deixa alguns rastros, e é nisso que a Polícia Federal vai tentar se basear para conseguir entender o que que aconteceu.

É uma das coisas mais básicas da computação, porque quando você tá criando um sistema, até para resolver os probleminhas ali da parte de prototipagem, do momento beta desse sistema, você usa isso para resolver essas situações, essas brechas, probleminhas mesmo de escrita do desenvolvimento dele. Isso fica, fica ali e é super comum. Seu celular tem, seu computador tem, você acessa uma página na internet, tem algo parecido, mas tem também.

Então é o básico da computação atualmente. E um negócio, Muniz, eu não sei com quanto tempo nós estamos aí, mas que eu acho legal de comentar É sobre esse susto das pessoas que estavam com o celular no "não perturbe", né?

Porque mesmo assim ele toca, né? Até pelo horário, né? Acho que você tá falando por isso, né? Pessoal já dormindo, coloca ali no "não perturbe", no modo noturno mesmo, né? De não atrapalhar. E mesmo assim toca.

Mesmo assim toca. E isso é uma genialidade desse sistema que foi utilizada pelo motivo errado e tá sendo investigado. Mas essa plataforma, eu acompanhei muito de perto. Ela foi desenvolvida ao longo de 2 anos. Atrasou até algumas vezes o projeto, foi testado em algumas cidades até ser liberado para todo mundo. E prevê isso. Na verdade, ela prevê dois tipos de alerta. Tem um alerta severo, essa é a categoria dele, o alerta severo, em que o celular ele não fica pitando, mas fica uma mensagem ali no meio, um alerta no meio dele.

Você tem que dar o OK para dizer que você leu ali o que está chegando. E existe o extremo. E o extremo foi o que aconteceu nessa madrugada. Que é quando ativa essa sirene, é uma situação mais delicada, risco de vida ou morte, e com isso fica pitando para todo mundo: "Viola ou não perturbe", "Ignora ou não perturbe", para que todo mundo se prepare. Então é muito grave quando alguém de alguma forma, um grupo de alguma forma, consegue acessar uma ferramenta que é da nossa defesa civil, da nossa segurança nacional, para ter esse tipo de conduta.

Mas esses alertas, eles são bem-vindos e eles são muito importantes. Então o caso de agora creio que deva ser visto como um caso pontual. Tem gente perguntando: "Ah, como é que faz para desativar? Tem como? Não tem?" Tem como desativar sim, mas está sendo investigado. Talvez não seja o melhor momento para isso.

Esse ponto que eu queria, só para a gente fechar, Tassius, porque é um sistema tão importante que ele não pode entrar em descrédito, né? E aí tem duas coisas que me chamam atenção. Aparentemente houve uma distância muito grande entre o primeiro alerta e os últimos. Ou seja, será que não deveria haver uma forma mais ágil de se combater, de se entender que houve uma violação de como esse sistema deveria operar e já se estancar esse problema.

Mas mais do que isso, né, Tassius, a gente sempre fala aqui com você sobre a importância de ter, para acessar um e-mail, para acessar uma rede social, verificação de duas etapas. Você coloca ali a sua senha, mas depois você precisa validar com outro código ou, sei lá, sistemas mais seguros ainda, uma outra pessoa precisa validar esse acesso. Será que também esse episódio não deixa uma lição nesse sentido? Um sistema tão sensível e tão importante num momento de chuva, no momento de mudança climática, não deveria ter também outras camadas de proteção?

E talvez esse caso tenha exposto que falhou aí nesse tipo de antecipação de problema.

Muniz, você foi num dos pontos mais importantes aqui, porque um sistema como esse precisa ter a segurança cibernética lá em cima, precisa ser a mais avançada. Até porque é uma plataforma que eu classifico como descentralizada. Depois que ela foi produzida pela Anatel e entregue para o Ministério, os estados e municípios vão montando liberando esses acessos. Então isso tem que ser muito bem feito, não pode ser de qualquer forma.

E sei lá, um servidor que mudou de função, um servidor que relatou que o computador passou por um, recebeu um vírus, o computador tá se comportando de uma maneira estranha, isso já precisa ser identificado e aquele login talvez já iniciar o login. Vai ser interessante se a Secretaria Nacional de Proteção e Defesa Civil ela vier a público explicar Como é feito esse controle, né? Dá transparência para isso. Se tem autenticação em duas etapas, conforme você mencionou.

O secretário deu uma entrevista coletiva mais cedo dizendo que estava sendo desenvolvida uma nova versão do sistema. Para mim, Muniz, não ficou claro se é o sistema de disparo dos alertas ou se é especificamente o sistema de proteção dessa plataforma. São vários pontos que ainda precisam ser esclarecidos. E treinamento também, porque Você vai a eventos, congressos, como eu faço, conversa com as pessoas e nem todas as empresas treinam, os entes públicos menos ainda.

Aí o cara vai lá com a senha 12345, com a senha admin. Não dá para ser assim. Estou falando em tese aqui, né? A gente ainda precisa entender o que aconteceu, quais serão as descobertas das autoridades. Mas é grave, é grave quando acontece dessa forma e a gente fica exposto.

É isso. E não pode descredibilizar uma plataforma, um serviço que de fato é muito importante, ainda é novo aqui para a população brasileira, tá todo mundo ainda se acostumando com ele. Tássios Veloso, obrigado, viu, pela sua participação. Anota aí suas horas extras aqui na CBN, depois a gente compensa isso. Bom descanso para você, um abraço.

Precisando é só chamar. Bom programa, bom sábado para todo mundo.

Valeu, para você também.