Hackers: 'Roubei os dados de 700 milhões de usuários do LinkedIn por diversão'

===+===.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____-------------______---------   ----------____---.=.=.=.= +====


Repórter de segurança cibernética da BBC investiga negócio obscuro de raspagem, roubo e venda de informações de perfis nas redes sociais, e conversa com um hacker que coletou milhões de dados.
===+===.=.=.= =---____---------   ---------____------------____::_____   _____= =..= = =..= =..= = =____   _____::____-------------______---------   ----------____---.=.=.=.= +====

Por BBC
15/07/2021 14h19 Atualizado há 2 horas
Postado em 15 de julho de 2021 às 16h25m

  *.- Post.N. -\- 4.078 -.* 

Logotipo do LinkedIn na sede da empresa em Mountain View, na Califórnia. — Foto: Robert Galbraith/Reuters

Quantos detalhes você disponibiliza em seu perfil nas redes sociais? Nome, localização, idade, emprego, estado civil, foto do rosto? A quantidade de informações que as pessoas se sentem confortáveis ​​em compartilhar varia.

Mas a maioria de nós aceita que tudo o que colocamos em nossa página de perfil público é de domínio público.

Então, como você se sentiria se todas as suas informações fossem catalogadas por um hacker e reunidas em uma planilha gigantesca com milhões de dados para serem vendidos online para o cibercriminoso que pagar mais?

Foi o que um hacker que se autodenomina 'Tom Liner' fez no mês passado "para se divertir" quando compilou um banco de dados de 700 milhões de usuários do LinkedIn do mundo todo que está vendendo por cerca de US$ 5 mil (cerca de R$ 25 mil).

O incidente e outros casos semelhantes de varredura nas redes sociais geraram um debate acirrado sobre se as informações básicas que compartilhamos publicamente em nossos perfis devem ser mais bem protegidas.

Vazamento de dados: guia para se proteger e tirar dúvidas
Lei Geral de Proteção de Dados: o que muda para os cidadãos?

Às 8h57, no horário do Reino Unido, a postagem apareceu em um notório fórum de hackers.

Foi uma hora estranhamente civilizada para hackers, mas é claro que não temos ideia de qual era o fuso horário de onde 'Tom Liner' vive.

"Olá, tenho 700 milhões de registros de 2021 do LinkedIn", escreveu ele.

Incluído na postagem estava um link para uma amostra de 1 milhão de registros e um convite para que outros hackers o contatassem em privado e fizessem ofertas pelo banco de dados.

Clientes felizes

Compreensivelmente, a venda causou uma grande sensação no mundo dos hackers. Tom me disse que está vendendo sua aquisição para "vários" clientes felizes por cerca de US$ 5 mil.

Facebook também sofreu incidente de raspagem, com 533 milhões de dados de usuários coletados. — Foto: Getty Images/BBC

Ele não diz quem são seus clientes ou por que eles querem essas informações, mas acrescenta que os dados provavelmente estão sendo usados ​​para outras aventuras de hackers.

A notícia também foi motivo de intenso debate no universo da ciberssegurança e da privacidade com discussões sobre se devemos ou não nos preocupar com essa tendência crescente de mega varreduras.

Esses bancos de dados não estão sendo criados por meio de invasões a servidores ou redes sociais.

Em grande parte, eles são decorrentes da chamada "raspagem" de dados públicos nas plataformas (do inglês "data scraping").

Trata-se de uma técnica na qual os hackers usam programas de computador que automatizam a varredura para obter informações, nesse caso, dados disponíveis gratuitamente sobre os usuários.

Em outras palavras, eles estão simplesmente reunindo, de maneira muito rápida, todos os dados públicos de usuários em redes sociais, para depois vender essas informações em bloco a terceiros.

Em teoria, a maioria dos dados que está sendo compilada pode ser encontrada acessando perfis nas redes sociais individualmente. Mas coletar de forma manual tantos dados quanto os hackers são capazes de fazer levaria milhares de anos.

Até agora, neste ano, houve três outros grandes incidentes de "raspagem" de dados:

• Em abril, um hacker vendeu outro banco de dados de cerca de 500 milhões de registros retirados do LinkedIn.
• Na mesma semana, outro hacker postou um banco de dados de informações extraídas de 1,3 milhão de perfis do Clubhouse em um fórum gratuitamente.
• Também em abril, 533 milhões de detalhes de usuários do Facebook foram compilados a partir de uma combinação de dados antigos e novos antes de eles serem disponibilizados em um fórum de hackers com um pedido de doações.

E quem era o hacker responsável por esse banco de dados do Facebook? 'Tom Liner'.

Falei com Tom durante três semanas por meio de mensagens no aplicativo Telegram. Algumas mensagens e chamadas perdidas foram feitas no meio da noite e outras em horário comercial, portanto não tinha a menor ideia de sua localização.

As únicas pistas sobre sua vida normal foram quando ele disse que não podia falar ao telefone porque sua esposa estava dormindo. Além disso, ele disse que tinha um trabalho diurno e que hackear era seu "hobby".

'Trabalho muito complexo'

Tom me disse que criou o banco de dados de 700 milhões do LinkedIn usando "quase exatamente a mesma técnica" que usou para criar a lista do Facebook.

"Levei vários meses para fazer. Foi muito complexo. Tive que hackear a API do LinkedIn. Se você fizer muitas solicitações de dados do usuário de uma vez, o sistema irá bani-lo permanentemente", explica ele.

API significa 'interface de programação de aplicativo' e a maioria das redes sociais vende parcerias de API, permitindo que outras empresas acessem dados de plataforma, por exemplo, para marketing ou construção de aplicativos.

O Privacy Shark, que primeiro descobriu a venda do banco de dados, examinou o compêndio e descobriu que ela incluía nomes completos, endereços de e-mail, sexo, números de telefone e informações profissionais.

'Não é uma violação'

O LinkedIn diz que suas investigações apontam que Tom Liner não usou sua API. No entanto, a rede social confirmou que o conjunto de dados "inclui informações extraídas do LinkedIn, bem como informações obtidas de outras fontes".

"Isso não foi uma violação de dados do LinkedIn e nenhum dado privado de membros do LinkedIn foi exposto. A coleta de dados do LinkedIn é uma violação de nossos Termos de Serviço e estamos trabalhando constantemente para garantir que a privacidade de nossos membros seja protegida."

Em resposta à raspagem de dados de abril, o Facebook considerou o incidente uma varredura antiga.

Entenda como hackers obtiveram telefones de usuários do Facebook e descubra se seus dados vazaram

No entanto, o fato de os hackers estarem ganhando dinheiro com esses bancos de dados vem gerando preocupação entre alguns especialistas cibernéticos.

Em teoria, maioria dos dados que está sendo compilada pode ser encontrada acessando perfis nas redes sociais invididualmente. — Foto: Getty Images/BBC

'Detalhe roubado'

CEO e fundador da SOS Intelligence, Amir Hadzipasic vasculha fóruns de hackers na dark web dia e noite. Assim que as notícias sobre os 700 milhões de bancos de dados do LinkedIn se espalharam, ele e sua equipe começaram a analisar os dados.

"Vazamentos em grande escala como esse são preocupantes, haja vista os detalhes intrincados em alguns casos dessas informações, como localizações geográficas ou endereços de celular e e-mail privados", assinala.

"Para a maioria das pessoas, será uma surpresa que haja tantas informações armazenadas por esses serviços de API", acrescenta.

Tom Liner confessa saber que seu banco de dados provavelmente será usado para ataques maliciosos.

Ele diz que isso o "incomoda", mas não explica por que ainda continua realizando operações de raspagem.

As redes sociais deveriam proteger melhor os dados públicos de seus usuários? — Foto: Getty Images/BBC

Amir diz que os hackers que estão comprando os dados do LinkedIn podem usá-los para lançar campanhas de hacking direcionadas a alvos de alto nível, como chefes de empresas, por exemplo.

Ele acrescenta que há valor no grande número de e-mails ativos no banco de dados que podem ser usados ​​para enviar campanhas de phishing (ação fraudulenta para adquirir ilicitamente dados pessoais de outra pessoa) em massa por e-mail.

'Os dados são públicos'

Mas o especialista em segurança cibernética Troy Hunt, que passa a maior parte de sua vida vasculhando o conteúdo de bancos de dados hackeados para seu site haveibeenpwned.com, está menos preocupado com os recentes incidentes de scraping e diz que precisamos aceitá-los como parte de nosso compartilhamento de perfis públicos.

"Definitivamente, não são violações. A maioria desses dados é pública de qualquer maneira. A pergunta a ser feita em cada caso, porém, é quanto dessa informação é acessível publicamente por escolha do usuário e quanto não se espera que seja publicamente acessível."

Troy concorda com Amir que os controles sobre os programas de API das redes sociais precisam ser melhorados e diz que não podemos ignorar esses incidentes.

"Não discordo da postura do Facebook e de outras redes sociais, mas sinto que a resposta de 'isso não é um problema', embora seja precisa do ponto de vista técnico, não dá importância devida ao valor dos dados do usuário. Talvez estejam minimizando seus próprios papéis na criação desses bancos de dados."

As ações de Tom provavelmente o levariam a ser processado pelo roubo de propriedade intelectual ou violação de direitos autorais.

Mas, quando questionado se está preocupado em ser preso, ele alega que ninguém conseguiria encontrá-lo, encerrando nossa conversa me desejando um bom dia.

VÍDEO: Como acontece um vazamento de dados?

------++-====-----------------------------------------------------------------------=================--------------------------------------------------------------------------------====-++-----