Publicidade
Tech by VICE

O Facebook alterou discretamente uma ferramenta de busca usada por investigadores, mas abusada por empresas

A Graph Search permitia que qualquer um vasculhasse dados públicos na plataforma de formas muito específicas, como busca por conteúdo através de palavras-chave em certo período de tempo.

Por Joseph Cox; Traduzido por Marina Schnoor
13 Junho 2019, 11:14am

Omar Marques/SOPA Images/LightRocket via Getty Images

Este artigo foi originalmente publicado na Motherboard - Tech by VICE.

No final de última semana, discretamente, o Facebook fez mudanças num conjunto de funções avançadas que antes permitiam que os utilizadores vasculhassem a rede sociais de uma forma muito poderosa, como por exemplo encontrando todas as publicações no Facebook por uma palavra-chave dentro de certa data, todas as pessoas que gostaram de certa página e moram numa cidade em particular, ou lugares visitados por dois utilizadores específicos.

Toda a informação reunida por essa função de busca faz parte dos perfis públicos de utilizadores, mas a novidade destaca o foco recente do Facebook em privacidade e surge depois de uma série de incidentes de privacidade e segurança na empresa. A função tinha vindo a ser abusada para procurar informações em massa de utilizadores do Facebook, mas também era de imensa ajuda para investigadores que a ela recorriam para descobrirem provas na rede social de, por exemplo, ataques aéreos no Iémen.

“A maioria das ferramentas foi retirada”, realça Henk Van Ess, especialista em investigação de redes sociais e membro da organização de investigação online Bellingcat, numa mensagem directa enviada à Motherboard pelo Twitter.

Trabalhas no Facebook? Já trabalhaste? Gostaríamos de falar contigo. Através de um telefone ou computador que não seja do trabalho, podes contatar Joseph Cox com segurança no Signal em +44 20 8133 5190, no Wickr em josephcox, no chat OTR em ifcox@jabber.ccc.de, ou por e-mail em joseph.cox@vice.com.

A função chamava-se Graph Search e, basicamente, exigia que o utilizador entrasse com a URL certa num navegador, com alguns parâmetros como a palavra-chave dentro da URL. Vários membros da comunidade de inteligência de código aberto (OSINT em inglês) construíram ferramentas para optimizar a criação dessas URLs e tornar o processo de busca mais fácil.


Vê: "10 Perguntas Que Sempre Quiseste Fazer a um Hacker Ético"


Van Ess publicou ferramentas públicas no seu site para buscar posts contendo uma palavra-chave num dia, mês ou ano específico, além de num período de tempo. O formador do OSINT Michael Bazzell tinha algumas ferramentas de busca do Facebook no seu site, incluindo uma para encontrar todas as fotos em que um utilizador do Facebook tinha comentado. Outro serviço chamado StalkScan, comandado pelo hacker ético Inti De Ceukelaire, permitia aos utilizadores optimizarem buscas semelhantes.

“A busca normal do Facebook simplesmente não tem a mesma funcionalidade: mostra poucos resultados e o menor período de tempo que podes pesquisar é um mês”, escreveu Nick Waters, membro do Bellingcat, numa carta pessoal a um funcionário do Facebook, que Waters partilhou com a Motherboard.

Mas, na sexta-feira, a Graph Search parou de funcionar, segundo vários investigadores de redes sociais e gestores de ferramentas. “O StalkScan actualmente não está disponível devido a mudanças feitas pelo Facebook”, lê-se num anúncio no site do StalkScan. Bazzell também teve uma série de outras questões relacionadas com o seu site, com o seu host a ameaçar derrubar o site a menos que ele removesse as suas ferramentas, garantiu Bazzell num episódio do seu podcast publicado no último fim-de-semana. “Na mesma altura em que toda a gente estava a relatar que a Graph do Facebook estava fora de serviço, o meu site caiu completamente e fui suspenso do webhost. Pode ser coincidência; não estou a culpar o Facebook. Só estou a dizer: quais são as probabilidades de tudo isto acontecer ao mesmo tempo”, sublinhou.

Grupos que usam essas ferramentas para pesquisar informação de interesse público já sentiram parte do impacto. No sábado, Waters recorreu ao Twitter para pedir ajuda para encontrar material que o pudesse ajudar numa investigação do Bellingcat sobre ataques aéreos no Iémen. “Agora que a Graph Search foi retirada, tornou-se evidente que a ferramenta era usada por secções incrivelmente importantes da sociedade: de investigadores de direitos humanos e cidadãos à procura de responsabilizarem os seus países, a membros da polícia que investigam tráfico humano e escravidão sexual, até socorristas”, explica Waters à Motherboard num chat online.

Van Ess também partilhou com a Motherboard várias mensagens que diz terem vindo de pessoas à procura de ferramentas e actualizações alternativas, incluindo jornalistas e empresas a investigarem corrupção. Mas, as ferramentas também eram abusadas. Bazzell disse no seu podcast que, apesar de o seu site enfrentar muitos ataques maliciosos, a secção de ferramentas era particularmente visada, com pessoas a usarem-na para tarefas automatizadas. “As minhas ferramentas online sempre foram abusadas”, salientou Bazzell no podcast. E acrescentou: “Há várias empresas a tentarem usar as minhas ferramentas de PHP para colectar informação em massa. A minha ferramenta de busca no Facebook era frequentemente abusada por pessoas que submetiam milhares de pedidos por minuto para traduzir nomes do Facebook em número de documento de identidade e, depois usar essa informação como parte do processo de criação das suas bases de dados”.

Um porta-voz do Facebook diz à Motherboard por e-mail: “A maioria das pessoas usa a busca do Facebook com palavras-chave, um factor que nos levou a parar alguns aspectos da graph search para nos focarmos em melhorar a busca por palavra-chave. Estamos a trabalhar com investigadores para garantir que eles tenham as ferramentas que precisam para usar a nossa plataforma”.

Por sua vez, uma fonte que não tinha conhecimento directo das mudanças, mas que actualmente é um funcionário técnico do Facebook, realça à Motherboard que há “muita luta interna e externa no que diz respeito a dar acesso a informações para que as pessoas possam encontrar amigos ou pesquisar coisas (como o Bellingcat)e proteger essas informações”. A Motherboard garantiu anonimato para que a fonte falasse sinceramente sobre os processos internos do Facebook.

A mudança parece também ter dado início a uma espécie de jogo do gato e do rato entre a comunidade OSINT e o Facebook, com a comunidade a tentar encontrar atalhos antes que o Facebook supostamente também derrube essas novas técnicas. “Arranjei as minhas ferramentas cinco vezes e, de todas elas, depois de duas horas, as ferramentas eram inutilizadas pelo FB. Outros criadores de ferramenta tiveram a mesma experiência”, garante Van Ess.

Van Ess diz que encontrou várias alternativas que ainda permitem a mesma capacidade de busca, e agora tem uma senha a proteger o seu site para que apenas pessoas aprovadas possam usar as ferramentas. Van Ess deu à Motherboard acesso para verificar as ferramentas; a Motherboard confirmou que, até ao momento da publicação deste artigo, algumas delas funcionam, outras não.

No seu podcast, Bazzell disse que as suas ferramentas do Facebook estavam a funcionar novamente depois de as ter actualizado. Bazzell confirmou que tinham alguns problemas e algumas estavam a usar a versão do site para telemóvel, mas garantiu que estava “a recuperar essa funcionalidade”. Estas ferramentas estão agora na secção apenas para membros do site de Bazzell, mas antes eram públicas. O Bellingcat planeia publicar uma carta aberta dirigida ao Facebook relativa às mudanças. Até à publicação original deste artigo [10 de Junho], o Bellingcat estava a editar a carta.

Em Março último, o CEO do Facebook Mark Zuckerberg revelou que a empresa queria focar-se na privacidade dos utilizadores. Esse anúncio surgu depois de vários problemas de privacidade e segurança, incluindo o episódio da Cambridge Analytica. Logo depois, o Facebook anunciou que tinha acidentalmente armazenado centenas de milhões de senhas em texto simples.

AVISO: o autor deste artigo já fez um curso de inteligência de código aberto do Bellingcat, que pagou do próprio bolso.


Subscreve o nosso novo podcast de cibersegurança, CYBER.

Segue a VICE Portugal no Facebook, no Twitter e no Instagram.

Vê mais vídeos, documentários e reportagens em VICE VÍDEO.