Como Não Ser Hackeado Na Maior Conferência Mundial de Hackers

Antes mesmo de chegar ao Rio Hotel, em Las Vegas, para a Defcon, a gigantesca convenção de hackers que atrai milhares de baderneiros digitais, recebi um conselho simples, mas alarmante: sob circunstância alguma utilize o wi-fi gratuito do evento. Não acesse nada no seu telefone que tenha alguma senha que você não quer os outros os saibam. E, para uma dose extra de segurança, leve um notebook descartável.

Como não sou o Batman, eu não tenho um notebook descartável. O único que tenho, um Macbook de 2007, poderia ser o descartável de alguém a essa altura do campeonato, mas não é o caso.

Então eu faço o que posso: desligo o wi-fi no computador antes de chegar no hotel. Mudo as configurações do meu celular para desligar wi-fi, Bluetooth e dados. Isso dá um jeito na tentação de checar qualquer um dos meus aplicativos protegidos por senha, já que não tenho mais acesso à internet. Meu celular não é mais um smartphone. Sei que é puramente psicológico, mas ele até parece mais leve na minha mão, como um corpo que perdeu apócrifos 21 gramas de alma humana. Não é mais um dispositivo de aperfeiçoamento. Ele não me conhece mais. É só um pedaço de metal. A única internet que acesso (para ler sobre o caso do Hack de Bilhões de Senhas Russo, por exemplo, ou como não ser hackeada na Defcon) é aquela à cabo, segura, na sala de imprensa. Então está tudo bem, acho.

Mas penso sobre as outras pessoas, as inocentes. O Rio é um hotel de luxo e um cassino enorme com quatro piscinas, três gigantescas hidromassagens, dois bares e infinitas mesas de pôquer e 21, além de mesas com roletas. Ele atende outros hóspedes além daqueles que estão na Defcon e a outra conferência hacker enorme que a precedeu, Black Hat.

A senhorinha chinesa de chinelos no elevador provavelmente não é uma engenheira de segurança da informação. Os vacilantes manos curtindo um fim de semana de solteirões poderiam muito bem ser os mais bem disfarçados federais do FBI. Os namoradinhos no bar estão usando o Facetime, então claramente não desligaram seus aplicativos nem os dados do celular. E chutaria que também não desligaram o wi-fi.

Um representante de uma empresa de segurança que conheci na fila para credenciamento responde minha pergunta de forma relativamente sucinta. Os outros hóspedes do hotel? "Eles são danos colaterais."

Ele e seus amigos adicionam algumas dicas ao conselho que já havia recebido: não mande nenhuma mensagem de texto que você não gostaria que ninguém lesse. Não abra links em mensagens mesmo que elas venham de gente que você conhece. Uma moça do grupo, dizem, já havia recebido uma mensagem do marido que continha um link com vírus.

Ah, também não use nenhum dos caixas eletrônicos do hotel.

Claro, pessoas de férias em Vegas não estão exatamente se protegendo hackers à moda antiga, ou seja, pelo crupiê ou pelo caça-níqueis. (Depois de uma noite vergonhosa na roleta, posso atestar este fato pessoalmente.) Ainda assim, visitantes em Vegas já tem em mente algum tipo de risco calculado. Há uma chance, ainda que improvável, de que algum deles volte pra casa rico. Ser hackeado não tem lá muitas vantagens.

Dou outra espiada desconfortável pelo cassino e por mais que eu não seja o Batman, agora me sinto em Gotham City: todos estes turistas sem nome, estranhos, transeuntes, cada um deles ignorante das ameaças virtuais iminentes entre as palmeiras. (A Aliança de Ciber-Segurança Nacional dos EUA alerta sobre "roubo de identidade, fraude financeira, perseguição, bullying, invasões, falsificação de e-mails, pirataria de informações e contrafação, crimes relacionados à propriedade intelectual, e mais".) Eu deveria, tipo, fazer algo?

Com a esperança de que um anúncio de utilidade pública tenha sido repassado aos civis no hotel avisando sobre as várias ameaças em potencial no ar, chego na mesinha em que está escrito "Segurança" para obter mais informações.

O guarda lá, um senhor de meia-idade com um sotaque de Nevada e muito gel no cabelo, não está muito interessado em falar comigo. Não quero lhe dar a impressão de que quero expor alguma falta de profissionalismo – a forma mais certeira de se perder uma entrevista, especialmente em Las Vegas – então só digo que tenho algumas perguntas. A quem posso perguntar? Posso perguntar a ele?

Não.

E seu gerente?

Não, ele acha que não.

Ele está aqui? Eu pergunto. Eu posso esperar.

Ele diz que terá que falar com o pessoal da empresa para marcar qualquer tipo de entrevista, e finalmente consente em ligar para o seu gerente para pedir o número para que eu possa falar com os responsáveis pela autorização.

Vagarosamente ele pega o telefone e tem uma breve conversa em que nem tenta disfarçar seu ceticismo sobre mim e minha empreitada. Então ele desliga e diz que não tem o número em mãos, mas que se eu voltasse depois, poderia tentar consegui-lo pra mim.

Alguns minutos depois, estou no elevador do hotel com outra pessoa. Tentando entrevistar alguém sobre como se sentem ao estar um hotel lotado de hackers, pergunto a ele se está lá por conta da conferência. Aí meus planos vão por água abaixo porque ele está lá por conta da conferência, e acho que peço conselhos para minha própria segurança. Ele diz pra não me preocupar muito. "Você provavelmente ficará bem contanto que não use os caixas eletrônicos ou o wi-fi e use o celular o mínimo possível."

Só que isso é meio esquisito. Qualquer um com quem falo é bacana e prestativo, enquanto desenvolvo estratégias para não ser hackeada.

"Nerds e hackers são as pessoas mais simpáticas que você conhecerá em sua vida", diz um dos organizadores voluntários do evento (no dialeto do Defcon conhecido como "Goon"). "Se você deixasse seu iPhone no chão, alguém o levaria até você."

Mas então o pressiono: não é muito simpático hackear quem está no hotel, né?

"Isso é diferente. Isso é tipo uma piada besta."

Como muito do que rola em hackeamento, o que acontece na Defcon é uma brincadeira de pega-pega. A maioria destes caras – a maioria é composta por caras mesmo – é white hat, ou seja, hackers "do bem". Seu objetivo não é roubar as identidades das pessoas, só assustá-las, alertá-las, e talvez rir um pouquinho às suas custas. Ei, pode ser que as vítimas deles aprendam um pouquinho sobre segurança também.

Mas e os black hats (os tais hackers "do mal") presentes? E os policiais infiltrados?

Muitas horas depois de minha primeira tentativa, volto à "Segurança", onde me impressiono ao notar que o mesmo guarda de antes agora tem o número que preciso. Ele anotou pra mim em um papel. Agradeço e pergunto se ele pode me fazer um favor: se ele teria como me avisar se alguém reclamasse sobre ser hackeado.

Ele fica confuso. "Como assim? Tipo por um setor do cassino?"

Não, digo, tipo uma pessoa hospedada ali.

Agora ele está ainda mais desnorteado que antes. "Seria a primeira vez que eu ouviria falar disso."

Explico a ele que estou perguntando porque tem uma conferência hacker rolando bem ali. Ele não tem muito a dizer sobre isso ou nem parece entender direito do que diabos estou falando. Mas me diz que seria contra o protocolo me falar qualquer coisa a respeito de qualquer outra, sem passar por seus superiores. Bela segurança operacional, pensei.

No decorrer dos próximos dois dias, deixo mensagens no telefone que me foi passado mas ninguém responde.

A situação é um interessante microcosmo do mundo agora: algumas pessoas tem como tocar o terror nas outras, e a maioria destas outras pessoas não faz a menor ideia disso e segue a vida numa boa sem nem pensar em qualquer ameaça. Talvez com a persistente cobertura da mídia sobre hackers que querem nossas senhas e cartões e identidades e a mudança geral nas conversas como resultado das revelações de Edward Snowden, agora as pessoas ao menos têm noção de que podem ser hackeadas. Mas, basicamente, você teria que ser metódico e muito precavido para se valer de qualquer medida de segurança cibernética mais eficaz que simplesmente pensar, às vezes, "cacete, espero que não tenha ninguém me hackeando agora".

No decorrer o dia, tenho muitas oportunidades de entrevistar um civil, alguém que claramente não faz parte de nenhum dos eventos sobre hackers e como se sentem cercados por eles. Mas quando a chega a hora, me falta a coragem. Eles estão curtindo férias com a família. Estão curtindo um amorzinho. Tendo casos. Estão tentando cometer alguns erros interessantes. Por que estragar a diversão? Por que interferir em sua agradável ignorância? O que acontece aqui fica aqui, e pro ifnerno com a paranoia.

Finalmente, abordo um grupo de pessoas na área dos caça-níqueis e pergunto a eles como se sentem estando no mesmo hotel que milhares de hackers. Eles não sabiam dos eventos, nem haviam visto os tais 14 mil participantes da Defcon. Um deles deu de ombros para a ameaça. "Não tenho nada a esconder", disse, com a mão na alavanca de uma das máquinas. A máquina tinha um hambúrguer enorme estampado e se chamava "Double Triple Diamond Deluxe with Cheese".

Mas e o seus cartões de crédito?

"Não faço muitas compras online."

As duas outras mulheres ao seu lado pareciam mais interessadas. O ato de hackear parecia uma ameaça obscura para elas. "Nunca aconteceu com a gente", disse uma delas, e então traduziu para sua amiga curiosa, que não fala inglês. "Obrigado por nos avisar", disseram (falei sobre a possibilidade de hackeamento por wi-fi).

Aqueles que são invadidos pelo wi-fi são punidos com o envio de suas informações para o infame "Mural das Ovelhas" (Wall of Sheep, em inglês) presente na conferência – uma projeção do tamanho de uma parede que mostra seus endereços de email, senhas censuradas e endereços de IP em uma tela gigantesca. "O lance é envergonhar", explica outro Goon da conferência. "Só fazemos isso para mostrar o quão inseguras são nossas redes." Especialmente já que é improvável que algo de ruim saia daí. "O objetivo", um profissional de segurança me releva, "é hackear outros hackers".

Ao googlar alguns endereços de email, consigo identificar as pessoas hackeadas. Entre elas, um desenvolvedor de software da Rackspace.com. Um holandês especialista em segurança da informação. Um early adopter que conseguiu o endereço John@ de algum grande provedor de email. Tem uma pessoa com um endereço engraçadinho da AOL.

Para os profissionais de tecnologia, ser hackeado desta forma, expostos em um placar eletrônico como tantos outros no cassino adjacente, é vergonhoso, mas é só diversão. E quanto àqueles danos colaterais bronzeados demais, recém-casados, bêbados, de ressaca, sóbrios, quase casados, aposentados, adúlteros, falidos, esperançosos, bons nas cartas, ruins nas cartas, sendo rapelados, faturando pacas? Aquelas pessoas que possivelmente precisam de um alerta? Esta é a melhor chance que tem de serem hackeados pro seu próprio bem.

Até onde sei, escapei ilesa. O que levanta outra questão essencial e não respondida sobre hackers e afins, esta beirando o filosófico: se você é hackeado em uma floresta de hackers e nunca descobriu, você foi hackeado mesmo?

Siga Lucy no Twitter: @lucyteitler.

Tradução: Thiago "Índio" Silva