Um colecionador de vírus eletrônicos. Assim poderia ser definido Mikko Hypponen, um dos maiores especialistas do mundo em segurança virtual e diretor de pesquisas da F-Secure, empresa que provê soluções de antivírus para operadoras de telecomunicações, inclusive para a brasileira Vivo. Hypponen tem em seu computador planilhas com a listagem de milhões de vírus para computadores e agora também alguns milhares para celulares. Em uma pasta, cataloga fotos dos hackers que conseguiu identificar ao longo de sua carreira. De alguns sabe até os nomes verdadeiros. As informações são sempre encaminhadas para a polícia. Hypponen, contudo, não gosta de ser comparado a um detetive. "Eu não uso disfarce", rebate.
O pesquisador conversou com Mobile Time durante o último Mobile World Congress, em Barcelona, e falou sobre as tendências em códigos maliciosos para celulares, como alguns que realizam chamadas para o Polo Sul sem o cliente perceber. E fez um alerta: em termos de segurança, o Android está se tornando o Windows XP da mobilidade. Leia abaixo a entrevista.
Mobile Time – Quais são as maiores ameaças à segurança de usuários de smartphones atualmente?
Mikko Hypponen – Os problemas de segurança mais comuns em telefones celulares hoje em dia não são malwares (códigos maliciosos), mas coisas práticas, como ter o aparelho roubado, perdido, ou deixá-lo cair em um lago. São problemas fáceis de resolver com soluções móveis antifurto e de bloqueio e exclusão de dados à distância. Essas são os produtos que mais vendemos em segurança móvel. Há também problemas de privacidade, como, por exemplo, aplicativos que coletam dados pessoais sem o conhecimento do usuário. Há casos de aplicações que parecem jogos, mas, na prática, recolhem informações sobre para quem o usuário liga ou envia mensagens. Isso é feito para fins publicitários, tal como fazem Facebook ou Google: conhecer melhor o perfil do usuário para vendê-lo a anunciantes.
Isso não deveria ser informado quando do download do aplicativo? No Android, todas as funções utilizadas pelo app são informadas no ato do download.
Sim, mas no iPhone isso não acontece. E no Android a verdade é que as pessoas clicam em "sim" sem sequer lerem tudo. Existem também problemas reais de segurança, como códigos maliciosos para celulares. 2012 será o ano do Android: a maioria dos malwares móveis estão sendo desenvolvidos para o sistema operacional do Google. O iPhone existe há cinco anos e, surpreendentemente, para uma plataforma tão popular e em evidência, não houve até agora nenhum vírus sequer. Nem trojans ou backdoors. É uma conquista reconhecível. É preciso dar os parabéns à Apple pelo bom trabalho. O mesmo vale para o Windows Phone 7: até agora nenhum ataque, nenhum malware. No Android a história é diferente.
E por que isso acontece com o Android?
Por duas razões: o Android é o maior e é o mais vulnerável (dentre os sistemas operacionais móveis). São as mesmas razões que afligem o Windows XP em desktops: é o maior e o mais vulnerável. O Android está se tornando o Windows XP do mundo móvel. Não se trata de um sistema operacional ruim. Ele é apenas mais aberto e isso faz parte da estratégia do Google, que queria uma plataforma mais aberta que o iOS ou até mesmo que o Symbian. O efeito colateral de ser mais aberto é ser mais atacado. Tenho uma banco de dados com todos os vírus móveis já identificados por nós desde 2004. No começo eram todos para Symbian, com ocasionais descobertas em J2ME e Windows Mobile. E assim foi até 2010. A partir do ano passado começaram a aparecer mais malwares para Android do que para qualquer outro OS. O Symbian está morrendo como plataforma e está sendo substituído pelo Android.
Algumas semanas atrás, o Google anunciou novas ferramentas e procedimentos para melhorar a segurança no Android Market. Acredita que essas mudanças surtirão efeito? A F-Secure notou alguma redução na quantidade de malwares para Android identificados desde então?
Não notamos grandes efeitos ainda, mas o Google vinha testando essa solução como um protótipo há alguns meses. Eles dizem que em sua contagem oficial de malwares houve uma queda de 40%. Eu acredito neles. A tecnologia que usam é parecida com aquela utilizada pela Apple na App Store, que é muito eficiente. O problema é que a maioria dos códigos maliciosos para Android que identificamos até o momento não vieram do Android Market, mas de lojas de terceiros, principalmente na Rússia e na China, onde o Google não pode tomar nenhuma providência legal.
Recentemente, um executivo do Google criticou as empresas de antivírus, dizendo que elas seriam alarmistas em relação ao Android.
Foi muito pior que isso. Ele nos chamou de trapaceiros. Eu é que deveria chamá-lo de trapaceiro! Ele deu a entender que estaríamos fazendo algo antiético. Nós queremos ajudar as pessoas. Não é justo.
Quando espera que surgirão os primeiros vírus para Windows Phone?
Como eu disse, até agora nada foi encontrado. É uma plataforma ainda com participação marginal de mercado, mas vai crescer. Haverá três principais plataformas móveis: Android, iOS e Windows Phone. Haverá ataques, mas o Windows Phone é muito diferente daquele Windows que temos em nossos computadores. Não será fácil migrar vírus atuais do Windows XP para o Windows Phone.
No Windows Phone só se pode executar aplicações aprovadas pela Microsoft. O módulo de segurança do Windows Phone 7 é similar àquele do Xbox, que é hoje o mais seguro da Microsoft. Ele precisa ser restrito para evitar a pirataria. Não prevejo ataques para Windows Phone em um futuro próximo. Uma vez que os desenvolvedores de vírus migrem para o mundo móvel, eles vão preferir o Android, porque tem uma base maior de usuários. Gerar dinheiro com malwares para Windows Phone 7 no momento é difícil.
Tem ideia de quantos celulares estão infectados por malwares no mundo hoje?
Centenas de milhares de telefones móveis já foram infectados. Mas não dá para saber quantos estão infectados hoje. Não temos muitas estatísticas. Estamos trabalhando com as operadoras para gerar números confiáveis sobre o assunto. No momento seria um chute. Mas com certeza não se trata de um problema de grandes dimensões. É algo marginal, por enquanto. Eu posso te mostrar em questão de minutos a lista com todos os malwares móveis já identificados. Nunca poderia fazer o mesmo com a lista para desktops, porque são milhões de famílias de vírus. Mas o risco existe. Um exploit (programa que se aproveita da vulnerabilidade de um OS) poderia se expandir rapidamente em telefones móveis, mas ainda não identificamos nenhum caso. Imagine um malware global que infectasse seu telefone por uma mensagem de texto, com um exploit feito para SMS. Ele poderia infectar seu telefone enquanto você dorme. E em seguida enviar a mesma mensagem para todos os seus contatos, que por sua vez enviariam para os seus contatos, e o vírus daria a volta ao mundo em dois minutos.
Esse tipo de ameaça nunca foi desenvolvida?
Nunca. Mas poderia ter sido.
E por que ainda não fizeram?
Eu não sei.
Quais são os malwares mais perigosos para telefones móveis no momento?
Aqueles que realizam ligações ou enviam mensagens para números premium, pois roubam dinheiro do usuário. Geralmente o golpe é limitado a um país só, porque esses números premium não funcionam para chamadas internacionais. Vimos muito disso na China, usando números premium chineses. E também em outros países.
Esses malwares vêm disfarçados de jogos?
Tipicamente sim. Já fizeram até com a versão paga do Angry Birds! Eles acrescentam o código malicioso ao jogo e o republicam em lojas de aplicativos. Para o consumidor, parece o Angry Birds original. Houve um caso de um jogo de tiro desenvolvido por uma empresa chinesa que foi copiado por um hacker russo e distribuído com um código malicioso em vários sites independentes de download. O hacker até criou uma página web falsa de desenvolvedor. E o jogo funcionava normalmente para o consumidor. Milhares de pessoas baixaram pensando se tratar simplesmente de um jogo gratuito. Só que, sem o usuário perceber, o telefone ligava para oito números diferentes, em chamadas de dois minutos e dez segundos cada. Aí permanecia inativo por 31 dias e ligava de novo. Ou seja: uma vez por mês, oito chamadas extras. Por que apenas uma vez por mês? Para gerar pequenos gastos extras em cada conta mensal, torcendo para que o dono do aparelho infectado não percebesse. Um dos números tinha código de área do Polo Sul: +882. Outro número era da Somália.
Como os hackers fazem dinheiro com isso?
Os números pertencem a operadoras virtuais e as chamadas, na verdade, são redirecionadas para outros lugares. O cliente, contudo, paga o preço da ligação internacional para o Polo Sul. A diferença é dividida entre a operadora virtual e o hacker. Ou seja: na prática é como se tivessem criado um número premium virtual que funciona no mundo inteiro. Há várias companhias no leste europeu vendendo esses números. Qualquer um pode comprar uma linha da Coreia do Norte, por exemplo, através desses sites. Só que a linha não está fisicamente na Coreia do Norte. Se alguém ligar, você fica com uma parte da receita oriunda da tarifa de interconexão. Não vejo outra razão para alguém comprar um número do Polo Sul que não fique no Polo Sul a não ser com o intuito de fazer uma fraude. Essa é a melhor forma atualmente de se fazer dinheiro com malware móvel.
E essa venda de números virtuais não é um crime…
Exato. Não há nada de ilegal na venda da linha em si.
Os criminosos que desenvolvem códigos maliciosos para telefones celulares são os mesmos que desenvolvem vírus para desktops?
Alguns são. E outros são novos nessa atividade criminosa. Mas conforme o Windows XP perde popularidade e a quantidade de smartphones cresce, os criminosos virtuais dos PCs migrarão para mobilidade. E o alvo principal deve ser o Android. Imagine que você é um hacker que passou os últimos dez anos ganhando dinheiro com malware para Windows XP e agora essa plataforma está caindo em desuso: você vai portar seus malwares para o Windows 7 ou para o Android? Para eles é como um negócio: eles vão investir onde houver mais retorno.
Qual é a nacionalidade mais comum desses criminosos?
A maioria vive na Rússia, na China e nas antigas repúblicas soviéticas, como Ucrânia e Bielo-Rússia. Há também muitos casos na Romênia e em Andorra, que apesar de ser um país pequeno cria uma quantidade desproporcional de vírus em relação ao seu tamanho. O Brasil, por sua vez, é um dos líderes em trojans bancários para desktops.
Já identificaram algum brasileiro que tenha criado um malware para celular?
Sim, uma única pessoa, anos atrás. Ele havia feito um malware para Symbian. Tenho até uma foto dele. [Neste momento, Hypponen mostra em seu laptop uma pasta com fotos de dezenas de hackers do mundo todo identificados pela F-Secure nos últimos anos.]
Você se vê como um detetive?
Não. Eu não uso disfarce.