Agora toda a gente pode fazer hacking

Resumo

Raramente escrevo sobre notícias aqui. Os incidentes do dia a dia não dão artigos intemporais. Mas este ano mudou algo na cibersegurança, e não é uma única vulnerabilidade. É que agora toda a gente pode fazer hacking. Dá a um modelo de linguagem um ponto fraco, ou apenas uma direção, e ele encontra a falha e, se o deixares, o exploit. A pergunta "porque é que me iriam atacar a mim?" perdeu o sentido. Está na hora de apertar!

Texto completo

Desta vez a escala é diferente

Esta semana, uma vulnerabilidade crítica atingiu uma linguagem de programação em que assenta grande parte da web. Matthew Prince, o CEO da Cloudflare, fez a contagem no X (22 de outubro de 2026): milhares de tentativas de exploit nas dez horas anteriores ao anúncio público, dezenas de milhares nos 45 minutos seguintes, centenas de milhares em duas horas, milhões no dia seguinte. Jason Clinton, responsável de segurança da Anthropic, escreveu no mesmo dia: vai já ter com a tua administração e pede ajuda, não para a AI, mas para o essencial.

Eis porque acho que isto é mais do que uma semana má. A maior parte do código na internet nunca foi lida por uma máquina que o compreenda. Muitas falhas ficaram escondidas por serem obscuras, abstratas ou matemáticas. Um humano precisava de verdadeira perícia de hacker, de tempo e de alguma sorte para encontrar uma. Um modelo tem a paciência e a acuidade para testar muito mais vetores de ataque, em muito mais código, do que qualquer equipa de pessoas. Bots e agentes varrem a web de forma sistemática, a uma escala e com uma capacidade que nunca tínhamos visto, e melhoram todos os meses. Ninguém é pequeno demais para ser encontrado.

Apertar a segurança

Não há nenhum truque novo. O essencial é o mesmo há vinte anos. O que mudou foi o preço de o ignorar.

• Mantém-te atualizado. Instala as atualizações de segurança depressa, de forma automática sempre que possível. A janela entre um anúncio e a exploração em massa é hoje de minutos, não de semanas.
• Faz cópias de segurança. Fora das instalações, rotativas e encriptadas. Uma só cópia não é uma cópia de segurança.
• Testa as tuas cópias de segurança. Consegues mesmo restaurá-las? Faz o teste, cronometra, e repete no trimestre seguinte.
• Reduz a tua superfície de ataque. Menos componentes em execução, menos serviços públicos, menos peças que não controlas. Cada plugin, cada conta e cada serviço é uma porta.
• Parte do pior cenário. E se amanhã todos os teus dados forem roubados e tornados públicos? Pensa nisso hoje e retira da mesa, logo à partida, o que puderes. Os dados de que não precisas, não os guardes.
• Vigia. Mantém um olhar forte e automatizado sobre os teus registos. O estrago é decidido pelo teu tempo de resposta à primeira anomalia, não pelo ataque em si.

Os anos da DigiDef

De 2015 a 2019 fiz este trabalho com nome próprio: DigiDef, um gabinete de defesa digital. Auditorias de segurança a servidores, sites e apps, auditorias de cópias de segurança antes de elas serem mesmo precisas, revisões de código-fonte e, depois do facto, investigar como os hackers entraram. Parte disso escrevi-a aqui: cinco dicas fáceis para proteger o teu servidor, os problemas de segurança do alojamento partilhado, dez dicas para WordPress e, mais tarde, um esquema de rotação de cópias de segurança. O digidef.nl está agora offline, mas achei o trabalho da DigiDef tão importante que o tornei parte integrante de tudo o que faço: sites gerados de antemão, sem nada no servidor com que um visitante possa falar, servidores com o mínimo possível de portas abertas, registos que são lidos todas as noites e cópias de segurança que são mesmo restauradas.

Mãos à obra

É assim que isto se vê no meu próprio trabalho. Desde 2016, todos os sites que construo são gerados de antemão: as páginas são feitas uma só vez, como ficheiros, e o servidor limita-se a entregá-las. Não há nenhuma aplicação por trás do pedido de um visitante que possa ser levada a fazer o que não deve. Isso torna os sites mais rápidos e mais simples, e deixa muito pouco para atacar. Menos peças em movimento é a ideia toda.

Todos os meus servidores enviam cada linha de registo para o sistema de registos unificado da plataforma: cerca de 1,7 milhões de sinais por dia, ordenados por tipo e contados ao minuto. Todas as manhãs, uma ronda de segurança lê tudo isso, à procura do que foge à norma: tipos de linhas nunca vistos, pressão de tentativas sobre o correio e o ssh, renovações falhadas, bloqueios, um serviço a responder com erros. A mesma ronda compara cada anfitrião com o dia anterior: atualizações de segurança pendentes, portas abertas, utilizadores, chaves, tarefas cron, e a lista de vulnerabilidades conhecidas face ao que está realmente instalado. Só fala quando é preciso uma mão.

As cópias de segurança saem todas as noites, para outro local, por uma porta de sentido único: a máquina de produção decide o que sai, e o lado recetor não consegue voltar a entrar. Os snapshots são feitos depois da cópia, por uma conta separada, de modo que mesmo um emissor comprometido não consegue apagar o histórico. Depois, uma verificação independente percorre o espelho por fora, compara uma amostra byte a byte e emite um veredicto. Já apanhou mais do que uma vez a cópia de segurança a dar um falso verde. De vez em quando corro um verdadeiro cenário de recuperação de desastre, como fiz para um dos meus clientes: partir só das cópias de segurança e repor o serviço noutro sítio. A falha que descobres assim, aquele ficheiro que a cópia noturna nunca incluiu, nunca aparece num relatório que só diz OK. E mantenho-me a par através das pessoas em Silicon Valley que constroem estes modelos e se defendem deles; as duas citações acima vêm desse círculo.

Uma maratona, não uma corrida de velocidade

Ninguém está seguro. Quanto mais sabes e compreendes de cibersegurança, mais percebes que não há solução rápida. É um esforço contínuo, e parece-se muito mais com uma maratona do que com uma corrida de velocidade. Manténs um ritmo que consegues aguentar, olhas para a estrada à frente, corriges o que encontras hoje e, amanhã, voltas a olhar.

Conclusão

A cibersegurança deixou de ser uma probabilidade teórica. Bots e agentes varrem a web de forma sistemática, a uma escala que nenhuma equipa humana consegue igualar, e encontram o que ficou escondido durante anos. A resposta não é um produto novo. É o essencial, bem feito e feito outra vez: mantém-te atualizado, faz cópias de segurança e testa-as, corre menos componentes, parte do pior cenário e vigia os teus registos. Não sabes ao certo onde estão as tuas portas? Envia-me uma mensagem, faço isto há muito tempo. Os bots já estão a correr. É melhor atares os ténis.