Envie isso para as pessoas da sua vida. Qualquer pessoa que usa a internet, ou seja, basicamente todo mundo, precisa saber o que está acontecendo e o que pode fazer para se proteger.
Neste exato momento, enquanto você lê isso, enxames de agentes de IA provavelmente estão tentando invadir os sites que você usa. Não apenas um deles. Muitos deles.
Estamos no meio do maior momento de cibersegurança dos últimos anos. Alguns especialistas em segurança já estão chamando isso de Outubro Negro.
Não estou escrevendo isso para te assustar. Muito disso está fora do seu controle. Mas existem coisas simples que você pode fazer para se proteger, e qualquer atitude é melhor do que nenhuma.
A cada hora desta semana, um novo ataque veio à tona. Quando você terminar de ler este texto, provavelmente haverá mais um.
Então, aqui está o que está acontecendo e o que você deve fazer a respeito.
O que está acontecendo agora mesmo
Se isso for muita informação neste momento, fique à vontade para pular direto para o que fazer sobre isso. Mas eu realmente recomendo ler tudo.
Ontem, uma falha grave foi revelada no PHP, o software por trás de cerca de 70% dos sites.
Pense assim: alguém descobriu que milhões de prédios no país têm a mesma fechadura quebrada, e agora todo mundo sabe como abri-la. O fabricante da fechadura enviou um conserto, mas cada dono de prédio precisa instalá-lo por conta própria, e muitos ainda não fizeram isso.
Em duas horas após a notícia, invasores estavam testando essa fechadura centenas de milhares de vezes, de acordo com o CEO da Cloudflare. Agora são milhões. A Amazon diz que alguém já estava testando quatro dias antes do anúncio, e seu chefe de segurança afirma que a falha "agora está sendo amplamente explorada na natureza." (Isso é a Amazon soando o alarme, não a Amazon sendo hackeada.) Até agora, ninguém confirmou uma invasão bem-sucedida por essa brecha, mas os atacantes estão tentando em todos os lugares. Por precaução, a organização que administra a Wikipedia desligou alguns de seus sistemas, e governos da Holanda, Finlândia, Alemanha, França e outros países tiraram sites do ar.
Essa é apenas uma história, e é só a ponta do iceberg. Estou compartilhando algumas das maiores. Se eu listasse tudo, você passaria horas lendo.
- Um grupo de hackers alinhado ao Estado chinês usou uma ferramenta de invasão com IA para tentar invadir mais de 2.000 organizações por meio de um serviço de backup do qual empresas de TI dependem, segundo a Microsoft.
- Uma plataforma em nuvem usada por cerca de dois milhões de desenvolvedores informou que as chaves secretas dos clientes podem ter sido acessadas. Um amigo meu teve alguém drenando sua conta com uma delas esta manhã.
- O maior banco da Índia disse que os dados pessoais de quase 3.900 clientes foram expostos na dark web.
- Uma quadrilha criminosa usou ferramentas de IA para atacar mais de 400 bancos e instituições financeiras em toda a América Latina.
- Hackers invadiram 16 instituições financeiras na Coreia do Sul, incluindo grandes bancos.
- O governo do Japão orientou as empresas a reforçarem suas defesas após violações que podem ter exposto os dados de dezenas de milhões de pessoas.
- Os sites e aplicativos do Stop & Shop, Hannaford e Food Lion ficaram fora do ar por mais de uma semana.
- O FBI, a NSA e três outras agências alertaram que hackers usando scripts de ataque escritos por IA estão mapeando os sistemas que controlam usinas de água, energia e fábricas.
Os governos viram isso chegando. Em junho, os EUA e seus aliados mais próximos alertaram sobre invasões impulsionadas por IA: "O prazo não é de anos, é de meses." Quatro meses depois, aqui estamos nós.
A versão original deste post está disponível aqui.
Por que isso é diferente
Você ouve falar de hacks há anos. Aqui está o que mudou.
Todo prédio tem pontos fracos: uma janela que não trava, uma porta dos fundos com uma fechadura barata. Com o software é a mesma coisa. Ele está cheio de pontos fracos ocultos. Durante décadas, encontrá-los exigia pessoas raras e altamente qualificadas, e não havia muitas delas. Essa era a nossa proteção. Não eram boas fechaduras. Apenas a escassez de ladrões.
Essa escassez acabou. Três coisas aconteceram ao mesmo tempo.
Primeiro, a IA agora consegue encontrar os pontos fracos. A falha no PHP foi encontrada com a ajuda da IA, e ferramentas de IA estão encontrando milhares de bugs que passaram despercebidos por anos.
Segundo, a IA agora consegue invadir por conta própria. Nenhum hacker habilidoso é necessário. Uma pessoa deu aos agentes de IA instruções mais curtas que um tweet, menos de 100 caracteres chineses, e os deixou trabalhar praticamente sozinhos. Eles invadiram sites de mais de 100 empresas, incluindo a John Deere, a um custo estimado de US$ 50 por invasão. Eles não dormem nem ficam entediados. Apenas continuam tentando até encontrar uma forma de entrar.
Terceiro, os defensores estão correndo para acompanhar o ritmo. Cada ponto fraco ainda precisa ser corrigido, testado e instalado, em milhões de sistemas administrados por pessoas que já estão sobrecarregadas. Mesmo para os bugs mais graves, leva cerca de duas semanas em média apenas para lançar uma correção, e muitos sites nunca chegam a ser corrigidos. A empresa de segurança Cisco estima que cerca de metade dos servidores conectados à internet que rodam esse software são antigos demais para receber a correção oficial.
Junte tudo isso e você terá um jogo de gato e rato onde os atacantes só precisam vencer uma vez. Essa diferença entre atacantes e defensores é o que você vai ver se desenrolar nas notícias nos próximos dias.
Isso vai continuar acontecendo e vai piorar
Esta não é apenas uma semana ruim. É o começo de algo para o qual todos precisamos estar preparados.
Basta olhar os números. A empresa de segurança CrowdStrike diz que os ataques que observa e que provavelmente envolvem agentes de IA mais que dobraram em agosto e dobraram novamente em setembro. E se esta semana servir de indicação, isso está apenas acelerando. A IA continua melhorando a cada poucos meses, enquanto fica mais barata de operar. As ferramentas que os hackers usam hoje são as piores que eles já terão.
As ferramentas também já estão soltas por aí. Quando uma ferramenta de invasão com IA foi ligada a ataques contra bancos coreanos, seu criador parou de lançá-la publicamente e a página de download saiu do ar. Mas não importou. Qualquer pessoa que já a tenha baixado ainda pode usá-la.
A boa notícia, no entanto, é que os defensores também têm IA, e ela está encontrando e corrigindo pontos fracos mais rápido do que nunca. Eventualmente, o software será muito mais difícil de invadir do que é hoje. Mas, neste momento, o ataque está à frente da defesa, e pode continuar assim por um tempo.
O que isso significa para você
Neste momento, grandes bancos dos EUA, incluindo JPMorgan, Bank of America e Wells Fargo, estão encontrando agentes de IA não autorizados dentro de contas de clientes, segundo o Axios. Alguns foram configurados pelos próprios clientes, mas muitos bancos não conseguem distinguir quais estão agindo em nome do cliente e quais não estão. Executivos de bancos descreveram a situação como "aterrorizante". O Axios não relatou nenhum dinheiro roubado.
Mas, para a maioria das pessoas hoje, o maior perigo ainda envolve três coisas. Seus dados vazam, então golpistas sabem seu nome, data de nascimento, endereço e banco, e as ligações e mensagens deles parecem reais. Suas contas são tomadas por meio de algum site que você usou uma vez, anos atrás, com a mesma senha que você usa em todos os lugares. E as coisas das quais você depende, como um aplicativo, uma farmácia ou o site de uma loja, ficam fora do ar por dias.
Para deixar claro: isso está em andamento, mas os piores cenários dos quais as pessoas mais têm medo não aconteceram. Espero que nunca aconteçam. Mas é melhor prevenir do que remediar, especialmente porque isso vai continuar acontecendo.
O que fazer hoje
Primeiro, fique longe de sites que você não conhece até isso passar. Mantenha-se nos grandes e conhecidos: seu banco, Amazon, Google. Sites pequenos são os menos propensos a terem aplicado a correção, e você não tem como saber olhando de fora. Nas próximas semanas, não digite senhas ou números de cartão em nada que não seja familiar.
Segundo, atualize tudo: seu celular, seu computador, seu tablet e seu navegador. Quando as próprias Configurações do seu celular ou computador disserem que há uma atualização disponível, instale-a. Essa é a sua fechadura. Faça o mesmo com o seu roteador e, se ele for tão antigo que não recebe mais atualizações, troque-o. Mas nunca instale uma "atualização" vinda de um pop-up em um site ou de um link em uma mensagem de texto ou e-mail. Esse é um golpe comum. Não sabe como fazer nada disso? Aqui está um guia simples passo a passo.
Terceiro, feche as portas que você não está usando. Desconecte dispositivos inteligentes que você não precisa e apague aplicativos que não usa. Cada coisa conectada é outra porta de entrada.
Quarto, proteja sua conta bancária. Se alguém te ligar, mandar mensagem ou e-mail pedindo sua senha ou um código que acabou de chegar no seu celular, é golpe. Sempre. Esses códigos servem apenas para você digitar no aplicativo ou site oficial do seu banco. Trate toda ligação, mensagem ou e-mail sobre o seu banco como suspeito até que você mesmo verifique: não clique nos links deles e não ligue de volta para o número que eles fornecerem. Desligue e ligue para o número no verso do seu cartão. Se for realmente o seu banco, eles poderão ajudar.
Só digite seu usuário e senha bancários no aplicativo ou site oficial do seu banco. Não os forneça a mais ninguém, incluindo um assistente de IA ou outro aplicativo, não importa o quão útil pareça. O Chase diz para não entregá-los a ninguém. Ative o login em duas etapas para o seu e-mail e para o seu banco (veja como aqui) e pare de reutilizar senhas. Um gerenciador de senhas facilita isso, e seu iPhone ou Android já tem um embutido.
Se quiser ter cuidado extra, guarde um pouco de dinheiro em casa, o suficiente para compras de supermercado por alguns dias, além de comida e água. Esse é um kit de emergência normal, e vale a pena ter de qualquer maneira.
O que eu não faria é sacar seu dinheiro do banco. O pânico é exatamente aquilo com que os golpistas contam. Se um banco em si falir, os depósitos em bancos segurados pelo FDIC são protegidos até US$ 250.000 por pessoa, por banco. Esse seguro não cobre dinheiro roubado de uma conta hackeada. Mas as regras federais geralmente limitam o que você perde em transferências não autorizadas se você as reportar rapidamente, então verifique suas contas com frequência e ligue para o banco imediatamente se algo parecer estranho. O dinheiro que você é enganado a enviar por conta própria é muito mais difícil de recuperar, e é por isso que as ligações fraudulentas são o maior perigo.
Os próximos dias vão ser estranhos. Mais anúncios estão por vir. Minha esperança é que a maioria das coisas continue funcionando. Apenas faça o básico hoje.
Envie isso para as pessoas da sua vida agora mesmo. Seus pais, seus avós, seus amigos, seus grupos de chat. Qualquer pessoa conectada à internet, ou seja, literalmente todo mundo, precisa saber o que está acontecendo. As pessoas com menor probabilidade de ouvir sobre isso são as que têm maior probabilidade de serem prejudicadas por isso.
A versão original deste post está disponível aqui.
