Hacker alerta: uma em cada duas pessoas pode ser vítima de um ciberataque

Depois dos frigoríficos nos supermercados, foram agora os serviços de doação de sangue a ser alvo de ataques por parte de hackers desconhecidos. Devido à interrupção da refrigeração, as doações tornaram-se inutilizáveis. Um hacker ético explica, numa entrevista à Euronews, como tentam identificar falhas de segurança antes mesmo que os criminosos possam causar danos com elas.

PUBLICIDADE

PUBLICIDADE

“Nas últimas duas semanas, assistimos a uma acumulação extraordinária de casos espetaculares, como nunca tínhamos visto nesta forma, nem mesmo ao longo de um ano inteiro”, explica Marco Di Filippo, especialista em cibersegurança da Whitelisthackers. Ele é o chamado «hacker ético» e é contratado por empresas para avaliar a segurança informática.

Nos últimos tempos, vários casos ocuparam a sua atenção. Desde os AfD-Leaks, passando pelas falhas de segurança na Revolut e na linguagem de script PHP, usada em inúmeras páginas web, até aos ataques contra câmaras frigoríficas. Em 2025, segundo o relatório federal “Cybercrime 2025” do Bundeskriminalamt, registou-se um prejuízo económico de 202,4 mil milhões de euros.

Alemanha: um clique abre a porta do Landesnetz de Berlim aos hackers

Sobre o ciberataque à rede informática do estado de Berlim, em agosto de 2026, Di Filippo diz que se trata de um caso particularmente problemático. Poderia ter sido evitado. Os autores exigiram um resgate de 30 Bitcoin (cerca de dois milhões de euros), mas o Senado de Berlim recusou de forma categórica. No fim, 1,4 milhões de ficheiros confidenciais foram publicados na dark web.

A origem esteve numa falha do sistema digital. O grupo de ransomware “Rhysida”, responsável pelo ataque, explorou o desconhecimento de uma pessoa. “A vítima foi levada para uma página web e aí tinha de confirmar que era um ser humano. Este método de ataque chama-se ClickFix. É algo que se conhece: temos de inserir números, juntar imagens ou resolver uma conta para confirmar que não somos um bot”, explica Di Filippo.

Nessa página, a vítima foi instruída a executar uma determinada combinação de teclas, colar um comando e carregar em Enter. “Com isso, foi a própria pessoa que acabou por abrir a porta aos atacantes”, comenta Di Filippo. Segundo o especialista em segurança informática, é como escrever um e-mail a dizer: “Quero assaltar um banco e passo aí hoje às dez da noite. Deixem a porta encostada para eu ir diretamente ao cofre.”

Para Di Filippo, deste caso retiram-se duas conclusões. Por um lado, a falta de atenção: “Primeiro, houve um utilizador que executou esse comando, o fator humano.” Além disso, esse utilizador nunca deveria ter tido os privilégios necessários para conseguir lançar um ataque deste tipo. “Todos os dias vemos casos destes, que às vezes nos deixam simplesmente a abanar a cabeça”, avalia Di Filippo.

O ser humano como ponto fraco da segurança informática

A probabilidade de ser vítima de um ataque de hackers é de uma em duas. No entanto, segundo o especialista em cibersegurança Marco Di Filippo, da Whitelisthackers, esta perceção continua a ser subestimada até hoje. Na verdade, as pessoas têm mais medo de assaltos ou de tempestades. “No entanto, a probabilidade de eu ser atingido por um raio é de apenas 1 em 200 000”, afirma Di Filippo.

O especialista lamenta que a segurança não seja hoje uma prioridade. “Vendemos muitos produtos em que a usabilidade, a facilidade de utilização, está em primeiro plano”, explica. Existem, por exemplo, casas inteligentes, em que luzes e aquecimento são controlados a partir de qualquer lugar. Frigoríficos de supermercados estão igualmente ligados à internet para serem geridos de forma centralizada. Tudo se torna mais simples, mas não necessariamente mais seguro.

“E é precisamente aqui que hoje temos um défice na nossa educação. Com ‘nós’ refiro-me a todos, a qualquer pessoa que nunca aprendeu a reconhecer também os perigos”, afirma Di Filippo. É na educação que se tem de começar. Quem nunca se viu exposto ao risco de um ataque informático tende a não se ver como possível alvo. Ao mesmo tempo, multiplicam-se as formas de, por exemplo, iniciar sessão em dispositivos alheios.

Por que a cibersegurança começa logo na sensibilização

Em alguns casos, basta clicar numa ligação recebida por SMS ou numa mensagem do WhatsApp e confirmar a identidade para, sem querer, dar acesso aos piratas informáticos às mensagens privadas. Estes associam o seu dispositivo ao da vítima, obtendo assim acesso às mensagens, aos conteúdos multimédia e aos contactos. No início deste ano, o Gabinete Federal para a Segurança da Informação (BSI) alertou para este método, conhecido como "Ghost Pairing". Para evitar que terceiros leiam as suas mensagens, o BSI recomenda que analise as mensagens recebidas "de forma crítica" e que ative mecanismos de segurança, como a autenticação de dois fatores.

Outros países, como a Índia, não só apostam no desenvolvimento tecnológico como também na sensibilização. "Quando ando no metro na Índia, vejo cartazes por todo o lado sobre crimes ou danos cibernéticos, com um número de telefone para onde se pode ligar", afirma Di Filippo. Na Alemanha, por outro lado, as pessoas são, por vezes, simplesmente mandadas embora da esquadra da polícia, tendo de procurar primeiro qual é a entidade competente.

“Todos os dias surgem novos pontos de partida e ideias para ataques”, avisa Di Filippo sobre a rapidez desta evolução. “No caso dos frigoríficos, os hackers descobriram uma vez esta falha de segurança e agora só precisam de ver quem tem este modelo em funcionamento. A partir daí, os ataques vão-se espalhando.” Encontrar uma falha de segurança pode desencadear um efeito de bola de neve.

Em cerca de 80 a 95 por cento dos ataques, segundo Di Filippo, há sempre intervenção humana para que a falha seja explorada, como aconteceu no ataque às redes do estado de Berlim. “Temos de apostar muito na educação e na awareness (nota da redação: “consciência”) para, em última análise, nos tornarmos resilientes a ciberataques. O fator humano tem de ser incluído, com tecnologia só por si não chegamos lá.”

Hackear para travar hackers

No seu trabalho, o objetivo é colocar-se na posição dos hackers criminosos. “No fim de contas, tentamos atacar infraestruturas ou encontrar erros em infraestruturas de software ou em dispositivos baseados em TI. Com métodos iguais aos que os verdadeiros cibercriminosos utilizam”, afirma Di Filippo. “A diferença é que queremos encontrar as falhas antes de os atacantes reais o fazerem e explorarem essas brechas.”

A grande diferença é que os hackers éticos são contratados por clientes, por exemplo grandes empresas, e não pretendem causar qualquer dano à infraestrutura desses clientes. Na empresa de Di Filippo nunca houve ninguém com passado criminal, sublinha. Com um registo criminal passado pela polícia, os hackers éticos têm de revelar o seu historial e comprová-lo.

“Encontramos sempre uma falha de segurança”, afirmou em conversa com a Euronews sobre o seu trabalho. No final, a equipa entrega às empresas um relatório com até 400 páginas a explicar onde existem brechas na infraestrutura digital e como foram detetadas.

Depois de identificadas, os fabricantes dos dispositivos ou dos sistemas são informados e podem, em conjunto com a empresa, trabalhar para fechar a brecha. Em casos concretos, estas falhas de segurança, por exemplo num iPhone, podem valer vários milhões de euros. “Esperamos até a falha estar corrigida. Depois, cada falha de segurança é publicada através de uma chamada CVE”, acrescenta Di Filippo.

CVE significa Common Vulnerabilities and Exposures (em português, vulnerabilidades e exposições comuns). Trata-se de um catálogo de falhas de segurança disponível ao público. O próprio BSI informa sobre vulnerabilidades e remete, para uma coleção mais abrangente, para a base de dados internacional National Vulnerability Database (NVD).

Quando a falta de encriptação pode custar milhares de milhões

As histórias que Di Filippo conta parecem argumento de uma série da Netflix. Há cerca de uma década houve um caso em que cibercriminosos conseguiram desviar de forma relativamente simples 1,2 mil milhões de euros a um banco. “E isso porque, na altura, o banco não tinha quaisquer medidas de segurança na ligação entre os seus vários locais”, refere o especialista em cibersegurança.

Segundo o que foi relatado, o banco tinha uma agência de um lado da rua e, exatamente em frente, outro escritório pertencente à mesma instituição. “Ligar am estes dois locais através de um feixe rádio ponto a ponto, e essa ligação não estava encriptada. Assim, atacantes sem quaisquer competências de hacking conseguiram simplesmente iniciar sessão ali e, por assim dizer, mover-se livremente dentro do banco em ambiente digital e desviar este dinheiro discretamente.”

Também no caso dos frigoríficos em supermercados, em vários casos acabou por faltar a proteção através de encriptação. Especialistas recomendam, pelo menos, o uso de uma VPN ou de uma firewall. Para os bancos, entretanto, aplicam-se normas de segurança mais exigentes. Há cerca de um ano, o governo federal aprovou ainda a diretiva NIS 2, que obriga muitos mais setores e empresas do que até agora a implementar medidas obrigatórias de cibersegurança, sobretudo de caráter preventivo.

A empresa Whitelisthackers aposta também na literacia mediática e, por isso, criou o concurso “O melhor hacker da Alemanha”. O objetivo é encontrar talentos e, com a ajuda de hackers éticos, tornar o mundo digital mais seguro. Quem vencer pode participar em chamados hackathons internacionais, maratonas de hacking.

Os serviços de hacking vivem um boom, dos dois lados. Na dark web, o modelo Cybercrime-as-a-Service (CaaS), ou seja, cibercriminalidade como serviço, está hoje amplamente difundido entre criminosos, mas também o mercado legal de serviços de segurança está a crescer. A Whitelisthackers executa por ano pedidos de cerca de 250 clientes. Após alguns casos espetaculares, em parte à escala global, as empresas mostram cada vez mais interesse em melhorar a sua própria infraestrutura de segurança.