O uso das deepfakes para fins ilícitos

O surgimento da Inteligência Artificial (IA) generativa, traz em si inúmeros desafios para a sociedade, abrindo um leque de opções para criminosos e fraudadores digitais. Em um ambiente de contratações online onde imagem, vídeo e áudios podem expressar manifestações de vontade, fatos ou ações, as novas possibilidades da IA generativa acendem o alerta de pessoas e autoridades.

A exemplo, em  uma guerra eleitoral digital, já tem notícias de deepfakes colocando políticos e figuras públicas em situações embaraçosas, seja um vídeo em um contexto inexistente ou mesmo uma mensagem de áudio comprometedora.

Tal evolução tecnológica e, logicamente, o seu uso para más finalidades, vem demandando atenção do mundo todo sob o prisma regulatório. Enquanto a legislação amadurece, surgem inúmeros casos em que perícia digital precisará enfrentar o desafio de dar respostas sobre a suposta criação de um conteúdo por inteligência artificial ou não.

A guerra eleitoral com o uso do armamento “IA”

A falsificação de áudios em vídeos reais podem representar danos a um processo eleitoral ou responsabilizar pessoas de forma indevida. Nos Estados Unidos (EUA), por exemplo, um áudio com a voz do Presidente Joe Biden instigou os eleitores a não votarem nas eleições primárias de um estado-chave.

Os próximos anos serão marcados pelo uso de deepfakes e IA para criar conteúdo sintético e ofensivo em redes sociais, o que demandará a atuação de assistentes técnicos forenses e peritos digitais, no esclarecimento da verdade, em contribuição com a verdade técnica em casos judiciais e corporativos.

A facilidade em gerar e influenciar com deep fakes de áudio

Se antes peritos utilizavam técnicas para detectar adulterações em áudios e conteúdos reais, o desafio agora é detectar não uma mera modificação que deixa rastros, mas uma criação a partir de prompts e parâmetros, de um conteúdo realístico, de difícil detecção e sintético.

Pesquisas recentes [1], revelam que metade das pessoas não conseguem fazer distinção entre conteúdos gerados por IA e conteúdos reais, gerando assim uma exploração por parte dos criminosos para gerar conteúdos ofensivos e ilícitos. Uma preocupação especial está nos áudios sintéticos “cheapfakes”, que são mais fáceis e baratos de serem produzidos.

Estes áudios podem ser compartilhados através de whatsapp, comunicadores, ou mesmo serem reproduzidos em ligações telefônicas que podem ser “gravadas”, e até mesmo motivar decisões equivocadas, investigações e processos judiciais e administrativos indevidos.

As técnicas de produção de áudios sintéticos são mais avançadas, por outro lado, é mais difícil ao cidadão detectar manipulações, como nos vídeos com sobreposição de voz. Além disso, a perícia técnica nestes arquivos depende de inúmeros fatores, a exemplo, se o áudio está trafegando por um aplicativo ou rede social, certamente já perdeu seus metadados, e então sobraria a conhecida fonética forense, com análises que dependem de coleta de amostras de voz, análise de waveforms, análise espectral, dentre outras, que podem indicar dísticos de emendas digitais ou manipulações.

Times digitais para combater uso ilícito da IA e regulamentações

Empresas, personalidades e comitês de campanha eleitoral precisam de monitoramento contínuo nas eleições futuras. As ferramentas de IA poderiam denunciar a autoridades solicitações de gerações suspeitas, o que não garantem que assim o façam, considerando que alguém pode usar uma ferramenta no Japão para gerar um conteúdo ofensivo no Brasil, o que passaria despercebido pelos “detectores”.

As empresas de fact check precisam de peritos forenses digitais para auxílio e análises de conteúdos, de modo a desmistificar conteúdos antes que ganhem escala nas redes e influenciem decisões, até mesmo perigosas. Ferramentas como ElevenLabs, Resemble AI, Respeecher e Replica Studios, permitem gerar áudios ou clonar voz em poucos cliques.

Neste sentido, a mera “suspeita instintiva” de se tratar de IA na manipulação de áudio não pode servir de base para descaracterizar ou descredenciar a autenticidade de um conteúdo, usado como prova de um crime, infração, ou de um fato. É necessário que a perícia digital em IA e áudios atue neste processo, realizando análises fonéticas, de metadados e demais análises aplicáveis, a depender da amostra.

As empresas e comitês precisam de canais para recebimento de supostos vídeos e áudios ligados à Inteligência Artificial, para que possam ser analisados. A popularização da viralização, pode ser conferida em sites analisadores, como BuzzSumo. Os regulamentos e normas precisam enfrentar o uso da IA para más finalidades, como nos Estados Unidos, onde a Comissão Federal de Comunicações proibiu o uso da IA em chamadas automáticas [2].

Como a perícia digital em deepfakes e inteligência artificial podem atuar

Além das análises realizadas a partir de amostras de voz, algumas plataformas já desenvolvem tools que auxiliam ou ao menos já  detectam a IA desenvolvida em seu ambiente, em prestígio a ética e responsabilidade no uso da IA com oSpeech Classifier da Eleven Labs [3]. Outros detectores úteis são AIorNot, que pode ser utilizado para detecção de imagens e também de áudios sintéticos.

Outras tools proprietárias já permitem integrar em sistemas via API, para detectar falas falsas geradas a partir da IA, como o caso da Loccus.ai [4]. A Reality Defender é outra empresa dedicada à detecção de falsidades geradas com a IA [5]. O Ai Voice Detector, também oferece um serviço de detecção online [6]. Sensity também é uma ferramenta a se  considerar [7]. As análises devem ser somadas à investigação cibernética, envolvendo análise WHOIS (informações) do site que hospeda um conteúdo, quebra de sigilo dos perfis que divulgam conteúdos e análises de ondas sonoras com ferramentas como Audio Mass [8] na identificação de pontos de criação, além da análise de metadados, que pode indicar os tags do programa AI generator na estrutura dos arquivos além das datas de acesso, criação e modificação. Se a voz é gerada por IA, as ondas sonoras provavelmente serão muito claras e semelhantes entre si, porque a geração de som por IA é essencialmente um processo de desenho de som. Por outro lado, gravações de áudios criados por uma pessoa, tendem a soar mais naturais com variações.

Conclusões

Deste modo, os desafios da perícia de detecção de áudios com deepfakes, passa pela suficiência da amostra, sanitização ou manutenção de metadados,e identificação de padrões dos geradores, o que impede que esta seja uma perícia com apenas uma metodologia.

Em tal ambiente, a “análise multimodal” tem sido considerada pela perícia como a mais adequada, envolvendo análise de múltiplas fontes de dados e metadados e do contexto de canais de transmissão, aliado a análises de percepção humana, de modo a se buscar responder o ponto controvertido e que muito ecoará nos próximos anos: Este conteúdo é real ou feito com Inteligência Artificial?

A perícia precisa se atualizar e se valer de técnicas, ferramentas e principalmente dos algoritmos de aprendizado de máquina que estão se atualizando para auxiliar na detecção e análises de deepfakes e que poderão ser aplicados por perito digital em IA,  aprender padrões e características destes conteúdos sintéticos, bem como automatizar processos de análises periciais envolvendo conteúdos questionados por seus autores ou interlocutores.

Como contratar um perito em inteligência artificial e detecção de deepfakes?

A CyberExperts é consultoria especializada em computação forense, inteligência cibernética, perícia e auditorias em informática e inteligência artificial, sendo referência em perícia digital e em informática. Atuamos preventivamente ou em processos administrativos ou judiciais, para empresas, fintechs, órgãos de pesquisa e órgãos públicos, politicos, na coleta, preservação e análise de evidências digitais, por meio de um rol de peritos com notória experiência profissional. Realizamos auditorias independentes de maturidade de controles de segurança digital e compliance de Inteligência Artificial. Profissionais com as principais certificações internacionais. Fale conosco (11) 3254-7616 ou acesso www.cyberexperts.com.br.

Fale conosco

Tem dúvidas? Envie seu comentário ou sugestão para [email protected] e não se esqueça de se inscrever no  Youtube (http://www.youtube.com/josemilagre) ou pelo instagram (@dr.josemilagre).

JM Advocacia: www.direitodigital.adv.br Instragram: @direitodigital.adv.br

José Milagre & Advogados

É um dos nomes mais lembrados no Brasil na advocacia de direito digital e crimes cibernéticos. Diretor de Forense Digital e Resposta a Incidentes da CyberExperts, especializada em investigação forense de fraudes e golpes online e com criptomoedas. Advogado e Perito Especialista em Segurança Digital, Resposta a Incidentes e Crimes Cibernéticos. Certificações CIPM, CDPO IAPP, DPO EXIN, ISO 27701 Lead Implementer PECB, Graduação em Análise de Sistemas, Pós-graduado em Gestão de Tecnologia da Informação. Mestre e Doutor em Ciência da Informação pela Universidade Estadual Paulista UNESP, Presidente da Comissão de Direito Digital da OAB Barueri/SP.

NOTAS

[1]https://bpb-us-w2.wpmucdn.com/sites.northeastern.edu/dist/f/4599/files/2023/10/report-1017-2.pdf

[2]https://www-sfchronicle-com.translate.goog/news/politics/article/alert-fcc-outlaws-ai-generated-voices-in-18655936.php?_x_tr_sl=en&_x_tr_tl=pt&_x_tr_hl=pt-BR&_x_tr_pto=sc&_x_tr_hist=true

[3]https://elevenlabs.io/ai-speech-classifier0

[4]https://www-loccus-ai

[5]https://www-realitydefender-com

[6]https://aivoicedetector.com/

[7]https://sensity-ai

[8]https://audiomass.co/

Quem faz perícia em assinatura digital, e como é feita a perícia em assinatura eletrônica. Saiba o que é a assinatura eletrônica e o que faz o perito em assinaturas eletrônicas, que estão se tornando um padrão no Brasil e no Mundo.  

Introdução

As assinaturas eletrônicas estão se popularizando tão rapidamente que aqueles que ainda resistem à elas, encontram dificuldades no acesso a serviços públicos e privados. O meio vem se tornando preferido para manifestações de vontade, declarações e contratações em sistemas e documentos eletrônicos. No entanto, assim como as assinaturas físicas, existe possibilidade de fraudes, golpes e falhas em plataformas, além de casos envolvendo repúdio, onde uma pessoa diz que não reconhece determinada autenticação ou assinatura.

Posicionamento do Judiciário

Recentemente, 2ª.  sessão do Superior Tribunal de Justiça (STJ) decidiu que os bancos são responsáveis por produzir provas sobre a autenticidade da assinatura do cliente em contratos em que o consumidor contesta por falsificação. (https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/04022022-Instituicao-financeira-e-responsavel-por-provar-autenticidade-de-assinatura-em-contrato-questionado-pelo-cliente-.aspx) Neste sentido,  os bancos devem se dotar de sistemas e estruturas de monitoramento e segurança que gerem evidências que possam ser periciáveis, em caso de uma contestação. Os bancos e fintechs devem então, contar com uma equipe de peritos para a análises de evidências nos casos concretos e elaboração de parecer especializado, de modo a provar a autenticidade da assinatura questionada. Por outro lado, as vítimas de fraudes e golpes, devem se valer do perito em assinatura eletrônica para produção de provas técnicas que afastem a autenticidade. É neste sentido que o perito em assinatura eletrônica se demonstra cada vez mais fundamental.

Discussões judiciais e o papel do perito em assinatura eletrônica

Em processos que se contestam a inexistência de débitos, ou relatam invasões ou contratações e empréstimos indevidos, se questionada a autenticidade da assinatura firmada, cabe às instituições financeiras a adoção das medidas técnicas para demonstrar que a assinatura realmente foi realizada pela parte.

Com efeito, se antigamente as instituições financeiras custeavam as perícias grafotécnicas, vivemos, no entanto, em uma outra realidade. Bancos e Fintechs são digitais e contratos de abertura de contas, empréstimos e investimentos assinados eletronicamente, por diversas modalidades já aceitas pelo Poder Judiciário.

Tipos e modalidades de assinaturas eletrônicas

Assinatura eletrônica básica: Atualmente, consumidores e clientes conseguem assinar documentos por meio de plataformas que coletam uma versão da assinatura digitalizada (ou rubrica), dados do computador e registros de conexão IP, senhas, além de documentos pessoais digitalizados na denominada assinatura eletrônica básica, que pressupõe conhecimento e posse de dados ou documentos.  Que nem se alegue que este formato de assinatura não é válido. Em setembro de 2021,  nos autos do processo 2207406-25.2021.8.26.0000 o Tribunal de Justiça do Estado de São Paulo entendeu que o fato de ter sido utilizada plataforma Docusign, não certificada pelo ICP-Brasil (assinaturas digitais), não impede o reconhecimento da validade e eficácia dos documentos.

Neste sentido, as plataformas de assinaturas eletrônicas básicas tem amparo da Medida Provisória 2200, especialmente conforme disposto no art. 10, §2º, onde permite a utilização de outros meios de comprovação de autoria e integridade de documentos em forma eletrônica, inclusive os que se utilizarem de certificados não emitidos pelo ICP-Brasil, desde que admitidos pelas partes como válidos ou aceito pela pessoa a quem for oposto o documento

Assinatura biométrica:  Outros contratos eletrônicos, ainda, incluindo abertura de contas, são assinados com reconhecimento facial, biometria ou facematch, envio de documentos e confirmação de códigos enviados para os dispositivos dos clientes (e-mails e SMS), a qual chamamos de assinatura eletrônica biométrica. Embora os bancos adicionem outros fatores de autenticação, como o envio de códigos a dispositivos, a tornando a modalidade mista, a biometria é o fator principal.

Assinatura digital: Ainda, existem os contratos eletrônicos que utilizam a criptografia simétrica ou assimétrica, que traz a possibilidade de reconhecimento de assinaturas digitais, por meio de certificados digitais das chaves públicas. No Brasil, inúmeros serviços já exigem que o cliente e o correntista tenham um certificado digital. Essa modalidade é considerada assinatura digital. Além disso, nada impede que uma parte assine diretamente um PDF por exemplo, com seu PIN, e encaminhe para a parte contrária que reconhecerá a validade com a chave pública do signatário, bem como a integridade do documento.

Qual modelo de assinatura eletrônica adotar?

De acordo com o método e tipo utilizado, temos os níveis de segurança, dos mais básicos aos mais elevados, que devem ser levados em conta pelo prestador de serviços de acordo com a natureza dos negócios e tipos de transações que realizam (A exemplo, tratando dados financeiros e sensíveis). Esta avaliação pode ser feita por um perito em segurança digital, que indicará a mais segura solução tecnológica.

O que é assinatura eletrônica?

As assinaturas eletrônicas estão se tornando um padrão no mundo. Assinatura eletrônica é uma metodologia utilizada para autenticar uma pessoa ou reconhecer uma manifestação de vontade ou decisão em meios eletrônicos e digitais, assegurando autenticidade dos assinantes, integridade do documento assinado e com isso, impedindo, em tese, que sejam repudiadas. No Brasil, de acordo com a Medida Provisória 2200-2/2001  “assinatura eletrônica”, é definida como qualquer tipo de assinatura capaz de evidenciar eletronicamente a autenticidade e integridade de um documento.

Seja qual for o meio de assinatura eletrônica utilizado, eles são válidos na justiça para obrigar os signatários, desde que reúnam elementos que, diante de uma perícia em assinatura eletrônica, comprovem que procederam dos signatários, conforme é previsto no Decreto 10.503/2020. Assim, tal como nas assinaturas físicas, também podemos ter assinaturas eletrônicas falsas ou que não foram feitas pelos titulares, furto de certificados, chaves privadas e outros incidentes que não existiam no mundo das assinaturas manuscritas ou físicas.

Pode ocorrer o acesso indevido a credenciais, o uso indevido de dados pessoais e em alguns casos, vulnerabilidades nos sistemas de reconhecimento e validação das assinaturas, onde todos estes casos podem acabar gerando danos  a pessoas e instituições.

Neste contexto, a perícia em assinatura eletrônica se demonstra fundamental, já que  o profissional de perícias avaliará todos os tipo de assinatura, metadados, evidências geradas, integridade das mesmas, sistema base, e com isso poderá tirar conclusões se houve uso indevido ou se é autêntica, o que será útil para evitar danos e responsabilizações em processo na Justiça.

Casos em que a perícia em assinatura eletrônica é fundamental

Dentre os principais casos que demonstram a importância da perícia em assinatura eletrônica, estão:

1.  Casos em o que o cliente contesta transações por meio de aplicativos bancários;
2.  Furto ou roubo de dispositivos, onde o cliente alega que o celular estava bloqueado e não havia como acessar o app bancário, apesar de existirem transações suspeitas;
3.  Aberturas de contas bancárias, onde o cliente contesta os documentos enviados e que nunca procedeu com as solicitações;
4.  Cliente que questiona sistema de reconhecimento facial, alegando não se tratar de reconhecimento válido, mas de uso de fotos ou técnicas para driblar algoritmos;
5.  Cliente que alega furto de dados pessoais e acesso indevido a senhas e credenciais de acesso;
6.  Fintech, ou quando o banco precisa provar a segurança do seu sistema de autenticação ou aplicativo, dentre outros…

Perito grafotécnico pode fazer perícias em assinaturas eletrônicas?

Fala-se atualmente em grafoscopia digital, o que é análise pericial de assinaturas digitais apostas em contratos ou de elementos biométricos (análise de características). Preferimos falar em perícia digital  de assinatura eletrônica, considerando que o que menos importa aqui, muitas vezes, é o grafismo, mas a análise atenta do padrão/tipo utilizado, e quais metadados e informações foram geradas e que possam indicar a autenticidade das assinaturas.

De maneira que, embora o perito grafotécnico possa usar muitos aportes teóricos e práticos na perícia em assinatura eletrônica, é fato que deverá se atualizar, pois a maior parte das assinaturas eletrônicas demandam, em verdade, uma perícia forense digital.

Assim, o perito em assinaturas eletrônicas pode ajudar partes e instituições em processos cíveis, criminais e administrativos, analisando a metodologia e sistemática de assinatura, e suas evidências, de modo a conceber um laudo para uso forense como prova, demonstrando tecnicamente se fora o cliente ou não quem realizou a assinatura ou autenticação.

O que faz o perito em assinatura digital ou eletrônica?

A perícia em assinatura eletrônica ou assinatura digital se desenvolve de diversos métodos e irá depender do sistema e plataforma questionada. Dentre as atividades comuns do perito em assinatura eletrônica estão:

1.  Analisar arquivos contestados para identificar se assinados ou não;
2.  Apurar se os dados usados para assinatura são autênticos ou não;
3.  Analisar possíveis condutas do cliente que permitiram o acesso indevido;
4.  Identificar eventuais falhas nos sistemas informáticos de reconhecimento;
5.  Apurar os fatores usados para reconhecer a identidade de alguém e se adequados ou obsoletos;
6.  Analisar hashs, códigos, tokens e demais itens dos documentos ou registros, incluindo datas, programas de edição e demais metadados, incluindo dados do dispositivo do signatário;
7.  Analisar registros e logs bancários sobre a assinatura, e se podem ser adulterados ou custodiados adequadamente;
8.  Analisar softwares de assinaturas eletrônicas;
9.  Extrair metadados de documentos digitais e identificar se verdadeiros ou falsos;
10.  Elaboração de pareceres e laudos técnicos, comprovando ou não a assinatura e se existe, qual vulnerabilidade explorada permitiu a assinatura.

Neste contexto, como visto, é importante destacar que um perito grafotécnico, não está automaticamente habilitado a realizar perícias em informática ligadas a assinatura eletrônica, sendo indispensável experiência em tecnologias de reconhecimento facial, biometria, face matching, tokenização, redes, criptografia, browser fingerprinting,  protocolos web e outros conhecimentos.

Aliás, nos autos do Processo 1018222-29.2019.8.26.0100 que tramitou em 2020, o Tribunal de Justiça do Estado de São Paulo entendeu que a perícia grafotécnica é descabida em caso em que o contrato foi assinado eletronicamente. De fato, a assinatura eletrônica não vai acabar com a grafotécnica, mas os peritos precisam se atualizar.

Com a perícia em assinatura eletrônica, as partes poderão produzir provas adequadas ligadas a:

1.  Integridade de documentos;
2.  Robustez ou vulnerabilidades em sistemas;
3.  Autenticidade de atividades em bancos e fintechs ou outros sistemas.

Assim, a perícia digital em assinatura eletrônica é um item indispensável para produção de provas que evitam danos patrimoniais à reputação de negócios e morais, ou mesmo em casos onde é necessário apurar a fundo quem realizou a assinatura online, para uso em um processo judicial.

Como contratar um perito em assinatura eletrônica para seu processo?

A CyberExperts é uma consultoria especializada em computação forense, inteligência cibernética, perícia e auditorias em informática, proteção de dados e perícias em assinaturas digitais. Atuamos preventivamente ou em processos administrativos ANPD/Procon, ou judiciais para bancos, fintechs, empresas e órgãos públicos na coleta, preservação e análise de evidências digitais, por meio de um rol de peritos com notória experiência profissional. Realizamos auditorias independentes de maturidade de controles de segurança digital e de conformidade e perícias independentes em litígios envolvendo assinaturas eletrônicas, seguindo melhores práticas e exames e análises desta natureza. Profissionais com as principais certificações internacionais. Fale conosco (11) 3254-7616 ou acesso www.cyberexperts.com.br. Expertise, lealdade e ética. Conheça nosso curso de Perícia em Proteção de Dados Pessoais.

Como me tornar um perito em assinatura eletrônica?

A CyberExperts oferece o curso completo de perícia digital, e o curso de perícia em assinaturas eletrônicas. O curso pode ser realizado online, presencial, ou “in company”. Fale conosco. http://www.cyberexperts.com.br

Sobre o Autor

Dr José Antônio Milagre, perito forense digital, perito em assinaturas eletrônicas, perito LGPD, perito e assistente técnico em informática, perito em proteção de dados, especialista em computação forense, analista de sistemas, técnico em processamento de dados, Pós-Graduado em Gestão de Tecnologia da Informação, Mestre e Doutor em Ciência da Informação pela UNESP. Contato: [email protected]  e (11) 3513-7844. Instagram @dr.josemilagre

Como ser contratado para perícias técnicas em informática e proteção de dados

Como contratar um perito digital particular: http://www.cyberexperts.com.br

Atuo com perícia em informática há mais de 20 anos. Tive o prazer de aprender muito com grandes nomes na área, pessoas pioneiras que nunca se negaram em compartilhar conhecimento. Sinto-me no dever de contribuir com os jovens interessados na área de digital forensics ou em que desejam se tornar um perito digital.

Atualmente, coordeno Pós-graduações no tema e ministro cursos de extensão em ferramentas open source e proprietárias para computação forense.Além disso, atuo com perícias judiciais e administrativas em todo o Brasil e tenho um time de first responders e peritos para atuar em todos os casos que temos.

Novos e desafiadores casos são apresentados semanalmente. Não foi fácil iniciar na área, busquei certificações, fiz especialização, mestrado e sou doutorando na área de ciência da informação e tecnologia, mas, também, me especializei em Direito.

Hoje concluo que o perito digital não pode ser apenas um técnico, muito menos o jurista. É preciso ter conhecimentos de projetos, ter especialidade em conduzir o processo de perícia, avaliando os interesses e dados das partes, mediar e ser um profundo conhecedor da Ciência da Informação.

A área é incrível e apaixonante, mas o profissional que não sabe lidar com a rotina e falar a linguagem forense do destinatário do trabalho, que é o JUIZ (em perícias judiciais), não consegue atuar por muito tempo e acaba limitando seu campo às perícias internas ou corporativas e assistência técnica.

Ser perito forense é mais do que conhecer a técnica. É coordenar os fluxos de informação do caso, transformar artefatos em evidências e ser um expert witness, defendendo tecnicamente o cliente, com a persuasão necessária.

Vamos lidar com advogados e o sistema judiciário, sendo que conhecer estas relações é fundamental. E, principalmente, a nossa missão é auxiliar o juízo no entendimento da questão técnica controvertida ou mesmo ajudar as partes a lograrem êxito em suas ações e processos judiciais, que envolvam tecnologia.

QUAIS SÃO AS NORMAS E BOAS PRÁTICAS SOBRE COMPUTAÇÃO FORENSE

Quando comecei, havia apenas recomendações da SWGDE, IOCE, um manual muito importante da SANS (anote, é referência em computação forense). Hoje, temos o NIST, que testa ferramentas forenses e aborda melhores práticas há 14 (catorze) anos. Também, temos um guia interessante da União Europeia, chamado “Best Practice Manual fottheForensicExaminationof Digital Technology”,a RFC 2227, e interessantes artigos publicados, como este http://ieeexplore.ieee.org/document/6274340/?reload=true

Existe, atualmente, uma família de normas ISO relacionadas à computação forense, que devem ser observadas pelos profissionais, sendo elas:

• ISO/IEC 27037 concerns the initial capturing of digital evidence.This standard offers guidance on the assurance aspects of digital forensics e.g. ensuring that the appropriate methods and tools are used properly.
• ISO/IEC 27041 offers guidance on the assurance aspects of digital forensics e.g. ensuring that the appropriate methods and tools are used properly.
• ISO/IEC 27042 covers what happens after digital evidence has been collected i.e. its analysis and interpretation.
• ISO/IEC 27043 covers the broader incident investigation activities, within which forensics usually occur.
• ISO/IEC 27050 (in 4 parts) concerns electronic discovery which is pretty much what the other standards cover.
• British Standard BS 10008:2008 “Evidential weight and legal admissibility of electronic information.

Além disso, o profissional deverá conhecer as normas e regulamentos vigentes em sua localidade, bem como as normas processuais, sobretudo em relação a coleta e produção válida de provas, aplicada aos meios digitais. Um perito que desconhece os limites de sua atuação pode causar grandes danos às partes.

AUTORES, ARTIGOS E PESQUISADORES INTERNACIONAIS ESSENCIAIS

MARK REITH, também, tem um artigo essencial para quem pretende trabalhar na área, denominado “Anexamination of digital forensics models”, em que ela faz um comparativo sobre as disciplinas e metodologias de perícias na área: https://www.just.edu.jo/~Tawalbeh/nyit/incs712/digital_forensic.pdf.

GARFINKEL escreveu um artigo indispensável a todos os futuros peritos em informática, qual seja, Digital forensics research: The next 10 years.

MORIOKA publicou em 2016 um importante artigo sobre computação forense em nuvem, área da perícia digital que vem crescendo muito: https://ieeexplore.ieee.org/document/7568909.

MILAGRE e CAIADO, publicaram um importante artigo sobre Computação Forense na em “Cloud Computing” (Desafios e melhores práticas – ICoFS-2013): https://www.forensicfocus.com/articles/current-challenges-in-digital-forensics/.

SOTYANOVA et al, escreveram importante artigo sobre os desafios e abordagens da forense em Internet das Coisas: https://ieeexplore.ieee.org/document/8950109.

NHIEN-NA LE-KHAC et al, tratam dos desafios da computação forense em veículos inteligentes: https://www.sciencedirect.com/science/article/abs/pii/S0167739X17322422.

Estes são alguns artigos estruturais, mas o profissional deve estar sempre atento à produção científica na área.

Não tenho dúvida que o profissional e auditor em informática forense de sucesso será aquele que não seja um mero “Operador de Ferramentas”. Mas será aquele que conheça as técnicas aplicadas pelas ferramentas e, principalmente, as teorias da informação por trás de um objeto de análise. Por isso, publiquei um artigo, com meu orientador denominado: “As contribuições da Ciência da Informação na perícia em Informática no desafio envolvendo a análise de grandes volumes de dados – Big Data”, publicado na UFPB (https://periodicos.ufpb.br/index.php/itec/article/view/22846). É leitura basilar.

Estes são importantes aportes teóricos e basilares para iniciar uma consultoria em perícia digital, que, com certeza, trarão a base para outras leituras mais específicas.

CADEIA DE CUSTÓDIA

Recentemente, o Código de Processo Penal, aplicado quando da realização de perícias na área criminal, sofreu profundas alterações em razão do advento da Lei nº 13.721, de 2018, conhecida como Pacote Anticrime.

Agora, há a descrição da cadeia de custódia, isto é, o conjunto de todos os procedimentos utilizados para manter e documentar a história cronológica do vestígio coletado em locais ou em vítimas de crimes, para rastrear sua posse e manuseio a partir de seu reconhecimento até o descarte (art. 158-A). Os artigos 158-B e seguintes do Código de Processo Penal disciplinam a cadeia de custódia e deverá ser também observado pelo perito digital.

O QUE FAZ O PERITO DIGITAL?

A função da perícia digital ou forense digital, carreira que mescla a formação jurídica com a tecnologia da informação é reconstruir o passado, constatar a materialidade e apurar a autoria de conflitos, fraudes, furtos e agressões que são cometidas por intermédio de dispositivos informáticos e telemáticos, como computadores, notebooks e dispositivos móvel celular.

A ciência que possui, aproximadamente, dezenove anos no país, antes era destinada apenas a auxiliar a criminalística na atuação de crimes eletrônicos, agora passa a ser considerada uma área corporativa, ligada a segurança da informação, governança, risco e conformidade, em razão do crescente número de fraudes informática cometidas no âmbito corporativo.

Cumpre destacar que são crescentes as infrações cometidas sob o suposto anonimato virtual. Contudo, as pessoas ainda insistem em classificar a perícia digital ou forense computacional como mero resgate científico de dados ou clonagem de discos, o que é uma premissa incorreta.

QUAL É O CAMPO DE ATUAÇÃO?

No que se refere às áreas de atuação, o perito digital pode atuar na área pública ou privada.

Para atuar na área pública, o profissional pode peticionar em juízo sua habilitação que será ou não deferida pelo juiz. Em São Paulo, a norma que regulamenta a perícia é o Provimento nº 2306/2015. Lembrando que o peticionamento dos peritos já é realizado pela via eletrônica, razão pela qual o perito precisa conhecer sobre PROCESSO ELETRÔNICO.

Em algumas comarcas, pode auxiliar o Ministério Público e Delegacias não especializadas, necessitando apresentar, em petição escrita instruída de curriculum, os antecedentes criminais e casos que atuou.

Além disso, o perito digital pode atuar como assistente técnico das partes em juízo.

Ainda, há a possibilidade de ser um perito policial, integrante do Instituto de Criminalística dos Estados ou da Polícia Federal, sendo que o ingresso é somente mediante concurso.

Por sua vez, na área privada, os profissionais de forense corporativa normalmente integram uma equipe multidisciplinar composta por profissionais da área jurídica e técnica, de nível estratégico e gerencial, e que estão inter-relacionados com o Time de Resposta a Incidentes da Empresa, previsto na norma ISO 27001.

Importante destacar, ainda, que a recém publicada norma ISO 27701, que estabelece o Sistema de Gestão da Privacidade da Informação, ratifica em seu item 6.13.1.17 as diretrizes da ISO 27002, no que diz respeito a manutenção de processos claros de coleta de evidências:

“Convém que procedimentos internos sejam desenvolvidos e seguidos quando tratando de obter evidências para os propósitos de ações legais ou disciplinares.

Geralmente os procedimentos para evidência fornecem processos de identificação, coleta, aquisição e preservação de evidências, de acordo com diferentes tipos de mídia, dispositivos e situação dos dispositivos, por exemplo, se estão ligados ou desligados. Convém que os procedimentos levem em conta:

a) a cadeia de custodia;

b) a segurança da evidência;

c ) a segurança das pessoas;

d ) papéis e responsabilidades das pessoas envolvidas;

e ) competência do pessoal;

f) documentação;

g) resumo do incidente.

Quando disponível, certificações ou outros meios de qualificação de pessoal e ferramentas são buscados, para aumentar o valor da evidência preservada.

Evidência forense pode ir além dos limites da organização ou da jurisdição. Em tais casos, convém que seja assegurado que a organização tem direito de coletar as informações requeridas como evidência forense. Os requisitos de diferentes jurisdições podem ser considerados para maximizar as chances de admissão ao longo das jurisdições relevantes.”

Assim, o perito forense computacional também pode atuar nas áreas relacionadas à proteção de dados pessoais e segurança da informação, buscando solucionar problemas relacionados a incidentes, como vazamento da dados, na identificação do motivo e da autoria.

Vale ressaltar que nem tudo na perícia são crimes informáticos. Hoje o perito pode atuar com:

a) Valoração de ativos digitais;

b) Apuração de autoria de fraudes;

c) Análise de contrafações de sistemas e softwares;

d) Comparação de softwares;

e) Análise de controvérsias em implementações de sistemas;

f) Perícias envolvendo concorrência desleal;

g) Perícias envolvendo uso indevido dos ativos de TI;

h) Fraudes em meios de pagamentos;

i) Atuação em processos trabalhistas;

j) Controvérsias em relações de consumo na web;

k) Análise de sanitização de bases de dados;

l) Controvérsias envolvendo proteção de dados pessoais e LGPD.

FORMAÇÃO EM PERÍCIA DIGITAL

Em relação à formação do perito digital, a legislação nacional não exige formação específica em tecnologia, sendo que no novo Código de Processo Civil até a expressão “nível universitário” fora reprimida. Agora, conforme o art. 156 do novo Código de Processo Civil, os peritos serão nomeados entre os profissionais legalmente habilitados.

No entanto, isso não significa “carta” branca para aventureiros, pois os tribunais avaliarão, periodicamente, três fatores:

a) formação profissional: conjunto de formações do perito para atuação na área, sendo que aqui contam graduações, pós-graduações e certificações;

b) atualização do conhecimento: o quão atualizado o profissional se encontra, o que pode ser demonstrado com cursos e certificações recentes;

c) experiência: o que pode ser quantificado pelo número de trabalhos técnicos já realizado.

A despeito do que está previsto em lei, é imprescindível um conhecimento multidisciplinar, a fim de evitar que erros sejam homologados pelos juízes e cortes brasileiras, bem como a produção de laudos superficiais, que geram quesitos a serem explorados por bons advogados em Direito Digital, que irão destituir as provas e, principalmente, cooperar com a impunidade. Precisamos, realmente, de pessoas qualificadas.

Além do perito digital ter uma formação aprofundada em tecnologia, deve demonstrar experiências em frameworks, compliance e melhores práticas previstas na tecnologia da informação como SOX, COBIT, ITIL, PCI, ISO 27001, bem como da legislação básica brasileira, Código Civil, Código Penal, Consolidação das Leis do Trabalho, e principalmente, normas processuais e procedimentais que regulamentam a produção da prova pericial no Brasil.

Dessa forma, a formação ideal do perito digital deve ser a técnica, com aportes de conhecimento processual/jurídico (caso atue na área forense), já que, mais do que saber agir tecnicamente ou conhecer a intimidade das falhas dos sistemas, o profissional precisa atuar na linha tênue que separa uma perícia homologada de uma produção probatória nula, ilícita ou ilegítima.

Nos treinamentos que ministramos, constatamos profissionais altamente treinados para coleta de evidências, mas que possuem dificuldades em preservá-las, classificá-las, analisá-las em uma escala de prioridade e, principalmente, não conseguem elaborar um laudo técnico pericial.

Vale ressaltar que a profissão do perito digital compreende a habilidade de escrever e dar significado a zeros e uns para um juiz ou sponsor. Além disso, há peritos com formação jurídica tendem a fazer laudos repletos de fundamentação legal, e esquecem de analisar os pontos técnicos solicitados pelas partes.

Assim, a perícia digital não pode ser mais vista como um “box” separado da segurança da informação e das normas de governança em TI.

Não recomendaria uma Pós em computação forense que só trate de Direito ou apenas teorias. O aluno precisa ter contato com threats e casos simulados, de modo a se tornar um projetista quando tiver que lidar com casos reais, rapidamente, estruturando em sua mente suas técnicas e ferramentas a utilizar, considerando todos os princípios da disciplina e, principalmente, ciente de que tempo é sim fundamental.

Quanto aos conhecimentos que reputo indispensáveis para um perito digital listo: redes e arquitetura TCP/IP, sistemas de arquivos, sistemas operacionais baseados em Unix, conhecimentos de fundamentos de algoritmos e linguagem de programação. Muitas ferramentas opensource já homologadas pela comunidade estão em plataforma Unix, logo, um perito que opere somente e plataforma Windows, pode em determinados casos, preterir ferramentas e técnicas que seriam essenciais para o caso.

ONDE CURSAR COMPUTAÇÃO FORENSE

Não se tem a disciplina de computação forense ou perícia digital nos cursos de graduação em tecnologia da informação (alguns já contam com a disciplina de segurança da informação). Igualmente, algumas pós-graduações em Segurança da Informação adotam a computação forense como disciplina. Não recomendo cursar uma pós apenas pela disciplina, embora o conhecimento de Segurança da Informação seja muito relevante para aqueles que desejam se especializar em computação forense.

De início, eu preciso deixar claro que você não necessita de uma pós-graduação em computação forense para atuar. Existem importantes certificações que passo no meu curso EAD de PERÍCIA E INVESTIGAÇÃO FORENSE DIGITAL (https://cyberexperts.com.br/curso-pericia-digital/), que podem contribuir muito para a formação profissional. O Curso é feito pela CYBEREXPERTS, referência e uma das primeiras empresas no Brasil focada em Reputação Online e Computação Forense. Mais informações, entre em contato comigo, pois as turmas são extremamente limitadas.

Hoje, é interessante que você desenvolva cursos de extensão ou mesmo certificações na área, sendo as da SANS e da e-COUNCIL (https://www.eccouncil.org/programs/computer-hacking-forensic-investigator-chfi/) as mais conhecidas, além das certificações focadas em ferramentas. Participe, também, de eventos sobre o tema, sendo que hoje existem inúmeros eventos online e, provavelmente, alguns na sua região.

CURSO PERÍCIA E INVESTIGAÇÃO FORENSE DIGITAL

O meu treinamento -“PERÍCIA E INVESTIGAÇÃO FORENSE DIGITAL”- tem como objetivo fornecer ferramentas para que os profissionais atuantes na área – ou que nela pretendam ingressar – possam se capacitar neste ramo, atendendo com excelência as exigências do mercado. Estas ferramentas proporcionarão os conhecimentos necessários para a análise de mídias, recuperação de evidências e elaboração e análise de Laudos Periciais.

Além disso, é um curso que atua não só com forense open source, mas com ferramentas proprietárias muito utilizadas no mercado. Se você for trabalhar como terceirizado para grandes consultorias ou mesmo busque um emprego como analista o perito forense digital, certamente deverá comprovar conhecimento nestas ferramentas.

Caso opte por uma pós graduação, antes de ingressar, pesquise sobre os docentes. Uma Pós que atua só com agentes públicos passará ao aluno uma visão limitada do mercado e dos casos envolvendo computação forense e perícia digital.

Portanto, escolha um curso que possa conhecer como é a perícia em informática no setor público (Polícia, Receita Federal, Fazenda, Exército, Ministério Público), mas também, que possa ter contato com docentes que estão no mercado corporativo de perícia digital, a fim de ter um contato não só sobre as áreas, mas como são conduzidos processos de investigação forense (fase de preparo, coleta, preservação, análise e reporte).

Não preciso dizer que o networking também é essencial, pois profissionais do mercado poderão demandar seus serviços. Já na área pública, só existe o ingresso mediante concurso público.

QUANTO GANHA UM PERITO FORENSE COMPUTACIONAL?

Na área pública, as perícias judiciais são pagas através de honorários. Ou seja, o juiz, a partir do momento em que entenda que é caso de perícia, oferece oportunidade para o perito estimar. Considere neste caso dividir o trabalho em fases e estime horas para cada fase, totalizando ao final. Mas o profissional que pretenda atuar como perito judicial deve saber, que comumente os honorários são menores que as perícias privadas e o recebimento burocrático (mediante guias de levantamento).

Em relação aos peritos policiais, a remuneração inicial de um perito da Polícia Federal é R$ 23.692,74 (https://www.estrategiaconcursos.com.br/blog/concurso-policia-federal/) e do Instituto de Criminalística do Estado de São Paulo é R$ 8.699,94 (http://www.recursoshumanos.sp.gov.br/retribuicao.asp?página=policial4), ambos mensais.

Em média, a remuneração por hora de um perito em informática está em torno de 480,00 (quatrocentos e oitenta reais). Essa hora pode aumentar ou diminuir de acordo coma a especialidade do perito, volume de dados a coletar e analisar, a exemplo, perícias em dispositivos móveis, bancos de dados, redes, cloud computing costumam ter honorários mais elevados. Além disso a quantificação de horas deve levar em consideração quantidade e diferenças de dispositivos, equipe necessária para o trabalho e demais considerações, valor da causa, etc.Também é possível estimar o trabalho por empreitada.

Aos pretendentes da área, a profissão é rentável, mas exige muito de nós. Podemos ter muitas perícias positivas, mas basta um deslize ou uma evidência clara que não encontramos para que todo o histórico seja destruído. Avisamos que qualquer conduta impensada, como um simples comando para listar o diretório de um sistema operacional, pode significar a perda de dados importantes para o draft final e, consequentemente, milhões para as empresas envolvidas. Por isso, simulações de coleta de dados são sempre estimuladas e bem-vindas, pois, em campo, o profissional estará mais preparado.

PERSPECTIVAS NO MERCADO

No que diz respeito à perspectiva de crescimento da área, o mercado vem crescendo assim como cresceu no mundo. Sobre o tema, fiz o seguinte vídeo: https://www.youtube.com/watch?v=Ik5JyWVOzKM&t=248s.

No mundo, é um mercado que movimentará mais de 9 bilhões de dólares até 2022. E, até 2026, o mercado forense digital está projetado para atingir 11,45 bilhões de dólares. Os principais fatores que impulsionam o mercado forense digital global são: a crescente demanda pela implementação da Internet das coisas, visto que, de acordo com o Relatório de Mobilidade da Ericsson e a Previsão da Internet das Coisas, haverá 18 bilhões de dispositivos conectados até 2022, bem como o aumento de crimes cibernéticos, ataques cibernéticos e outras práticas ilícitas (MARKETS AND MARTEKTS).

As tendências do mercado forense digital, por componente são:

• Hardware
• Sistemas Forenses
• Dispositivos Forenses
• Bloqueadores de escrita forenses
• Outros (inclui cabos, adaptadores, compartimentos de disco rígido, baterias e dispositivos de armazenamento)
• Programas
• Serviços
• Serviços profissionais
• Investigação e consultoria digital
• Resposta ao Incidente
• Integração do Sistema
• Treino e educação
• Suporte e Manutenção
• Serviços gerenciados

No Brasil, o Marco Civil da Internet (Lei nº 12.965/2014) e as Leis que estabeleçam condutas criminosas na Internet tendem a fomentar o perito digital corporativo, apto a atuar em sintonia com o Sistema de Gerenciamento de Segurança da Informação da empresa, avaliando casos e propondo melhorias. Além disso, a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) traz uma série de oportunidade para peritos digitais que se especializem em incidentes e controvérsias evolvendo dados pessoais.

O perito policial e judicial, o primeiro, atuando em investigações e inquéritos que se relacionem com Internet e tecnologia, e o segundo, auxiliando juízes no entendimento técnico de discussões judiciais cíveis, criminais e trabalhistas, possuirão cada vez mais trabalho. O Perito digital será função indispensável à justiça, tal como o advogado, pois através dele inocentes não serão condenados e culpados não serão absolvidos por ausência de provas, que na sua maioria das vezes são digitais.

A perícia digital vem amadurecendo no Brasil, mas ainda muito precisa ser feito para que autoridades de aplicação de leis se aproximem do cibercrime. O Estado precisa preocupar-se mais em capacitar seus profissionais do que comprar ferramentas.

Os casos enfrentados por um perito digital são variados, podendo ser uma mera constatação de contrafação de código fonte ou violação de software, ou a análise de escuta clandestina do tráfego de telefonia celular ou internet wireless, passando por análise de memórias de dispositivos, arquivos de paginação e recuperação de dados apagados ou sobrescritos.

Como a maior parte dos incidentes de segurança decorre de vulnerabilidades, cada vez mais é necessário um profissional de computação forense com profunda bagagem em resposta a incidentes, a fim de auditar logs, profiles e compreender o passado, em busca do entendimento sobre o que, como e quem foi o responsável pelo o ocorrido.

COMO COMEÇAR A TRABALHAR COM PERÍCIA DIGITAL E SE HABILITAR?

Primeiro passo é buscar conhecimento, formação profissional. A profissão deve crescer muito nos próximos anos e a concorrência já é bem maior que há 10 anos atrás.

Importante dizer que perícia em informática não é perícia em engenharia, portanto, não está sujeita a conselhos ou associações de engenharia, sobretudo no que tange à estimativa de honorários. Embora alguns peritos usem tabelas da engenharia para estimar honorários, os salários hoje podem ir de 8 a 35 mil reais por mês, de acordo com a complexidade do trabalho, experiência e tarefas do analista, além de outros fatores.

Os passos básicos para iniciar são:

1) Defina seu foco de atuação e busque cursos de extensão e especialização, se possível uma certificação;

2) Faça seu curriculum técnico e crie igualmente um perfil no Linkedin, buscando contato com empresas e consultorias de perícia;

3) Apresente-se para empresas e escritórios jurídicos para atuar como assistente técnico;

4) Converse com peritos experientes e conheça as normas processuais, de habilitação em tribunais e, principalmente, os principais documentos que um perito faz, como manifestações, resposta a quesitos e laudos.

Em meus treinamentos, também, trago importantes modelos para peritos e profissionais de TI que atuam com crimes virtuais e cibernéticos.

5) Pratique. Associe-se a entidades e associações da área, ou seja, um correspondente de perícia ou acompanhe diligências e perícias digitais, mesmo sem honorários periciais. O que vale é a experiência para conhecer a prática do dia a dia.

6) Software. Monte uma estação forense para análises, com suas ferramentas, lembrando que hoje temos ótimos softwares gratuitos para análises, como KALI LINUX, PTK, volatility, disk digger, AUTOPSY, dentre outros. Aqui temos 22 ferramentas essenciais para o perito em informática: https://resources.infosecinstitute.com/topic/computer-forensics-tools/#gref.

CRITÉRIOS PARA CONTRATAR

O fator humano é fundamental para o sucesso de uma empresa perícia digital e computação forense, visto que se trata da prestação de serviço extremamente especializado. Os profissionais contratados devem ter formação tecnológica, jurídica e vivência nas áreas pública e privada. Algumas faculdades oferecem cursos de pós-graduação em perícia digital.

O perito digital precisa conhecer a legislação brasileira e o direito internacional já que tudo que está ligado à internet é de escopo global. Com o crescimento do uso de recursos multimídia, o domínio sobre tecnologias de imagem e voz também é requerido, além de habilidades específicas como a capacidade de análise e síntese de soluções e integridade profissional.

Compreender outras línguas, principalmente o inglês, é outro requisito básico, visto que o perito pode lidar com questões internacionais. Também precisará buscar informações disponíveis em outros idiomas e cooperar com profissionais estrangeiros ou operar tools.

Além da formação acadêmica básica, o profissional poderá (não deverá) obter algumas certificações válidas no mercado mundial de software. As principais são:

– EnCE (EnCaseCertifiedExaminer), do fabricante Guidance;

– ACE (AccessData Certified Examiner), do fabricanteAccessDat;

– CCFT (Certified Computer Forensic Technical);

– GIAC (Global Information Assurance Certification), da SANS;

– CEH (Certified Ethical Hacker);

– CHFI (Certified Hacker Forensic Investigator);

– ACFEI (American College of Forensic Examiners Institute).

– iSC2.

A qualificação de profissionais aumenta o comprometimento com a empresa, eleva o nível de retenção de funcionários e melhora a performance do negócio. O treinamento dos colaboradores deve desenvolver as seguintes competências:

– Capacidade de percepção para entender e atender as expectativas dos clientes;

– Agilidade e presteza no atendimento;

– Motivação para crescer juntamente com o negócio.

Portanto, é evidente que a perícia irá crescer muito e o profissional que se tornar um perito digital terá um campo de trabalho imenso, desafiador e bem lucrativo, desde que, se prepare a altura.

DESAFIOS FUTUROS

Dados encriptados, cloud forensics, Internet das Coisas e o alto volume de dados são indicados como os principais desafios. O alto volume de dados é uma frustração que o perito terá que aprender trabalhar. Costumo dizer que perícia profunda e tempo são intimamente ligados e a qualidade do trabalho cresce na mesma proporção do tempo existente. Infelizmente, grande parte dos trabalhos serão feitos e um curto período de tempo e nem todas as análises possíveis poderão ser realizadas, quer por falta de tempo, quer por falta de orçamento, razão pela qual o perito deverá escolher as análises mais significativas ou que mais contribuem para o caso.

Durante o ano de 2020, vivenciamos uma pandemia causada pelo Covid-19, o que potencializou as relações no ambiente digital. Diversos golpes e fraudes foram aplicados, aparelhos invadidos. Além disso, muitas empresas precisaram fazer o home office, o que fez com que a vulnerabilidade de muitos aumentassem. Assim, a perícia digital estará em alta, considerando a inovação forçada de muitos setores, sem os cuidados básicos com segurança, o que dará margem a atuação de fraudadores e criminosos.

A computação forense e perícia digital é muito dinâmica e a cada ano surgem novos desafios e tecnologias, sendo que os peritos devem se enquadrar nesta dinâmica de atualização constante. Internet das coisas, Drones, GPS, ataques de ransonware, Big Data, Inteligência Artificial e Deep Web já são realidades. A criptografia e as novas transações na Blockchain são desafios. Pontos que valem um maior estudo pois profissionais com “respostas” nestas áreas serão extremamente procurados.

O perito que tiver soluções para estes problemas certamente terá muito sucesso em sua atividade. Vale ficar atento em novas tecnologias utilizadas em massa, e quais evidências podem ser coletadas diante de fraudes, golpes e crimes na internet cometidos nestes ambientes.

Contratar um perito digital particular: http://www.cyberexperts.com.br

REFERÊNCIAS

INDICAÇÃO DE LIVROS

Muitos livros foram lançados sobre computação forense. Vou indicar os que eu li e gostei, basilares, e que podem lhe dar o alicerce para outros livros mais específicos:

– Perícia Forense Computacional. Teoria e Prática Aplicada (Dan Farmer)

https://www.amazon.com.br/Per%C3%ADcia-Forense-Computacional-Pr%C3%A1tica-Aplicada/dp/8576051281

– Introdução à Análise Forense em Redes de Computadores (Ricardo Kleber)

https://www.novatec.com.br/livros/analise-forense/

– File system Forensic Analysis (Brian Carrier)

https://www.goodreads.com/book/show/692554.File_System_Forensic_Analysis

– A Forensic Focus (que aliás é item indispensável de leitura do perito em informática) tem uma lista bem interessante de livros na área: http://www.forensicfocus.com/computer-forensics-books-us

– Perícia digital: da investigação à análise forense (Evandro Della Vechia). É um livro fundamental que indico, de um grande perito digital, e tenho prazer de ter escrito meu depoimento no livro.

https://www.editorajuspodivm.com.br/pericia-digital-da-investigacaoaanalise-forense-2019?utm_camp=gshop&idgrade=163024&gclid=Cj0KCQiAjKqABhDLARIsABbJrGm3DHs7p1tt1G91ZyCwlYEsvvmcgk_0hReCORYoTTKYtMvyl4JWRMMaAg5cEALw_wcB

AINDA TEM DÚVIDAS? FALE COMIGO

Minha missão é ajudar ao máximo pessoas que pretendam atuar na área de computação forense, resumindo informações que levei anos para descobrir. Espero que este conteúdo possa agregar a muitos profissionais e estudantes que pretendam e sonham em trabalhar com perícia digital ou em informática. Atualizarei esta página continuamente e peço que reverbere este conteúdo compartilhando aos que tem interesse. Bom trabalho a todos e fico à disposição para dúvidas pelo e-mail [email protected]. No meu canal no Youtube também público vídeos semanais sobre computação forense (www.youtube.com/josemilagre).

CYBEREXPERTS

A CyberExperts é consultoria especializada em computação forense, inteligência cibernética, perícia e auditorias em informática e peritos digitais. Atuamos para empresas e órgãos públicos na coleta, preservação e análise de evidências digitais, por meio de um rol de peritos com notória experiência profissional. Fale conosco (11) 3254-7616 ou acesso www.cyberexperts.com.br

Contratar um perito digital particular: http://www.cyberexperts.com.br

José Antônio Milagre, perito forense digital, perito e assistente técnico em informática, perito em proteção de dados,  especialista em computação forense, analista de sistemas, técnico em processamento de dados, Pós Graduado em Gestão de Tecnologia da Informação, Mestre e Doutorando em Ciência da Informação pela UNESP. Contato: [email protected] e (11) 3513-7844. Instagram @dr.josemilagre

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018), em vigor desde setembro de 2020, impõe importantes direitos aos titulares de dados pessoais, bem como deveres aos agentes de tratamento que, nas suas atividades, manipulem dados pessoais.

Segundo o relatório “Prejuízo de um vazamento de dados”, realizado pelo Ponemon Institute em parceria com IBM Security, o prejuízo total médio de um vazamento de dados aumentou 10% desde 2014, sendo o tempo médio para detectar e conter um vazamento de dados é de 280 dias e 315 dias quando for por um ataque mal-intencionado.

Nesse cenário, a responsabilidade para com a segurança da informação, já prevista em guidelines, normas e melhores práticas antes da LGPD, foi reforçada com os regulamentos que protegem dados pessoais, merecendo cada vez mais atenção.

São exemplos de importantes normas relacionadas à segurança da informação:

– a norma ABNT ISO/IEC NBR 27001:2013 que estabelece requisitos para o sistema de gestão da segurança da informação (SGSI);

– a norma ABNT ISO/IEC NBR 27002:2013, que prevê controles de segurança da informação e, recentemente, receberam a extensão dos requisitos e diretrizes específicos para controladores e operadores, trazidos pela norma ABNT ISO/IEC NBR 27701:2020, que dispõe acerca do Sistema de Gestão da Privacidade da Informação (SGPI).

Deste modo, a segurança da informação, destinada à proteção das dimensões envolvendo confidencialidade, integridade, disponibilidade e demais atributos da informação, também considera as especificidades envolvendo dados pessoais, razão pela qual a proteção da informação abrange não apenas dados corporativos ou classificados com críticos e confidenciais, mas também, dados ligados à pessoas naturais.

A segurança da informação é elevada ao status de um princípio na LGPD, envolvendo a utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas, relacionadas à destruição, perda, alteração, comunicação ou difusão.

Do mesmo modo, estabelece a LGPD que um tratamento de dados irregular não é somente aquele que não observa a legislação, mas, principalmente, aquele que não fornece a segurança que dele se pode esperar, considerando padrões e práticas aplicáveis à época do tratamento.

Nesta linha, agentes de tratamento responderão por danos decorrentes da violação de segurança quando não adotarem medidas físicas, técnicas e organizativas aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Assim, se antes, controladores e operadores poderiam assumir o risco de omitir uma vulnerabilidade explorada ou um incidente que envolvesse dados pessoais, em um cenário de normas de proteção de dados e maior conscientização, a omissão ou a descoberta por outras fontes pode ser catastrófica ao negócio.

Se o incidente envolve riscos aos titulares de dados, procedimentos ágeis devem ser executados em um processo claro, definido e testado previamente, com colaboradores responsáveis, conscientes de seu papel para a estrutura de governança de dados da organização e capacitados tecnicamente para conter um incidente de segurança.

Se minha empresa teve dados pessoais vazados, o que é preciso fazer?

De início, cumpre esclarecer que, após a confirmação, conforme o art. 48 da LGPD, o controlador deverá comunicar à Autoridade Nacional de Proteção de Dados (ANPD) e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Em tese, se não envolve risco ou dano relevante aos titulares, a comunicação não seria necessária. Recomenda-se que esta avaliação seja feita por consultoria e perícia forense digital independente em conjunto com o time interno, capaz de compreender a dimensão do ataque, vulnerabilidade explorada, medidas preventivas ou reativas acionadas e, então, ponderar pelo risco ou não aos titulares.

Nesse cenário, o DPO (Data Protection Officer) assume papel consultivo, pois a autonomia e independência são inerentes a sua função, zelando pelo melhor interesse do titular de dados e, como canal de comunicação, ser o elo entre a empresa, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Por sua vez, caso o ataque ou vazamento de dados proporcione risco ou dano relevante aos titulares, a comunicação à ANPD e aos titulares de dados ou clientes deverá conter, no mínimo:

Resta evidente que, se a empresa não estabelecer um processo claro para resposta a incidentes, terá dificuldades de tomar a decisão sobre incidentes com dados pessoais, sobre comunicar ou não, bem como em levantar as informações detalhadas do ocorrido, sobretudo se a exploração se deu em ambiente de um operador ou controlador conjunto.

Nessas situações, poderá ocorrer a aplicação de penalidades, inclusive multas, lembrando que, no juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, com o intuito de terceiros não autorizados acessá-los.

Nesse contexto, vale destacar que a perícia digital em questões envolvendo dados pessoais pode contribuir no processo de resposta a incidentes, não só para coleta de evidências e manutenção da cadeia de custódia, mas para identificar a extensão dos danos e se envolvem dados pessoais, apurando o possível modus operandi e a autoria.

Assim, é preciso compreender que um Sistema de Gestão de Proteção de Dados compõe-se de uma série de processos, práticas e ações para que a empresa demonstre conformidade com normas e práticas de proteção de dados, inclusive no atendimento do princípio da responsabilização e prestação de contas (art. 6º, X).

A gestão de incidentes de segurança da informação é diretriz prevista na ABNT ISO/IEC NBR 27002 e que agora é atualizada com diretrizes adicionais na seção 6.13 da ABNT ISO/IEC NBR 27701. Além disso, há a norma ABNT ISO/IEC NBR 27.035 que é específica para resposta a incidentes e a norma ABNT ISO/IEC NBR 29.151 que estabelece objetivos de controle, controles e diretrizes para a implementação de controles, a fim de atender aos requisitos identificados por uma avaliação de risco e impacto relacionada à proteção de informações pessoalmente identificáveis.

“Como parte do processo de gestão de incidentes de segurança da informação global, convém que a organização estabeleça responsabilidades e procedimentos para identificação e registros de violações de DP. Adicionalmente, convém que a organização estabeleça responsabilidades e procedimentos relativos à notificação para as partes envolvidas nas violações de DP (incluindo o tempo de tais notificações e à divulgação para as autoridades, levando em conta a regulamentação e/ou legislação aplicadas” (ABNT, 2019, p.28)”. 

Vale notar que, como parte dos processos de gestão de incidentes, é muito importante que a empresa defina papéis e responsabilidades, além de procedimentos para identificação e registro de violações de dados pessoais, mantendo inclusive procedimentos para notificação das partes envolvidas e divulgação às autoridades, além do desenvolvimento de uma análise crítica dos sistemas de Tecnologia da Informação e Comunicação (TIC).

A violação a dados poderá ter ocorrido em um operador de dados pessoais, um contratado, terceirizado, prestador de TI etc. Nestes casos, é fundamental que o controlador estabeleça, também, de forma preventiva, cláusulas contratuais que disciplinam como o operador irá fornecer informações necessárias ao controlador para que este possa cumprir com suas obrigações e prazos diante de um incidente constatado.

Em todos os casos, a resposta adequada ao incidente, coleta de  evidências e a perícia digital são essenciais, sobretudo para se evitar responsabilizações, considerando que, conforme disposto na LGPD, os agentes de tratamento não serão responsabilizados quando provarem, por exemplo, que os dados vazados não pertencem à empresa, não houve violação à legislação, ou quando provarem que os danos decorreram de culpa exclusiva do titular, como nos casos em que o titular é enganado por fraudador, que captura seus dados pessoais e credenciais de acesso ou mesmo senhas bancárias e dados de cartão de crédito. São questões que a perícia técnica, interna ou externa, poderá identificar e detalhar nas apurações.

Respostas a incidentes: orientações basilares

Em síntese, ao tratarmos de respostas a incidentes que exponham dados pessoais de clientes, temos que ter em mente as seguintes orientações:

1. Mantenha um processo/plano claro para lidar com incidentes, considerando a LGPD e regulamentos de privacidade em vigor, definindo papéis e responsabilidades dos atores envolvidos;
2. Certifique-se que os agentes de tratamento assinaram cláusulas contratuais específicas se comprometendo com a segurança dos dados e a colaboração quando da ocorrência de incidentes;
3. Realize a simulação de incidentes de segurança, ao menos uma vez ao ano, para verificar a maturidade do processo, a velocidade da resposta, gestores envolvidos, preservação das evidências e se demais tarefas são corretamente executadas. Com o teste do seu plano de resposta a incidentes será possível otimizar a capacidade de conter, mitigar e restabelecer os sistemas de forma ágil e eficaz;
4. Invista em programas de governança, gerenciamento de riscos e conformidade;
5. Incentive terceiros, colaboradores e usuários a notificarem qualquer suspeita pelos canais apropriados. Divulgue, ostensivamente, os canais apropriados;
6. Nesta linha, mantenha um ponto de contato online para que as pessoas possam notificar a suspeita de incidentes de segurança da informação ou com dados pessoais. Um exemplo interessante é o site da Apple, que disponibiliza uma página para que pessoas possam denunciar possíveis vulnerabilidades “Se você acredita que tenha descoberto uma vulnerabilidade de segurança ou privacidade em um produto Apple, relate-o para nós.” (https://support.apple.com/pt-br/HT201220). Na página existe um procedimento claro para relato das vulnerabilidades e como a Apple trata a questão internamente. Desenvolva algo neste sentido. Muitas empresas não possuem canais, o que encoraja pessoas a encaminharem a descoberta de uma vulnerabilidade para outras empresas, como imprensa, associações de defesa de titulares de dados e terceiros. Tenha em mente que é sempre bom que você saiba primeiro de um problema com seus sistemas.
7. Realize testes de intrusão (pentests) constantemente, teste também a eficácia de mecanismos de pseudonimização e anonimização, e mantenha abertos contatos e canais para notificações de vulnerabilidades por pesquisadores e profissionais;
8. Em casos de incidentes, realize uma perícia ou auditoria digital nos ambientes para identificar a extensão do dano e o comprometimento a dados pessoais, bem como se é o caso de comunicação a titulares e ANPD ou não. DPOs e Comitês de Proteção de Dados podem se embasar nestes documentos para a correta tomada de decisões. Se os datasets foram publicados na Internet, realize uma perícia comparativa, para apurar se efetivamente vieram de seus sistemas ou não e a possível autoria.
9. Se a violação se deu em terceiros ou operadores, faça valer o contrato ou acordo de processamento de dados, e requeira todas as informações e evidências (caso já não tenha sido informado), para que possa notificar as autoridades e os titulares de dados (se for o caso). Requeira informações sobre a investigação e elementos já identificados pelo operador, em detalhes;
10. Em todos os casos, preserve as evidências adequadamente, considerando melhores práticas, incluindo ABNT ISO/IEC NBR 27037. Lembre-se que medidas de resposta adequadas podem significar a demonstração do comprometimento da organização e evitar mais danos e responsabilizações.

O que deve conter em um processo de resposta a incidentes de segurança da informação?

Como visto até aqui, sem um processo de resposta a incidentes prévio e definido empresas terão problemas com incidentes envolvendo dados. Um processo de resposta a incidentes de segurança da informação  visa documentar os passos a serem seguidos quando do incidente e precisa conter, no mínimo:

– A equipe de resposta a incidentes: a declaração das pessoas responsáveis pela área na empresa que irá avaliar a situação, discutir as medidas a serem adotadas e produzir os relatórios necessários;

– Quem será a primeira pessoa a ser comunicada quando do incidente de segurança;

– Procedimentos a serem adotados antes, durante e após o incidente de segurança;

– Medidas adotadas pelo DPO para comunicar os titulares e a ANPD, além dos requisitos da comunicação;

– Elaboração de relatórios e documentos que demonstrem a adoção de medidas para evitar o incidente de segurança e, se houver, o que foi feito;

– Procedimentos de simulação de incidentes de segurança para verificar os riscos e mitigá-los.

– Aprendizado com o incidente de segurança da informação.

Considere, para estruturação de um processo de resposta a incidentes, as disposições da diretriz 6.13.1.5 da norma ISO 27701.

E caso tenha encontrado falhas ou vulnerabilidades em sistemas de empresas e que expõem dados pessoais?

Pode ser (aliás, quase sempre acontece), no entanto, que quem descobriu a vulnerabilidade não foi o controlador, mas um terceiro, pesquisador, analista, hacker, pessoa física, outra empresa etc. Muitas dúvidas surgem neste caso, sobretudo no que diz respeito a qual metodologia seguir.

Infelizmente, muitas empresas, informadas por terceiros de que são vulneráveis, acabam por processar criminalmente o notificante, o que incentiva que estes não a notifiquem e acabem dando destinação diversa ao encontrado, até mesmo encaminhando para a mídia.

Em tempos de LGPD, não serão incomuns as notificações à imprensa de vazamento de dados, sobretudo quando controladores não possuem canal de notificação ou ignoram avisos e mensagens de pessoas (quando as trata como criminosas). Os danos para as empresas serão imensos, pois como esta será vista quando uma vulnerabilidade, que expõe dados pessoais, é descoberta antes pela mídia ou terceiros?

Para pessoas e pesquisadores que encontram vulnerabilidades e exposição de dados pessoais em plataformas, algumas recomendações:

1. Registre a vulnerabilidade com metadados, documentando como é explorada, e quais os riscos. Se for algo exposto (sem necessidade de exploração, disponível ou facilmente acessível), também documente e sendo o caso registre uma ata notarial.  Demonstre sempre a finalidade de contribuir e não de explorar a falha e que não avançou na cópia dos dados, adulteração ou exclusão de dados pessoais;
2. Evite fazer dump, copiar ou disponibilizar os dados pessoais e demonstre isso claramente em sua notificação. Avalie como demonstrar a vulnerabilidade de modo menos invasivo possível.
3. Não é recomendável condicionar o fornecimento de “maiores detalhes da vulnerabilidade” à contratação de serviços de correção da mesma. Este fato pode ser mal interpretado pela empresa/controlador, que poderá iniciar um processo judicial ou criminal.
4. Busque os canais oficiais de notificação, e sempre dê ciência a uma testemunha sobre a descoberta da vulnerabilidade e sua finalidade na pesquisa.
5. Caso seja ignorado, pode ser que a empresa queira “acobertar” o vazamento, prejudicando cidadãos e titulares. Neste caso, considere encaminhar a questão à ANPD e às autoridades de aplicação de Lei.
6. Caso não tenha sido ignorado e a empresa esteja tratando a notificação, é importante observar como lidará com o incidente e se efetivamente irá fazer os comunicados aos titulares e autoridade. Acompanhe de perto e diante de omissões, considere comunicar a ANPD ou autoridades competentes.

Infelizmente, apesar de todas as medidas de proteção dos pesquisadores, nunca saberemos como o controlador poderá reagir a um comunicado de vulnerabilidade e vazamento de dados pessoais que trata..

Inúmeros casos ocorrem onde pesquisadores foram considerados infratores, pelo fato de dar-lhes ciência de uma vulnerabilidade, com uma simples prova, mesmo sem terem comercializado ou disponibilizado dados, mesmo sem pedirem nada em troca. Alguns pesquisadores, inclusive, registram Boletim de Ocorrência ou iniciam o processo de notificação assistidos por advogados especialistas em direito digital, antes de informarem e notificarem a falha, como uma tentativa de se protegerem de processos reflexos e interpretações errôneas.

Conclusões

Não negligencie. Todas as empresas estão sujeitas a ataques e incidentes que exponham dados pessoais. Por isso, um Sistema de Gestão da Privacidade da Informação implantado e mantido atualizado e efetivo pode cooperar para que a empresa reduza ou mitigue os riscos de eventual incidente de segurança, adotando controles e medidas técnicas e administrativas preventivas.

Do mesmo modo, um processo claro de resposta a incidentes envolvendo dados pessoais, como visto, não só demonstra compliance, mas, poderá, em casos concretos, minimizar os riscos de danos aos controladores e, principalmente, aos titulares de dados.

Foram vazados dados da sua empresa? Aja corretamente e evite multas e responsabilidades:

A CyberExperts atua na adequação de negócios e empresas à LGPD, bem como na perícia em dados e resposta a incidentes envolvendo vazamento de dados pessoais e auditorias de conformidade, atuando desde a investigação do incidente ao relacionamento com titulares de dados e Autoridades. Fale conosco. Acesse: www.cyberexperts.com.br.

Sobre o autor:

José Antonio Milagre (https://app.exeed.pro/holder/badge/55319) Data Protection Officer (DPO) EXIN. Pesquisador em direito e dados do Núcleo de Estudos em Web Semântica e Análise de Dados da USP (Universidade de São Paulo). Mestre e Doutorando em Ciência da Informação pela UNESP. Pós Graduado em Gestão de Tecnologia da Informação. Advogado com atuação em Direito Digital. Perito Judicial em Informática e Proteção de Dados. Presidente da Comissão de Direito Digital da Regional da Vila Prudente da OAB/SP. Autor de dois livros pela Editora Saraiva (Marco Civil da Internet: Comentários a Lei 12.975/2014 e Manual de Crimes Informáticos).

Colaboradora: Laura Secfém Rodrigues. Pós-graduanda em Direito, Tecnologia e Inovação com ênfase em proteção de dados, no Instituto New Law. Graduada em Direito pela Instituição Toledo de Ensino (ITE).

© 2021. Proibida cópia ou reprodução sem autorização prévia e expressa do autor: [email protected]

Em um bate papo com a Jornalista Monalisa Perrone, para o “E tem mais”, o Especialista em Crimes Cibernéticos e Perito Digital, José Milagre, fala sobre o vazamento de dados no Ministério da Saúde.

No mesmo ano em que entra em vigor a Lei Geral de Proteção de Dados, o Ministério da Saúde protagonizou dois grandes vazamentos de informações pessoais de pacientes. O primeiro deles revelou os dados de 16 milhões de pessoas que tiveram Covid-19, entre eles o presidente Jair Bolsonaro e o governador do Estado de São Paulo, João Doria. O segundo foi ainda maior, e tornou públicas informações como nome, endereço e até RG de mais de 200 milhões de brasileiros cadastrados no SUS.

Afinal de contas, como instituições públicas e privadas podem ser responsabilizadas pelo vazamento de dados? Elas já respondem à lei de proteção de dados?

Para saber como agir, caso tenha seus dados vazados, acesse:

https://www.cnnbrasil.com.br/tecnologia/2020/12/10/nova-lei-de-protecao-de-dados-e-a-vulnerabilidade-das-informacoes-na-rede?fbclid=IwAR1j8nffcT-1k3L86O35x_z4bMsWQSLUkCx6mNW2_m4Mm1kefMjcPIQ6wJY

Investigação, lições e como se proteger do ransomware

José Antonio Milagre*

Um dos maiores ataques cibernéticos do país indisponibilizou serviços do Superior Tribunal de Justiça Brasileiro (STJ). Estima-se que o Ministério da Saúde também tenha sido atingido. Após ter dados críticos criptografados, os técnicos da corte encontraram um pedido de resgate.

Ao que identificado, o STJ foi vitimado por uma ameaça conhecidíssima, nada de “alta tecnologia”, mas um ataque de ransomware, “sequestro de dados”, códigos automatizados que ao infectarem máquinas, criptografam arquivos com diversas extensões, ou mesmo cifram o disco todo, exigindo o pagamento em bitcoins.

No caso do STJ, o ataque criptografou os arquivos, renomeando as extensões, aparentemente, para *. Sth888. Como prova de que podem reverter o conteúdo, pedem que a vítima envie qualquer arquivo menor que 900 KB e devolverão descriptografados.

Assim, bases de dados críticas, sistemas, servidores web e softwares são paralisados, causando indisponibilidade de serviços e grandes transtornos. No caso, até audiências foram paralisadas.  Trata-se de uma ameaça onde o que não se falta são medidas “preventivas” para evitar que criminosos tenham sucesso com o golpe digital. (Já tratei inclusive deste tema no meu canal em:  Ransomware: Como evitar, remover, descriptografar e descobrir como foi infectado? 2020 José Milagre https://www.youtube.com/watch?v=EPJwP1rRsq8).

Muitos poderiam pensar que um Tribunal estruturado e com um grande orçamento, jamais seria vítima de uma ameaça tão conhecida, para qual existem recursos preventivos diversos. Porém, a invasão ao STJ e a outros órgãos públicos nos faz refletir sobre alguns pontos:

a) Não importa o quão a empresa invista em infra-estrutura em seu ambiente, na nova forma de trabalho, home office, a vulnerabilidade pode estar no elo mais fraco da corrente, ou seja, as máquinas vulneráveis dos trabalhadores, que acessam a VPN ou rede da empresa;

b) Até mesmo ameaças conhecidas, se não tratadas com medidas técnicas e organizativas, podem impactar grandemente em dados e na disponibilidade de sistemas; Um exemplo de boa prática é a adoção de backups e o estabelecimento de um disaster recovery plan.

c) Uma estrutura de resposta a incidentes jamais será eficaz se não estiver formalmente constituída e preparada com antecedência, com processos claros para compreensão do incidente, se evolve dados pessoais ou se há a necessidade da perícia em informática, para que se possa identificar e apurar o modus operandi e a possível autoria.

Os criminosos podem responder, de acordo com a situação, dentre outros delitos, por invasão de dispositivo informático e também pelo delito de interrupção ou perturbação de serviço informático, ou de informação de utilidade pública, crimes previstos no Código Penal Brasileiro e Lei 12.737/2012 (Carolina Dieckman).

No entanto, no caso do ataque de ransomware, tão dificultoso quanto descriptografar os dados sem a chave de reversão (o que demandaria muito poder de processamento, diante da complexidade dos algoritmos), é a apuração da autoria ou dos responsáveis. A perícia digital e em informática lidará com origem incerta, além da dificuldade de apurar a conta de destino do resgate, considerando que os criminosos recebem em criptomoedas e as transações na Blockchain podem não indicar muito sobre o recebedor.

Importante destacar, igualmente, que de acordo com a Lei Geral de Proteção de Dados, os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado, ou ilícito.

Mais que isso, deverão comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável, indicando a descrição da natureza dos dados pessoais afetados, as informações sobre os titulares envolvidos, a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial, os riscos relacionados ao incidente e as medidas que foram ou que serão adotadas para reverter, ou mitigar os efeitos do prejuízo.

Logo, é dever do órgão apurar se existiu ofensa a dados pessoais e ser transparente a respeito, nos termos da legislação nacional de proteção de dados.

Ferramentas e kits que permitem que qualquer pessoa aplique o ransomware e se torne um criminoso, com alguns cliques, são facilmente encontradas na rede. Pacotes efetivos e “atualizados” são vendidos na deep web, inclusive com disparos de e-mails “pishing” e outras formas mais sofisticadas de infecção, como o carregamento do código a partir do navegador, com o acesso a um site infectado. Em sentido oposto, as técnicas de perícia em informática para rastreio da Blockchain em busca do destino do dinheiro produto de crime engatinham e as transações em criptomoedas para fins ilícitos constituem um grande desafio para peritos de informática e investigadores digitais.

Deste modo, o ransomware, conquanto ameaça conhecida, continua em alta e muito efetiva, lesando de pequenos empresários e grandes cortes, sobretudo diante dos descuidos com proteção de dados e cópias de segurança, e como visto, a prevenção continua sendo a melhor forma de proteção contra este problema.

Prof. MSc. José Antonio Milagre, é perito em informática, advogado especialista em crimes cibernéticos e direito digital, Mestre e Doutorando em Ciência da Informação pela UNESP, Pesquisador do Nucleo de Estudos em Web Semântica e Análise de dados –  NEWSDA-BR da Universidade de São Paulo (USP), Diretor do Instituto de Defesa do Cidadão na Internet – IDCI. Autor pela Editora Saraiva em co-autoria com o Professor Damásio de Jesus, dos livros e “Marco Civil da Internet: Comentários à Lei 12.965/2014” e “Manual de Crimes Informáticos”. É colunista da Rádio Justiça/STF.

[email protected]

A RedeTV News realizou matéria para falar sobre Deepfake e o submundo de comércio de bases de dados pessoais a partir de aplicativos de Avatares ou Inteligência Artificial e que inclusive alimentam campanhas Eleitorais ilegais!

O Especialista e perito na área de tecnologia, José Milagre, explica como funcionam os aplicativos e os perigos que acarretam, principalmente em ano eleitoral.

Sabe aqueles aplicativos que transformam o rosto dos usuários em personagens, pessoas idosas ou em gêneros opostos? Eles são muito divertidos, mas é preciso ter muito cuidado, especialmente em ano eleitoral. Existe uma infinidade de aplicativos que mostram como você ficaria se fosse mais velho, se fosse do sexo oposto ou que colocam seu rosto em memes ou videoclipes em qualquer lugar do mundo. É tudo aparentemente divertido, só que a brincadeira pode não acabar bem. Isso porque as empresas que desenvolvem esses apps usam a inteligência artificial através de algoritmos pra armazenar dados do usuário. Com a tecnologia desses apps ficou mais fácil criar notícias falsas, o que é um perigo, especialmente em ano eleitoral. Por isso, é importante ter cuidado redobrado, antes de acreditar e compartilhar vídeos ou informações, porque com os apps é possível colocar na boca de um candidato frases que ele nunca disse, ou colocar a imagem dele em um lugar onde nunca esteve. Então, antes de compartilhar, desconfie e verifique.

Saiba mais em: https://www.redetv.uol.com.br/jornalismo/redetvnews/videos/tecnologia/eleicoes-2020-aplicativos-que-criam-videos-falsos-preocupam-especialistas

A Folha de São Paulo selecionou 24 especialistas para que avaliassem o Projeto de Lei das Fakenews em trâmite no Congresso Nacional, em diversos pontos, e apresentassem sua opinião. Após, condensaram todas as análises e fizeram esta importante matéria, que retrata pontos de consenso e riscos, matéria profunda elaborada pela Jornalista Renata Galf.

É um debate que interessa não só a comunidade de especialistas em Sociedade, Direito e Tecnologia, mas a todos!

https://www1.folha.uol.com.br/poder/2020/08/lei-das-fake-news-pode-ser-util-mas-especialistas-pedem-cautela-ao-congresso.shtml