Chapéu preto, chapéu branco, chapéu cinza: quem os hackers realmente são

No dia a dia, hacker é alguém que invade computadores. No mundo da segurança a palavra é mais antiga e mais ampla: hacker é alguém que entende um sistema bem o bastante para fazê-lo fazer coisas que seus criadores não previram. Se essa habilidade é usada para proteger ou para prejudicar as pessoas é outra questão. O atalho do setor para essa questão vem dos velhos filmes de faroeste, em que os mocinhos usavam chapéu branco e os vilões, chapéu preto.

Três chapéus

O único teste que separa o branco do preto e do cinza é a autorização. Um pentester e um criminoso podem usar as mesmas ferramentas e técnicas. O que torna um profissional e o outro infrator é a permissão por escrito, combinada com antecedência, que define o que pode ser testado e como.

Chapéus pretos: uma indústria, não um gênio solitário

O solitário de capuz das fotos de banco de imagens é quase sempre um mito. O crime hacker sério hoje é organizado como um negócio. Alguns grupos escrevem malware e o alugam; outros se especializam em conseguir o acesso inicial a redes e vendê-lo; outros cuidam das negociações e da lavagem de dinheiro. Gangues de ransomware, operadores de infostealers e redes de fraude trocam serviços entre si em fóruns criminosos. Entender isso ajuda a explicar por que os ataques são tão persistentes: para quem está por trás deles, é trabalho.

Chapéus brancos: como funciona a pesquisa de segurança legítima

• Testes de intrusão (pentests): uma empresa contrata especialistas para atacar os próprios sistemas sob um acordo assinado e depois corrige o que eles encontram.
• Programas de recompensa por bugs (bug bounty): as empresas publicam regras e um escopo, convidam pesquisadores a procurar falhas e pagam recompensas por relatos válidos. Muitos funcionam por plataformas como HackerOne e Bugcrowd, e a Apple mantém seu próprio Apple Security Bounty.
• Divulgação coordenada de vulnerabilidades: um pesquisador que encontra uma falha a relata em particular ao fabricante, dá tempo para a correção e só publica os detalhes quando os usuários já podem se proteger. A CISA coordena divulgações quando é difícil falar com um fabricante.
• Defesa: equipes de segurança, equipes de resposta a incidentes e quem escreve ferramentas de segurança.

Chapéus cinzas: boas intenções, risco legal real

Os chapéus cinzas muitas vezes se veem como os mocinhos: encontraram uma falha, invadiram para provar e avisaram o dono. O problema é que a maioria das leis de crimes cibernéticos foca no acesso sem autorização, não na intenção. Nos Estados Unidos, a Computer Fraud and Abuse Act torna o acesso não autorizado um crime; no Reino Unido, a Computer Misuse Act faz o mesmo, e há leis parecidas em toda a Europa e em outros lugares, incluindo o Brasil. Alguns promotores ficaram mais cautelosos: em 2022, o Departamento de Justiça dos EUA anunciou uma política segundo a qual a pesquisa de segurança de boa-fé não deve ser acusada com base na Computer Fraud and Abuse Act. Mas essa política orienta só os promotores federais; ela não muda a lei em si, não vale para outros países e não impede uma empresa de processar.

Aprendendo hacking do jeito legal

A curiosidade sobre como os sistemas quebram foi o ponto de partida da maioria dos profissionais de segurança, e há muitos lugares para matar essa curiosidade sem infringir a lei. As competições Capture the Flag (CTF) oferecem desafios deliberadamente vulneráveis para resolver, sozinho ou em equipe. Plataformas de prática e laboratórios de treinamento fornecem máquinas feitas para serem atacadas, com regras claras. Você também pode montar um pequeno laboratório em casa com computadores antigos ou máquinas virtuais que sejam seus. O fio condutor é simples: você só testa sistemas que são seus ou que alguém com autoridade para isso permitiu explicitamente, por escrito, que você teste. Esse hábito, praticado desde o primeiro dia, é também exatamente o que empregadores e programas de recompensas procuram.

Outros chapéus de que você pode ouvir falar

• Hacktivistas: atacantes movidos por uma causa política ou social.
• Grupos patrocinados por Estados: hackers que trabalham para ou com um governo, muitas vezes focados em espionagem ou sabotagem.
• Script kiddies: atacantes inexperientes que usam ferramentas prontas que não entendem direito. Menos habilidosos, mas ainda capazes de causar danos reais.
• Insiders: funcionários ou terceirizados que abusam do acesso que têm legitimamente.

Por que isso importa para pessoas comuns

Saber quem está do outro lado ajuda a avaliar o risco. A maioria das pessoas não é alvo de grupos patrocinados por Estados; elas esbarram no crime organizado dos chapéus pretos por meio de phishing, infostealers e ransomware, que são oportunistas e miram quem cair no golpe. Já o trabalho dos chapéus brancos é o motivo pelo qual seus apps recebem atualizações de segurança: muitas das falhas corrigidas em uma atualização foram encontradas por pesquisadores e relatadas de forma responsável. Instalar atualizações rapidamente é como você colhe o benefício desse trabalho. Ferramentas como o FireAI estão do lado dos chapéus brancos: mostram o que o software do seu computador está fazendo, na sua própria máquina e com o seu consentimento.