Empresas usam piratas para achar falhas

Um usuário com o apelido de Fearwall (muro do medo, em uma tradução livre do inglês) levou o mercado de falhas do submundo da internet para o centro das discussões dos especialistas em segurança digital.

No final do ano passado, ele iniciou o leilão on-line de uma brecha de segurança inédita no Excel. No texto em que descreveu a oferta, o usuário prometeu descontos para funcionários da Microsoft interessados e disse que o preço inicial para o arremate era de US$ 0,01 --segundo ele, um preço justo para qualquer produto feito pela dona do Windows.

No fim das contas, de acordo com o site Vnunet.com, Fearwall foi convidado pela Microsoft para colaborar na solução do problema que ele descobriu. O eBay, que havia apagado seu leilão, resolveu amigavelmente seu problema com o usuário.

A discussão ética em relação ao caso, porém, continua. Os especialistas ouvidos pela Folha têm opiniões diferentes sobre o assunto e prevêem problemas.

Para o consultor de segurança do portal Astalavista Security Group (www.astalavista.com), Dancho Danchev, o mercado de falhas pode ser útil para criar uma espécie de proteção ativa aos usuários, mas também oferece riscos. "Trata-se de uma relação de mercado. Se existir mais empresas pagando por esse serviço, mais gente negociará para sair com lucro", diz Danchev. "A longo prazo, isso pode ser ruim para as fabricantes", conclui.

A opinião do sócio-fundador da consultoria brasileira Módulo (www.modulo.com.br), Alberto Bastos, é semelhante. Para ele, a comercialização de informações sobre falhas não é totalmente imoral, pois pode ajudar a encontrar correções mais rapidamente, mas pode gerar situações complicadas. "É como se um detetive particular tentasse vender fotos comprometedoras da sua esposa. É algo que não é exatamente ético", exemplifica.

Por enquanto, pelo menos, a estratégia parece estar dando certo. Para a empresa iDefense (www.idefense.com), que diz ter 250 caçadores de falhas na sua lista de pagamento, o recrutamento externo ajuda a monitorar mais de 10 mil programas diferentes e é um diferencial na conquista de clientes de grande porte.

"Não posso dizer os nomes das empresas que nós atendemos, mas 40% delas são do mercado financeiro e outros 40% são órgãos do governo dos EUA", diz o porta-voz da iDefense, Jason Greenwood. Os serviços prestados pela iDefense incluem avisar seus clientes sobre novas falhas de segurança e oferecer correções antes do que as fabricantes.