O que a rede de espionagem Outubro Vermelho, o “supervírus” Flame e a invasão da RSA em 2011 – empresa responsável por tecnologias de segurança usadas em indústrias de alto risco, como armas e financeiro – têm em comum? Começaram com e-mails. Mensagens de correio eletrônico que, chegando ao destinatário, o convenciam a clicar em um link ou abrir um documento em anexo. Uma vez feito isso, estava acabado: uma praga digital já havia contaminado o sistema da vítima.
Essa característica é também compartilhada por fraudes brasileiras. Praticamente todas elas chegam por e-mail e com os mais variados assuntos. Muitas das mensagens tentam se passar por instituições financeiras, órgãos do governo ou veículos de imprensa. Outras apenas prometem algo muito importante ao destinatário – como fotos que provam uma suposta traição. E as pessoas clicam.
Segundo estatísticas de empresas de segurança, o volume do spam (e-mail em massa enviado normalmente com fins publicitários) está caindo. Apesar da queda, algo entre 70 e 80% de todas as mensagens enviadas são classificadas como spam. Ou seja, a cada 10 mensagens enviadas, apenas duas ou três são legítimas. O restante é lixo eletrônico.
Embora o e-mail seja usado por todos os internautas – e dobre como “identidade” na internet, para fins de cadastro -, a segurança do e-mail é um problema não resolvido. Em 2004, Bill Gates profetizou que o problema do spam estaria “solucionado” até 2006. O que não aconteceu e, até então, ninguém nem mesmo tentou.
Mas em 2006, já tarde demais para a profecia de Gates se realizar, foi proposto o protocolo Sender Policy Framework (SPF), uma tecnologia que seria capaz de identificar quando um e-mail foi realmente enviado pelo seu remetente – uma garantia que o protocolo de e-mail sozinho não pode oferecer. Em 2007, em vez de adotar o SPF, alguns provedores propuseram outra tecnologia com o mesmo intuito: o DKIM (sigla para DomainKeys Identified Mail).
As duas tecnologias são inúteis contra o spam, porque têm apenas a finalidade de identificar o remetente. E-mails em massa podem ser enviados de qualquer remetente. Mas elas serviriam, por exemplo, para saber se o e-mail de um banco realmente foi enviado pelo banco. No entanto, as duas tecnologias estão até hoje ocultas. Não é possível abrir uma mensagem em um webmail, por exemplo, e saber imediatamente se ela passou na verificação de SPF ou DKIM.
Isso porque ainda não se sabe como exibir essa informação ao internauta. O SPF e o DKIM apenas garantem que o remetente do e-mail é legítimo. Se o internauta é cliente do BancoTal.com.br, nada impede um criminoso de enviar uma mensagem – que passa nas verificações de SPF e DKIM – a partir do endereço de um “BamcoTal.com.br”. Exibir um aviso simples como “essa mensagem foi verificada” poderia induzir ao erro.
A situação é ainda pior porque essas tecnologias não foram adotadas por grandes prestadores de serviço e varejistas on-line. Além de servir de ferramenta para criminosos, o SPF e o DKIM ainda assustariam destinatários de e-mails legítimos de empresas que não configuraram corretamente esses serviços. Ou seja, o impacto dessas tecnologias até hoje ainda é nulo.
Existe uma tecnologia ainda mais antiga, chamada de S/MIME, que permite usar certificados em e-mails. Ela funciona de forma semelhante ao SSL (responsável pelo “cadeado” em sites seguros). Além de identificar o remetente, ela também pode impedir que o conteúdo do e-mail seja lido por terceiros. Mas ninguém usa essa tecnologia para enviar e-mails a clientes e os grandes serviços webmail nem mesmo reconhecem as mensagens protegidas com S/MIME.
No âmbito jurídico, os resultados não são melhores. No Brasil, embora alguns projetos tenham sido propostos, ainda não existe uma lei aprovada ou em vias de aprovação para combater o spam. Nos Estados Unidos, a lei conhecida como “CAN-SPAM” é vista como um fracasso, já que o país segue como o principal emissor de spam do mundo. A lei, cuja tradução deveria significar “enlatar o spam”, numa alusão ao fato de que ele seria contido, é chamada por críticos de “you CAN-SPAM” – “você pode enviar spam”.
Se o problema da segurança em e-mails pudesse ser solucionado, uma grande via de ataques seria fechada imediatamente. Mas o acúmulo de fracassos e o descaso desestimulam. A natureza aberta do e-mail – não existe um “gerenciamento central” – significa que um grande esforço cooperativo é necessário antes que qualquer iniciativa saia do papel.
A dificuldade de mudar essa situação e os grandes desafios a serem enfrentados – como os possíveis custos gerados por uma responsabilização dos provedores – beneficiam a atitude de deixar tudo como está: sem poder dar qualquer garantia sobre o conteúdo ou remetente de uma mensagem ao internauta.
G-1...SNB
