Where is cybercrime really coming from? | Caleb Barlow

Translator: Leslie Gauthier Reviewer: Camille Martínez

Tradutor: Maricene Crus Revisor: Denise Pelusch

Cybercrime is out of control.

O crime cibernético está fora de controle.

It's everywhere.

Está em todo canto.

We hear about it every single day.

Ouvimos falar dele todos os dias.

This year,

Este ano,

over two billion records lost or stolen.

mais de 2 milhões de registros foram perdidos ou roubados.

And last year, 100 million of us, mostly Americans,

E no ano passado,

100 milhões de nós, principalmente americanos,

lost our health insurance data to thieves -- myself included.

perdemos nossos dados de seguro de saúde para os ladrões, inclusive eu.

What's particularly concerning about this is that in most cases,

O que é particularmente preocupante nisso é que, na maioria dos casos,

it was months before anyone even reported that these records were stolen.

levou meses até que alguém relatasse que esses registros tinham sido roubados.

So if you watch the evening news,

Então, se você assistisse ao noticiário da noite,

you would think that most of this is espionage or nation-state activity.

acharia que muito disso é espionagem ou atividade do estado-nação.

And, well, some of it is.

E, bem, parte disso é.

Espionage, you see, is an accepted international practice.

Espionagem é uma prática internacional aceita.

But in this case,

Mas neste caso,

it is only a small portion of the problem that we're dealing with.

é apenas uma pequena parte do problema com o qual estamos lidando.

How often do we hear about a breach

Com que frequência ouvimos falar de uma violação

followed by, "... it was the result of a sophisticated nation-state attack?"

seguida de: "... foi o resultado de um ataque sofisticado do estado-nação?"

Well, often that is companies not being willing to own up

Bem, muitas vezes isso vem de companhias não dispostas a assumir

to their own lackluster security practices.

suas próprias práticas de segurança deficientes.

There is also a widely held belief

Há também uma forte crença

that by blaming an attack on a nation-state,

de que ao culpar um estado-nação de um ataque,

you are putting regulators at bay --

você afasta os reguladores,

at least for a period of time.

pelo menos por algum tempo.

So where is all of this coming from?

Então, de onde vem tudo isto?

The United Nations estimates that 80 percent of it

As Nações Unidas estimam que 80% disto

is from highly organized and ultrasophisticated criminal gangs.

vem de bandos criminosos altamente organizados e ultrassofisticados.

To date,

Até a presente data,

this represents one of the largest illegal economies in the world,

isso representa uma das maiores economias ilegais do mundo,

topping out at, now get this,

chegando a alcançar, vejam só,

445 billion dollars.

US$ 445 bilhões.

Let me put that in perspective for all of you:

Deixem-me colocar isso em perspectiva para vocês:

445 billion dollars is larger than the GDP

US$ 445 bilhões é maior do que o PIB

of 160 nations,

de 160 nações,

including Ireland, Finland, Denmark and Portugal,

incluindo Irlanda, Finlândia, Dinamarca e Portugal,

to name a few.

para citar algumas.

So how does this work?

Então, como isso funciona?

How do these criminals operate?

Como esses criminosos operam?

Well, let me tell you a little story.

Bem, deixem-me contar uma breve história.

About a year ago,

Há cerca de um ano,

our security researchers were tracking

nossos pesquisadores de segurança estavam rastreando

a somewhat ordinary but sophisticated banking Trojan called the Dyre Wolf.

um vírus bancário um tanto comum,

mas sofisticado, chamado Dyre Wolf.

The Dyre Wolf would get on your computer

O Dyre Wolf entrava no seu computador

via you clicking on a link in a phishing email

quando você clicava num link de um e-mail de phishing

that you probably shouldn't have.

que você, provavelmente, não deveria ter aceitado.

It would then sit and wait.

Ele então se instalaria e esperaria;

It would wait until you logged into your bank account.

esperaria até você entrar em sua conta bancária.

And when you did, the bad guys would reach in,

E quando você entrasse, os bandidos chegariam,

steal your credentials,

roubando seus dados,

and then use that to steal your money.

e depois os usariam para roubar seu dinheiro.

This sounds terrible,

Isso parece terrível,

but the reality is, in the security industry,

mas a realidade é que, no setor de segurança,

this form of attack is somewhat commonplace.

esta forma de ataque é bem comum.

However, the Dyre Wolf had two distinctly different personalities --

No entanto, o Dyre Wolf tinha duas personalidades diferentes:

one for these small transactions,

uma para essas transações menores,

but it took on an entirely different persona

mas ele assumia um caráter inteiramente diferente

if you were in the business of moving large-scale wire transfers.

se o seu negócio fosse o de fazer transferências em grande escala.

Here's what would happen.

Aqui está o que aconteceria:

You start the process of issuing a wire transfer,

você inicia o processo de emissão de uma transferência bancária,

and up in your browser would pop a screen from your bank,

e no seu navegador aparece uma tela de seu banco,

indicating that there's a problem with your account,

indicando um problema em sua conta,

and that you need to call the bank immediately,

e que você precisa contatar o banco imediatamente,

along with the number to the bank's fraud department.

juntamente com o telefone do departamento de fraude do banco.

So you pick up the phone and you call.

Então você pega o telefone e liga.

And after going through the normal voice prompts,

E depois de passar pelas orientações de voz costumeiras,

you're met with an English-speaking operator.

você é transferido para um operador que fala inglês.

"Hello, Altoro Mutual Bank. How can I help you?"

"Olá, Banco Mutual Altoro. Como posso ajudá-lo?"

And you go through the process like you do every time you call your bank,

E você passa pelo mesmo processo que passaria se ligasse para o seu banco,

of giving them your name and your account number,

dando a eles o seu nome e seu número de conta,

going through the security checks to verify you are who you said you are.

passando pelas verificações de segurança para confirmar se você é quem diz ser.

Most of us may not know this,

Muitos podem não saber disso, mas muitas transferências bancárias em larga escala

but in many large-scale wire transfers,

it requires two people to sign off on the wire transfer,

exigem que duas pessoas aprovem a transferência bancária,

so the operator then asks you to get the second person on the line,

então o operador pede que você coloque a segunda pessoa na linha,

and goes through the same set of verifications and checks.

e ela passa pela mesma série de verificações e confirmações.

Sounds normal, right?

Parece normal, certo?

Only one problem:

Apenas um problema:

you're not talking to the bank.

você não está falando com o banco, está falando com os criminosos.

You're talking to the criminals.

They had built an English-speaking help desk,

Construíram uma central de atendimento em inglês,

fake overlays to the banking website.

e falsas páginas iguais ao site do banco.

And this was so flawlessly executed

E executaram isso com tanta perfeição

that they were moving between a half a million

que eles estavam movendo entre US$ 500 milhões

and a million and a half dollars per attempt

a US$ 1,5 milhão por tentativa para seus cofres criminosos.

into their criminal coffers.

These criminal organizations operate

Essas organizações criminosas operam

like highly regimented, legitimate businesses.

como negócios altamente regimentados e legítimos.

Their employees work Monday through Friday.

Seus empregados trabalham de segunda a sexta.

They take the weekends off.

Eles folgam nos fins de semana.

How do we know this?

Como sabemos disso?

We know this because our security researchers see

Sabemos porque nossos pesquisadores de segurança

veem picos repetidos de "malware" numa tarde de sexta-feira.

repeated spikes of malware on a Friday afternoon.

The bad guys, after a long weekend with the wife and kids,

Os bandidos, após um longo fim de semana com a família,

come back in to see how well things went.

voltam para ver se as coisas foram bem.

The Dark Web is where they spend their time.

Eles passam seu tempo na Dark Web.

That is a term used to describe the anonymous underbelly of the internet,

Esse é um termo usado para descrever o submundo anônimo da internet,

where thieves can operate with anonymity

no qual os ladrões podem operar com anonimato

and without detection.

e sem detecção.

Here they peddle their attack software

Aqui eles vendem seu software de ataque

and share information on new attack techniques.

e compartilham informações sobre novas técnicas de ataque.

You can buy everything there,

Você pode comprar tudo lá,

from a base-level attack to a much more advanced version.

de um ataque de nível básico a uma versão muito mais avançada.

In fact, in many cases, you even see

Na verdade, em muitos casos,

gold, silver and bronze levels of service.

você até vê níveis de serviço ouro, prata e bronze.

You can check references.

Você pode verificar referências,

You can even buy attacks

pode até comprar ataques

that come with a money-back guarantee --

que vêm com uma garantia de devolução do dinheiro,

(Laughter)

(Risos)

if you're not successful.

se você não for bem-sucedido.

Now, these environments, these marketplaces --

Esses mercados,

they look like an Amazon or an eBay.

se parecem com um Amazon ou um eBay.

You see products, prices, ratings and reviews.

Você vê produtos, preços, classificações e avaliações.

Of course, if you're going to buy an attack,

Claro, se você for comprar um ataque,

you're going to buy from a reputable criminal with good ratings, right?

que seja de um criminoso respeitável com boa classificação, certo?

(Laughter)

(Risos)

This isn't any different

Isso não é diferente

than checking on Yelp or TripAdvisor before going to a new restaurant.

de pesquisar no Yelp ou TripAdvisor antes de ir a um novo restaurante.

So, here is an example.

Então, aqui está um exemplo.

This is an actual screenshot of a vendor selling malware.

Esta é uma imagem real de um fornecedor vendendo malware.

Notice they're a vendor level four,

Observem que é um fornecedor de nível quatro,

they have a trust level of six.

com um nível de confiança de seis.

They've had 400 positive reviews in the last year,

Ele teve 400 comentários positivos no ano passado,

and only two negative reviews in the last month.

e apenas dois negativos no último mês.

We even see things like licensing terms.

Vemos até termos de licenciamento.

Here's an example of a site you can go to

Aqui está o exemplo de um site que pode visitar se quiser alterar sua identidade.

if you want to change your identity.

They will sell you a fake ID,

Eles venderão a você uma identidade falsa,

fake passports.

passaportes falsos...

But note the legally binding terms for purchasing your fake ID.

Vejam os termos juridicamente vinculativos de compra de sua identidade falsa.

Give me a break.

Tenha a santa paciência!

What are they going to do -- sue you if you violate them?

O que eles vão fazer, processar você se violá-los?

(Laughter)

(Risos)

This occurred a couple of months ago.

Isso ocorreu há alguns meses.

One of our security researchers was looking

Uma das nossas pesquisadoras investigava

at a new Android malware application that we had discovered.

um novo aplicativo de malware do Android que tínhamos descoberto.

It was called Bilal Bot.

Chamava-se Bilal Bot.

In a blog post,

Na postagem de um blog,

she positioned Bilal Bot as a new, inexpensive and beta alternative

ela posicionou o Bilal Bot

como uma alternativa beta nova e barata

to the much more advanced GM Bot

comparada ao muito mais avançado GM Bot,

that was commonplace in the criminal underground.

que era comum no submundo criminoso.

This review did not sit well with the authors of Bilal Bot.

Este comentário não caiu bem com os criadores de Bilal Bot.

So they wrote her this very email,

Então, eles enviaram a ela este e-mail,

pleading their case and making the argument

defendendo o caso deles e argumentando

that they felt she had evaluated an older version.

que eles achavam que ela tinha avaliado uma versão mais antiga.

They asked her to please update her blog with more accurate information

Pediram a ela que atualizasse seu blog com informações mais precisas

and even offered to do an interview

e até se ofereceram para dar uma entrevista

to describe to her in detail

para descrever em detalhes

how their attack software was now far better than the competition.

como o software de ataque deles era agora muito melhor do que a concorrência.

So look,

Então, vejam,

you don't have to like what they do,

vocês não têm que gostar do que eles fazem,

but you do have to respect the entrepreneurial nature

mas precisam respeitar a natureza empreendedora

of their endeavors.

do trabalho deles.

(Laughter)

(Risos)

So how are we going to stop this?

Então, como vamos impedir isso?

It's not like we're going to be able to identify who's responsible --

Não é como se pudéssemos identificar o responsável;

remember, they operate with anonymity

lembrem-se de que eles operam em anonimato

and outside the reach of the law.

e fora do alcance da lei.

We're certainly not going to be able to prosecute the offenders.

Com certeza não poderemos processar os infratores.

I would propose that we need a completely new approach.

Gostaria de sugerir que precisamos de uma abordagem completamente nova,

And that approach needs to be centered on the idea

e essa abordagem precisa estar centrada na ideia

that we need to change the economics for the bad guys.

de que precisamos mudar a economia para os bandidos.

And to give you a perspective on how this can work,

E para dar a vocês uma perspectiva sobre como isso pode funcionar,

let's think of the response we see to a healthcare pandemic:

vamos pensar na resposta que vemos para uma pandemia na saúde:

SARS, Ebola, bird flu, Zika.

SARS, Ebola, gripe aviária, Zika.

What is the top priority?

Qual é a prioridade máxima?

It's knowing who is infected and how the disease is spreading.

É saber quem está infectado e como a doença se espalha.

Now, governments, private institutions, hospitals, physicians --

Governos, instituições privadas, hospitais, médicos,

everyone responds openly and quickly.

todos respondem aberta e rapidamente.

This is a collective and altruistic effort

Esse é um esforço coletivo e altruísta

to stop the spread in its tracks

para impedir a propagação no seu início

and to inform anyone not infected

e informar qualquer pessoa não-infectada

how to protect or inoculate themselves.

como se proteger ou se vacinar.

Unfortunately, this is not at all what we see in response to a cyber attack.

Infelizmente, não é isso que vemos como resposta a um ataque cibernético.

Organizations are far more likely to keep information on that attack

É bem mais provável que as organizações retenham informações sobre esse ataque

to themselves.

para si mesmas.

Why?

Por quê?

Because they're worried about competitive advantage,

Porque elas se preocupam com a vantagem competitiva,

litigation

litígio

or regulation.

ou regulamento.

We need to effectively democratize threat intelligence data.

Temos que, efetivamente, democratizar dados sobre informações de ameaças.

We need to get all of these organizations to open up and share

Precisamos que todas essas organizações se abram e compartilhem

what is in their private arsenal of information.

o que está em seu arsenal privado de informação.

The bad guys are moving fast;

Os bandidos estão se movendo rapidamente;

we've got to move faster.

temos que nos mover mais rápido.

And the best way to do that is to open up

E a melhor maneira de fazer isso é se abrir

and share data on what's happening.

e compartilhar informações sobre o que está acontecendo.

Let's think about this in the construct of security professionals.

Consideremos isso da perspectiva dos profissionais de segurança.

Remember, they're programmed right into their DNA to keep secrets.

Lembrem-se, eles têm o DNA programado para manter segredos.

We've got to turn that thinking on its head.

Temos que reverter esse pensamento.

We've got to get governments, private institutions

Temos que fazer com que governos, instituições privadas,

and security companies

e empresas de segurança

willing to share information at speed.

disponham-se a compartilhar informações com rapidez.

And here's why:

E aqui está o porquê:

because if you share the information,

se você compartilha as informações, isso equivale a uma vacina.

it's equivalent to inoculation.

And if you're not sharing,

E se você não está compartilhando, você é, na verdade, parte do problema,

you're actually part of the problem,

because you're increasing the odds that other people could be impacted

porque está aumentando as chances de outras pessoas serem afetadas

by the same attack techniques.

pelas mesmas técnicas de ataque.

But there's an even bigger benefit.

Mas há um benefício ainda maior.

By destroying criminals' devices closer to real time,

Ao destruir dispositivos criminosos mais próximos do tempo real,

we break their plans.

destruímos os planos deles.

We inform the people they aim to hurt

Informamos as pessoas que eles pretendem prejudicar

far sooner than they had ever anticipated.

muito mais cedo do que eles tinham previsto.

We ruin their reputations,

Nós arruinamos a reputação deles,

we crush their ratings and reviews.

esmagamos as classificações e avaliações.

We make cybercrime not pay.

Fazemos com que o crime cibernético não compense.

We change the economics for the bad guys.

Mudamos a economia para os bandidos.

But to do this, a first mover was required --

Mas para isso, um primeiro passo foi necessário,

someone to change the thinking in the security industry overall.

alguém para mudar o pensamento geral na indústria de segurança.

About a year ago,

Cerca de um ano atrás,

my colleagues and I had a radical idea.

meus colegas e eu tivemos uma ideia radical.

What if IBM were to take our data --

E se a IBM pegasse nossos dados,

we had one of the largest threat intelligence databases in the world --

tínhamos um dos maiores bancos de dados de ameaças do mundo,

and open it up?

e os divulgassem?

It had information not just on what had happened in the past,

Havia informações não apenas sobre o que tinha acontecido no passado,

but what was happening in near-real time.

mas o que estava acontecendo quase em tempo real.

What if we were to publish it all openly on the internet?

E se publicássemos tudo abertamente na internet?

As you can imagine, this got quite a reaction.

Como podem imaginar, isso causou uma reação e tanto.

First came the lawyers:

Primeiro vieram os advogados:

What are the legal implications of doing that?

"Quais são as implicações de fazer isto?"

Then came the business:

Depois vieram as empresas:

What are the business implications of doing that?

"Quais são as implicações para os negócios ao fazer isso?"

And this was also met with a good dose

E também houve uma boa dose de pessoas

of a lot of people just asking if we were completely crazy.

perguntando se estávamos completamente loucos.

But there was one conversation that kept floating to the surface

Mas havia uma questão que vinha à tona

in every dialogue that we would have:

em todas as conversas que tínhamos:

the realization that if we didn't do this,

a percepção de que se não fizéssemos isso,

then we were part of the problem.

seríamos parte do problema.

So we did something unheard of in the security industry.

Então fizemos algo inédito no setor de segurança.

We started publishing.

Começamos a publicar.

Over 700 terabytes of actionable threat intelligence data,

Mais de 700 terabytes de dados de informações de ameaça,

including information on real-time attacks

incluindo informações sobre ataques em tempo real

that can be used to stop cybercrime in its tracks.

que podem ser usados para deter o crime cibernético no início.

And to date,

E até o momento,

over 4,000 organizations are leveraging this data,

mais de 4 mil organizações estão usando esses dados,

including half of the Fortune 100.

incluindo metade da Fortune 100.

And our hope as a next step is to get all of those organizations

Nossa esperança para a próximo etapa é que todas essas organizações

to join us in the fight,

se juntem a nós na luta,

and do the same thing

e façam a mesma coisa,

and share their information

compartilhando suas informações

on when and how they're being attacked as well.

sobre quando e como eles também estão sendo atacados.

We all have the opportunity to stop it,

Temos a oportunidade de impedir isso,

and we already all know how.

e todos nós já sabemos como.

All we have to do is look to the response that we see

Tudo o que temos a fazer

é observar as respostas que vemos no universo da saúde,

in the world of health care,

and how they respond to a pandemic.

e como elas respondem a uma pandemia.

Simply put,

Simplificando,

we need to be open and collaborative.

precisamos ser abertos e colaboradores.

Thank you.

Obrigado.

(Applause)

(Aplausos)