​Não Confie Só no Tor: Dicas de Segurança de Um Veterano da Deep Web

Ser um ciber-criminoso é difícil. Quando você atinge certo nível de notoriedade, um monte de agências de segurança com fundos o suficiente pode estar na sua cola. Alguns podem pensar que o poder de uma tecnologia de anonimato e criptografia como o Tor pode ser o bastante para dar uma segurada nos tiras. Mas eles estão errados.

Os verdadeiros "profissionais" também se valem de um alto padrão de segurança operacional, também chamada de "OPSEC". Isto é, essencialmente, a prática de manter seu trabalho à salvo, e muitas vezes consiste em esperteza e disciplina, ao invés de algo especificamente tecnológico.

Um suposto veterano da deep web deu seus próprios conselhos de OPSEC para o zine hacker 2600.

O autor do texto afirma ser "Nachash", nome de usuário do antigo administrador do Doxbin, um site em que detalhes pessoais de dezenas, talvez centenas de milhares de pessoas, eram hospedados. Isto incluía os números da previdência social de várias celebridades, e também dox – gíria para documentos de identificação pessoal – de hackers, gamers, e praticamente qualquer um que tenha emputecido qualquer membro do 4chan, o infame fórum e celeiro de trolls da internet.

O Doxbin foi encerrado durante a Operation Onymous, um esforço das autoridades que visou um punhado de sites da deep web, incluindo aí o sucessor do comércio de drogas Silk Road, cujo suposto administrador à época foi preso.

"Como consegui não ser derrubado, sou um dos poucos qualificados a instruir outras pessoas à respeito de serviços ocultos e segurança, simplesmente porque tenho mais experiência real na operação destes serviços [sites da deep web] que o usuário médio do Tor", escreveu Nachash.

Apesar de já ter interagido com Nachash anteriormente, na época de publicação da matéria ele ainda não havia respondido mensagens em que lhe pedia para confirmar que ele pretendia, de fato, escrever um artigo com estas dicas. Uma conta no Twitter previamente associada a Nachash tuitou o guia.

Nachash inicia a seção OPSEC de seu guia com um aviso seríssimo. "Esta seção é essencial, especialmente quando as coisas começam a dar errado. Se tudo mais cair por terra, seguir estas dicas fielmente ou não pode fazer a diferença entre liberdade e prisão", ele escreve.

A primeira dica é não misturar sua identidade da deep web com a sua verdadeira. Não trabalhe "do porão de sua mãe ou qualquer lugar associado normalmente com você" e "não fale sobre os mesmos assuntos usando diversas identidades e tome medidas para alterar a forma como você escreve", diz Nachash.

A prática de manter identidades separadas é conhecida como "compartimentação", e é onde muitas vezes os ciber-criminosos falham. O suposto criador do Silk Road 2 preso como parte da Operation Onymous registrou o servidor do site com seu email pessoal. Isto é semelhante ao erro cometido por Ross Ulbricht, o recém-condenado dono do primeiro Silk Road: ele assinou uma mensagem que fazia propaganda do site com uma conta do Gmail que incluía seu nome verdadeiro.

Em seguida, Nachash escreve, "Nunca mantenha registros de qualquer comunicação. Se você for pego e tiver logs de conversas, os tiras os usarão para prender outras pessoas". É provável que estes registros, caso sejam incriminadores, sejam usados contra você. Isto foi exatamente o que aconteceu com Ulbricht: haviam registros de muitos chats entre ele e seus parceiros armazenados em seu notebook, e além disso, ele tinha um diário de suas atividades ilegais.

Ao utilizar chats, tente deixar rastros de desinformação, continua Nachash. "Caso você seja pegando conversa fiada, certifique-se de incluir dados falsos sobre si mesmo e sua vida". Isso para que não seja possível traçar um perfil seu que ajudaria a lhe encontrar.

Este foi um conselho que o hacktivista Jeremy Hammond não seguiu: ao falar com "Sabu", um integrante do grupo hacker LulzSec, que nesta altura trabalhava como informante do FBI, Hammond deu indícios de seu estilo de vida, como por exemplo o fato de que costumava reviravar lixeiros. Registros indicam que isto ajudou o FBI a capturá-lo.

Mesmo que você chegue a esse ponto, e comece a ganhar grana na deep web, não deve sair por aí ostentando seu dinheiro. "Levar uma vida que está além das suas possibilidades é um alerta que leva a investigações financeiras e por fraude", escreve Nachash.

Resumindo, "se você confia somente no Tor para se proteger, você vai se foder e gente como eu rirá de você".

Ou, em outras palavras, a tecnologia não é algo à prova de falhas: se você quer seguir online sem revelar sua identidade, tem que separar por completo suas múltiplas vidas, e seguir uma série de outras regras não-técnicas. Se você não fizer isso, vai ser pego, não importa debaixo de quanta criptografia você esteja.

Tradução: Thiago "Índio" Silva