Lulz Security revela 62 mil emails e passwords

O Mário Ferreira já aqui tem referido várias vezes o grupo de hackers Lulz Security, que continuam a fazer notícia. Na semana passada revelaram uma lista de 62 mil endereços de email e passwords. O grupo não revelou a sua origem, mas um dos sites terá sido o writerspace.com. Ao todo, até ao momento, o LulzSec revelou 150 mil emails, passwords e outros dados pessoais.

Naturalmente alguns de vocês poderão estar a pensar “Será que o meu email é um deles? Será que tenho de mudar de passwords?”. Uma forma de verificar será sacando a(s) lista(s), mas (e embora não seja difícil de encontrar) não nos interessa estar aqui a divulgar listas de emails que podem ser usadas para envio de SPAM ou coisas piores. Felizmente o site TheNextWeb.com criou um widget onde se pode facilmente procurar pelo nosso email não só na última lista, mas em todas.

Mais uma vez esta lista veio expor a fraca qualidade das passwords usadas por muitas pessoas. Entre estas últimas 62 mil há centenas de ”123456″ e “password”. Aparece também “11111″ umas 28 vezes, e “0000″ aparece mais do dobro. Urge repetir o concelho de usarem passwords mais complexas, e de NUNCA por NUNCA usarem a mesma password das vossas contas de email para se registarem em outros sites. Nunca se sabe quem poderá hackar um desses inúmeros sites que requerem registo, e aceder à base de dados de utilizadores (eventualmente até os próprios administradores desses sites o poderão fazer). Se essa password der acesso à vossa conta de email, e se esse email for o usado no Facebook, Twitter, Messenger, etc, uma pessoa com intenções maliciosas pode praticamente usurpar a vossa identidade online.

Também é aconselhável não se repetir passwords em vários sites. Especialmente não usar a mesma password do Facebook, Messenger, Amazon e outras lojas online (que conhecem o vosso número de cartão de crédito), noutros sites com segurança e reputação duvidosa. São os primeiros alvos onde os “engraçadinhos” irão experimentar pares de endereços de email e passwords, a ver se entram.

Já sabemos que não é fácil de memorizar inúmeras passwords. Uma forma é ter uma password base à qual se adiciona o nome do site, ou a primeira letra, ou duas, ou três, no início, meio ou fim da vossa password base. É só um exemplo. Adaptem um sistema do género e usem-no sempre.

Quanto ao Lulz Security, é mais um grupo a emergir do famoso message board 4chan onde inúmeros memes que circulam pela internet fora têm a sua origem. Foi lá que surgiu o Anonymous também. Mas ao contrário do Anonymous, o LulzSec não parece ter qualquer motivação politica ou ideológica, para além de expor as vulnerabilidades de grandes empresas e entidades, e divertirem-se com isso.

Enquanto que o Anonymous ataca alvos que vão desde a RIAA e MPAA por perseguirem os partilhadores de ficheiros, a Visa e a Mastercard por bloquearem os donativos à Wikileaks, a Sony por processar George Hotz, ou até as empresas responsáveis por um projecto hidroeléctrico no Chile, tudo com motivações político-ideológicas; o Lulz Security vangloria-se de coisas como colocar imagens de pénis em contas no Facebook e ver as reacções dos amigos e familiares, ou enviar (através da Amazon) brinquedos sexuais para outras vítimas.

Pelo meio lá se vão justificando com o expor publicamente as vulnerabilidades que existem, e que outros podem estar a explorar de forma sorrateira. Não deixam de ter razão quando dizem que eles ou outros podiam estar dentro dos sistemas do FBI, do Senado americano, da PBS, da Sony, etc, etc, a observar e abusar sem nada revelar. Não haja dúvidas que alguns dados a que tiveram acesso poderiam ser facilmente usados para formas mais tradicionais do cibercrime com objectivo de fazer dinheiro.

No comunicado de imprensa comemorativo do milésimo tweet, o LulzSec diz ainda dispor de uma lista de 200 mil jogadores do jogo Brink que nunca publicaram, mas que ao revelarem esse facto dão a hipótese dos utilizadores mudarem as passwords (e à empresa responsável de tapar o buraco) ao contrário de ficarem de bico calado a abusar desses dados.

O comunicado surge como uma resposta às acusações de que as acções do LulzSec apenas estão a dar munições a governantes como o Presidente Sarkozy da França que quer intervir, regular e “civilizar” a internet. Havia quem na semana passada comentasse no Twitter a coincidência conveniente do Presidente Sarkozy anunciar aquelas intenções na cimeira do G8 e de repente aparecer um grupo de hackers a atacar tudo e todos. Numa reunião de ministros europeus já surgiu uma proposta para criminalizar a criação de distribuição de ferramentas de hacking. Poderá ser apenas a primeira de muitas medidas que nos poderão afectar a todos, limitando as nossas liberdades enquanto utilizadores da internet.

Outros apontam que quem está a secretamente adorar tudo isto são as empresas de segurança informática, e que os membros do LulzSec (aparentemente hackers de elite) até poderão estar ligados a essa indústria que subitamente viu a clientela aumentar. Uma coisa é certa, as acções do LulzSec estão a fazer os governos e grandes empresas prestarem atenção à questão da segurança informática, de forma muito mais eficaz que mil consultores a fazerem apresentações com avisos catastróficos, ou que os hackers “white hat” (os bem comportados) a revelar em privado a existência dos buracos.

Quem não está, naturalmente, a achar piada nenhuma ao “espectáculo” são os gamers da PS3, como aqui o Mário Ferreira. Ficaram sem a rede PSN durante muito tempo e com os seus dados potencialmente expostos. O LulzSec até afirma que formam a maioria dos seus detractores.