Uma vulnerabilidade de segurança chamada P2PShell revelou como falhas antigas da infraestrutura da internet ainda podem ser exploradas por criminosos com o auxílio da inteligência artificial (IA). O problema afeta uma linguagem de programação presente em cerca de 70% dos sites do mundo e permite a execução remota de códigos ou o acesso a informações armazenadas em servidores.
As vulnerabilidades existiam havia mais de uma década, mas pesquisadores só conseguiram compreender de que maneira poderiam ser exploradas depois de utilizar ferramentas de IA. A descoberta provocou uma corrida entre empresas, organizações e governos para instalar as correções disponíveis. Na semana passada, alguns sites governamentais na Europa chegaram a ficar temporariamente fora do ar até que os sistemas fossem atualizados.
O caso reforça a percepção de que parte significativa da infraestrutura digital global permanece apoiada em tecnologias antigas e sujeitas a falhas que podem não ter sido identificadas ou corrigidas. Patrick Fussell, chefe global de simulação de adversários da IBM, afirmou que grande parte da internet e da infraestrutura mundial de tecnologia da informação funciona com sistemas antigos, que provavelmente apresentam vulnerabilidades semelhantes.
A inteligência artificial amplia a capacidade tanto de pesquisadores quanto de agentes mal-intencionados. Com as mesmas ferramentas, especialistas podem localizar brechas e desenvolver correções, enquanto hackers conseguem investigar sistemas, automatizar etapas de ataques e encontrar novos pontos de exploração com mais rapidez. Por isso, a descoberta da P2PShell é vista como um alerta de que outras falhas relevantes ainda podem ser identificadas.
Atualizações continuam sendo a principal proteção
Em vulnerabilidades desse tipo, os usuários têm pouca influência direta sobre a correção do problema. A responsabilidade principal é das empresas, organizações e órgãos públicos que administram os serviços, os servidores e os sistemas afetados. Cabe a essas instituições aplicar os patches de segurança mais recentes e reduzir o período em que os criminosos podem explorar a falha.
Mesmo assim, os usuários também precisam manter boas práticas de segurança. Notificações de atualização de software em computadores, celulares e outros dispositivos não devem ser ignoradas. Muitas dessas atualizações incluem correções críticas, e a instalação rápida diminui o tempo disponível para que hackers aproveitem vulnerabilidades conhecidas.
Gang Wang, professor associado de ciência da computação na Universidade de Illinois, afirmou que os usuários devem instalar as atualizações e manter uma boa “higiene de segurança” para reduzir os riscos. A recomendação também inclui verificar se aparelhos antigos continuam recebendo suporte.
A maioria dos smartphones oferece atualizações por aproximadamente sete anos após o lançamento. Quem utiliza um telefone mais antigo deve consultar os sites da Apple, do Google ou da Samsung para confirmar se o aparelho ainda é compatível com novas versões de software.
Golpes de phishing ficaram mais convincentes
Outro cuidado importante envolve os endereços dos sites visitados e os links recebidos por e-mail ou mensagem de texto. É preciso observar especialmente comunicações que afirmam ser de bancos ou operadoras de cartão de crédito. Dados pessoais, endereços de e-mail, senhas, informações bancárias e números de cartões não devem ser compartilhados sem a confirmação de que o site é legítimo.
A IA também tornou os ataques de phishing mais sofisticados. No passado, erros de ortografia, problemas gramaticais e uma linguagem pouco natural eram sinais comuns de fraude. Jud Dressler, chefe do centro de operações de risco da empresa de seguros cibernéticos Resilience, afirmou à CNN Internacional que a IA consegue eliminar muitos desses sinais.
Segundo Dressler, as ferramentas também permitem que criminosos pesquisem mais detalhadamente os possíveis alvos e produzam mensagens personalizadas e convincentes. Por isso, a orientação é acessar diretamente a conta pelo aplicativo ou pelo endereço oficial da empresa, ou telefonar para a instituição, em vez de clicar no link recebido.
Empresas menores podem levar mais tempo para corrigir vulnerabilidades depois de um ataque ou de uma violação de dados, quando comparadas a organizações de maior porte. Esse fator reforça a necessidade de cautela mesmo em comunicações aparentemente relacionadas a serviços conhecidos.
Senhas exclusivas reduzem o impacto de invasões
As senhas não devem ser reutilizadas em diferentes serviços. Uma alternativa é utilizar um gerenciador de senhas capaz de criar combinações longas e exclusivas para cada conta. Rachel Tobac, CEO da empresa de cibersegurança e treinamento SocialProof Security, afirmou ao podcast Terms of Service, da CNN, com Clare Duffy, em 2024, que as pessoas tendem a repetir padrões previsíveis.
Entre esses padrões estão senhas relacionadas ao trabalho, com o nome da empresa ou da função profissional, além de uma letra maiúscula colocada na primeira posição apenas para atender às exigências do serviço. Gerenciadores como Bitwarden, 1Password e Dashlane foram citados por Tobac. O usuário deve verificar se a ferramenta oferece criptografia, recurso que mantém as senhas protegidas e ilegíveis para hackers.
Também é recomendável utilizar chaves de acesso, conhecidas como passkeys. Essas credenciais permitem entrar em serviços digitais usando impressão digital, reconhecimento facial ou PIN, em vez de uma senha digitada. Em geral, são consideradas mais seguras porque estão vinculadas a dados biométricos armazenados no dispositivo. Os sistemas operacionais da Apple, do Google e da Microsoft são compatíveis com esse recurso.
A autenticação de dois fatores deve ser ativada sempre que estiver disponível. Ela acrescenta uma etapa de verificação por código enviado por SMS, e-mail ou ligação telefônica. Alguns especialistas preferem códigos gerados por aplicativos, como o Google Authenticator, porque mensagens de texto podem ser vulneráveis a ataques.
Também é importante monitorar contas relevantes e ativar alertas automáticos por e-mail ou SMS para identificar alterações suspeitas. Nos Estados Unidos, outra medida citada é congelar o relatório de crédito nas três principais agências — Experian, TransUnion e Equifax — para dificultar a abertura de novas contas em nome da vítima.
Para reduzir golpes que envolvem falsos familiares, pode ser criada uma palavra-código compartilhada entre parentes. Diante de uma ligação ou mensagem suspeita, a pessoa deve retornar o contato por um canal conhecido ou falar com alguém próximo antes de fornecer informações.
Embora a IA permita que até hackers iniciantes conduzam campanhas mais elaboradas, os criminosos continuam explorando um método antigo: a manipulação das pessoas. Para Dressler, trata-se de uma técnica conhecida, mas agora aprimorada pela inteligência artificial para se tornar mais convincente e eficaz.
