O mais perturbador é que nenhuma contava com qualquer tipo de encriptação para proteger os seus ficheiros contra acessos não autorizados.
A entidade que as leiloou foi a Rail Corporation New South Wales, mais conhecida como RailCorp, e é uma das empresas de caminhos-de-ferro mais antigas em funções.
Apesar das inúmeras reestruturações, reorganizações, renomeações, e depois de várias fragmentações e privatizações ao longo dos anos, os serviços de passageiros da maior área metropolitana de Sydney (CityRail) e de longos percursos (CountryLink), funcionam numa rede que já celebrou o 150º aniversário em 2005.
Estes sistemas de caminhos-de-ferro servem um conjunto crescente de cinco milhões de pessoas que entram e circulam em Sydney, e um estado maior do que o Texas para além disso.
Com os viajantes enclausurados nas carruagens em hora de ponta, é possível imaginar a escala de propriedade pessoal perdida todos os anos.
Em 2011, um viajante até agora nunca identificado deixou para trás um raro e valioso violino Franz Diener de 1865, que pelo seu perfeito estado mais parece ter sido perdido quando era novo, e ficado atrasado mais de 140 anos devido a obras na linha de North Shore.
Não surpreende portanto que sejam perdidas tantas pens USB nos comboios da RailCorp, que encham literalmente baldes nos perdidos e achados.
Com um PVP actual em Sydney inferior a 5€ por cada unidade de 4GB, substituir uma pen USB tem um custo significativamente reduzido.
Mas quais serão os custos de perder uma pen USB que contenha dados sensíveis? Melhor ainda, quais serão os custos de encontrar uma pen perdida ou esquecida?
Queríamos descobrir as respostas a estas questões, por isso visitámos o leilão de perdidos e achados não reclamados para adquirir uma quantidade razoável destas unidades USB esquecidas, e examiná-las.
E o que aconteceu foi o seguinte...
Tínhamos cerca de 300€ para gastar, que assumimos serem o suficiente para comprar pelo menos 100 unidades para examinar. Mas o leilão demonstrou ser optimista e muito competitivo.
Portanto, a primeira surpresa foi o preço.
Acabámos por ganhar os lotes 671, 672 e 674: sacos contendo um sortido de 20, 21 e 16 unidades, respectivamente. Por esta colecção de 57 pens USB mal tratadas, pagámos um pouco mais do que os 300€ que tínhamos, depois de adicionada a comissão de 16,5% do leiloeiro. Podíamos ter comprado a mesma quantidade de pens completamente novas por um valor inferior.
Cinco unidades estavam avariadas, incluíndo os dois itens mais originais do conjunto: um carrinho e uma peça de lego. Duas outras não estavam a funcionar correctamente, por isso foram excluídas, apesar de uma delas ter fornecido dados suficientes para revelar um worm Autorun e pouco mais.
Isto deixou-nos com um número convenientemente arredondado de 50 unidades para teste.
Para os que são mais precisos e estatísticamente curiosos, ficarão satisfeitos por saber que a capacidade total dos 50 dispositivos era de 137.454.133.760 bytes. A capacidade média das pens era de 2.749.082.675 bytes, e a mediana de 2.019.557.376 bytes (2 GB). As pens tinham entre 256MB e 8GB.
Todas as pens tinham sido formatadas para conterem um único volume FAT. Seis estavam formatadas como disquetes antigas, com todo o dispositivo disponível sobre o volume FAT. As restantes 44 tinham um Master Boot Record, à semelhança dos discos rígidos, com uma única partição activa para os dados.
A nossa segunda surpresa foi a prevalência do malware.
Dois terços das pens (33) estavam infectadas. Descobrimos 62 ficheiros infectados no total. As piores unidades continham seis ficheiros infectados, representando quatro itens separados de malware. Alguns dados sobre o malware encontrado:
Não encontrámos nenhum malware destinado ao Mac OS X, mas nove unidades aparentavam ter pertencido a utilizadores de Macintosh (ou pelo menos foram intensamente utilizadas em computadores Mac); sete estavam infectadas.
Por outras palavras, se é um utilizador Windows, não assuma que pode automaticamente confiar em tudo o que recebe dos seus amigos fãs da Apple. E mesmo que seja um dos utilizadores Mac que se opõem ao conceito do software antivírus, considere adoptar uma posição mais "suave" como um serviço à comunidade.
A terceira surpresa foi um misto de vantagens e desvantagens.
O lado positivo foi não encontrarmos qualquer informação "bombástica" em nenhuma das 50 pens. Não continham quaisquer plantas de submarinos nucleares, informação secreta para investimentos em bolsa, registos de cartões de crédito, planos criminosos ou documentos diplomáticos pertencentes aos EUA datados de 1970.
Obviamente que se tratou mais de uma experiência do que de um exercício de recolha de informação sensível. Como não identificámos superficialmente nada que fosse claramente do interesse público expôr, decidimos prosseguir com cautela e evitar saber demasiado sobre os anteriores proprietários das pens.
Assim, não nos aprofundámos nem de perto ao ponto a que um hacker sem ética ou um investigador chegariam. Em particular, não analisámos cada byte de cada ficheiro, não pesquisámos sistematicamente por palavras-chave no chamado slack space, nem tentámos reconstruir ficheiros previamente eliminados.
O lado negativo foi que, mesmo com a análise mais automatizada, fomos capazes de revelar bastante informação pessoal sobre os inúmeros utilizadores que perderam estas pens, sobre as suas famílias, amigos e colegas.
Um desses utilizadores foi ao ponto de escrever o seu nome na pen com tinta indelével, o qual coincidiu com o nome registado nas propriedades dos documentos em Word e Powerpoint.
Identificámos 4.443 ficheiros directamente acessíveis nas 50 unidades, divididos da seguinte forma:
Entre os ficheiros incluíam-se:
* Listas de deduções fiscais.
* Minutas de um encontro de activistas.
* Trabalhos escolares e académicos.
* Projectos e esboços em AutoCAD.
* Álbuns de fotos com familiares e amigos.
* Um Curriculum Vitae e uma candidatura de emprego.
* Software e código-fonte da Web.
A nossa quarta surpresa foi o facto de nenhuma das pens estarem encriptadas, ou aparentemente conterem quaisquer ficheiros encriptados.
Todos os dispositivos se encontravam livremente acessíveis sem necessidade de qualquer tipo de desencriptação, eram directamente montados como volumes FAT sem password, e continham ficheiros de texto simples numa estrutura de directorias convencional.
Não se iluda julgando que os seus dados pessoais não são considerados importantes só porque não é um executivo de alto gabarito ou um multimilionário. A informação sobre si vale dinheiro para os cibercriminosos, e eles não necessitam de estar directamente envolvidos nos roubos de identidade. Existe um mercado paralelo que comercializa informação pessoal de todo o tipo.
O que podemos aprender com isto? Foquemo-nos em três pontos:
1. Faça a sua própria pesquisa antes de aderir a leilões de artigos informáticos. É fácil deixar-se levar e acabar por pagar demasiado. Não se esqueça das taxas adicionais sobre a sua licitação.
2. Utilize um antivírus e mantenha-o actualizado, mesmo que tenha um Mac. A Sophos oferece-lhe uma solução gratuita para proteger o seu computador Apple. Um rácio de infecção de 66%, significa que existem inúmeros exemplares de malware em circulação.
3. Encripte os seus dados pessoais e profissionais antes de os guardar numa pen USB, para que não possam ser acedidos caso perca o dispositivo. A Sophos oferece-lhe uma ferramenta gratuita para esse fim.