Raspagem de dados em redes sociais: entenda técnica e por que hackers utilizam – Neotel Segurança Digital
O que muita gente não percebe é que cada interação pública na web deixa "migalhas" que podem ser reunidas para construir essas informações.
A técnica de aglutinar essas migalhas para criar bancos de dados é chamada de "raspagem" ou "garimpo" de dados. É uma prática bastante comum.
Embora "raspagem de dados" seja a tradução de "data scraping", talvez seja mais fácil entender a prática como uma "garimpagem de dados": a busca por elementos valiosos existentes na montanha de dados públicos da web.
Infográfico mostra como hackers usam raspagem de dados — Foto: Elcio Horiuchi/Arte G1
Se esse "garimpo" de dados apenas recolhe informações que já estão disponíveis publicamente, por que um hacker se daria ao trabalho de fazer isso?
Sendo assim, ter uma "rede social off-line" para consultas sob demanda pode agilizar o trabalho de um criminoso que constantemente precisa de dados pessoais.
Com os dados copiados em um pacote "off-line", ele pode reutilizar a informação sem ter de buscá-la novamente.
Do ponto de vista do hacker, é mais ou menos como construir a sua "agenda" de contatos. A diferença, claro, é a quantidade de pessoas e informações nesta agenda.
O método mais simples para "garimpar" dados é o "crawler", um "robô" que simula uma navegação na rede social. Ele "abre" os perfis e, como não é um ser humano, procura apenas dados específicos e os extrai.
O WhatsApp, por exemplo, não tem "link de perfil". Por outro lado, o WhatsApp utiliza números de telefone, que são consecutivos (9991, 9992…), o que permite a criação de um robô que simule um usuário de WhatsApp adicionando todos esses contatos à sua agenda. Se a foto do contato estiver pública, o robô poderá copiá-la.
Garimpar dados por meio de softwares automatizados é uma atividade vedada pelos termos de uso das redes sociais. Sendo assim, as redes sociais costumam se defender legalmente afirmando que a prática é proibida e que o "garimpeiro" violou suas regras.
Também é comum o uso do chamado "Captcha", o "teste" que deve ser realizado para diferenciar humanos de robôs. São aqueles mecanismos que dizem para você digitar os caracteres em um texto distorcido ou marcar imagens com determinados elementos.
Poucos recursos são mais protegidos por "Captcha" do que o diretório do Facebook.
A rede social tem uma lista com os nomes dos usuários e perfis na plataforma, mas é praticamente impossível acessar mais que duas páginas sem que um "Captcha" seja solicitado. Isso, claro, se deve ao fato de que varrer esse diretório seria uma mina de ouro para o "garimpo" de dados, permitindo encontrar todos os perfis na rede.
Raspagem e o 'perfil único'
Há situações ainda mais complexas. O Facebook e o Google notoriamente utilizam a rede de origem do usuário como "fator de confiança".
Se você abrir uma janela anônima do seu navegador e colocar seu e-mail no login do Facebook – sem preencher a senha -, você já verá a foto do seu perfil.
Só que hackers têm à disposição computadores infectados, as "redes zumbi", para intermediar acessos a partir de sistemas de qualquer provedor no mundo, coletando dados que normalmente não estariam disponíveis.
Quem utiliza qualquer rede social deve lembrar do "perfil único": não pense em suas redes sociais como perfis separados. Tudo que está na web é público, e alguém sempre poderá juntar seus perfis, desde que seja capaz de criar um robô que faça algumas milhões de consultas.