Wiki de OPSEC (Um guia para a segurança pessoal online)

Essa tradução foi gerada por um programa e ainda não foi revisada por uma pessoa. Você fala esse idioma? Revise-a.

Autor: Jacob Mehnert

Segurança operacional (OPSEC) é um processo que identifica informações críticas para determinar se a inteligência inimiga pode observar ações de aliados, avalia se as informações obtidas por adversários podem ser interpretadas como úteis para eles e, em seguida, executa medidas selecionadas que eliminam ou reduzem a exploração de informações críticas por parte de adversários.

Embora os militares dos Estados Unidos tenham cunhado o termo originalmente durante a Guerra do Vietnã, a expressão foi adotada por especialistas em segurança cibernética para descrever conceitos que se concentram na proteção de sistemas digitais, redes, dispositivos e dados contra ameaças cibernéticas e na manutenção da segurança digital.

Argumentar que você não se importa com o direito à privacidade porque não tem nada a esconder não é diferente de dizer que você não se importa com a liberdade de expressão porque não tem nada a dizer.

- Edward Snowden

Uma das falácias lógicas mais comuns sobre a privacidade online é a crença de que você não deveria se preocupar com ela se não tem nada a esconder. Embora seja verdade que talvez você não tenha nada a esconder, existem consequências no mundo real para permitir que empresas coletem seus dados.

Em 25 de novembro de 2022, Randal Quran Reid foi preso por duas acusações de furto e roubo de cartão de crédito em Baton Rouge e Jefferson Parish. No entanto, um fato crucial havia sido ignorado durante a prisão de Reid: ele nunca esteve na Louisiana.

O que aconteceu foi que um software de reconhecimento facial conhecido como Clearview AI foi usado pela polícia e sinalizou falsamente Reid após comparar seu rosto e determinar que era uma correspondência com um suspeito registrado por uma câmera de vigilância. Também foi descoberto que a Clearview AI possuía um extenso banco de dados de rostos coletados a partir de fotos enviadas para sites como Facebook e LinkedIn.

Apesar de nunca ter estado na Louisiana, Reid foi mantido sob custódia policial por uma semana e forçado a pagar vários milhares de dólares em taxas legais para ser liberado. O caso de Reid não foi o único incidente isolado em que o mesmo software sinalizou alguém falsamente. Pelo menos quatro outros incidentes de identidade trocada ocorreram, e esses são apenas os casos que se tornaram amplamente conhecidos pelo público. Muitas pessoas não têm dinheiro ou recursos adequados para combater essas acusações, então seus nomes e histórias nunca serão amplamente conhecidos.

Até julho de 2017, todos os funcionários da Amazon Ring podiam acessar os vídeos de todos os usuários do Ring, mesmo quando não era necessário para seu trabalho específico. Esses vídeos não eram apenas livremente acessíveis aos funcionários da Amazon; um contratado terceirizado da Ucrânia também tinha acesso a eles e liberdade para baixar e armazenar esses vídeos até julho de 2017.

Também não é preciso dizer que os funcionários da Amazon abusaram desse acesso. A FTC informou que um funcionário da Ring havia visualizado milhares de vídeos de pelo menos 81 usuárias. O funcionário supostamente procurava por feeds de câmeras que sugeriam que poderiam estar sendo usados nas áreas mais privadas, como “Quarto Principal”, “Banheiro Principal” e uma câmera chamada “Spy Cam”. Acredita-se que o funcionário passasse pelo menos uma hora por dia analisando os vídeos. Como resultado desse incidente, a Amazon foi denunciada à FTC, forçando a empresa a pagar um acordo de US$ 5,8 milhões.

Da mesma forma, em abril de 2023, descobriu-se que a Tesla poderia acessar as câmeras nos carros de seus clientes. Também foi descoberto que funcionários da Tesla compartilhavam vídeos e fotos coletados dessas câmeras uns com os outros. Um ex-funcionário da Tesla descreveu que, mesmo se o carro estivesse desligado, as câmeras ainda gravariam vídeo e o carro até informaria sua localização.

O ex-funcionário descreveu como os carros capturavam clientes lavando roupas e outros acontecimentos dentro de suas casas.

Uma das maneiras mais comuns pelas quais as empresas otimizaram suas vendas é por meio de publicidade direcionada baseada em dados de navegação coletados dos usuários. Em 2020, descobriu-se que a Orbitz, uma popular agência de viagens online e mecanismo de metabusca de viagens, estava exibindo preços mais altos para quartos de hotel para usuários de Mac do que para aqueles que usavam um PC com Windows. A Orbitz admitiu mais tarde que usava esse traço do usuário para promover quartos mais caros para usuários de Mac e, posteriormente, removeu esse “recurso”.

Além da máquina específica que você pode estar usando, os anunciantes também podem coletar mais dados pessoais do site que você está navegando. Em 2021, a empresa Signal foi banida de anunciar tanto no Facebook quanto no Instagram por realizar o que foi considerado a campanha publicitária mais honesta de todos os tempos. O objetivo principal da campanha era expor ao Instagram e à sua empresa controladora, o Facebook, a capacidade de coletar dados dos usuários, segmentando-os por meio das ferramentas de tecnologia de anúncios do Instagram.

Alguns dos dados usados variavam de informações básicas, como idade e localização do usuário, até pontos granulares mais detalhados, como se a pessoa estava procurando uma casa nova, era solteira ou se era fã de bebidas energéticas.

Mesmo que a empresa que coleta seus dados não tenha segundas intenções ao usá-los, isso não significa que eles não serão um alvo para outros com segundas intenções. Em novembro de 2022, a empresa australiana Medibank teve dados de clientes relacionados a reivindicações de tratamento de saúde mental vazados na Dark Web por hackers russos.

Ao longo da semana de 6 de novembro de 2022, o grupo de hackers começou a vazar arquivos contendo as informações pessoais de vários segurados. Durante a semana, centenas de pacientes tiveram seus dados expostos ao público em geral, com a intenção principal de fazer com que a Medibank pagasse um resgate para interromper o vazamento de dados.

Mesmo que a Medibank tivesse as melhores intenções ao armazenar os dados dos pacientes, e mesmo que não os tenha usado intencionalmente para fins escusos, os dados ainda se tornaram um alvo para hackers e foram expostos ao público em geral.

Felizmente, ao mudar alguns hábitos e usar a tecnologia correta, você pode proteger seus dados e aumentar sua privacidade e anonimato. É importante notar que alguns desses passos trarão um pequeno desafio para seus hábitos de navegação, já que a internet moderna foi projetada para não ser privada. Embora este Wiki ajude você a entender os recursos necessários para manter seu anonimato online, você terá que sacrificar a conveniência.

Criar um modelo de ameaça é a base para aumentar sua privacidade online. É o primeiro passo para proteger seus dados. Identifique o que você deseja proteger, entenda os riscos e ameaças potenciais, defina seus objetivos de segurança e encontre vulnerabilidades em suas atividades online. Adaptado à sua situação, um modelo de ameaça permite que você proteja seus ativos digitais de forma proativa. Aprenda a criar um modelo de ameaça com nosso guia.

Muitas pessoas consolidam suas contas e serviços em um único provedor de e-mail não focado em privacidade, como o Gmail. Isso frequentemente leva à reutilização de senhas em contas diferentes, vinculando uma vasta quantidade de informações pessoais a esse e-mail. Essa prática torna-se problemática se uma violação de dados expuser senhas e e-mails, tornando todas as contas associadas ao e-mail suscetíveis a ataques. E-mail comprometido significa serviços relacionados comprometidos.

A solução é descentralizar as contas usando vários endereços de e-mail com um único sistema de gerenciamento de senhas. Opte por um gerenciador de senhas que não seja baseado na web e evite o registro online ou a sincronização na nuvem para preservar o anonimato. As principais recomendações são KeePassXC ou GNU Pass.

Uma das coisas mais importantes a considerar ao proteger seus dados é o serviço de e-mail que você deseja usar. Eles geralmente serão endereços de e-mail permanentes ou endereços de e-mail temporários (descartáveis). Independentemente de qual você usar, é recomendável se inscrever por meio da rede TOR, pois você pode solicitar uma nova identidade para navegar.

Os endereços de e-mail permanentes são destinados a qualquer serviço que você pretenda usar no futuro previsível, como correspondências ou alertas para contas vinculadas a esse e-mail. Três bons serviços altamente recomendados para um endereço de e-mail permanente são Tutanota, Mailfence e Proton Mail.

Os endereços de e-mail temporários serão aqueles que você planeja usar apenas por um curto período. Um exemplo seria para resgatar um cupom ou uma oferta online. Para endereços de e-mail temporários, você pode usar Guerrilla Mail, TempmailO.com ou TempMail.org.

Os navegadores de internet servem como extensas ferramentas de coleta de dados para empresas. As escolhas ideais para privacidade são GNU IceCat e Firefox devido às suas configurações de segurança robustas após a instalação.

GNU IceCat possui a configuração mais segura desde o início. No entanto, há um compromisso: ele não oferece suporte a JavaScript, tornando-o inadequado para serviços que dependem de JavaScript, como o YouTube.
Firefox é mais amigável e igualmente seguro, mas requer alguns ajustes para maior privacidade. Configure-o para excluir cookies ao fechar o navegador e desative o preenchimento automático de dados de cartão de crédito e endereço.

Em contrapartida, navegadores como o Google Chrome são melhor evitados. O Chrome prioriza o rastreamento de dados com fins lucrativos e, frequentemente, não oferece privacidade por padrão.

Ao garantir sua privacidade online, a escolha do mecanismo de busca tem um peso significativo. Em vez de mecanismos de busca convencionais que comprometem a privacidade, sugerimos explorar alternativas. DuckDuckGo, StartPage e SearX são opções notáveis.

DuckDuckGo possui políticas de privacidade rigorosas que evitam rastrear ou armazenar dados pessoais.
StartPage combina resultados do Google com salvaguardas de privacidade aprimoradas.
SearX, um mecanismo de metabusca de código aberto, permite executar uma instância pessoal, concedendo controle total sobre as consultas de pesquisa e os dados.

Essas alternativas colocam sua privacidade em primeiro lugar, preservando a confidencialidade de suas atividades de pesquisa online.

Ao selecionar um serviço de mensagens instantâneas, priorize aqueles que empregam criptografia de ponta a ponta. Evite plataformas sem criptografia, como SMS, que são suscetíveis à interceptação por operadoras de celular ou hackers. Uma escolha robusta com criptografia é o Signal. Ele oferece mensagens instantâneas criptografadas e chamadas de voz e vídeo seguras. No entanto, a centralização do Signal apresenta riscos potenciais, como backdoors ou mudanças de propriedade que não prezam pela privacidade. Alternativas incluem serviços federados como Element ou opções ponto a ponto (Peer-to-Peer) como Briar e Jami, fornecendo abordagens diversas para proteger sua privacidade.

Em uma era em que proteger a privacidade e a segurança online é fundamental, a integração de uma Rede Privada Virtual (VPN) torna-se um passo crucial para blindar sua presença digital. Uma VPN estabelece um canal seguro e criptografado entre seu dispositivo e a internet, garantindo que suas interações online permaneçam confidenciais e imunes a olhares curiosos, incluindo hackers, provedores de serviços de internet (ISPs) e vigilância governamental. Com uma VPN, você pode explorar a web anonimamente, acessar conteúdo limitado por fronteiras geográficas e fortalecer seu uso de dados em redes Wi-Fi públicas. Se suas preocupações giram em torno da privacidade online ou se você aspira reforçar sua segurança cibernética, uma VPN surge como uma ferramenta indispensável, concedendo a você maior controle sobre seus rastros digitais e mais tranquilidade dentro do nosso mundo interconectado. Descubra como criar sua própria VPN através deste Wiki abrangente.

Anna Brading. "Amazon's Ring Cameras Were Used to Spy on Customers." Malwarebytes, 1 de junho de 2023, www.malwarebytes.com/blog/news/2023/06/a....
Hill, Kashmir, e Ryan Mac. "'Thousands of Dollars for Something I Didn't Do.'" The New York Times, 31 de março de 2023, www.nytimes.com/2023/03/31/technology/fa....
Hill, Kashmir. "Another Arrest, and Jail Time, Due to a Bad Facial Recognition Match." The New York Times, 29 de dezembro de 2020, www.nytimes.com/2020/12/29/technology/fa....
Hunter, Meghan. "Fact or Fiction: Do Airlines Raise Your Ticket Price Based on Your Browser History?" Million Mile Secrets, 9 de abril de 2021, millionmilesecrets.com/guides/are-airlin....
"Medibank Mental Health Data Posted on Dark Web as Russian Hackers Vow to 'Keep Our Word.'" The Guardian, 13 de novembro de 2022, www.theguardian.com/australia-news/2022/....
Stecklow, Steve, et al. "Special Report: Tesla Workers Shared Sensitive Images Recorded by Customer Cars." Reuters, 6 de abril de 2023, www.reuters.com/technology/tesla-workers....
Wodinsky, Shoshana. "Signal Tries to Run the Most Honest Facebook Ad Campaign Ever, Immediately Gets Banned." Gizmodo, 4 de maio de 2021, gizmodo.com/signal-tried-to-run-the-most....