IoT forense: o que sua casa inteligente sabe sobre você

Você sabe quantos dispositivos conectados à internet existem dentro de sua casa? Eu certamente não. Hoje em dia, pode ser quase qualquer coisa: um termostato, uma TV, uma lâmpada, um ar-condicionado ou uma geladeira. Mas o que sei, graças a algumas das conversas que tive nas últimas semanas, é quantos dados eles estão produzindo e quantas pessoas podem acessar esses dados se quiserem. Dica: é muito.

Tenho falado com pessoas que trabalham em um campo chamado análise forense de IoT, que consiste basicamente em bisbilhotar esses dispositivos para encontrar dados e, em última instância, pistas. Embora órgãos de aplicação da lei e tribunais nos EUA muitas vezes não se refiram explicitamente a dados de dispositivos IoT, esses dispositivos estão se tornando uma parte cada vez mais importante da construção de casos. Isso porque, quando estão presentes na cena do crime, guardam segredos que podem ser invisíveis a olho nu. Segredos como quando alguém apagou uma luz, preparou um bule de café ou ligou uma TV podem ser fundamentais em uma investigação.

Mattia Epifani é uma dessas pessoas. Ele não se autodenomina hacker, mas é alguém a quem a polícia recorre quando precisa de ajuda para investigar se os dados podem ser extraídos de um item. Ele é analista forense digital e instrutor no SANS Institute e trabalhou com advogados, policiais e clientes particulares em todo o mundo.

“Eu sou como... obcecada. Sempre que vejo um dispositivo, penso: Como eu poderia extrair dados de lá? Sempre faço em aparelhos de teste ou sob autorização, claro”, diz Epifani.

Smartphones e computadores são os tipos mais comuns de dispositivos que a polícia apreende para auxiliar em uma investigação, mas Epifani diz que as evidências de um crime podem vir de todos os tipos de lugares: “Pode ser um local. Pode ser uma mensagem. Pode ser uma foto. Pode ser qualquer coisa. Talvez também possa ser a frequência cardíaca de um usuário ou quantos passos o usuário deu. E todas essas coisas são basicamente armazenadas em dispositivos eletrônicos.”

Tomemos, por exemplo, uma geladeira Samsung. Epifani usou dados do VTO Labs, um laboratório forense digital nos EUA, para investigar quanta informação um refrigerador inteligente mantém sobre seus proprietários.

O VTO Labs fez engenharia reversa do sistema de armazenamento de dados de uma geladeira Samsung depois de preparar o aparelho com dados de teste, extraiu esses dados e publicou uma cópia de seus bancos de dados publicamente em seu site para uso de pesquisadores. Steve Watson, CEO do laboratório, explicou que isso envolve encontrar todos os locais onde a geladeira pode armazenar dados, tanto dentro da própria unidade quanto fora dela, em aplicativos ou armazenamento em nuvem. Feito isso, Epifani começou a trabalhar analisando e organizando os dados e obtendo acesso aos arquivos.

O que ele encontrou foi um tesouro de detalhes pessoais. Epifani encontrou informações sobre dispositivos Bluetooth perto da geladeira, detalhes da conta de usuário da Samsung, como endereços de e-mail e redes Wi-Fi domésticas, dados de temperatura e geolocalização e estatísticas horárias sobre o uso de energia. A geladeira armazenava dados sobre quando um usuário estava tocando música por meio de um aplicativo iHeartRadio. Epifani pode até acessar fotos da Diet Coke e Snapple nas prateleiras da geladeira, graças à pequena câmera embutida dentro dela. Além disso, ele descobriu que a geladeira poderia armazenar muito mais dados se um usuário conectasse a geladeira a outros dispositivos Samsung por meio de uma conta familiar centralizada ou compartilhada.

Nada disso é necessariamente secreto ou não revelado às pessoas quando compram este modelo de geladeira, mas eu certamente não esperava que, se estivesse sob investigação, um policial - com um mandado, é claro - pudesse ver meu rosto faminto a cada vez que abri minha geladeira caçando queijo. A Samsung não respondeu ao nosso pedido de comentário, mas está seguindo práticas bastante padrão no mundo da IoT. Muitos desses tipos de dispositivos acessam e armazenam tipos semelhantes de dados.

Os dispositivos nem precisam ser particularmente sofisticados para serem úteis em investigações criminais, de acordo com Watson e Epifani.

Ambos trabalharam em dispositivos mais discretos do que geladeiras inteligentes. Certa vez, o VTO Labs examinou uma placa de circuito de uma bóia oceânica em um esforço para descobrir se ela continha algum dado sobre os movimentos de navios de traficantes de drogas. Watson diz que a placa de circuito revelou um provedor de comunicações por satélite e, finalmente, o número da conta associada a um contrabandista.

Apenas para aumentar os riscos abundantes de segurança e privacidade, muitos dispositivos IoT também são executados em sistemas operacionais desatualizados e, portanto, menos seguros, porque os usuários raramente se lembram de atualizá-los. “Você pode imaginar as pessoas atualizando sua geladeira? Não, não têm”, diz Epifani.

Esse problema só vai crescer à medida que enchemos nossas casas com mais e mais coisas que se conectam à internet. Recentemente, o Atlantic escreveu uma grande peçasobre os dados que as TVs inteligentes coletam em seus observadores no sofá. Minha colega Eileen Guo mostrou como os aspiradores Roomba podem tirar fotos invasivas, em uma investigação sobre como os dados foram coletados em pessoas que estavam testando os produtos.

Watson não está especialmente preocupado com o governo ou as empresas de tecnologia espionando você por meio de seu termostato. Ele está mais preocupado com todas as formas como seus dados estão sendo vendidos e acumulados por corretores de dados.

“É aí que estão os riscos que as pessoas não entendem: se minha cama monitora meu sono e minha frequência cardíaca, e essa empresa está vendendo essas informações para uma seguradora que percebe que você quase teve um ataque cardíaco toda vez que vai ao sono, ou que você tem apnéia do sono ou qualquer outra coisa ”, diz ele.

“Quanto mais a tecnologia invade nossas vidas em todas as facetas… perdemos a capacidade de ter qualquer medida de controle sobre para onde está indo, quanto é coletado, quem está pondo as mãos nela e o que está fazendo com ela.”

Leia a história completa aqui…