Guillem Alsina Gonzàlez
Algumas vezes, antes de preencher algum tipo de formulário online ou validar as minhas credenciais de nome de utilizador e palavra-passe em um local público, olhei para trás antes de fazê-lo, para ver se alguém estava a observar o que eu digitava. E, embora estivesse certo em fazê-lo, também deveria ter pensado que isso não era suficiente, pois poderia haver outro espião, este, no entanto, vindo de dentro: os chamados keyloggers, que nada mais fazem do que capturar as teclas digitadas.
Normalmente, programas que são instalados no sistema operativo ajudam os cibercriminosos a obter nomes de utilizador, palavras-passe e os endereços correspondentes das páginas web nas quais os utilizar, uma vez que o que os keyloggers fazem é capturar todas e cada uma das teclas que os utilizadores pressionam, independentemente de, no final, validarmos ou não a interação pelo teclado.
Uma recente investigação académica (Every Keystroke You Make: A Tech-Law Measurement and Analysis of Event Listeners for Wiretapping) centra-se numa técnica específica do ecossistema de rastreamento web: a utilização de funções JavaScript que escutam eventos do teclado — os chamados event listeners — para registar as teclas premidas em tempo real.
Após analisar 15.000 sites selecionados de uma lista chamada Tranco, com 125.355 páginas e 312.741 formulários, os autores do estudo utilizaram o navegador web Google Chrome (o mais utilizado pelos utilizadores atualmente, com 70% do mercado de navegadores de secretária), interceptando o registo e a invocação de escutas de eventos (como keydown, keyup e keypress), simulando a interação em formulários e rastreando se os dados introduzidos são enviados para domínios de terceiros.
A conclusão é que estamos sujeitos a escutas com mais frequência do que pensamos: até 91,48% dos sites da amostra utilizam event listeners, com uma média de 48,8 por web, e 81,3% dessas escutas são instaladas por scripts de terceiros.
Nem todas as utilizações são problemáticas, mas os autores isolam os eventos do teclado por serem os que permitem intercetar o conteúdo da comunicação entre o utilizador e o site no mesmo instante em que ocorre e, inclusive, as informações que não enviamos ao site; porque quantas vezes não começámos a preencher um formulário, mas, antes de enviá-lo, pensámos melhor e deixámos a meio?
Aqueles que, depois disso, receberam um e-mail promocional no endereço que tinham digitado, mas não chegaram a enviar, já têm uma possível explicação para o fenómeno, que pode não ser casual.
Com este filtro conservador, 38,52% dos sites instalam escutas de terceiros capazes de capturar teclas digitadas e, pelo menos, 3,18% transmitem o que foi capturado para servidores externos, o que, de acordo com os seus critérios, se enquadra em «interceção + divulgação», tal como interpretado em parte da jurisprudência californiana sobre gravações ilícitas.
Esta legislação, que previne a gravação e o uso ilícito de comunicações de caráter pessoal, nasceu para proteger os cidadãos de escutas e, com o tempo, foi-se adaptando aos tempos e às novas tecnologias, incluindo o correu eletrónico e outras comunicações digitais e, por isso, os investigadores tomaram-na como referência.
A maior parte destas transmissões baseia-se em keydown (3,10% dos sites) e keyup (1,42%), enquanto keypress, já em desuso, aparece em menor medida (0,46%). Quanto ao tipo de dados, observa-se a exfiltração de texto livre (2,09% dos sites), endereços de e-mail (1,09%), números de telefone (0,15%) e, mesmo que de forma marginal, senhas (0,01%) e URL (0,01%).
Mas, sem dúvida, a descoberta mais relevante para as equipas de TI e compliance é o que expliquei anteriormente: que os endereços de e-mail introduzidos em formulários podem ser capturados e reutilizados para envios comerciais não solicitados, mesmo sem clicar em «enviar», com mensagens que podem provir de domínios externos ao site visitado, o que dificulta a atribuição da origem da fuga.
Portanto, a partir de agora, tenha muito cuidado não só com o que enviamos, mas também com o que escrevemos nos formulários online, mesmo que não acabemos por clicar no botão enviar.
