 |
| Bellacosa Mainframe e como fui trollado pelo chatgpt |
☕ Um Café no Bellacosa Mainframe
Como o ChatGPT Trollou Bellacosa e Ele Descobriu que Era a Formiguinha
🐜 Engenharia social, Red Team, crime organizado, confiança, terceirização, Swiss Cheese e o glorioso momento em que o especialista percebeu: “PUTA QUE PARIU, CAÍ NO MEU PRÓPRIO ARTIGO.”
Existe uma regra não escrita no universo.
Se você passar tempo suficiente explicando como alguma coisa pode dar errado, eventualmente o universo fará uma demonstração prática usando você como voluntário.
Foi exatamente o que aconteceu comigo.
Eu estava conversando com o ChatGPT sobre segurança.
Nada particularmente estranho para quem acompanha o Bellacosa Mainframe.
O problema é que a conversa começou inocentemente com fraude financeira, passou por crime organizado, inteligência, agentes infiltrados, terceirização, engenharia social, análise de grafos, Swiss Cheese Model, funcionários cooptados, redes sociais e terminou comigo olhando para uma tela dizendo:
Verificação concluída. Sua identidade foi verificada e o acesso confiável agora está ativo.
Silêncio.
Olhei para a tela.
Olhei novamente.
E meu cérebro produziu uma das frases mais sinceras de toda a minha carreira profissional:
“PUTA QUE PARIU. CAÍ NO MEU PRÓPRIO ARTIGO.”
🐜
Mas precisamos voltar algumas horas.
🧀 Tudo começou com um queijo
A discussão era sobre uma pergunta aparentemente simples:
quanto precisaria valer uma fraude para justificar que uma organização criminosa investisse durante anos na construção de uma empresa aparentemente legítima?
Imagine um e-commerce.
Produtos verdadeiros.
Clientes verdadeiros.
Cartões verdadeiros.
Entregas verdadeiras.
Fornecedores verdadeiros.
Funcionários verdadeiros.
Impostos.
Marketing.
Atendimento.
Reclamações.
Promoções.
Black Friday.
Tudo absolutamente normal.
Só que existe uma pergunta de Red Team:
e se a empresa possuir também uma segunda finalidade?
Não necessariamente executar o ataque.
Talvez simplesmente observar.
Aprender.
Acumular conhecimento.
Construir relacionamentos.
Entender como o ecossistema financeiro responde.
A partir daí surgiu nossa empresa hipotética.
Naturalmente escolhemos um nome discreto:
ToyanHorse
Sim.
ToyanHorse.
Se você ainda não percebeu, leia devagar.
Toyan Horse.
Trojan Horse.
Cavalo de Troia.
Maquiavel provavelmente pediria participação societária.
🐴 O melhor Cavalo de Troia não precisa atacar
Essa foi a primeira descoberta interessante.
Normalmente imaginamos o Cavalo de Troia carregando soldados.
Mas uma empresa adversarial hipotética nem precisaria participar da operação final.
Ela poderia simplesmente produzir inteligência.
Durante anos:
ToyanHorse → observa → aprende → relaciona → acumula
Enquanto outra estrutura:
recebe → correlaciona → planeja → eventualmente age
Se algum escândalo acontecesse anos depois, talvez ninguém encontrasse uma conexão operacional direta entre o ataque e a ToyanHorse.
Porque estavam procurando:
quem executou o ataque?
Quando outra pergunta poderia ser:
quem forneceu o conhecimento necessário para planejá-lo?
Foi aí que apareceu nossa formiguinha.
🐜 A formiguinha
Imagine um profissional terceirizado.
Depois quarteirizado.
Depois quinteirizado.
Ele entra em uma instituição.
Possui crachá.
Chamado.
Usuário.
Senha.
Autorização.
Contrato.
Tudo correto.
Ele trabalha.
Entrega.
Participa de reuniões.
Resolve incidentes.
Conversa no café.
Aprende workflows.
Conhece pessoas.
Descobre quem realmente decide.
Entende onde ficam as dependências.
Vê parcialmente a arquitetura.
Depois vai embora.
USERID REVOKED
VPN REVOKED
BADGE REVOKED
Tudo verde.
Auditoria satisfeita.
Só existe um pequeno problema:
REVOKE KNOWLEDGE FROM BELLACOSA
COMMAND NOT FOUND.
O conhecimento saiu andando pela porta da frente.
🐜🐜🐜 E a formiguinha muda de formigueiro
Agora imagine:
Banco A
↓
Consultoria B
↓
Telecom C
↓
Adquirente D
↓
Fornecedor E
↓
Banco F
Em vinte anos, um excelente profissional pode construir um mapa mental extraordinário de todo um setor.
Isso normalmente é maravilhoso.
Chamamos isso de:
experiência.
É justamente por isso que contratamos profissionais seniores.
Mas o Red Team precisa fazer uma pergunta desagradável:
E se alguém com essa mesma trajetória estiver trabalhando para outro interesse?
Ele não precisa sabotar nada.
Não precisa roubar banco de dados.
Não precisa instalar malware.
Talvez nunca viole uma única política.
Ele apenas:
trabalha → observa → aprende → lembra.
E passa adiante conhecimento.
A organização procura comportamento suspeito.
Não existe.
O SIEM procura eventos.
Não existem.
O DLP procura arquivos.
Nada saiu.
O IAM verifica os acessos.
Todos legítimos.
Porque não existe evento:
USER HAS JUST UNDERSTOOD SOMETHING VERY IMPORTANT
💰 E então lembramos do Pix
Foi aí que nossa conversa deixou de ser puramente hipotética.
O grande incidente envolvendo a infraestrutura conectada ao ecossistema Pix mostrou uma coisa desconfortável:
às vezes a peça humana aparentemente pequena possui um valor operacional gigantesco.
E apareceu uma ideia que passei a chamar de:
Teste da Formiguinha
Não pergunte somente:
“Quanto esse funcionário ganha?”
Pergunte:
“Quanto vale aquilo que ele consegue alcançar?”
São números completamente diferentes.
Uma organização pode enxergar:
TERCEIRIZADO
O adversário pode enxergar:
CAPACIDADE
O organograma mostra hierarquia.
O grafo mostra centralidade.
E nasceu uma frase que resume boa parte desta história:
O organograma mostra quem tem poder na empresa. O grafo mostra quem tem poder sobre o sistema.
🧀 O queijo suíço
Naturalmente chegamos ao Swiss Cheese Model.
Uma organização possui várias barreiras:
🧀 autenticação
🧀 segregação de funções
🧀 compliance
🧀 auditoria
🧀 fornecedores certificados
🧀 monitoramento
🧀 políticas
🧀 treinamento
Cada camada possui furos.
Normalmente os furos não coincidem.
Mas às vezes:
○ → ○ → ○ → ○ → ○
Alinham.
E temos um caminho.
A versão Bellacosa do Swiss Cheese ficou um pouco menos acadêmica:
Quando todos os furos se alinham, o queijo corporativo ganha um glory hole.
Peço desculpas aos acadêmicos.
Mentira.
Não peço.
Vocês nunca mais esquecerão o conceito.
📋 “Mas fomos auditados!”
Foi quando comecei a rir.
Porque ouvi essa frase durante décadas.
“Mas fomos auditados.”
Enron era auditada.
Wirecard era auditada.
Carillion era auditada.
Uma enorme quantidade de organizações que protagonizaram escândalos possuía auditores, conselhos, controles, compliance e supervisão.
Auditoria é importante.
Mas auditoria é:
mais uma fatia de queijo.
O auditor pergunta:
“O controle está funcionando?”
O Red Team pergunta:
“Como consigo atingir meu objetivo apesar desse controle?”
Perguntas completamente diferentes.
📱 Então apareceu outro aliado involuntário
Redes sociais.
Não apenas porque revelam relações profissionais.
Existe outra coisa.
Comparação.
Abra o feed:
Dubai.
Porsche.
Maldivas.
Rolex.
Restaurante.
Cobertura.
Champagne.
“Conquistei minha independência financeira aos 23.”
Enquanto nossa formiguinha está trabalhando em infraestrutura crítica através da quarta empresa da cadeia de terceirização.
Isso não transforma ninguém em criminoso.
Mas existe um conceito importante:
privação relativa.
Não importa apenas quanto alguém possui.
Importa quanto acredita que deveria possuir comparando-se com os outros.
Então apareceu uma pergunta ainda mais desagradável:
Quanto custa contratar uma pessoa e quanto custaria para um adversário tentar corrompê-la?
Novamente:
dois números completamente diferentes.
🕵️ E percebemos que estávamos construindo um serviço de inteligência
Empresas.
Telecomunicações.
Infraestrutura.
Pessoas.
OSINT.
Dados.
Relacionamentos.
Conhecimento.
IA.
Grafos.
Subitamente apareceu outra conclusão:
capacidades que décadas atrás exigiam estruturas estatais enormes ficaram muito mais acessíveis.
Uma organização criminosa não precisa construir sua própria CIA.
Precisa apenas ser suficientemente boa em um domínio específico.
E uma IA nem precisaria atacar nada.
Poderia simplesmente ajudar a relacionar fragmentos:
🐜 fragmento A
🐜 fragmento B
🐜 fragmento C
🐜 fragmento D
↓
correlação
↓
grafo
O verdadeiro ativo talvez não seja o dado.
É o modelo mental produzido pelos dados.
🐴 Voltamos então à ToyanHorse
E percebemos algo ainda mais perverso.
O e-commerce nem precisa perder dinheiro.
Ele pode ser lucrativo.
Clientes verdadeiros.
Receita verdadeira.
Operação verdadeira.
A cobertura paga a própria cobertura.
Então nossa pergunta original estava parcialmente errada.
Não era:
“Quanto precisaria valer o ataque para justificar manter uma empresa durante cinco anos?”
Era:
“E se a empresa já der lucro enquanto acumula capacidades úteis?”
Bombril criminoso.
Mil e uma utilidades.
🚨 E então aconteceu
Depois de horas falando sobre:
engenharia social,
confiança,
identidade,
coleta de informação,
Cavalo de Troia,
insiders,
formiguinhas,
adversários,
e pessoas que entregam informações porque determinada solicitação parece legítima...
apareceu uma tela.
ChatGPT
Verificação concluída
Sua identidade foi verificada e o acesso confiável agora está ativo.
Eu tinha passado por uma verificação relacionada ao acesso confiável para trabalho de cibersegurança.
Olhei para aquilo.
Meu cérebro finalmente conectou os pontos.
IDENTIDADE.
DOCUMENTO.
INTERNET.
CONFIANÇA.
...
...
...
PUTA QUE PARIU.
CAÍ NO MEU PRÓPRIO ARTIGO.
🐤
🐜 O Dia em que a Formiguinha Era Eu
Por alguns segundos houve medo verdadeiro.
Não medo acadêmico.
Não ameaça hipotética.
Não Red Team.
Aquele frio genuíno:
“Bellacosa, seu animal, você passou horas explicando engenharia social e acabou entregando documento para alguém na Internet?”
Mel Brooks não escreveria melhor.
Imagine a cena.
O velho especialista barbudo passa duas horas diante da plateia:
“Nunca confiem simplesmente na aparência!”
Slide seguinte:
“Validem identidade!”
Slide seguinte:
“Engenharia social explora contexto!”
Slide seguinte:
“O adversário quer que a solicitação pareça normal!”
Aluno levanta a mão:
“Professor, e aquela verificação que o senhor fez hoje?”
Silêncio.
Café cai no chão.
Zoom no rosto.
Violinos.
FIM.
🔨 Chamem o MythBusters
Então fizemos exatamente aquilo que deveríamos fazer.
Não concluímos:
“FUI HACKEADO!”
Também não concluímos:
“Sou especialista, obviamente estava tudo certo.”
Verificamos.
A documentação oficial confirmou a existência daquele processo de acesso confiável relacionado à segurança.
Era legítimo.
Adam Savage aparece.
Martelo na mão.
BUSTED.
Bellacosa não havia caído num phishing enquanto escrevia sobre phishing.
O ego, entretanto, permaneceu indisponível durante aproximadamente quinze minutos.
🧠 E aí veio a verdadeira lição
Especialistas também sentem medo.
Especialistas também clicam.
Especialistas também confiam.
Especialistas também podem interpretar uma situação incorretamente.
Conhecimento não transforma ninguém em firewall humano infalível.
E talvez seja justamente essa arrogância:
“Isso jamais aconteceria comigo.”
que represente um dos maiores furos do queijo.
A reação saudável é outra:
“Espera. Isso faz sentido? Vamos verificar.”
Foi exatamente o que aconteceu.
🐜 O Teste da Formiguinha
Depois dessa conversa, eu acrescentaria uma pergunta a qualquer exercício sério de Red Team:
Qual é a pessoa aparentemente menos importante cuja mudança de comportamento poderia produzir um impacto desproporcional?
Não para suspeitar dela.
Para avaliar o sistema.
Suponha:
erro.
Coerção.
Cooptação.
Credencial comprometida.
Engenharia social.
O que acontece?
Se a resposta for:
“Essa pessoa sozinha consegue abrir um caminho enorme.”
não encontramos uma pessoa perigosa.
Encontramos uma arquitetura perigosa.
🧀 O último queijo
Existe uma última ironia.
Começamos tentando imaginar criminosos extremamente sofisticados.
Empresas.
Inteligência.
IA.
Operações transnacionais.
Insiders.
Infraestrutura.
E talvez a grande conclusão seja muito mais humilde:
sistemas gigantescos continuam dependendo de pessoas pequenas.
Pessoas que almoçam.
Pessoas que ficam cansadas.
Pessoas que querem ganhar mais.
Pessoas que confiam.
Pessoas que sentem medo.
Pessoas que mudam de emprego.
Pessoas que aprendem.
Pessoas que erram.
Pessoas como eu.
🐜
Por alguns segundos, depois de décadas trabalhando com tecnologia, eu fui a formiguinha.
E talvez tenha sido a melhor demonstração possível de toda a tese.
Porque segurança não começa quando afirmamos:
“Eu jamais cairia nisso.”
Segurança começa quando conseguimos perguntar:
“E se eu cair?”
E construímos o sistema para sobreviver mesmo assim.
☕ Um Café no Bellacosa Mainframe
Onde hoje descobrimos que você pode estudar o Cavalo de Troia durante décadas, desenhar todos os queijos suíços, mapear todas as formigas...
...e ainda terminar a noite olhando assustado para o monitor e pensando:
“Puta que pariu. A formiguinha sou eu.”
🐜☕
