A possível falha de segurança do Metrô de São Paulo que o governo fez questão de abafar

O sistema de trens e metrô de São Paulo pode sofrer ataques de hackers e ser completamente paralisado com facilidade. Pelo menos é o que diz um especialista em segurança misterioso e, verdadeira ou não, sua afirmação acionou um grande alerta: preocupada com o caso, o governo do estado de São Paulo impediu o acontecimento de uma palestra sobre o assunto. E ainda não sabemos se a falha foi corrigida.

A falha seria pauta de uma palestra do HackingDay 2013, que aconteceu hoje em São Paulo, mas pouco depois da divulgação da programação do evento, os organizadores foram notificados pelo Departamento Estadual de Investigações Criminais (DEIC) e a palestra “Como paralisar uma linha de trem em São Paulo” foi cancelada.

Fomos ao HackingDay 2013 para descobrir que a história por trá do caso é um bem maluca e misteriosa.

Tudo começou no início do ano quando, ao preparar a programação do HackingDay, Gustavo Lima, do Coruja de TI, escolheu uma palestra sobre uma falha que poderia paralisar os trens de São Paulo. A apresentação seria feita por quem descobriu a falha, que responde pelo pseudônimo de “Mister M”.

O HackingDay é um evento de segurança e a palestra teria o objetivo de comentar a falha e discutir possíveis soluções com uma plateia formada por estudantes e profissionais da área de segurança. Antes do HackingDay, Lima alertou a existência do problema ao governo estadual e avisou que o evento exploraria o tema, mas não recebeu resposta.

Sem um posicionamento do governo, ele incluiu a palestra à programação. Mas dias depois de divulgar a programação, Gustavo Lima recebeu uma notificação do DEIC para prestar depoimento sobre o conteúdo da palestra. A notificação falava em “perigo de desastre ferroviário, incitação ao crime e pratica de sabotagem”, como ele explicou em um post no blog do Coruja de TI. Após se explicar, Lima se comprometeu a cancelar o painel de Mister M.

O hacker também precisou se explicar. Ele detalhou a falha para a polícia e assinou um termo se comprometendo a não comentar mais o assunto. E, mesmo presente no HackingDay hoje, Mister M não fez a palestra sobre a vulnerabilidade e, questionado por nós, não comentou o assunto – ele pode ser preso se falar sobre.

Mas será que a situação é tão grave?

Pelo visto sim. Não consegui saber exatamente qual é a falha – afinal, Mister M não comenta o assunto. Mas aparentemente ele não sabe se ela funciona na prática. Ele elaborou uma teoria ao observar documentos sobre o sistema de segurança de trens e metrô de São Paulo que poderia paralisar a circulação deles, mas, obviamente, não testou a tática. Ainda assim, o assunto causou temor no Governo de São Paulo, que tentou abafar o caso. O hacker se ofereceu para ajudar a corrigir o erro, mas não foi procurado pelas empresas responsáveis até agora.

A situação então é a seguinte: Gustavo Lima e Mister M não comentam detalhes da falha. O Governo de São Paulo também não fala sobre isso. E ninguém sabe se ela foi corrigida ou não. A sorte é que quem descobriu o erro foi alguém bem intencionado. Mas a falta de transparência do governo ao não falar se corrigiu ou não a vulnerabilidade faz com que ninguém saiba se o metrô de São Paulo está realmente seguro.

Foto via Emerson Alecrim/Flickr