Localizador Bluetooth escondido num postal revelou os movimentos de um navio de guerra

Um jornalista conseguiu seguir os movimentos de um navio de guerra da Organização do Tratado do Atlântico Norte (NATO) no Mediterrâneo usando apenas um localizador Bluetooth barato. O dispositivo foi enviado escondido dentro de um postal, aproveitando uma falha nos procedimentos de segurança da Marinha holandesa.

Os localizadores Bluetooth tornaram-se ferramentas tão acessíveis e baratas que qualquer pessoa os pode comprar, seja para encontrar chaves, malas ou carteiras.

Contudo, aparentemente, também podem ser usados para seguir um navio de guerra em plena missão militar. Aliás, foi precisamente isso que um jornalista holandês fez, expondo uma vulnerabilidade preocupante nos procedimentos de segurança da Marinha dos Países Baixos.

Postal seguiu uma fragata da NATO

O jornalista Just Vervaart, da estação regional Omroep Gelderland, escondeu um localizador Bluetooth dentro de um postal e enviou-o para o HNLMS Evertsen, uma fragata holandesa de defesa aérea que se encontrava em missão ativa no Mediterrâneo oriental, a proteger o porta-aviões francês Charles de Gaulle contra ameaças de mísseis.

Para enviar o postal, Vervaart não precisou de hackear nenhum sistema nem de ter acesso a informação classificada. Bastou seguir as instruções publicamente disponíveis no website do próprio Ministério da Defesa holandês, criadas para ajudar as famílias a enviar correspondência para os militares embarcados.

Uma vez a bordo, o localizador funcionou durante cerca de 24 horas. Nesse período, foi possível acompanhar em tempo real a saída do Evertsen do porto de Heraclião, em Creta, a navegação para oeste ao longo da costa da ilha, e a posterior viragem para leste em direção ao Chipre.

O sinal desapareceu quando o navio se aproximava do Chipre, altura em que os militares descobriram e desativaram o dispositivo durante a triagem interna do correio, conforme contado na Omroep Gelderland.

O princípio de funcionamento é simples: estes rastreadores não têm GPS próprio, mas aproveitam a rede de smartphones e dispositivos Bluetooth próximos para retransmitir a sua localização. Num navio com tripulação e dispositivos ligados, essa infraestrutura está sempre disponível.

Por isso, uma das conclusões mais perturbadoras deste caso é que a lacuna não estava em nenhuma tecnologia avançada, mas nos próprios procedimentos internos.

Conforme noticiado pelo The Register, as orientações do Ministério da Defesa e os seus vídeos informativos deixavam claro que os envelopes não eram sujeitos a rastreio por raio-X, ao contrário dos pacotes; e foi precisamente esta lacuna que permitiu ao localizador entrar a bordo sem ser detetado.

Hoje em dia, é possível neutralizar alvos à distância e com grande precisão, mas é preciso saber onde estão. Por isso, como fragata, nunca se quer revelar a própria localização a terceiros.

Disse o General de Divisão reformado Mart de Kruif, resumindo o problema.

Uma lição para militares e empresas

Após o incidente, o Ministério da Defesa holandês confirmou que está a rever as suas diretrizes de tratamento de correspondência.

Entre as medidas em estudo está a proibição de postais que contenham pilhas. Ainda assim, o dano reputacional já está feito, e a questão levantada vai muito além da Marinha holandesa.

De facto, este episódio é um exemplo claro de como a segurança operacional pode ser comprometida não por ferramentas sofisticadas ou ataques engenhosos, mas pela combinação de informação aberta com tecnologia de consumo barata.

Não foi preciso espionagem, nem malware, nem qualquer conhecimento técnico avançado. Apenas um gadget de cinco euros e instruções disponíveis a qualquer cidadão.

A mesma lógica aplica-se ao mundo empresarial, em que processos criados por conveniência, como facilitar o envio de correspondência ou simplificar o acesso de terceiros, podem tornar-se vetores de exposição quando combinados com os dispositivos modernos de rastreamento e conectividade que abundam no mercado.

Neste caso, foi apenas um teste conduzido por um jornalista, interessado em levá-lo a cabo de forma controlada, sem qualquer objetivo perverso. Mas e se as intenções fossem diferentes?

Leia também: