No início deste ano, o CEO de uma editora cristã reuniu as suas tropas para uma reunião onde se deixou levar pelos rumores que estavam a ser espalhados sobre a empresa por fontes internas – e depois puniu os culpados não identificados, despedindo 25 funcionários. Durante a reunião – que obteve cobertura da imprensa graças a um dos funcionários que a gravou secretamente – Ryan Tate revelou que tinha estado a monitorizar a actividade informática dos seus funcionários para tentar descobrir quem era o responsável.
“Eu olhei para o outro lado… Eu confiei em ti. Meu Deus. Queres ver o Netflix? Deixa-os ver o Netflix. Deixa-os vomitar num projector, se quiserem. Eles querem estar no Facebook o dia todo? Estar no Facebook o dia todo. Claro que te estou a pagar para fazeres isso. Tudo bem”, disse ele.
Ryan Tate, Presidente e CEO da Tate Publishing (não confundir com Ryan Tate da Gawker/Wired… fama)
Ele estava bem com os funcionários a fazer palhaçadas, mas não com o palavreado deles sobre a empresa. “Eu tenho de ler algumas das tuas páginas do Facebook. Minha favorita é quando você postar alguma coisa e depois tirar e não pense que nós arquivamos tudo”
Eu cheguei até a empresa na época para ver como eles estavam fazendo seu monitoramento, mas nunca ouvi de volta. Tate pode ter tido uma política da empresa de monitorar a atividade da rede social dos funcionários, ou pode ter capturado suas sessões do Facebook em seus computadores de trabalho (ou talvez tenha sido apenas um blefe). De qualquer forma, Tate está longe de ser o único empregador a bisbilhotar a atividade digital dos empregados. A FDA está atualmente lutando contra um processo por cientistas que afirmam ter sido demitidos por denúncia, algo que a agência federal percebeu que estavam fazendo graças a um programa de spyware da SpectorSoft que capturou seus e-mails e atividades de computador. Graças a uma confusão de um empreiteiro que mantém os arquivos, as 80.000 (!) páginas do dossiê de espionagem foram temporariamente vazadas online, deixando claro o quanto o monitoramento era extenso.
Não é incomum para os empregadores monitorar os computadores dos funcionários e até mesmo seus smartphones, mas muitos funcionários não pensam sobre isso no decorrer do seu dia de trabalho, passando pausas olhando para e-mails pessoais potencialmente sensíveis, tendo conversas sensuais, rolando (espero que não muito escandalosas) álbuns de fotos do Facebook, ou talvez até mesmo verificando listas de empregos em outros lugares. Antes de fazer algo demasiado ultrajante no seu computador de trabalho, talvez você queira pensar se ele é monitorado. Eu falei com o especialista em forense de computador Michael Robinson e o pesquisador de segurança Ashkan Soltani sobre alguns relatos que revelariam que você está potencialmente sendo observado.
Primeiro passo, você deve verificar o manual do seu funcionário ou o contrato de uso do computador. Se seu empregador diz que sua atividade no computador poderia ser monitorada – o que é bastante padrão – então eles têm o direito de espreitar. Mas então há a questão de se eles estão realmente tirando vantagem desse direito.
“Se você será capaz de dizer depende de onde o monitoramento está sendo feito”, diz Robinson. “Se é a montante, na Firewall, é difícil para o utilizador saber. Isso só vai dizer aos empregadores para quais sites os empregados vão, para que eles possam verificar, por exemplo, quantos empregados foram ao Monster.com naquele mês. Mas se eles querem realmente ver mais atividade granular, eles têm que colocar um software de monitoramento no próprio computador”
O pesquisador de segurança Ashkan Soltani diz que uma ferramenta como netalyzr.icsi.berkeley.edu pode lhe dizer se você está sendo monitorado no Firewall. “Ele vai demonstrar que há algo ‘no caminho’ de suas comunicações seguras”, diz ele. “Não é 100% confiável, mas muitas vezes há ‘tells.””
Se você estiver em uma rede corporativa, todas as comunicações não-https são visíveis para aquele que controla a rede. Alguns funcionários pensam, erroneamente, que se estiverem no Gmail ou Facebook — que oferecem segurança https — as suas comunicações serão criptografadas e ninguém poderá lê-las. Isso pode ser verdade se o monitoramento estiver acontecendo a montante, embora existam métodos para uma empresa ver através da criptografia, uma vez que eles controlam a rede e muitas vezes o dispositivo pelo qual você está acessando suas informações pessoais. Por exemplo, veja este guia da BlueCoat para obter o controle das sessões criptografadas. E se o software estiver no seu próprio computador, https-ssl definitivamente não oferece proteção.
O software de monitoramento em um computador captura toques de teclas e capturas de tela. Isso significa que ele pode reconstruir a sua sessão do Gmail ou do Facebook (que pode ser como a Tate Publishing tinha registros do que os seus funcionários tinham colocado no Facebook, e mais tarde derrubou). Esses tipos de programas não aparecerão como aplicativos, mas eles aparecerão como processos em execução.
- Se você estiver em um PC, você pode ver um processo em execução, pressionando “Alt-Ctrl-Del” e puxando o seu “Task Manager”. Mude para o separador “Processos”.
- Num Mac, vá para o seu “Launchpad”, traga “Gadgets e Gizmos”, depois vá para “Utilities” e clique em “Activity Monitor”.”
O processo provavelmente tem um nome inócuo, mas estará bastante ocupado pois tem muita actividade para capturar. Então como você sabe se um desses processos é spyware? Uma opção é comparar os seus processos com os que são executados no computador de um colega. Se um de vocês estiver sendo monitorado e o outro não, você provavelmente notará alguns processos diferentes em execução. Mas se ambos estão sendo monitorados, isso não é muito útil (“e você provavelmente deveria conseguir um novo emprego”, diz Robinson). Felizmente, há outra opção para executar um check.
Funnily enough, muitos desses programas “spyware” são marcados por anti-vírus e programas malware como maliciosos. Vejam só. Como resultado, algumas das empresas que oferecem esse software fizeram “listas brancas” para que os departamentos de TI que as executam possam garantir que a Symantec, a McAfee e outros reconheçam seus processos como não mal-intencionados. E, em muitos casos, essas listas brancas são públicas, para que você possa ver exatamente quais são os nomes dos arquivos. Se os consultores da FDA tivessem verificado seus processos, eles provavelmente teriam visto alguns desses executáveis rodando em seus computadores, através da lista branca da SpectorSoft.
SpectorSoft oferece uma lista branca de seus processos de espionagem para que os departamentos de TI possam configurar… AntiVirus software para ignorá-los
Obrigado a isto, se você Google um processo estranho que você está vendo e é spyware, ele provavelmente o levará de volta ao site do fornecedor de spyware.
Felizmente, alguns programas spyware são mais salvos do que outros. “Os mais sofisticados comportam-se mais como rootkits no sentido em que se escondem da vista”, diz Soltani.
“Eu costumava trabalhar para uma empresa que quando você dava aviso, o RH dizia à TI para monitorar você para ter certeza de que nenhuma propriedade intelectual era roubada”, diz Robinson. “No dia em que eu avisei, uma atualização do Windows apareceu. Eles pensavam que estavam a ser sorrateiros. Eu digitei na tela, ‘Eu vejo você me observando me observando'”
“Se seu chefe está realmente abrindo seu e-mail e lendo-o, você pode ser capaz de incorporar faróis de rastreamento em mensagens de e-mail e então monitorar quando eles são abertos”, diz Soltani. Você pode usar um programa como o emailprivacytester.com ou ReadNotify — o programa que um fã louco usava para verificar se Jay-Z estava lendo os e-mails que ele lhe enviava.
Bosses que estão fazendo capturas em escala total de tudo o que seus funcionários estão fazendo são provavelmente uma raridade, diz Robinson. “Eles estariam passando mais tempo monitorando do que gerenciando”, diz ele.
É mais provável que isso aconteça se um chefe está realmente preocupado com um determinado funcionário, ou se eles estão preocupados com informações sensíveis deixando a empresa. No caso da FDA, a agência federal estava preocupada que os consultores estivessem vazando informações críticas da agência para os membros do Congresso (e eles estavam certos).
Dadas as muitas maneiras que seu empregador poderia espioná-lo – e o fato de que eles não são todos detectáveis – é provavelmente mais sensato apenas salvar qualquer coisa muito sensível para o seu dispositivo pessoal ou computador doméstico.
Em seus comentários finais aos seus funcionários naquela reunião reveladora, o editor Ryan Tate disse: “Seja inteligente, especialmente nesta era digital. Eu entendo se você está em casa e reclamando para um ente querido, mas quem vai online para fazer isso, ou envia um e-mail?”
Um. Todos um, eu diria. Mas sê inteligente sobre de que computador o estás a fazer. E claro, se você escolher a opção mais segura do seu computador de casa, mantenha os dedos cruzados que um ente querido não está bisbilhotando em você lá.