Perfil de sucesso do 'hacker do bem' é de autodidata que começou cedo
Dois especialistas compartilham origem parecida: começaram ainda na adolescência e sem nenhum curso
A primeira experiência de Gregório Gomes como hacker foi na adolescência, aos 12 anos. Para conseguir ficar mais tempo na frente do computador, ele tinha de burlar as regras dos pais, descobrir as senhas e mudar algumas configurações. Foi nessa época que ele percebeu a facilidade que tinha na área, pois aprendeu quase tudo sozinho. "Sempre fiquei no computador e consumia muita informação externa", diz Gomes.
Aos 16 anos, ele já estava em algumas das mais importantes plataformas de bug bounty do mundo tentando invadir, legalmente, os sistemas de grandes empresas. Só em uma plataforma estrangeira, atendeu a mais de 500 chamados de companhias e detectou alguns problemas importantes nos sistemas, com recompensas de até US$ 5 mil.
Falha grave
Numa delas, descobriu uma falha considerada crítica, em que o sistema da empresa acabava clonando os cartões de crédito das pessoas, numa espécie de chupa-cabra. Em geral, diz ele, as brechas são "legados de sistemas". "Todo site tem uma construção padrão de um desenvolvedor. Se você não adequar e mudar as configurações, fica fácil explorar o sistema."
Com a experiência adquirida como "hacker do bem", ele prestou serviço para empresas como Easy Taxi e Uber até criar sua própria startup. No início de 2017, ele abriu a Refinaria de Dados, empresa especializada na coleta e análise de informações digitais. Com acesso e conhecimento, ele conseguia circular pela chamada dark web e obter informações desse submundo para o ambiente de negócios. Em abril de 2021, a empresa foi vendida para o Modal, e Gomes se tornou gerente de engenharia de dados da instituição.
Hobby
Mas o caçador de recompensas não abandonou as origens. Aos 27 anos, continua inscrito em plataformas e ainda tenta invadir sistemas de outras empresas. "Hoje faço por hobby. No passado era a forma de ganhar dinheiro. Ou se faz para o bem ou para o mal."
O adolescente Andres Alonso Bie Peres, de 16 anos, é uma fera no bug bounty. Aos 14, ganhou US$ 25 mil do Facebook por descobrir uma falha no Instagram.
A exemplo de Gomes, Andres também aprendeu tudo praticamente sozinho. Aos 10 anos fez um curso de design gráfico. A curiosidade o levou a ir mais fundo na internet. Descobriu que poderia ganhar dinheiro invadindo o sistema de empresas e resolveu estudar o assunto.
Com o dinheiro que ganhou do Facebook, comprou mais equipamentos e usou uma parte para criar uma empresa em que ensina a atividade. Lançada em agosto, a empresa já tem 500 alunos, que pagam R$ 397 pela assinatura anual. A meta atual é ter 2 mil alunos em um ano. Enquanto isso, continua caçado recompensas.
Como ser um caçador de recompensas
- Autodidata
Quase todos os "hackers do bem" aprenderam comandos, códigos e até navegar na dark web sozinhos, fuçando em sistemas e computadores
- Curiosidade
A principal característica desses especialistas é a curiosidade e persistência. Afinal, alguns testes para encontrar falhas em sistemas de empresas podem demorar dias
- Conhecimento
É preciso ter conhecimento em redes, desenvolvimento de web, sistemas operacionais, segurança e linguagem de programação
- Plataformas
Abra uma conta nas plataformas de 'bug bounty'. No exterior, há a HackerOne (uma das maiores do mundo), BugCrowd e Open Bug Bounty. No Brasil, há a Bug Hunt
- Base
Tenha uma base tecnológica, com terminal, web e redes
- Como se preparar
É possível fazer cursos e estudar cases práticos, tutoriais, artigos e posts de fóruns na internet. Isso ajuda a ter uma visão geral dos temas
- Relatórios
Quando um especialista consegue encontrar uma falha ou vulnerabilidade nos sistemas das empresas, ele precisa reportar o erro aos executivos da companhia. Isso é feito por meio de relatórios com todos os dados demonstrando o problema
- Recompensas
Depois que o relatório é entregue, as empresas fazem uma avaliação criteriosa para validar ou não a descoberta feita pelo hacker. Se for procedente, eles pagam o profissional
- Valores
Cada empresa tem uma tabela de valores de recompensa. Os valores variam de acordo com a gravidade do problema. Há falhas consideradas simples, médias e críticas. No exterior, os valores podem chegar a US$ 50 mil ou mais
- Ranking
Quanto mais descobertas tiver, melhor para o hacker se posicionar no ranking das plataformas de 'bug bounty'. Isso é importante para ser selecionado para programas privados, em que as empresas escolher quem vai testar o sistema
