Como um hacker expôs criminosos sexuais no MySpace com 1.000 linhas de JavaScript

17

O MySpace costumava nos dizer que era impossível monitorar sua própria plataforma em busca de predadores. A desculpa era simples. Eles não conseguiram fazer isso. O editor da Wired News e ex-hacker Kevin Poulsen não acreditava nisso. Ele tratou a reivindicação como um desafio pessoal.

Demorou cinco meses.

Não para invadir, mas para construir uma ferramenta. Um roteiro projetado para encontrar criminosos sexuais registrados que eram incrivelmente burros ou irritantemente honestos. Essas pessoas se inscreveram usando seus nomes verdadeiros. O programa de Poulsen os localizou.

A brecha no registro de e-mail

O MySpace estava esperando. Eles esperavam que novas leis obrigassem os criminosos sexuais registrados a fornecer endereços de e-mail válidos durante o registro. A lógica parecia falha para quem realmente usa a internet. A maioria das pessoas tem vários e-mails. Quatro é o padrão para mim. Algumas pessoas têm dez.

Culpar o MySpace por presumir que nenhum predador usaria seu nome verdadeiro é fácil. Mas Poulsen rejeitou essa suposição. Ele provou que estava errado.

Seu código não era complexo em estrutura, mas era completo. Consistia em 1.000 linhas de Javascript. O script comparou nomes de perfis do MySpace e códigos postais relatados com o banco de dados online de criminosos sexuais do Departamento de Justiça dos EUA. Tinha como alvo 46 estados dos EUA. O código foi executado diretamente nos servidores de banco de dados do MySpace.

Os resultados foram perturbadores.

Os números não mentem

De um milhão de perfis escaneados, Poulsen encontrou mais de 700 criminosos sexuais registrados. Quase 500 deles cometeram crimes contra crianças.

E isso foi apenas uma fração dos dados.

Na época de seu relatório, ele havia analisado apenas um terço dos dados gerados. A contagem final teria sido maior. O grande volume de dados sugere que um número significativo de infratores usava a plataforma abertamente.

Falsos Positivos e Ameaças Reais

Poulsen admite que o sistema não era perfeito. Gerou falsos positivos. Ele teve que cruzar manualmente os perfis do MySpace com fotos e idades no banco de dados do DOJ. Filtrar as partidas exigiu esforço. Não era um botão mágico. Foi uma boa higiene de dados.

Mas os verdadeiros aspectos positivos foram alarmantes.

Um infrator estava compilando ativamente listas de jovens amigos. Ele enviou mensagens privadas sexualmente explícitas para meninos menores de idade. A polícia o prendeu. Eles o acusaram de tentativa de colocar uma criança em perigo. Ele nunca fez contato físico. Isso é um detalhe técnico jurídico. O comportamento foi predatório.

Outros perfis continham comunicações alarmantes semelhantes. Mas aqui está a nuance que a maioria dos relatórios não percebe. Para cada infrator que parecia estar agindo de acordo com seus impulsos, outros oito estavam apenas vivendo suas vidas. Eles postaram fotos engraçadas. Eles conversaram sobre casamentos. Eles mencionaram promoções de emprego. Eles blogaram sobre hobbies.

Isso é o que praticamente todos os membros do MySpace estavam fazendo. A plataforma não era um covil de iniquidade. Era uma rede social. Mas era uma rede social com alguns usuários muito perigosos escondidos à vista de todos.

Justiça de código aberto

O Congresso demorou a agir. Esperar que a legislação exigisse um único endereço de e-mail para criminosos sexuais foi uma estratégia perdida. A lei seria absurdamente fácil de contornar. Quem tem apenas um e-mail hoje? O Congresso pode impor uma regra de endereço único? Improvável.

O código de Poulsen ofereceu uma solução melhor. Imediato, técnico e contorável apenas com o uso de um nome falso.

Ele planejou lançar o código em formato de código aberto. Os departamentos de polícia teriam acesso total. Não há espera por comitês. Sem lobby. Apenas ferramentas.

O MySpace não disse nada.

“Não é um sistema perfeito, mas parece ser um plano melhor do que esperar que o Congresso aprove uma lei.”

A tecnologia funcionou. A polícia conseguiu uma nova arma. E o MySpace permaneceu em silêncio.

A história continua na próxima seção, onde nos aprofundamos nas consequências e nas ferramentas que os pais podem usar hoje.

Muito mais informações

Artigos relacionados ao HowStuffWorks

  • Como funciona o MySpace

  • Como funciona o Facebook

  • Como funciona a programação C

  • Como funcionam os blogs

  • Como funcionam os servidores de nomes de domínio

  • Como funciona o eBay

  • Como funciona o compartilhamento de arquivos

  • Como funcionam os arquivos MP3

  • Como funciona o namoro online

  • Como funcionam os wikis

  • Como funciona o interrogatório policial

Mais ótimos links

  • CSU: Adolescentes no MySpace: Formação de Identidade, Amizade e Predadores Sexuais – PDF (estudo relata que incidentes com predadores são exagerados pela mídia)

  • Registro Nacional de Delinquentes Sexuais

  • Wired News: uma folha de dicas do MySpace para pais

  • Wired News: Um predador do MySpace capturado por código – 16 de outubro de 2006