Shodan: navegador mostra dispositivos conectados à internet

Lançado em 2009, o Shodan é um mecanismo de busca desenvolvido pelo programador John Matherly. Acessado por meio de um endereço na web, o sistema chamou atenção por sua proposta controversa: procurar diversos tipos de dispositivos conectados à internet. Os resultados oferecidos pelo serviço podem ser usados por hackers e internautas com intenções maliciosas para invadir a privacidade e os dados de usuários desprevenidos em todo o mundo — contudo, essa pode não ser sua única aplicação.

O que é Shodan?

Matherly iniciou o projeto em 2003 com o primeiro conceito de buscar dispositivos, e não termos em palavras, na internet. Atualmente ainda em funcionamento, o Shodan é capaz de encontrar desde simples webcams até sistemas complexos de controle de hidrelétricas.

Apesar de não ser diretamente um problema, o sistema facilita, de certa forma, práticas cibercriminosas, já que expõe com alta disponibilidade o endereço de IP de diversos dispositivos de usuários desprotegidos.

O Shodan recebeu visibilidade do grande público em 2013 em uma matéria da revista norte-americana Forbes. O artigo comentava os tipos de dispositivos detectados pelo Shodan, incluindo sistemas de segurança e aquecimento de bancos, universidades e grandes corporações, além de contar um caso desconfortante sobre sua capacidade.

O nome Shodan é uma referência ao vilão do jogo eletrônico System Shock, lançado em 1994. (Fonte: FZuckerman, Looking Glass Studios/Reprodução)Fonte:  FZuckerman, Looking Glass Studios 

Hacker invade babá eletrônica

A matéria relata a história do norte-americano Marc Gilbert, de 42 anos, de Houston (Texas, EUA). Em uma infeliz surpresa, após a comemoração de seu aniversário de 34 anos, ele ouviu uma voz estranha vinda do quarto da filha, que tinha apenas 2 anos de idade. Ao correr para verificar a situação, ele percebeu que o som era emitido pela babá eletrônica e logo a desconectou da tomada. Segundo ele, a voz ordenava que a criança acordasse, chamando-a por um termo obsceno e impróprio.

O invasor teria obtido acesso à babá eletrônica por meio de seu sistema de manutenção, sobrescrevendo a senha padrão desses dispositivos — que tende a ser "admin", na maior parte dos casos. Segundo a Forbes, o Shodan teria sido a provável ferramenta utilizada pelo criminoso no ato.

Shodan é pago?

O Shodan funciona vasculhando servidores de internet como HTTP/HTTPS, FTP, SSH, Telnet, SNMP, SIP, UPnP com objetivo de encontrar dispositivos conectados à rede. Segundo seu desenvolvedor, o sistema busca mais de 1.5 mil ports, como são chamados as "pontas finais de comunicação".

É possível utilizar o sistema de maneira similar ao Google: basta acessar o site, digitar uma localidade ou tipo de port para obter resultados. Para usuários não registrados, são exibidas apenas 10 respostas, podendo chegar até 50 de maneira gratuita, com a criação de uma conta. Para obter mais, é necessário fazer uma assinatura, com preços iniciais em US$ 60 — cerca de R$ 330, em conversão direta.

Em uma simples pesquisa no Shodan, apresentada a seguir, foi possível obter endereços de IP de diversos estabelecimentos locais, além de dados mais precisos como preços de gasolina presentes em um dispositivo automatizado em um posto de combustíveis da região.

Exemplo de pesquisa no Shodan. (Fonte: Shodan/Reprodução)Fonte:  Shodan 

Para que serve?

Segundo Matherly, o sistema foi inicialmente pensado para ser usado por grandes corporações como a Microsoft, a fim de obter vantagem na pesquisa de mercado. Contudo, com a popularização de serviços e dispositivos conectados à internet, acabou se tornando também uma ferramenta de análise para pesquisadores, acadêmicos e autoridades da lei — além de, inevitavelmente, acabar facilitando a vida de cibercriminosos.

Nesse contexto, o criador do Shodan também afirma que o serviço dificilmente poderá ser utilizado para ataques em larga escala, como em usinas e serviços de trânsito, já que exige identificação no pagamento para exibir mais de 50 resultados. Ele ainda sugere que nesses casos seria mais provável que os cibercriminosos utilizassem uma rede complexa de robôs automatizados.

Afinal, o Shodan é perigoso?

Embora o Shodan possa ser utilizado para pequenas infrações, ele tem aplicações positivas. Seu desenvolvedor sugere que a ferramenta promove mais transparência por parte das empresas que lançam produtos vulneráveis no mercado, como no caso da babá eletrônica. Entretanto, ele lamenta que, até lá, dados privados serão vazados inevitavelmente, com ou sem o uso do serviço.

Segundo especialistas, uma das formas de dificultar os crimes virtuais desse tipo é efetuar a manutenção de qualquer dispositivo conectado à internet periodicamente, trocando senhas de acesso a seus sistemas.