Shodan: conheça o mecanismo de busca que mostra os dispositivos conectados à internet

Quando falamos em mecanismos de busca, logo lembramos do Google, embora haja outras opções como o Bing e o DuckDuckGo. Porém, todas as soluções envolvem buscas a sites ou serviços web. No entanto, em 2009 surgiu um mecanismo de busca com uma proposta um tanto quanto diferente. Estou falando do Shodan.

Ele foi desenvolvido pelo programador John Matherly em 2009 e possui um objetivo bem curioso (e perigoso). Ao invés de buscar por sites e serviços web relacionados às palavras-chave que você pesquisou, o Shodan pesquisa por dispositivos conectados à internet. Portanto, esta pode ser uma ferramenta poderosa para auxiliar hackers a invadir sistemas ou roubar dados sigilosos. Nos próximos parágrafos eu explico em mais detalhes como funciona o Shodan.

Leia também
Como rastrear um endereço IP
Como ocultar seu endereço IP

Surgimento do Shodan

O mecanismo de busca Shodan começou a ser desenvolvido por John Matherly em 2003. O lançamento, porém, demorou um pouco, ocorrendo 6 anos depois. Desde o início o programador tinha na cabeça a ideia de encontrar dispositivos conectados à internet e não as páginas hospedadas na grande rede.

Sendo assim, o Shodan pode ser usado para encontrar desde uma simples webcam até um complexo sistema de distribuição de energia ou de câmeras de monitoramento. Dessa forma, o mecanismo de buscas de Matherly pode ser uma ferramenta bem útil para cibercriminosos.

A plataforma facilita a descoberta do endereço IP de todo e qualquer dispositivo conectado à internet, desde que ele não esteja devidamente protegido. Não é preciso pensar muito para imaginar uma situação bem problemática, tal qual a invasão do sistema de segurança de um banco.

Perigos do Shodan

No entanto, o Shodan ganhou visibilidade mesmo por outra situação, igualmente problemática. O caso aconteceu em 2013 e foi publicado pela revista Forbes. A revista relata que enquanto comemorava seu aniversário de 34 anos, Marc Gilbert, que mora na cidade de Houston, Texas, ouviu uma voz vinda do quarto de sua filha. A menininha tinha apenas 2 anos de idade na época.

Na hora ela estava dormindo em seu quarto enquanto uma babá eletrônica monitorava o sono da criança. Até que, “do nada”, uma voz começou a sair da babá eletrônica. Usando termos pejorativos e obscenos, a voz tentava acordar a criança de seu sono.

Ao entrar no quarto, Marc Gilbert logo percebeu que a voz estava saindo da babá eletrônica. Ele prontamente desconectou o equipamento da tomada. Assim, a conexão com a internet foi cortada, impedindo o cibercriminoso de continuar importunando o sono da criança de apenas 2 anos.

A publicação também relata que o hacker usou o mecanismo de busca Shonan para descobrir o endereço IP da babá eletrônica. Depois disso, usando o sistema de manutenção do dispositivo, ele conseguiu sobrescrever a senha padrão. Em geral, esse tipo de dispositivo usa como senha padrão “admin”. Assim, invadir essa babá eletrônica não foi muito difícil para o hacker.

No entanto, o caso acima retrata um dispositivo doméstico. Provavelmente os pais da criança sejam leigos em tecnologia e não façam ideia de como dificultar o acesso aos dispositivos conectados. Porém, a situação piora quando sabemos que o Shodan é capaz de encontrar até mesmo dispositivos que fazem parte dos sistemas de segurança de bancos, universidades e grandes empresas.

Como funciona o Shodan

Ao fazer uma busca no Shodan, ele vasculha mais de 1.500 ports, ou seja, as pontas finais de comunicação de uma rede. O mecanismo de busca vasculha os servidores de internet através dos mais diversos protocolos, tais como: HTTP, HTTPS, FTP, SSH, Telnet, SNMP, SIP, UPnP e outros.

A utilização da plataforma de busca também não exige nenhum conhecimento técnico. Basta digitar o nome de uma cidade ou um tipo de protocolo e depois checar os resultados. Fiz uma pesquisa colocando o nome da minha cidade. E o Shodan retornou com vários resultados. Dentre eles de um posto de gasolina, onde pude ver o endereço IP do dispositivo, a fornecedora de internet, nome e endereço do posto e até o inventário de um dos tanques de combustível.

Usuários não registrados conseguem ver até 10 resultados. Se você criar uma conta e se cadastrar no serviço, aumenta esse número para 50 resultados. Tudo isso sem gastar um centavo. Porém, se quiser aumentar o número de resultados, terá que pagar uma assinatura mensal. Atualmente, o valor mais baixo é de US$ 69 por mês (cerca de R$ 355 em conversão direta).

Por que o Shodan foi criado?

Será que o desenvolvedor do Shodan criou esse mecanismo de busca já com más intenções? Ou ele foi ingênuo ao ponto de achar que a plataforma não seria usada por hackers e outros cibercriminosos? Nada disso.

Segundo o próprio John Matherly, o Shodan foi criado para ser usado por grandes empresas, como a Microsoft. A ideia do serviço era facilitar tarefas como pesquisa de mercado. No entanto, com o aumento no número de dispositivos conectados, tais como babás eletrônicas, câmeras, lâmpadas, alto-falantes, Smart TVs e outros, o mecanismo de busca Shodan acabou ganhando outros usos. Por exemplo, ele é muito útil também para pesquisadores, acadêmicos e autoridades. Obviamente que os cibercriminosos também se aproveitam da ferramenta, que pode ser usada tanto para fins legítimos quanto para fins ilegais.

No entanto, o desenvolvedor da ferramenta diz que dificilmente o Shodan será usado para ataques mais perigosos e em larga escala. Por exemplo, atacar um serviço de monitoramento de tráfego exige descobrir os endereços IP de diversos dispositivos. Para tanto, é necessário criar uma conta e pagar por uma assinatura. O simples registro desses dados já facilita encontrar o cibercriminoso.

Mesmo assim, nada impede que o Shodan seja usado para pequenas infrações, tais como invadir babás eletrônicas ou as câmeras de segurança de uma casa. Nesse caso, sempre é bom se certificar de que os dispositivos conectados à internet não estão com a senha padrão.