Rui Pinto, o jovem hacker português que vive em Budapeste e que estará envolvido no roubo dos emails do Benfica, contratou um advogado que se reuniu a seu pedido com os responsáveis de um fundo de investimento relativamente ao qual também é suspeito de ter roubado dados.

Em causa está o roubo de informação ao fundo de investimento Doyen Investment Sports, que financia passes de jogadores e treinadores de futebol. E foi o seu advogado quem garantiu ao PÚBLICO a reunião com o fundo de investimento.

O advogado Aníbal Pinto confirmou ter-se reunido em finais de 2015 com um advogado da Doyen a pedido de Rui Pinto, mas garante que nunca soube nada sobre uma alegada extorsão que o jovem estaria a fazer à empresa, pedindo mais de 500 mil euros para devolver informação sensível.

“O Rui Pinto telefonou-me do estrangeiro a perguntar se podia dar o meu contacto a outro advogado para ultimarmos um contrato de trabalho”, conta. “Quando percebi que podia haver ilícitos criminais em causa abandonei as negociações e aconselhei o meu cliente a fazer o mesmo”, acrescenta, realçando que há mais de três anos que não vê nem fala com o jovem.

O encontro, que ocorreu numa estação de serviço em Oeiras, terá sido filmado e gravado em áudio pela Polícia Judiciária, mas mais tarde a diligência não terá sido validada pelo Ministério Público. “Se tivesse exigido algum pagamento ilegal com certeza que tinha sido detido em flagrante delito. Mas a polícia nem sequer me ouviu”, sublinha.

Sobre o envolvimento de Rui Pinto num alegado desfalque de 300 mil dólares a um banco sediado nas Ilhas Caimão, um ano antes, o advogado apenas confirma que o cliente foi ouvido como arguido e não prestou declarações. Em causa estava um crime de furto qualificado que acabou sem ser julgado porque o banco visado declarou ter sido totalmente reparado dos prejuízos, o que extinguiu o processo-crime. “O Rui Pinto nunca foi acusado nem condenado por nenhum crime”, garante Aníbal Pinto.

PJ em silêncio

Para não prejudicar mais as investigações, neste momento, várias fontes da PJ recusaram adiantar quaisquer dados sobre o caso. Sublinham, contudo, que poderá haver desenvolvimentos nos próximos dias. A revista Sábado diz que Rui Pinto, que ainda não terá 30 anos, também é suspeito de ter entrado nos sistemas informáticos dos três principais clubes de futebol portugueses: Sporting, Benfica, FC Porto. O seu nome, escreve a Sábado, estará “fortemente associado” ao Football Leaks, um site que divulgou informação confidencial sobre contratos de famosos do futebol mundial e os esquemas que usariam para fugir ao fisco. 

Licenciado em História pela Universidade do Porto, é um informático autodidacta. Mora – ou morou – na Hungria, de onde a polícia portuguesa pediu, sem sucesso, que fosse extraditado, revelou a Sábado. O pai, ouvido pelo JN, afirma que desde o aparecimento do Football Leaks que o filho muda constantemente de local.

Como se roubam emails?

Num ataque informático, as pessoas são muitas vezes o elo mais fraco. Um email enganador pode ser o suficiente para levar alguém a dar informação (como palavras-passe) ou a descarregar um anexo e, involuntariamente, instalar software malicioso no computador ou telemóvel. No caso do Benfica, de acordo com a Sábado, Rui Pinto terá recorrido a uma técnica chamada spear phishing, que implica ter conhecimentos sobre as pessoas a enganar e enviar-lhes mensagens personalizadas e, portanto, mais convincentes.

“Os ataques são feitos apontando para pessoas dentro da organização e tentando depois, tecnicamente, invadir os sistemas. O comportamento das pessoas continua a ser o ponto de falha principal”, explica João Barreto, vice-presidente de marketing da S21Sec, uma empresa de segurança informática (que é da Sonae, também dona do PÚBLICO).

Uma vez instalado o software malicioso, os atacantes podem conseguir obter o controlo do aparelho e usá-lo para se infiltrarem nos sistemas informáticos. Mas o sucesso não é garantido.

O sucesso de uma tentativa de ataque dependerá da sofisticação e actualização dos mecanismos de segurança das empresas, diz Barreto: “A maior parte das empresas não consegue ter o mesmo nível de segurança do Google. A segurança é inversamente proporcional ao dinheiro que se gasta na protecção. Se eu não fizer nada para actualizar o software durante dois ou três anos, qualquer miúdo com uma ferramenta que descarrega da Internet pode lá entrar.”

Já no caso dos sistemas que estejam actualizados, uma hipótese é ter aquilo a que se chama um “zero day” – são vulnerabilidades (por exemplo, em sistemas operativos como o Windows) que não são conhecidas das empresas de segurança, nem dos fabricantes de software. Vendem-se nos mercados negros do crime informático, onde são compradas, por vezes a preços avultados, por quem quer garantir uma elevada probabilidade de ser bem-sucedido num ataque.

“Fazer este tipo de coisas não é de todo fácil. Ou o rapaz tinha um zero day ou é uma coisa muito improvável”, observa ao PÚBLICO um white hacker, o nome dado no meio a quem se dedica a encontrar falhas de segurança com o objectivo de tornar os sistemas mais seguros. “Os verdadeiros hackers não fazem phishing. O phishing é uma porta para fazer muito mais. São precisos meses até descobrir um buraquinho para entrar”, refere o informático, que não quis ser identificado.

João Barreto considera que os clubes de futebol são apetecíveis para atacantes que queiram obter informação e fazer extorsão. “À partida, não estão tão protegidos como um banco, uma seguradora ou uma empresa de telecomunicações. E há dinheiro, há [informação sobre] transferências [de jogadores]. Um criminoso poderá olhar para isso como um bom alvo.”

Há uma outra técnica para se conseguirem emails ou outra informação de uma organização: o roubo ser feito por alguém de dentro. “Na maior parte dos casos, é a mais provável”, observa Barreto, num comentário que não era sobre o caso específico do Benfica. “Não acredito em génios criminosos, muito menos aqueles cujo nome aparece no jornal”, acrescentou.