Na noite de 2 de novembro de 1988, administradores de sistemas em universidades e centros de pesquisa dos Estados Unidos começaram a notar algo estranho: computadores ficavam cada vez mais lentos até pararem de responder. Reiniciar não resolvia, porque pouco depois a máquina voltava a travar. Um programa estava se copiando de computador em computador pela rede. O episódio, que em novembro de 2026 completa 38 anos, ficou conhecido como worm de Morris e é considerado um marco na história da segurança digital.
Um experimento que saiu do controle
O programa foi escrito por Robert Tappan Morris, então estudante de pós-graduação da Universidade Cornell, e liberado a partir da rede do Instituto de Tecnologia de Massachusetts, o MIT, por volta das 20h30. Segundo relatos da época e o processo que se seguiu, a intenção declarada não era destruir arquivos, e sim medir o tamanho da rede.
O resultado foi outro. Em cerca de 24 horas, estima-se que em torno de 6 mil dos aproximadamente 60 mil computadores então ligados à internet tenham sido atingidos. A rede ainda era basicamente acadêmica e militar, mas o impacto proporcional foi enorme: máquinas inoperantes, e-mails parados, equipes trabalhando noite adentro para entender o que estava acontecendo.
Como o worm de Morris funcionava
Um worm, ou verme, é um programa que se propaga sozinho, sem precisar que alguém abra um arquivo ou clique em algo. O de 1988 atacava computadores com sistemas Unix de determinadas famílias e usava várias portas de entrada:
- uma função de depuração deixada ativa em um programa de envio de e-mails, que permitia executar comandos remotamente;
- uma falha de estouro de memória em um serviço que informava dados sobre usuários conectados;
- relações de confiança entre máquinas, que permitiam acesso de um computador a outro sem nova senha;
- tentativas de adivinhar senhas fracas, usando variações do nome do usuário e uma lista de palavras comuns.
O detalhe que transformou o experimento em pane foi um erro de lógica. Para evitar ser eliminado, o programa às vezes se reinstalava mesmo quando já havia uma cópia na máquina. Com isso, os computadores passaram a rodar dezenas de cópias ao mesmo tempo, até esgotarem seus recursos.
O que o ataque revelou
O worm não explorou nenhuma técnica mirabolante. Ele se aproveitou de problemas conhecidos ou fáceis de evitar: funções de teste esquecidas em sistemas em produção, correções que não tinham sido aplicadas, senhas previsíveis e confiança excessiva entre máquinas.
A lição continua atual. Grande parte dos incidentes de segurança de hoje ainda passa por atualizações adiadas, configurações padrão nunca revistas e senhas reutilizadas. Em 1988, a comunidade descobriu da pior forma que uma rede aberta e cooperativa também era frágil.
O que mudou na resposta a incidentes
A reação ao episódio mudou a forma de lidar com ataques. Poucas semanas depois, com financiamento do governo americano, foi criado na Universidade Carnegie Mellon o primeiro centro de resposta a emergências de computação, o CERT, para coordenar a comunicação entre especialistas, divulgar alertas e orientar correções. O modelo se espalhou pelo mundo, e hoje muitos países, incluindo o Brasil, têm grupos equivalentes.
No campo jurídico, o caso gerou a primeira condenação por crime grave nos Estados Unidos com base na lei federal contra fraude e abuso de computadores, de 1986. Morris recebeu pena alternativa, com liberdade condicional, serviço comunitário e multa. Anos depois, seguiu carreira acadêmica na área de computação.
O episódio também ajudou a consolidar práticas que hoje parecem óbvias:
- divulgação coordenada de falhas e de suas correções;
- atualização regular dos sistemas;
- revisão de serviços ativos sem necessidade;
- políticas de senhas mais fortes.
A data de 2 de novembro de 1988, aliás, costuma ser lembrada como parte da origem do Dia Internacional da Segurança da Informação, celebrado em 30 de novembro.
Respostas rápidas
O worm de Morris apagava arquivos? Não era esse o objetivo. O dano veio da sobrecarga: o programa se copiava tantas vezes que as máquinas ficavam lentas e paravam de funcionar.
Qual é a diferença entre vírus e worm? O vírus depende de um arquivo ou programa hospedeiro e, em geral, de uma ação do usuário. O worm se propaga sozinho pela rede, explorando falhas dos sistemas.
Quantos computadores foram atingidos? As estimativas mais citadas falam em cerca de 6 mil máquinas, algo em torno de 10% dos computadores então ligados à internet.