GitHub não removeu software de imitação malicioso após 3 semanas
O GitHub está sob pressão por levar semanas para remover um repositório malicioso que imitava um aplicativo comercial, apesar de relatos de que ele distribuía malware. Comentaristas discutem se as vítimas deveriam recorrer a notificações DMCA ou a reivindicações de marca registrada, e destacam como a exposição pública em sites como o Hacker News muitas vezes provoca ação mais rápida do que os canais de suporte padrão. De forma mais ampla, a discussão reflete frustração com a moderação subdimensionada em grandes plataformas de tecnologia, cujos incentivos favorecem crescimento e recursos de IA em vez de uma proteção robusta ao usuário.
Repositório de imitação, malware e DMCA
- Vários comentaristas recomendam notificações DMCA como a forma mais eficaz de chamar a atenção do GitHub.
- Outros esclarecem que o DMCA se aplica apenas a direitos autorais, não a “coisas de que você não gosta” (por exemplo, malware em si). Enviar notificações sabidamente infundadas é descrito como ilegal.
- Esclarecimentos:
- Código open source ainda tem direitos autorais; licenças concedem direitos específicos de reutilização.
- Logotipos têm direitos autorais automaticamente e também podem ser marcas registradas; copiar o logotipo de um projeto pode gerar uma reivindicação válida de direitos autorais, mesmo que o código seja open source.
- Licenças open source geralmente não proíbem “derivações de malware”, então a violação precisa ser sobre cópia ou termos da licença, não sobre comportamento.
Moderação e capacidade de resposta do GitHub
- Vários relatos anedóticos de ação lenta ou ausente em: repositórios de malware, contas de impersonação, nomes ocupados e software comercial “nulled”.
- Outros relatam respostas razoavelmente rápidas (de horas a um dia) em tickets de spam e malware.
- Consenso no thread: suporte e moderação têm pessoal insuficiente em relação à escala do GitHub.
Visibilidade no HN e escalonamento
- O repositório ofensivo no artigo foi removido pouco depois de o thread do HN aparecer; alguns veem isso como causa clara, outros como coincidência.
- Muitos insistem que grandes empresas monitoram ativamente o HN e outros canais sociais e fazem escalonamentos rápidos e de alta prioridade quando um problema se torna público.
- Padrões semelhantes relatados para Google, Apple, YouTube, lojas de apps etc.
Incentivos corporativos e “malícia”
- Debate sobre se a falta de pessoal no suporte é “maliciosa” ou apenas uma busca racional por lucro.
- Alguns invocam dever fiduciário para com investidores; אחרים contra-argumentam que a lei não exige maximização de lucro à custa de tudo o mais.
- Frustração generalizada de que empresas altamente lucrativas escolhem suporte humano e moderação mínimos.
Limites dos sistemas atuais de reporte
- O suporte de primeira linha costuma ser automatizado, a segunda linha é subdimensionada, e equipes especializadas são difíceis de alcançar.
- Relatos de abuso/spam são enquadrados como uma externalidade: a maioria dos usuários não precisa deles, mas as vítimas não têm plataforma alternativa.
- Sugestões incluem SLOs regulatórios para suporte humano ao vivo e mais funcionários em vez de “jogar IA no problema”.
Problemas mais amplos de moderação
- Comentaristas veem problemas semelhantes em várias plataformas: anúncios fraudulentos, vídeos de golpe, anúncios maliciosos e downloads falsificados permanecendo no ar por dias ou mais.
- Diz-se que os ataques de imitação estão ficando mais polidos, usando nomes e logotipos reais de produtos, aumentando o risco para os usuários.