Aumento de casos de Ciberataque leva empresas a buscarem proteção secundária

Em setembro, a maior rede social que existe, o Facebook, sofreu um ataque cibernético de grandes proporções, com cerca de 50 milhões de usuários tendo suas informações expostas. O acontecimento ligou o sinal de alerta dentro das empresas brasileiras.

Em setembro, a maior rede social que existe, o Facebook, sofreu um ataque cibernético de grandes proporções, com cerca de 50 milhões de usuários tendo suas informações expostas. Grandes empresas de importantes setores da economia, como varejistas e instituições financeiras, também tiveram dados acessados no período. O acontecimento ligou o sinal de alerta dentro das empresas brasileiras. “Todas as companhias que têm informações de terceiros em seu sistema, como corretoras e bancos, por exemplo, já estão procurando uma forma mais contundente de protegê-los”, comenta Leandro Freitas, superintendente de riscos financeiros da MDS Brasil, referência global em seguros, resseguros e consultoria de riscos.

“Acreditamos que a lei sancionada (a General Data Protection Regulation, de maio desse ano) vai aumentar a atenção a esse tipo de risco e o Cyber Risks será, num futuro muito próximo, uma solução cada vez mais solicitada por grandes corporações preocupadas em guardar dados de seus clientes e fornecedores”, completa. Apesar de ter partido do bloco europeu, o movimento já se reflete em terras brasileiras: no mês de agosto, o presidente Michel Temer aprovou o projeto de lei sobre a coleta e tratamento de dados pessoais no Brasil. A regulamentação, que entra em vigor no início de 2020, já funciona como uma espécie de sinal para que as empresas brasileiras procurem formas de se prevenir de ataques cibernéticos.

No entanto, a percepção de ameaças dessa natureza está em nível primário, uma vez que as consequências relacionadas a esse tipo de crime ainda são pouco conhecidas. No âmbito das seguradoras, por exemplo, a constatação dos perigos traz à tona um importante questionamento: como precificar uma apólice quando não se tem o total conhecimento dos prejuízos que os ciberataques podem proporcionar? Para Thiago Tristão, diretor de riscos empresariais da MDS Brasil, essa resposta só pode ser obtida a partir do estudo do mercado: “Todas as empresas terão que se adequar, inclusive as seguradoras. Para evitar invasões em seus sistemas e usos irregulares dos dados, as companhias precisam estudar as ameaças já constatadas no mercado até o momento e se basear nelas para elaborar planos de gerenciamento bem estruturados”, explica.

Leandro Freitas também reforça que a contratação do Seguro de Cyber Risks oferece possibilidades de respaldo que vão além da compensação financeira – como a proteção contra danos à reputação, por exemplo. “Por meio da seguradora, é possível disponibilizar um mediador para lidar com hackers e evitar o vazamento das informações, ou até mesmo trocar o servidor do sistema para evitar que os dados sejam divulgados. Em suma, a função do seguro é evitar quaisquer arranhões reputacionais à marca”, finaliza.

O mercado financeiro como próximo alvo

No Brasil grandes bancos investem alguns milhões na aquisição de soluções para minimizar suas perdas com fraude eletrônica.

Hoje essas instituições tem um prejuízo de aproximadamente 8% com fraudes, mas vale lembrar que o mercado financeiro não é formado apenas por grande bancos, existem outros atores como corretoras, fundos de investimentos e até pessoas que atuam diretamente por home broker.

Durante algum tempo visitei esses atores que compõem o mercado financeiro para realizar consultoria em segurança pela empresa que atuava, fiquei muito assustado ao perceber que em algumas instituições onde o volume de ativos passava de 1 trilhão de dólares utilizavam Windows 98 em todo seu parque tecnológico.

Aqui abro um pequeno parenteses (Acredito que os investidores não ficariam felizes em saber que as ordens de compra e venda de ações eram feitas por máquinas defasadas), enfim, questionei então um dos diretores para entender o porque que em pleno ano de 2015 eles ainda não tinham realizado updates em seus sistemas e o mesmo me respondeu que o sistema que eles utilizavam era antigo e não compatível com as novas versões do Windows. UAU!

Nesse momento ascendeu um sinal mental de alerta e pensei comigo, se em uma gestora que é um dos maiores do mundo eles são omissos com a implementação de novas soluções de segurança, como seria a realidade dos menores?

Conseguem imaginar?

Bem, constatei eu mesmo desde 2015 que são muitos os atores do mercado financeiro que são omissos e quando digo muitos, realmente são muitos.

Nessas visitas que realizei, sempre solicitei as senhas de Wifi ou conectava meu notebook diretamente no cabo para baixar minhas apresentações, isso me fazia pensar, como uma instituição desse porte não possui uma rede separada para visitantes, onde estão as políticas em relação a BYOD?

Além disso era possível constatar que muitos funcionários levam seus próprios devices (tablet, celular, notebook) e conectam nas redes, mas será que os gestores de TI nunca pensaram que esses devices poderiam estar comprometidos?

Alguns até pensam, mas a maioria das pessoas que me entregavam as senhas eram os próprios diretores, eles ainda diziam:

-Wagner, usa a minha senha, poque até eu abrir uma solicitação para liberarem o seu acesso vai demorar.

Esse cenário todo realmente me preocupou e para piorar já constatei alguns grupos hackers baixando manuais de como as redes do sistema financeiro funcionam, quais são os grandes fundos atuantes na BM&F Bovespa, quem são as Boutique investment bank’s mais relevantes e quais são as mais sensíveis a ataques direcionados.

Bem, a tendência é que ações como a ocorrida na XP Investimentos se torne cada vez mais recorrente entre todos esses atores.

E agora? Qual será a próxima instituição a ser atacada?

Hacking e espionagem

Está em exibição nos cinemas o filme do Snowden, até o momento o assunto sobre espionagem não estava presente na grande mídia, além claro dos jornais que veicularam as denúncias sobre a atuação do Governo Americano.

Países como a Rússia, Argentina entre outros deram início a tentativa de substituição de tecnologias Americanas por soluções desenvolvidas em seu próprio país.

Convenhamos, as grandes empresas não compactuam com essas ações, pois como essas grandes empresas são listadas em Bolsa, qualquer denúncia poderia fazer as ações derreterem.

O que os governos esquecem para tomar essa atitude é que a peça fraca desse elo são sempre as pessoas, ou seja, funcionários são subornados e inserem BackDoors em equipamentos e em linhas de códigos de sistemas permitindo que espionagens sejam realizadas.

Hoje com a amplitude da internet a atividade de espionagem ganhou outra dimensão e ela não precisa ter apenas um único alvo, ela pode ser massiva com a implementação de softwares que analisem desde postagens públicas a pesquisas realizadas no Google.

O que as agências de inteligência estão fazendo de diferente é analisando de forma sistêmica uma massa de dados, permitindo que governos possam tomar decisões que garantam sua supremacia.

Essa é a realidade e não adianta a criação de normas e leis que digam aos governos seus limites, pois quando estamos falando de segurança nacional tudo pode ser justificado, quando descoberto, pois em sua maioria as ações de inteligência sequer são descobertas.

Independente do certo ou errado cabem aos países levarem o desenvolvimento tecnológico a sério para garantirem sua independência, mas não tenham a leviandade que essa ações acabarão com o acesso a informações privilegiadas, apenas dificultará um pouco, muito pouco diga-se de passagem, mas o legado para o país em termos de conhecimento e desenvolvimento da industria justifica o investimento.

O fato é, se você tem um IP prepare-se para ser espionado e até hackeado…

Bem-vindos a sessão sobre Hacking

Muitas discussões surgem em torno do tema Hacking, mas você está preparado para ser hackeado?

Quais são as medidas de segurança que você toma em seu dia a dia?

Bem, em meus futuros posts irei abordar questões ligadas ao Hackerismo, não julgarei o que é certo ou errado, só informarei as atividades mais praticadas pelos hackers, pois creio que os profissionais que fazem parte dessa iniciativa possam comentar com propriedade.

Um grande abraço!