Imagem: Pixabay
Uma pesquisa realizada pela Agência EY mostra que o número de ataques cibernéticos contra empresas cresceu 300% em todo mundo durante a pandemia.
O levantamento aponta que a maioria dos ataques são feitos por meio de phising (método que engana os usuários para conseguir dados ou invadir sistemas), malware (roubo e danificação de dispositivos) ou por ataques de negação de serviço.
Outra pesquisa, da Kaspersky, mostra que o Brasil é o país da América Latina em que as empresas sofreram o maior número de ataques (mais de 5 milhões), seguido da Colômbia (1,8 milhão), México (1,7 milhão), Chile (1 milhão) e Peru (507 mil).
Os especialistas apontam que os principais motivos são falhas e desatualizações nos sistemas e falta de treinamento de funcionários. A pandemia também tem sua parcela de culpa, já que muitas empresas foram forçadas a adotar o home office sem terem a segurança necessária para o acesso remoto.
“As empresas criaram servidores remotos por causa da pandemia e esta virou uma das principais portas de entrada de ransoware (quando há pedido de resgate pelos dados). Querendo resolver a questão do trabalho remoto, criam um problema de exposição dos sistemas”, afirma Rodrigo Jorge, diretor executivo de segurança da informação da Neoway.
Investir em tecnologia é importante, mas não resolve completamente as fragilidades de segurança, já que muitos ataques começam por meio de um link ou arquivo malicioso que chega ao e-mail dos funcionários.
“A maioria das grandes empresas já tem um ambiente bem seguro e controlado, mas uma pequena brecha, que pode vir tanto no parque tecnológico como das pessoas, pode ser a porta de entrada para uma infecção”, afirma Denis Riviello, head de cibersegurança da Compugraf.
As grandes companhias já estão investindo em segurança há alguns anos, mas as pequenas e médias não têm a mesma capacidade financeira para isso. Os sistemas de tecnologia costumam ser caros e, com a pandemia, muitas estão lutando para se manter de portas abertas, sem sobras financeiras para investir.
“Uma empresa pequena pode prestar serviço para uma grande. Os hackers podem conseguir entrar no sistema maior por meio das terceirizadas”, afirma Francisco Gomes Júnior, advogado especialista em direito digital.
Apesar de considerar a LGPD positiva, Gomes diz que a lei tem o potencial para deixar as empresas na mão dos hackers e que isso deve aumentar ainda mais o número de ataques nos próximos meses.
“Uma empresa com mais compliance não vai aceitar suborno de hackers, mas vão ter companhias que vão colocar na ponta do lápis o que é mais barato: pagar a multa da ANPD, caso os dados sejam vazados, ou o resgate ao hacker”, afirma Gomes.
Quais os setores mais vulneráveis?
“Hoje todos estão igualmente suscetíveis. Vemos que alguns investem mais, como o financeiro, mas não quer dizer que estão menos expostos”, afirma Riviello.
Quais os dados mais roubados?
Segundo Gomes, no caso de empresas normalmente os hackers bloqueiam o sistema e estão mais interessados no valor que podem conseguir pelo resgate das informações. Quando o alvo são dados de pessoas físicas, os mais comuns são os cadastros bancários, que incluem informações como nome, CPF e score bancário.
Como prevenir os ataques
A melhor forma é investimento em segurança e em treinamento para todos os profissionais da empresa. Uma pesquisa da Deloitte diz que 33% das companhias não oferecem treinamento sobre segurança cibernética e proteção de dados aos seus funcionários. Outras 47% das empresas fornecem a todos os funcionários, 14% apenas aos times de tecnologia, 4% apenas aos profissionais de riscos/governança e 2% aos executivos da companhia.
“A cultura e a conscientização dos funcionários são fundamentais, tanto da área da TI como de todo o resto da empresa. As companhias precisam lembrar que o barato pode sair muito caro quando o assunto é tecnologia. A equipe de segurança é facilitadora, mas tem a missão de que todos enxerguem seu papel dentro da segurança da empresa”, afirma Jorge.
Na Neoway, por exemplo, toda semana a equipe de TI envia simulações de phishing para conscientizar os funcionários. Se alguém clicar no link será avisado que caiu em uma pegadinha. Para Jorge, desta forma a pessoa pensará duas vezes e evita que cliquem quando for de fato uma fraude.
Por causa da LGPD e do início das multas, em agosto deste ano, Riviello diz que as empresas estão investindo mais em tecnologia nos últimos dois anos.
“Vimos esse movimento das empresas mais preocupadas, investindo mais, falando mais sobre segurança e privacidade. Com os ataques e os anúncios acontecendo na mídia de informações vazadas, as primeiras multas, isso reforça o caminho que elas estão seguindo. Vai servir de exemplo, quanto mais modificações houver, mais as empresas vão estar preocupadas, porque vai estar valendo”, afirma Riviello.
Os especialistas orientam que as empresas já trabalhem com um plano para o caso de serem invadidas. Dessa forma, tendem a conseguir resolver a situação de forma mais rápida.
“Hoje a discussão não pode ser mais se você vai ser infectado, mas quando isso vai acontecer. Estamos vendo uma avalanche de tentativas, de ameaças, então as empresas devem se antecipar para estarem preparadas”, afirma Riviello.
Mas isso aparentemente não é crime. Afinal, o STF aceitou que conversas gravadas ilegalmente entre os membros do MPF que atuavam na Operação Lava Jato fossem usadas para declarar a “suspeição” do ex-juiz Moro e assim, destruir a Operação.
Urna eletrônica e sistema bancário são invioláveis, não existe registro de invasão nesses setores no mundo. Kriptomoedas, business de idiotas e oportunistas é vulneráveis, também, cartas marcadas.