Home office deixou empresas e governo mais vulneráveis a hackers

A sensação de insegurança cibernética no Brasil tem crescido graças a casos ruidosos de ataques de hackers a grandes empresas listadas na Bolsa de Valores e a órgãos públicos, como o Ministério da Saúde. Sensação que é confirmada por relatórios de diferentes consultorias especializadas em segurança digital, que cada vez mais elegem o Brasil como um dos alvos favoritos de criminosos “sem rosto” e “sem nacionalidade”. Esses hackers se beneficiam de fragilidades na segurança e quase sempre saem impunes dessas ações, mostrando que as autoridades ainda não conseguem atuar em pé de igualdade com a bandidagem digital.

Relatório divulgado em agosto último pela consultoria internacional Netscout, por exemplo, apontou o Brasil como o segundo país no mundo que mais sofreu com ciberataques até aquele momento em 2021, atrás apenas dos Estados Unidos. Mirando principalmente empresas, foram 439 mil ciberataques, segundo o levantamento: 7,1% das ocorrências no mundo todo (os EUA ficaram com 21,7% dessa fatia).

Outro levantamento, este da empresa de segurança digital Apura, mostrou que o Brasil concentrou, nos últimos 18 meses, mais da metade dos ataques conhecidos como ransomware na América Latina. Essas invasões são uma espécie de sequestro dos dados de organizações – e normalmente os criminosos cobram resgates milionários em criptomoedas.

A empresa JBS, por exemplo, pagou este ano R$ 11 milhões em bitcoins para hackers que invadiram seus sistemas na América do Norte. Esse relatório mapeou ataques de grandes proporções e identificou que 137 organizações na América Latina foram alvo dos hackers no período, sendo 71 no Brasil.

No setor público, a lista de ataques também vem se avolumando. No fim do ano passado, órgãos do Judiciário, como o Superior Tribunal de Justiça (STJ), foram alvo de invasões que interromperam a pauta de julgamentos e atrasaram milhares de processos. A Agência Nacional de Vigilância Sanitária (Anvisa) sofreu ao menos duas investidas recentes.

Em novembro, um ataque hacker atrasou o processamento da notificação de morte de um voluntário da Coronavac – óbito que não tinha nada a ver com o imunizante, mas causou polêmica no seu desenvolvimento. Já em setembro deste ano, criminosos cibernéticos tiraram o site da agência do ar e o substituíram por uma bandeira da Argentina.

O caso mais recente é a invasão ao sistema do SUS que tirou do ar os dados vacinais de milhões de brasileiros. No lugar das informações, uma mensagem foi deixada por um suposto grupo invasor dizendo “você sofreu um ransomware” e “50 TB de dados foram copiados e excluídos”.

Nessa quarta (15/12), em ocorrência que o governo ainda não explicou se está relacionada a mais um ataque, sites com domínios gov.br e jus.br ficaram parcialmente fora do ar e milhares de servidores federais ficaram sem conseguir acessar o ponto eletrônico e suas contas de e-mail, entre outras funcionalidades. No dia anterior, até o site da Polícia Federal, instituição responsável por identificar esse tipo de investida, sofreu uma invasão e ficou fora do ar.

Home office aumentou fragilidades

Especialistas em segurança cibernética ouvidos pelo Metrópoles apontaram a migração de funcionários para o trabalho remoto ao longo da pandemia como um dos principais fatores de aumento da fragilidade cibernética em empresas e no setor público.

“Além de, com a chamada internet das coisas, cada vez mais aparelhos estarem em rede, o que aumenta o terreno para fragilidades, a migração para o home office fez com que barreiras de segurança ficassem mais frágeis”, explica Gustavo Duani, diretor de cibersegurança da multinacional de tecnologia Claranet.

“O usuário que acessava o sistema da empresa ou do órgão por meio de uma rede privada, controlada, monitorada pelo setor de TI, passou a acessar a partir de casa, nem sempre observando os mesmos protocolos de segurança”, completou Duani, que explicou ainda que o treinamento dos usuários para evitar golpes é um fator fundamental na estratégia para evitar os ataques.

“Normalmente, os criminosos utilizam um método chamado fishing [pescaria, em inglês] para ludibriar a vítima. É o e-mail que parece do banco, mas é falso, um link malicioso num aplicativo de mensagens, num site. Aí o usuário clica e acaba executando um vírus no seu computador, que pode dar aos hackers o acesso a redes em que a pessoa está. Por isso, boa parte dos ataques nem mirava a vítima, é uma questão de oportunidade. Outras miram e vão atrás dos colaboradores de uma instituição com uma campanha”, explica o diretor da Claranet.

Motivações dos hackers

Os criminosos cibernéticos buscam principalmente dinheiro e, por isso, preferem dar o golpe em empresas privadas, afirmam os especialistas. No entanto, isso não deixa o setor público mais seguro. “A motivação financeira é a principal, mas há outras. Pode ser o desafio, pode ser a oportunidade de derrubar um sistema que está em evidência na mídia, como o caso dos dados da vacinação, pode ser ativismo político”, ressalta Duani.

“E o setor público precisa tomar o mesmo tipo de medida de segurança das empresas privadas, mas muitas vezes o tempo dele é outro, falta agilidade, é preciso licitar o serviço e, às vezes, quando o projeto previsto está sendo implementado, as necessidades já são outras”, conclui o especialista.