Na mira dos cibercriminosos

A segurança informática na empresa é algo demasiado importante para ser deixado ao acaso, quando o elo mais fraco é o utilizador, explica Nuno Mendes, CEO da WhiteHat.

Nuno Mendes - CEO da WhiteHatQualquer departamento de TI que se preze tem soluções de proteção multi-camada, políticas de segurança, planos de contingência, sistemas de recuperação de dados e toda uma panóplia de ferramentas que permite – espera-se! – a manutenção do regular funcionamento da empresa mesmo em caso de um ciberataque.

No entanto, não é isso que acontece na maioria das empresas e organizações de menor dimensão, em que há sobretudo uma ideia de que “isto não vai acontecer comigo”. Sucede porém que, apesar de toda essa confiança, alguns comportamentos abrem efetivamente a porta aos cibercriminosos. E se esses comportamentos são graves numa organização que possua políticas de segurança bem definidas e implementadas, no caso de uma empresa sem esses cuidados os resultados podem ser devastadores.

Sem prejuízo da necessidade de todas as organizações, qualquer que seja a sua dimensão, desenharem e implementarem um plano de segurança informática, há cinco erros comuns que os utilizadores podem e devem evitar para não colocar a sua empresa em risco – especialmente num mundo em que o BYOD se tornou uma realidade incontornável.

Os comportamentos do chamado “elo mais fraco” de qualquer sistema – o utilizador – podem e devem ser mitigados através de soluções de proteção e de políticas e sistemas de segurança bem desenhados.

Vejamos então os erros mais comuns e que podem colocar a sua empresa na mira dos cibercriminosos:
Confiar em links que surgem nas redes sociais
Os links falsos nas redes sociais foram muito populares em 2013 e, apesar do número de cliques nestas ligações ter baixado significativamente em 2014, segundo o estudo DBIR da Verizon, a tentação do utilizador em clicar num link enviado através do Twitter ou do Facebook continua a ser demasiado forte para ignorar.

Importa salientar que, apesar da grande maioria dessas ligações serem benignas, existem muitas que não são, especialmente quando ocorrem catástrofes naturais. Estas ligações, uma vez clicadas, redirecionam os utilizadores para sites legítimos que foram comprometidos ou para sites maliciosos que têm a intenção de roubar credenciais – possível através da página de login de um banco, por exemplo, ou através de ataques ‘drive-by-download’.

Os utilizadores devem ser ensinados a pensar cuidadosamente antes de fazerem um clique numa ligação desconhecida e, sobretudo, deverão recorrer a sites como o checkshorturl.com para investigarem corretamente as ligações Bitly e outros endereços encurtados, antes de os visitarem.

Reutilizar as mesmas “passwords”
As palavras-passe continuam a ser um problema para quase todos os utilizadores: têm de ser complexas, difíceis de lembrar e utilizarem variados tipos de carateres.

Algumas pessoas têm utilizado gestores de palavras-passe como o 1Password ou o LastPass para armazenarem e gerirem senhas, mas muitos continuam simplesmente a escrevê-las no papel ou num ficheiro de texto dentro do próprio computador. Para além disso, a maioria das pessoas utiliza a mesma senha para várias contas. Ora, neste último caso, existe um perigo adjacente: se um cibercriminoso compromete uma conta – e isso não é difícil com e-mails de phishing e ataques de força bruta –, conseguirá aceder a outras contas da mesma pessoa utilizando as mesmas credenciais.

Não atualizar o software
Para além de caírem em golpes de phishing e engenharia social, as pessoas estão também frequentemente expostas a potenciais perdas de dados e fraudes financeiras provocadas por software não atualizado – o que, numa empresa, é uma responsabilidade que recai sobretudo sobre o departamento de TI.

As atualizações de segurança foram desenvolvidas para corrigirem vulnerabilidades no software que utilizam. No ano passado, por exemplo, a falha Heartbleed na mais popular implementação da encriptação SSL significou que o tráfego de milhões de utilizadores em servidores Web ficou exposto. Deste modo, os cibercriminosos tiveram acesso sem restrições a palavras-passe, detalhes de cartões de crédito e muito mais.

No caso dos utilizadores finais, as atualizações para o Office, Adobe Flash e Java são normalmente ignorados e esquecidos. O objetivo principal é o mesmo – arranjar uma porta de entrada nos sistemas para roubo de informações ou dinheiro. Por este motivo, é importante estarmos sempre atentos às atualizações que vão sendo lançadas.

Downloads a partir de lojas de aplicações alternativas
Os utilizadores mais avançados de smartphones iPhone ou Android recorrem por vezes ao “jailbreak” ou ao “root” para poderem tirar mais partido dos dispositivos e contornarem os limites impostos pela Apple e Google, a fim de obterem mais aplicações e funcionalidades.

No entanto, isto representa riscos de segurança, especialmente se os equipamentos pessoais forem também usados para atividades profissionais. O chamado “jailbreaking” faz com que as aplicações se comportem de forma imprevisível, enquanto as lojas alternativas de aplicações disponibilizam muitas vezes aplicações maliciosas ou aplicações modificadas.

Dados sensíveis enviados por Wi-Fi
Se estivermos a navegar na Internet a partir de casa ou do escritório, estamos relativamente seguros – especialmente pela existência de routers e “firewalls”, diminuindo por isso as hipóteses de um ataque externo.

Porém, ao utilizarmos uma rede Wi-Fi no exterior – por exemplo, em hotéis e cafés – o caso muda totalmente de figura. Neste cenário, os cibercriminosos poderão colocar-se entre si e o servidor através de um ataque conhecido por “Man-in-the-Middle” (MiTM), de modo a conseguirem roubar dados ou servirem malware. Pior: muitos hotspots Wi-Fi de acesso livre nem sequer carecem de password, pelo que a informação trocada entre o terminal móvel e o ponto de acesso fica totalmente desprotegida.

Este é um problema tanto mais grave para as empresas quando sabemos que num mundo de BYOD, cada vez mais o equipamento móvel usado pelos trabalhadores em cenários de utilização pessoal e/ou de lazer é frequentemente o mesmo que é levado para o escritório.

Nestes casos, a melhor forma é evitar lidar com informações sensíveis ou, se necessário, descarregar e utilizar uma VPN.


Artigo anterior

  1. Claramente, este é um dos problemas e desafios que o BYOD trouxe às empresas. Um pouco o lado escuro de algo que tem claros benefícios…

Deixe um comentário

O seu email não será publicado