Piratas da internet dão todo mês prejuízo a 60 empresas
Os sequestros existem não só no mundo físico, como também no digital. Os piratas da internet encontram brechas para entrar no computador de empresas, sequestrar dados para pedir resgate ou vender à concorrência.
Ao todo, no Estado 60 empresas passam por isso todo mês. São 730 ataques por ano. Os números foram estimados pelo especialista em Crimes Virtuais Eduardo Pinheiro. Ele explicou que o número de casos vem crescendo e embora causem grandes prejuízos, os criminosos exploram brechas simples.
Uma empresária do ramo de beleza que atua no Estado teve o sistema de sua empresa invadido por duas vezes. “Na primeira vez, perdemos bastante coisa; na segunda, não”, explicou ela, que tem 46 anos.
Segundo a empresária, o resgate foi pedido em bitcoin, e era um valor exorbitante. Entre as informações sequestradas estavam fórmula de produtos, dados financeiros, documentos regulatórios, por exemplo.
“Fiz uma ocorrência na polícia, porque perdemos muita coisa, até para ter uma segurança se acontecesse algum problema futuro com essas informações”, detalhou.
Ela lembrou que a segurança da informação é algo que não dá para descuidar. “Às vezes, você acha que está seguro e acontece de novo”;
Segundo o especialista, os ataques mais sofisticados correspondem a uma parcela insignificante dos incidentes de segurança e 85% deles acontecem por dois motivos:
“Empresas, muitas vezes, negligenciam a segurança digital, por falta de atualização de sistemas. A atualização é que vai eliminar as brechas. Ou, devido a uma configuração diferente da recomendada pelo fabricante”.
O software malicioso usado nesse crime é o ransomware. O médico Carlos Augusto Nespoli, de 63 anos, que tem uma clínica de endoscopia e consulta médica, em Vitória, foi vítima deste tipo de ação em 2020.
“Quando ligamos os computadores para realizar o atendimento, recebemos um aviso em Inglês que tínhamos sido criptografados e que estariam dispostos a retornar com os dados se pagássemos um valor em bitcoins”, contou.
Ele procurou a polícia cibernética e foi orientado a desconectar tudo da rede. Também registrou um boletim de ocorrência. “A polícia me passou segurança e não pensei em pagar o resgate”, disse.
Ele contou que só não conseguiu recuperar 10 dias de atividades pela cópia de segurança, por algum motivo que ainda sabe. “Nós tivemos o cuidado de comunicar aos pacientes o que houve”, ressaltou.
A consultora especialista em Direito Digital Elseana de Paula disse que o crime cometido nesses casos é invasão de dispositivo informático cuja pena é detenção, de 3 meses a 1 ano, e multa. “Se o criminoso conseguir sequestrar os dados ou não, ele já cometeu o crime”.
Esclareceu que aumenta-se a pena de um a dois terços se houver divulgação, comercialização ou transmissão a terceiro, a qualquer valor, dos dados obtidos.
Perda chega a 1 milhão de reais
Por dia, duas empresas têm seus dados sequestrados no Estado, em média. “Já vi prejuízos de R$ 20 mil a R$ 1 milhão”, destacou o especialista em crimes virtuais Eduardo Pinheiro.
Ele detalhou que os prejuízos se dá de diversas formas, seja devido ao tempo que precisa ficar sem operar até restaurar o backup, seja porque a empresa não tinha as informações armazenadas de outra forma, entre outros exemplos.
Já em relação a prejuízos com pagamento de resgate, ele explicou. “A tentativa de negociar com o hacker para recuperar os dados criptografados não é o melhor caminho, pois o pagamento do resgate solicitado em criptomoeda não dá nenhuma garantia que os dados serão devolvidos”.
Ele acrescentou que quando a empresa não tem uma equipe de Tecnologia da Informação e está sob ataque, ela vai ter que contratar uma empresa especializada.
Pinheiro destacou que o preço do serviço varia de acordo com o tamanho da empresa contratante. “Ninguém faz um trabalho de recuperação de dados por menos de R$ 10 mil”, pontuou.
Para não ter esse tipo de prejuízo, especialistas alertam que o melhor caminho é investir na prevenção para que esse tipo de situação não acontece. E, caso aconteça, a empresa não perca seus dados.
Lei muda informação sobre dados
A Lei Geral de Proteção de Dados (LGPD) entrou em vigor em agosto do ano passado. Ela é mais voltada para as empresas que coletam dados com o objetivo de lucrar com essas informações.
Para ter esses dados sob seu poder, essas empresas devem assegurar a proteção deles. Por isso, quando uma empresa dessas for hackeada, ela deverá informar ao titular dos dados o que aconteceu.
Carlos Felyppe Tavares Pereira, especialista em Lei Geral de Proteção de Dados e advogado da Caper Advogados explicou que o titular dos dados tem direito ao “livre acesso às informações que estão sendo tratadas pela empresa privada, ente público ou pessoa física, podendo solicitar informações e consentir ou não a sua utilização”.
As sanções administrativas que passarão a vigorar em agosto deste ano incluem, para as empresas que forem hackeadas, multa de até 2% do faturamento no seu último exercício limitada R$ 50 milhões por infração e até proibição do exercício da atividade.
REDE GLOBAL
-
Ameaça de venda
No ano passado, o Grupo EDP teve seus dados hackeados. Os invasores teriam ameaçado torná-los públicos ou até vendê-los para concorrentes da empresa. O resgate exigido foi de 10 milhões de euros, que equivalia a R$ 56,7 milhões na data.A empresa, responsável pelo abastecimento de energia elétrica na maioria dos municípios do Estado, atua em 19 países. A rede hackeada foi a global. A reação da companhia foi articulada junto autoridades competentes.
- Órgãos públicos Além das empresas, órgão públicos também passam por esse tipo de situação com frequência. No final do ano passado, aconteceu com a Prefeitura de Vitória, que teve seu sistema invadido. Na época a prefeitura informou que agiu rápido para garantir a segurança das informações e que os criminosos não conseguiram roubar os dados. Após o ataque, serviços oferecidos por meio da internet ficaram suspensos e posteriormente foram sendo retomados.
- Pedido de R$ 100mil Uma empresa de mármore do Estado também teve seu sistema invadido. Os hackers invadiram seus computadores, furtaram seus dados e cobraram 5 bitcoins de resgate, o que equivalia a R$ 100 mil na época. A empresa não negociou. Ela tinha backup das informações, porém, ele estava a 15 dias desatualizado. Por isso, ela teve perda de 15 dias de registro de suas operações, o que causou prejuízo. O caso aconteceu em novembro do ano passado.
- Sistema restaurado Uma empresa do ramo de alimentos no Espírito Santo teve seu sistema invadido, no ano passado. Os hackers sequestraram seus dados e pediram resgate. Ela, que estava antenada com os riscos no ambiente digital, tinha backup dos dados e não pagou resgate. Contudo, o tempo que ela deixou de comercializar por estar com seus dados sequestrados e precisar restabelecer o sistema a partir do backup foi de três dias, o que resultou um grande prejuízo, calculado na ordem de R$ 1 milhão.
Covid e auxílio emergencial usados para atrair cliques
A pandemia tem sido um prato cheio para os hackers conseguirem invadir os sistemas das empresas para sequestrar dados e cobrar resgate. Eles utilizam informações falsas sobre a Covid-19, a vacina e o auxílio emergencial para aguçar a curiosidade de funcionários e fazer com que eles cliquem em links recebidos.
“Com assuntos globais como a Covid, a chance de o atacante ter sucesso é muito maior”, afirmou José Paulo da Paschoa Filho, gerente de Cibersegurança da ISH. Ele detalhou que os criminosos utilizam a chamada engenharia social para entrar em ação.
Dessa forma, criam e-mails falsos, se passam por um colega de trabalho, por exemplo, para que o empregado forneça voluntariamente os dados dos quais precisa.
“A maioria das empresas não tem todas as ferramentas de segurança. Os hackers mandam e-mail para mil empresas, se uma não tiver o mecanismo de defesa adequado, se um colaborador não tiver consciência dos riscos, ele abre a porta para o atacante”.
Ele, que atua com uma equipe de mais de 150 hackers do bem em casos como esses, garante: “O custo da prevenção é 100 vezes menor que o da recuperação”.
Além do e-mail, clicar em links do WhatsApp Web ou abrir sites desconhecidos pode ser a porta de entrada para ataques virtuais, como destacou o delegado Brenno Andrade, titular da Delegacia Especializada de Repressão aos Crimes Cibernéticos (DRCC).
A dica de especialistas é, ao desconfiar de um link, chame a equipe de Tecnologia da Informação da empresa. “A identificação desses criminosos é possível, mas é muito difícil. Eles agem para maquiar completamente a identidade”, enfatizou o delegado.
COMO PROTEGER SUA EMPRESA
Prevenção
1- Cópia
Manter em dia e protegida a cópia de segurança dos dados.
2 - Atualização
Atualizar sistemas e aplicativos.
3 - Antivírus
Possuir ativado e atualizado o software antivírus.
4 - Cultura
Criar a cultura da segurança digital na empresa, envolvendo todos os colaboradores.
5 - Configuração
Adotar todas configurações recomendadas pelos fabricantes de soluções de segurança.
Em caso de ataque com pedido de resgate
1 - Desconecte-se
Desconecte-se da internet. Dessa formar irá impedir que o software malicioso seja disseminado para outros dispositivos.
2 - Reúna provas
Salve os registros do ataque. É importante salvar o e-mail de contato do hacker e também todo registro que possa auxiliar uma investigação policial.
3 - Não negocie com hacker
Esse não é o melhor caminho, pois o pagamento do resgate em criptomoeda não dá nenhuma garantia que os dados serão devolvidos.
4 - Use uma ferramenta de descriptografia
Se o computador for infectado por um software malicioso de criptografia, será preciso usar um descriptografador para acessar os arquivos e dados novamente.
5 - Restaure o backup
Se não conseguir descriptografar os dados, o caminho a seguir é restaurar a cópia de segurança (backup) para estabelecer o acesso aos dados.
6 - Corrija a falha
Antes de retomar o trabalho e se conectar à rede é importante identificar e corrigir a falha que possibilitou o ataque para não correr o risco de sofrer outro ataque pela mesma vulnerabilidade.
7 - Comunique à polícia
O ataque hacker com software malicioso caracteriza o crime de violação de dispositivo informático. Especialistas recomendam que se faça cópia de todos os registros da invasão e registrar caso na polícia.
Fonte: Eduardo Pinheiro, especialista em crimes virtuais.
Comentários