A pressão que este contexto pandémico criou no teletrabalho, sem regras nem preparação, muitas vezes nos nossos próprios computadores pessoais, com imensas distrações domésticas e stress, configura uma oportunidade dourada para o sucesso dos atores do cibercrime.
Quando no escritório nos surge um pedido fora do comum, é fácil questionar pessoalmente o colega ou chefe e confirmar o mesmo. Já em trabalho remoto, não temos o colega ali ao lado, pelo que nos remetemos a uma reposta por e-mail ou uma conversa no teams, para confirmar um pedido. Esta dependência digital, a vontade de ultrapassar os problemas de forma rápida e as distrações lá de casa estão a ser exploradas maliciosamente de forma crescente.
A tendência é confirmada por um recente estudo levado a cabo pela empresa Tessian, com o apoio de Jeff Hancock, Professor da Universidade de Stanford e especialista em dinâmica social on-line.
Segundo o investigador da Universidade de Stanford:
"Trabalhar em ambientes fora do comum pode ser stressante e distrativo. Antes da pandemia, as pessoas estavam habituadas a operar em espaços distintos - casa, trabalho, social - e tínhamos diferentes formas de entender o mundo em cada espaço. Os acontecimentos de 2020 significam que estes espaços se esbateram e tivemos de aprender rapidamente novas formas de operar e isso tem os seus desafios."
Estamos, de uma forma geral, mais suscetíveis a fornecer dados sensíveis ou até a executar transferências financeiras sem os controlos habituais, porque de facto não vivemos tempos “normais”. Mas não se pense que são os infoexcluídos que mais estão vulneráveis a estes ataques. O mesmo estudo mostra exatamente o contrário, são os mais novos e os mais tecnológicos que estão mais vulneráveis.
Os ataques mais perigosos culminam quase sempre numa perda monetária para a organização ou pessoa atingida, quer através de um ataque ransomware e respetivo pedido de resgate, ou muito comum nos últimos tempos, numa transferência bancária. Estes últimos envolvem normalmente uma técnica de “spear phishing” para conseguir comprometer a identidade de um executivo, por exemplo um CFO ou CEO, através do roubo das credenciais de acesso. Em posse destas credenciais, o atacante, analisa e estuda as mensagens enviadas de forma silenciosa, processo que pode demorar dias ou semanas. Por fim o atacante identifica a vítima, que pode ser alguém do departamento financeiro ou até o gestor de conta do banco e inicia uma conversação com essa pessoa fazendo-se passar pelo executivo, com o objetivo de o levar à execução de uma transferência bancária fraudulenta.
Na KI, quer via service desk ou decorrente das ações de sensibilização e workshops sobre phishing, chegam-nos com frequência relatos de situações similares que ocorreram de facto ou que foram detetadas “in extremis”. Relembramos, que caso sejam confrontados com um pedido estranho, mesmo que venha do chefe, a forma mais segura para validar é telefonar. Pois do outro lado do e-mail ou do chat pode estar o atacante.
O futuro, também não se revela muito animador, pois se por um lado a pandemia revela sinais de abrandamento, a tendência do trabalho remoto, ou hibrido, é para continuar e os ataques estão cada vez mais sofisticados e cientes da nossa confiança na identidade digital.
Na maioria das organizações há muito ainda por fazer do ponto de vista tecnológico para dar mais garantias, segurança e proteção à identidade digital e aos dados das organizações.
A ativação de autenticação multifator, o acesso condicional, a gestão dos equipamentos móveis, a classificação, encriptação e proteção dos dados e soluções de avançadas de “threat management” são apenas algumas das tecnologias que as organizações têm ao seu dispor para evitar, detetar e responder a este tipo de ataques.
Apesar de todas as medidas tecnológicas, a realidade é que somos humanos e por isso é normal errarmos. O fator humano é para a maioria das organizações o seu maior risco de segurança. No contexto da cibersegurança estes erros quando levados a cabo por pessoas com acessos a dados sensíveis, podem ter consequências devastadoras, pelo que a solução está na formação e sensibilização à cibersegurança.
