Informações de 143 milhões de americanos vazaram em um dos maiores ciberataques dos últimos tempos em meados deste ano, quando hackers invadiram o sistema da empresa de gestão de crédito Equifax. O método foi menos cinematográfico do que o crime em si: eles descobriram um acesso aos dados por meio de um software que estava desatualizado havia dois meses.
Aplicativos, softwares e sistemas operacionais ganham atualizações não apenas para melhorar sua aparência e a experiência dos usuários, mas principalmente para corrigir falhas de segurança.
A exploração de vulnerabilidades é uma das principais portas de entradas para hackers, que na última década transformaram o cibercrime "de uma brincadeira em um negócio lucrativo", define Douglas Santos, que trabalha no Laboratório de Ameaças do Canadá da Fortinet, multinacional de segurança de rede.
Mesmo com o aumento expressivo do volume de ataques - e do valor das perdas -, ainda é grande o número de empresas e de usuários de computadores pessoais que são atacados por causa de descuidos como o da Equifax.
As violações de dados custarão às empresas americanas US$ 4,1 milhões (R$ 13,5 milhões) neste ano, de acordo com o estudo "Cost of Data Breach 2017", feito pela IBM em parceria com o Instituto Ponemon.
No Brasil, país cada vez mais visado pelos criminosos, as perdas quase dobraram desde 2013, de R$ 2,6 milhões para R$ 4,7 milhões projetados para este ano. O levantamento contou com a participação de 166 organizações de 12 diferentes segmentos.
As vulnerabilidades são um tema tão importante no mundo da tecnologia da informação que a IBM tem especialistas dedicados a vasculhar programas e sistemas operacionais em busca delas para notificar os desenvolvedores, diz João Rocha, líder de segurança da companhia no Brasil.
E o período de maior risco de ataques, ele ressalta, é justamente aquele entre o lançamento de uma atualização e momento em que ela é finalmente instalada na máquina. Nesse intervalo, os hackers sabem que há uma fragilidade e tentam explorá-la nas máquinas que ainda estão desprotegidas.
"É difícil se proteger de uma vulnerabilidade 'zero-day' (completamente desconhecida), mas a maioria dos ataques não é desse tipo", ele destaca.
Prevenção a 85% das ameaças
As atualizações de sistemas operacionais e de softwares ocupam o topo da lista de recomendações do analista sênior de segurança da Kaspersky Lab Fabio Assolini.
Combinadas à prática do "whitelisting" - uma "lista branca" que autoriza o download apenas de programas reconhecidamente confiáveis -, elas evitariam 85% das ameaças a computadores, ele ressalta.
O trio faz parte de uma lista de 30 estratégias reunidas pela Australian Signals Directorate (ADS), agência de inteligência do governo australiano responsável por segurança da informação, e adotadas hoje no mundo inteiro.
"O antivírus ocupa apenas a 22ª posição", acrescenta o especialista da Kaspersky, referindo-se à modalidade que muita gente acredita ser a medida de segurança mais importante.
O descuido de manter as máquinas desatualizadas acontece em empresas de todos os tamanhos em todos os países, diz Santos, da Fortinet. E está por trás da grande maioria dos ataques que ele observa entre os dois mil clientes corporativos que atende no Brasil - de companhias na área de saúde e no setor de serviços a hotéis.
A falha nem sempre é desleixo, ressalva Assolini, da Kaspersky. "Para nós parece simples manter o sistema atualizado, mas isso é mais difícil quando você tem uma rede com centenas de computadores e nem todos usam o mesmo sistema operacional, por exemplo."
No caso específico do Brasil, ele emenda, o fato de muitas empresas usarem softwares piratas - inclusive grandes companhias - e sistemas operacionais que não mais suportados, como o Windows XP, também facilita os ataques.
O risco dos malwares
Os principais agentes de ameaças e ataques são os softwares maliciosos - chamados de malware -, que se escondem em sites, emails, mensagens de texto, de WhatsApp e que se infiltram no computador para roubar informações ou executar funções sem o consentimento do usuário. São malwares os vírus, trojans, worms, spywares.
Uma das estratégias mais comuns de propagação são os golpes de "phishing", os e-mails infectados que se escondem em mensagens cada vez mais sofisticadas. O Brasil é campeão dessas fraudes.
Um exemplo recente entre os clientes da Kaspersky, conta Assolini, envolveu o departamento financeiro de uma média empresa. Um email com anexo intitulado "planilha de aumento salarial" liberava a instalação de um trojan que mudava o código de barras dos boletos bancários gerados pela companhia e fazia com que os pagamentos fossem direcionados para as contas de hackers.
"Quem não clicaria em um email que promete revelar aumento de salário?", comenta Assolini.
O termo malware ganhou ainda mais popularidade em maio deste ano, quando redes de empresas e órgãos públicos de diversos países foram invadidos pelo WannaCry, que sequestrava informações de computadores e só as liberava mediante o pagamento de resgate em bitcoins.
O pior ciberataque de que se tem notícia infectou mais de mil computadores do Tribunal de Justiça de São Paulo (TJ-SP) e deixou a rede do Tribunal Regional do Trabalho (TRT) de São Paulo fora do ar por mais de 24 horas.
Novos cargos na TI
"A era de segurança digital no Brasil começou depois do WannaCry", diz Bruno Prado, fundador da UPX, empresa de tecnologia.
Para ele, o ataque chamou atenção das empresas brasileiras, cada vez mais alvo tanto de hackers locais quanto de estrangeiros, para segurança digital.
Desde então, ele exemplifica, é cada vez maior o número de companhias que procuram softwares de monitoramento para acompanhar as atividades dos funcionários e prevenir comportamentos de risco.
Em paralelo, os departamentos de TI estão ganhando uma nova posição, diz Prado - o Chief Information Security Officer (CISO), que trabalha ao lado do Chief Security Officer (CSO) e se reporta diretamente ao presidente da companhia.
