Thiago Souza Martins

Kayque Medeiros da Silva

Como muitos já sabem, a Lei Geral de Proteção de Dados (LGPD) já está em vigor e boa parte das empresas ainda não iniciou um processo de adequação e um dos maiores temores, para a imensa maioria, são as sanções administrativas impostas pela lei, as quais deverão ser aplicadas a partir de agosto deste ano – caso não haja alteração. As sanções previstas para as empresas que cometerem infrações vão de advertências até multas, publicização do descumprimento, bloqueio ou eliminação dos dados pessoais a que se refere a infração.
Somada à falta de um início de trabalho de adequação, mais o temor de sofrer tais penalidades, forma-se um elo propício aos cibercriminosos para a viabilização de uma prática conhecida por ransomhack. O novo golpe já é uma preocupação bem conhecida em território europeu, onde as penalidades impostas pela GDPR (General Data Protection Regulation) já estão sendo aplicadas desde o ano de 2018.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>Diferentemente do ransomware, cujas duas principais formas são aquelas que criptografam, ofuscam ou impedem o acesso aos arquivos, e aquelas que restringem o acesso ou bloqueiam sistemas, com objetivo de extorquir digitalmente as vítimas, fazendo-as pagar um preço específico; os métodos empregados no ransomhack são um pouco mais simples.
Em resumo, o hacker obtém acesso ao banco de dados de uma empresa e toma posse dos arquivos ali disponíveis, em seguida contata a empresa e realiza a extorsão, pedindo uma quantia em troca de não realizar a denúncia do incidente de vazamento para a autoridade responsável (no Brasil seria a ANPD), sob o argumento de que a empresa pode sofrer uma multa milionária caso ele exponha esses dados pessoais. Este tipo de prática foi divulgado pelo relatório da Positive Technologies<a href="#_ftn1" name="_ftnref1">[1]</a> no segundo trimestre de 2020.
Um ponto que torna isso ainda mais preocupante é que a ausência de uma política de segurança aplicada deixa as corporações ainda mais expostas e, eventualmente, podem transparecer vulnerabilidades nos mais variados ambientes; com isso, até mesmo hackers não qualificados (script kiddies) poderiam realizar os ataques usando scripts prontos.
No ano de 2018, a Tad group<a href="#_ftn2" name="_ftnref2">[2]</a>, empresa de cibersegurança, divulgou que empresas de médio e grande porte da Bulgária foram vítimas deste tipo de ataque. Os resgates variavam de US$ 1.000 a US$ 20.000 dólares; a empresa de cibersegurança destacou a ausência de testes de segurança, conhecidos como pentestes, entre as corporações vítimas do ataque.
<blockquote class="jota-article__eye">Isto demonstra a importância de as empresas realizarem ciclos de pentestes para que dessa forma possam descobrir vulnerabilidades e, após as correções, subir o nível de maturidade do ambiente, assim, tornando-o mais seguro.</blockquote>
Analisando o atual contexto, principalmente no Brasil, onde muitas empresas estão passando por um momento de transição para a digitalização, também em função da pandemia, percebe-se um cenário de grande vulnerabilidade a considerar que uma fração significativa das empresas ainda não possui uma estrutura robusta ou um suporte especializado de cibersegurança para lidar com o ransomhack, ou, até mesmo, outros tipos de incidentes de segurança.
Não há dúvidas de que em breve podemos ter que lidar com este novo golpe em território brasileiro. No entanto, começar a implementação de algumas medidas já é um caminho a fim de que as empresas evitem incidente envolvendo dados pessoais. É importante investir preventivamente em tecnologias que dificultem a invasão por criminosos virtuais, treinamento e conscientização dos colaboradores e ter um time de cibersegurança preparado para lidar com as ameaças.
Além destes artifícios, obter uma estratégia de proteção de dados é essencial, e, claro, embutido a isso é necessária a implementação de processos para maturação do ambiente. Alguns aspectos relevantes nesse processo são:
(i) identificação de quais são os dados pessoais que a empresa trata, haja vista que estes terão que ter uma tratativa separada e mais sigilosa por todo o ambiente;
(ii) informar ao titular dos dados as finalidades dos dados recolhidos;
(iii) elaboração de todas as medidas técnicas, normas e políticas para contemplar a LGPD;
(iv) implantação de plano de treinamentos e conscientização dos empregados sobre a importância da privacidade de dados;
(v) um plano de revisão contínua de procedimentos e formulários a fim de manter atualizações constantes;
(vi) realização de análises de riscos e traçar medidas para precaver possíveis falhas.
Além da elaboração destas medidas, um fator importante e que merece destaque é a criação de ambientes específicos para dados sensíveis e confidenciais, com diretrizes e regras específicas de acesso a esses diretórios, desse modo, somar-se-ia uma camada adicional de segurança.
Após a implementação destas políticas, chega-se à parte mais delicada para uma empresa, treinar seus funcionários para entenderem a importância da proteção de dados. Contudo, esse tipo de treinamento não é tão simples, uma vez que ele deverá ser atualizado frequentemente e a empresa precisará passar por uma mudança de cultura organizacional.
Em outras palavras, não importa o tamanho do investimento e do preparo dos seus profissionais de cibersegurança, caso aconteça uma falha humana, todas as camadas de segurança anteriores implantadas caem por água abaixo, já que seria o suficiente para que ocorresse um incidente de vazamento.
Por essas razões que é de extrema importância uma política que esteja no DNA de todos os funcionários, só quando estes entenderem não só a importância, mas como proteger e precaver de possíveis falhas, é que a empresa estará finalmente adquirindo a maturidade necessária e propiciando um ambiente mais seguro.
<div id="teste3-99b6e4ed7825b47581be" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('teste3-99b6e4ed7825b47581be', 'UA-53687336-1').createForm();</script> 
<script type="text/javascript">
setTimeout(function(){
 const btn = document.getElementById("rd-button-knf3ol7n")
 const check = document.getElementById("rd-checkbox_field-knj7ibbg")
 btn.disabled = true;
 btn.style.opacity = 0.7;
 check.addEventListener("click", function() {
 if (check.checked){
 btn.disabled = false;
 btn.style.opacity = 1;
 } else {
 btn.disabled = true;
 btn.style.opacity = 0.7;
 }
 });
}, 3000);
</script>
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Disponível em: &lt;<a href="https://www.ptsecurity.com/ww-en/analytics/cybersecurity-threatscape-2020-q2/">https://www.ptsecurity.com/ww-en/analytics/cybersecurity-threatscape-2020-q2/</a>&gt;.
<a href="#_ftnref2" name="_ftn2">[2]</a> Disponível em: &lt;<a href="https://www.tadgroup.com/uk/blog/post/ransomhack-a-new-scheme-for-blackmailing-business-owners">https://www.tadgroup.com/uk/blog/post/ransomhack-a-new-scheme-for-blackmailing-business-owners</a>&gt;.

antitruste

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Para evitar este e outros incidentes de segurança, o caminho é um só: investimento em cibersegurança

Ransomhack: um futuro problema envolvendo a LGPD?

Para evitar este e outros incidentes de segurança, o caminho é um só: investimento em cibersegurança