Publicidade
No dia 29 de outubro, a Binance, uma das maiores plataformas de criptomoedas do mundo, teve cerca de US$ 6,34 bilhões em ativos digitais comprometidos por um ataque cibernético. O número chama atenção, mas o mais interessante nesse caso é o caminho que os criminosos usaram para chegar lá.
Segundo as informações preliminares divulgadas pela empresa, a operação combinou engenharia social, softwares maliciosos e credenciais roubadas. Em uma das etapas, os criminosos se apresentaram como recrutadores e chamaram um engenheiro para um processo seletivo. Na “avaliação técnica”, pediram que ele baixasse um código. O arquivo trazia um programa malicioso.
- Leia também: A transformação digital não termina
Seria fácil arquivar o episódio como mais um caso de erro humano. Mas prefiro fazer outra pergunta: por que ainda construímos sistemas em que o deslize de uma pessoa pode custar bilhões?
Continua depois da publicidade
O golpe ficou mais convincente
Ao longo das últimas décadas, as empresas montaram camada sobre camada de proteção: firewall, antivírus, criptografia, autenticação em dois fatores, monitoramento. Esse investimento funcionou, e hoje é bem mais difícil invadir um ambiente corporativo pela força bruta.
Contudo, os criminosos se adaptaram. Em vez de atacar as barreiras de frente, passaram a explorar a confiança entre pessoas, algo que nenhuma empresa consegue eliminar.
Manipulação psicológica é tão antiga quanto o golpe do bilhete premiado. Mas, o que mudou foi a qualidade da encenação. O e-mail falso de hoje vem sem erro de português e a abordagem pode chegar por uma rede profissional conhecida, em uma videochamada ou no meio de uma tarefa rotineira.
Continua depois da publicidade
A vaga de emprego falsa mostra bem essa sofisticação. Ela mexe com algo que quase todo profissional gosta de ouvir: uma proposta melhor. Assim, cria um motivo legítimo para pedir que a pessoa baixe e rode um código. Isso porque em um processo seletivo de verdade, um teste técnico é rotina. Desconfiar dele parece falta de educação.
No caso da Binance, os criminosos foram além de uma única mensagem enganosa. A investigação inicial descreve meses de preparação, com vários profissionais envolvidos e acessos acumulados aos poucos até chegar aos sistemas críticos. O prejuízo apareceu em um dia, mas o ataque já vinha sendo construído muito antes.
O “elo mais fraco”
Quem trabalha com tecnologia já ouviu que o ser humano é o elo mais fraco da segurança. A frase tem sua verdade, já que boa parte das fraudes começa por alguém sendo enganado. Porém, o risco está na conclusão que muita gente tira dela: bastaria treinar melhor os funcionários.
Continua depois da publicidade
Treinamento é necessário e nenhuma empresa deveria abrir mão dele. Só que montar a defesa em cima da expectativa de que todos acertem todas as decisões, o ano inteiro, é apostar contra a estatística. Gente cansada e com prazo apertado abre o arquivo que o “recrutador” mandou. Isso acontece com o estagiário ou com o engenheiro sênior da maior exchange do mundo.
Por isso, as perguntas que interessam são outras: se um notebook corporativo for comprometido, a quais sistemas o invasor tem acesso? Se uma senha vazar, até onde ela leva? Se alguém executar um arquivo malicioso, há algo que perceba o movimento estranho e o interrompa a tempo?
- Veja mais: A crise da confiança digital
Essas perguntas cabem em empresas de qualquer tamanho, e as respostas passam por práticas conhecidas há anos. Dê a cada pessoa só o acesso de que ela precisa, separe funções, monitore o ambiente o tempo todo e exija uma validação extra para operações críticas. Nada disso impede todo ataque, mas ajuda a evitar que um incidente isolado vire crise.
Continua depois da publicidade
Pense no engenheiro da Binance. Em uma arquitetura bem desenhada, o notebook dele daria acesso apenas ao que ele usa no dia a dia, longe das carteiras da empresa. Uma movimentação fora do padrão exigiria a aprovação de mais de uma pessoa, por um canal separado. Assim, o erro dele continuaria acontecendo, mas o estrago pararia no primeiro degrau.
Assunto de diretoria
Há também uma questão de cultura. Em muitas empresas, a segurança ainda é vista como problema da área de TI e os demais departamentos enxergam os controles como burocracia que atrasa o trabalho.
Contudo, quando um incidente pode parar a operação, expor dados de clientes e arranhar a reputação da marca, ele deixou de ser um assunto técnico. Então, cabe à liderança definir quais operações são críticas, que riscos a empresa aceita correr e que proteções precisam existir para mantê-la funcionando.
A Binance é um caso extremo pelo valor envolvido, mas o raciocínio vale tanto para uma indústria quanto para um escritório de contabilidade com dez funcionários. Afinal, basta um acesso comprometido chegar aos sistemas que sustentam o negócio.
A tecnologia vai continuar evoluindo e os treinamentos vão melhorar. As pessoas vão continuar errando. O trabalho da segurança é garantir que esses erros sejam percebidos e contidos antes de derrubar a empresa inteira.
No fim, o maior risco da segurança digital talvez seja a expectativa de que o ser humano nunca falhe.
