Categoria: Segurança Digital

Categorias
Segurança Digital

Como cuidar de vazamentos de dados em sua empresa e evitar multas da LGPD

Desde a aprovação da LGPD, as preocupações com segurança de dados se tornaram tema central do mundo de negócios. Do mesmo modo, com as multas chegando em agosto, fica uma dúvida: como agir com vazamentos de dados?

Por um lado, é verdade que essa lei traz várias regras com punições duras, a fim de garantir segurança dos dados de pessoas físicas. Mas isto não quer dizer que a LGPD não tem moderação.

Como veremos mais abaixo, esta importante lei reconhece que, mesmo com o máximo de cuidado possível, às vezes vazamentos acontecem fora do nosso controle. Então, a LGPD também traz um breve guia do que fazer nestas situações.

Vale lembrar que, apesar de prezar pela segurança digital e sucesso dos negócios online, a Loupen não é um escritório de advocacia. Então, caso possua dúvidas ou enfrente sérios vazamentos de dados, sugerimos que busque um advogado. Este artigo pode servir como guia inicial para as suas ações corretivas, mas os esforços devem incluir aconselhamento jurídico.

Tendo dito isto, veremos as sugestões que advogados (e a própria lei) nos trazem.

Que incidentes contam como "vazamentos de dados" pela lei?

Os eventos que chamamos de “vazamentos” no mundo digital recebem um nome diferente de acordo com a LGPD: incidentes de segurança com dados pessoais.

A fim de garantir a segurança dos usuários, estes incidentes são bastante abrangentes. Então, usaremos a definição do próprio governo, conforme indicada pela ANPD (Autoridade Nacional de Proteção de Dados):

Um incidente de segurança com dados pessoais é qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais.

Autoridade Nacional de Proteção de Dados – Governo Federal

Ou seja, todo evento onde alguém acessa os dados pessoais de usuários sem autorização (ou até ilegalmente) conta como um incidente de segurança. Isto engloba desde colaboradores usando os dados de modo irresponsável a grandes vazamentos por hackers.

Tudo isto serve para proteger os dados do público. Mas, ao mesmo tempo, também exige mais atenção das empresas. A boa notícia é que o processo sugerido pela lei é um tanto simples. Para entender melhor, dividiremos em etapas:

1. Comunique internamente aos responsáveis e analise a falha

A primeira etapa é simples – e, se a sua empresa lida com muitos dados, provavelmente já era a etapa inicial ao lidar com crises deste tipo. Mas, mesmo assim, não custa reforçar.

Assim que vazamentos de dados forem identificados, é preciso avisar aos responsáveis por aquelas informações com urgência. Se sua empresa é prestadora de serviços, avise à contratante. Já se o vazamento foi na sua empresa, avise os gerentes e os responsáveis pelo banco de dados.

É importante descobrir a escala do incidente o quanto antes. Investigue o número de pessoas afetadas e os tipos de dados que vazaram, já que isto define o que fazer nas próximas etapas.

Mas, acima de tudo, é preciso analisar se o evento pode trazer danos aos usuários cujos dados vazaram ou não.

2. Avise os usuários afetados pelo incidente

Segundo a ANPD, só é preciso avisar os usuários se o evento pode trazer danos a eles. Mas, no mundo da TI, é boa prática avisar sempre que algo anormal acontece, demonstrando transparência e confiabilidade.

De qualquer modo, para saber se a comunicação do ocorrido é obrigatória, a ANPD sugere uma pergunta a ser feita internamente:

Existe um risco ou dano relevante aos direitos e liberdades individuais dos titulares afetados em razão do incidente de segurança?

Se a resposta for “sim”, a empresa precisa entrar em contato com as pessoas afetadas e com a ANPD. Caso contrário, não é necessário, mas é possível que a empresa precise provar que não houve nenhum risco ou dano direto.

Então, se estiver em dúvida, a dica é entrar em contato, até mesmo por segurança.

3. Envie os detalhes do ocorrido à ANPD

O contato com a ANPD deve ser feito com máxima urgência. Não há um prazo 100% concreto no momento, sendo que ele é definido pela própria agência, então é bom ficar alerta e avisar o quanto antes – o indicado é entrar em contato em até 2 dias úteis.

A lista de informações para repassar neste contato é grande, então é normal que a empresa ainda não tenha tudo em mãos em um primeiro momento. Nestes casos, a ANPD indica que seja feito um comunicado preliminar com os dados existentes, complementando-o mais tarde.

Para comunicar sobre vazamentos de dados à ANPD é preciso preencher o formulário disponível para download nesta página. O arquivo resultante deve, então, ser enviado pelo sistema de Peticionamento Eletrônico.

4. Corrija a falha antes que novos vazamentos de dados ocorram

Esta é mais uma etapa óbvia, mas que não custa reforçar. A LGPD requer que as empresas tomem todas as providências cabíveis para cuidar dos dados pessoais em seus sistemas.

Portanto, para garantir não só o cumprimento da lei, mas também a confiança dos usuários, a empresa deve analisar como o vazamento ocorreu.

Procure identificar o que possibilitou o evento e corrigir a brecha. Também vale comunicar sobre as melhorias aos seus usuários, demonstrando transparência e cautela.

Caso a sua empresa conclua que a causa da falha foi um software vulnerável, vale à pena buscar por alternativas. Pesquise por soluções equivalentes ou melhores, mas com segurança mais confiável.

Busque, também, por apps que seguem a LGPD, indicando que os dados que passarem por ali não estarão vulneráveis no servidor do software em questão.

E, por último, busque manter a calma. Vazamentos de dados podem ser imprevisíveis, mas, tomando os devidos cuidados – e seguindo o que diz a lei – você e sua empresa podem superar o ocorrido.

Categorias
Segurança Digital

Entendendo os Malwares: O que são estas ameaças e como se proteger

Se existe uma palavra que atormenta os pesadelos dos especialistas em segurança digital, ela é fácil de adivinhar: malwares. E isto não é um exagero tão grande assim. Afinal, estas ameaças vêm em várias formas e estão em todo lugar.

Para ilustrar o quão séria é esta questão, o portal DataProt traz uma estatística um tanto preocupante. Segundo especialistas, o número de malwares diferentes rodando pela web passa de 1 bilhão!

E é por números como este que é preciso se proteger. Mas, como sempre, o primeiro passo para se proteger contra uma ameaça é entendê-la, então…

O que são os malwares?

Apesar deste termo parecer complexo, a verdade é que ele é muito genérico. Como abreviação de “malicious software” (“software malicioso”, em tradução livre), ele se refere a literalmente qualquer software dessa natureza.

Como resultado, temos vários tipos diferentes de malwares. Cada tipo funciona de modo diferente e, às vezes, até com objetivos diferentes. E até mesmo temos casos onde um mesmo software se encaixa em vários tipos ao mesmo tempo.

Inclusive, para alguns técnicos, o termo engloba qualquer código malicioso, aumentando ainda mais a variedade.

Também é importante notar que a função do ataque pode variar mesmo entre ameaças do mesmo tipo. Por exemplo, dois trojans podem infectar computadores da mesma forma, mas o código que eles executam pode ser completamente diferente entre si.

Este código executado é o que chamamos de “payload“, ou “carga útil”. Para facilitar a explicação, podemos entender o malware como uma bomba.

Ela pode vir em embalagens diferentes, com formas diferentes de ativar (os diferentes métodos de infecção), e também pode usar explosivos diferentes (o “payload“), que são ativados quando alguém interage com a parte externa da bomba.

Por motivos como estes, então, é quase impossível criar uma lista completa dos tipos de malware. Mas, a fim de exemplo e para ajudar na defesa contra estas ameaças, iremos explicar alguns dos mais comuns e perigosos.

Conhecendo os principais tipos de malware

Já mencionamos acima, mas é bom reforçar: esta não é uma lista completa. Softwares maliciosos podem vir em várias formas, até mesmo misturando vários tipos em um só aplicativo.

Mas, através desta lista, esperamos ajudar a entender as ameaças mais graves ou, pelo menos, mais comuns. Começando pelo nome mais famoso:

1. Vírus

Casualmente, é normal chamar todo malware de vírus, mas na realidade não é bem assim. Em termos técnicos, chamamos de vírus quando falamos de um código que infiltra algum software instalado, rodando quando você abre o aplicativo em questão.

Por exemplo, para usuários do Windows, é normal que vírus ataquem o “explorer.exe”. Este arquivo executável faz parte do Windows e controla basicamente todos os elementos visuais do sistema: área de trabalho, barra de tarefas, menu “iniciar”, etc.

Desta forma, um vírus pode afetar este arquivo, mandando ele executar ouros arquivos adicionais. Como o “explorer.exe” sempre abre junto com o Windows, isto garante que o vírus também seja executado logo que o computador ligar.

E, é claro, toda vez que o vírus entra em ação, ele também executa o seu payload, geralmente resultando no vírus se espalhando ainda mais.

2. Trojans

Outro termo já conhecido, o nome trojan literalmente significa “troiano” e é uma referência ao mito do Cavalo de Tróia. Afinal, assim como no mito, eles são graves ameaças disfarçadas de presentes benéficos.

Ou seja, trojans são aplicativos que parecem seguros e úteis, ou que fingem ser outro app interessante. Mas, ao executar, geralmente o efeito desejado nem sequer existe e o único resultado é a infecção do computador.

Vale notar aqui a principal diferença entre trojans e vírus. Um vírus não precisa ser aberto diretamente para infectar a máquina. Ele afeta um programa já existente e basta abrir este programa, que o usuário já confia, para ele executar o seu payload.

Já os trojans precisam ser executados diretamente pelo usuário, e é por isso que fingem ser mais úteis do que a realidade. Assim eles atraem a atenção de mais pessoas e são usados em mais computadores.

3. Worms

Um pouco parecidos com os vírus, os worms também são ameaças que se espalham com muita facilidade. Mas aqui o problema é mais grave, já que worms podem agir de modo autônomo.

Ao invés de precisarem de um programa “base” para infectar, os worms infectam a rede. Assim, basta conectar a uma máquina infectada (por exemplo, acessando o servidor de um site malicioso) para que um worm afete o seu dispositivo.

Além disto, ao infectarem uma máquina, worms geralmente analisam a rede local automaticamente em busca de falhas e, ao encontrá-las, também atacam outros dispositivos na mesma rede.

Devido a esta questão, worms são particularmente perigosos em empresas. Se a TI não estiver segura, basta uma máquina ser afetada para que o malware rapidamente se espalhe para a empresa inteira.

4. Ransomwares

Os dois últimos tipos de malware que explicaremos estão menos ligados à forma como se espalham. O que diferencia estes tipos de ameaça é especificamente o que eles fazem nas máquinas afetadas.

Lembrando que, por isto, estes tipos de ameaça podem ser carregados por vírus, worms, trojans ou ainda outros tipos de malware.

Dentre as ameaças diferenciadas pelo seu payload, os ransomwares são os que mais surgem no noticiário em anos recentes. E o motivo para isto é simples: eles chamam muito a atenção.

Ransomwares são ameaças que bloqueiam o acesso ao computador, demandando que o usuário pague um valor (muitas vezes em BitCoin) para reaver o acesso aos seus arquivos. Inclusive é comum que ransomwares indiquem um tempo limite para pagar este valor, sob ameaça de excluir os arquivos ou, em alguns casos, vazá-los na internet.

Em essência, eles mantém o computador e seus arquivos como reféns. Inclusive é daí que vem o seu nome, onde ransom diz respeito ao pagamento de fiança para liberar reféns.

5. Spywares

Também conhecidos como “softwares espiões”, o foco dos spywares é coletar dados. O que o responsável pelo spyware faz com estes dados vai variar, bem como a forma como o programa os coleta.

Eles são diferentes de softwares de acesso remoto em um ponto chave: o consentimento do usuário. Acesso remoto precisa sempre ser instalado e realizado com o consentimento da pessoa responsável pelo computador sendo acessado. Já os spywares funcionam de fundo, escondidos.

Vale notar que, em certos lugares, o uso de spywares por si só não é ilegal – desde que seja com consentimento ou com mandado de busca, no caso de uma investigação policial. Mas, na grande maioria dos casos, o usuário é infectado sem saber.

Como se defender contra os malwares?

A resposta a esta pergunta, de modo resumido, é: busque se prevenir, não apenas remediar.

Muitas destas ameaças requerem bastante tempo para corrigir os danos e retomar as atividades. Em particular, no caso de worms, uma empresa inteira pode ser afetada em um só dia, de modo que a manutenção resultante afete todos os colaboradores.

Há quem diga que basta atenção e cuidado para se defender, mas isto está longe da verdade. Os malwares estão cada vez mais avançados – e, além disso, não é difícil se distrair e deixar algo passar. Tanto empresas quanto usuários individuais precisam se preparar com antecedência, utilizando ferramentas atualizadas.

Ferramentas como, por exemplo, o módulo Security do LogMeIn Central. Com alertas proativos, que avisam o time de TI assim que uma máquina apresentar atividades incomuns, os responsáveis podem agir antes de o malware se espalhar e afetar com mais seriedade.

Mas, mais importante que isto, ele também facilita o gerenciamento de antivírus de toda a empresa, e conta com o LogMeIn Antivirus. Este software, baseado na tecnologia do Bitdefender, ajuda a proteger toda a empresa contra os mais diversos malwares.

Em resumo, quando falamos de segurança, não basta instalar uma ferramenta qualquer, muito menos depender apenas da “atenção” dos usuários. As ameaças digitais estão em todos os cantos, então é preciso se proteger adequadamente.

Caso contrário, a empresa pode parar em uma lista como esta.

Categorias
LastPass Segurança Digital

Indo Além das Senhas Fortes: 5 dicas para garantir uma maior segurança online

Mais que senhas fortes - confira nossas dicas importantes para a sua segurança online

No mundo da segurança digital, muito se fala sobre a importância das senhas fortes. Não só para empresas, mas também pessoas físicas, a preocupação com a qualidade das senhas é constante.

Inclusive, se você já vem acompanhando o nosso blog, já deve ter visto o nosso artigo sobre falhas de segurança, onde também levantamos a importância de ter senhas mais seguras.

E esta preocupação não é à toa: as senhas formam nosso principal ponto de entrada no mundo digital. Seja em sites, apps ou serviços – todos pedem senhas para confirmar a identidade.

Mas este é só o começo. Então, vamos entender melhor o que causa esta preocupação. E, igualmente importante, veremos algumas dicas fáceis, mas importantes, para aumentar a sua segurança.

Por que é importante usar senhas fortes

Como mencionado acima, parte da importância vem do número de senhas que usamos diariamente. Há uma chance bastante alta de que que você não consiga pensar em algum app ou serviço online que não precise de senhas.

Em geral, quando abrimos apps, seja em um computador ou smartphone, precisamos de uma senha. Às vezes, até é possível que estes apps permitam que você utilize sua digital ou reconhecimento facial.

Mas, mesmo nestes casos, muitas vezes o app ainda está usando uma senha, com a única diferença sendo que você não precisa memorizá-la – ela será preenchida automaticamente.

Além disso, as senhas tendem a ser um ponto fraco na segurança das empresas. O portal CIO indica que cerca de metade das falhas de segurança em empresas são causadas pelos colaboradores. E, como é de se esperar, as senhas fracas destes colaboradores são um dos principais pontos de falha.

Como deixar as suas senhas mais fortes

Existe uma “dica”, compartilhada por todos os cantos da internet há décadas, que diz que suas senhas ficam mais seguras ao inserir símbolos como @, $, etc.

Esta dica está fundamentada em algo real: é mais difícil que invasores adivinhem senhas com símbolos aleatórios. Mas há um problema aqui: esta dica não está completa.

Como sugere o Nubank, este tipo de ação, onde você substitui ou insere símbolos na senha, está sujeita a duas possíveis falhas, devido aos limites da memória humana:

1. Há uma grande chance de que as trocas serão óbvias

Algumas ideias simplesmente são comuns demais, de modo que invasores já tenham algoritmos levando elas em mente. É o caso, por exemplo, de trocar um S por um $, ou um E por &.

Estas trocas são mais fáceis de lembrar, então muitas pessoas as utilizam ao ouvir que devem adicionar símbolos às senhas. Então, por serem tão comuns, possíveis invasores já montam algoritmos que levam estas trocas em consideração.

Ou seja, “SENHA123” e “$3N#A123” são senhas igualmente fracas.

2. Trocas mais aleatórias são muito fáceis de esquecer

Novamente, estamos falando de falhas de memória aqui. Quando não usamos algum padrão ou lógica ao adicionar símbolos, obviamente se torna muito mais difícil lembrar da senha.

Então, se você precisa preencher a senha manualmente, isto se torna um problema. A senha deixa de ser uma chave segura e se torna uma barreira para você acessar sua própria conta.

Mas a dica de inserir símbolos tem fundamento, então mantenha a ideia em mente, pois entraremos em detalhes mais adiante.

Sabendo destas críticas e pontos fracos, é hora de nos aprofundarmos em dicas mais eficazes.

5 dicas para aumentar sua segurança

Nós já mencionamos algumas destas dicas superficialmente no passado, tanto em nosso blog quanto em redes sociais. Mas agora é hora de mergulhar nesta questão e entender como pôr as dicas em prática.

Algumas dicas são especificamente sobre como criar senhas fortes, outras são sobre camadas adicionais de segurança. Mas, no final, todas as dicas são igualmente importantes para garantir a sua segurança.

Começando pela dica mais comum e que você já deve ter ouvido antes:

1. Sempre use senhas com mais de 8 caracteres

Esta dica é muito comum por um motivo simples: ela é a forma mais fundamental de aumentar a sua segurança. Conforme computadores ficam mais potentes, fica mais fácil de testar milhares de senhas em poucos instantes – a não ser que as senhas sejam longas.

De modo geral, suas senhas em qualquer site devem estar bem protegidas no servidor do site, de modo que estes testes de “força bruta” não funcionem. Mas, infelizmente, nem sempre é assim, então nós mesmos precisamos reforçar nossas senhas.

O tempo que os hackers levam para adivinhar sua senha aumenta muito adicionando um só caractere, mas quanto maior, melhor. A agência Hive Systems inclusive traz uma tabela indicando o tempo estimado para adivinhar senhas que reforça este ponto.

Segundo eles, uma senha que inclui todos os tipos de caracteres recomendados (números, letras maiúsculas e minúsculas, símbolos) de 8 caracteres é adivinhada em 8 horas.

Mas, adicionando apenas mais um dígito, criando uma senha de 9 caracteres, o tempo sobe para 3 semanas!

Então, crie senhas longas – não só para se proteger dos hackers de hoje, mas também para já deixar a conta preparada para os hackers do futuro, já que a velocidade destes cálculos e testes só tende a aumentar.

2. Mesmo as senhas fortes devem ser trocadas com frequência

Esta é outra dica comum, mas igualmente importante. Ao trocar as senhas com frequência, você joga uma pedra no caminho de qualquer hacker interessado em sua conta.

Em particular, se você utilizar senhas mais longas, hackers podem demorar de meses a anos para conseguir adivinhá-las. Se alguém realmente estiver atrás de você, todo este tempo calculando é perdido assim que você troca a senha.

Então, quando possível, troque suas senhas com frequência. Em geral, uma vez por ano já é o bastante para senhas menos importantes. Mas, para senhas vitais (como a do seu e-mail profissional), é interessante alterar em prazos de 3 a 6 meses.

Para não precisar de lembretes toda vez que trocar a senha, um bom gerenciador de senhas pode ajudar neste processo. Seja com lembretes automáticos quando ele detecta que a senha é antiga, seja com total automação do processo.

E por falar no uso de apps para aumentar a segurança…

3. Utilize a autenticação em dois fatores sempre que possível

Infelizmente, a Autenticação em Dois Fatores (ou 2FA, em sua sigla inglesa) ainda não está presente em todos os sites e apps. Mas, sempre que estiver, ative-a.

Para entender este tipo de acesso, usaremos a definição compartilhada pela Microsoft em sua página de suporte. O acesso por 2FA parte da ideia em segurança digital de que as diferentes formas de acesso podem ser categorizadas em três fatores:

  • Fator 1: algo que você sabe. Aqui são informações que só você tem acesso e nenhuma outra pessoa deve saber. Exemplos incluem senhas por texto e números PIN;
  • Fator 2: algo que você possui. Geralmente este é o segundo fator adicionado nos apps que possuem 2FA. Ele se baseia em você ter um smartphone, ou um token em USB, por onde você recbee um código secundário para confirmar a identidade.
  • Fator 3: algo que você é. Este fator é mais comum em sistemas empresariais. Exemplos incluem: impressão digital, reconhecimento facial, etc.

Usando como exemplo as senhas por texto, elas se encaixam no primeiro fator, como indicamos nos exemplos acima. Adicionar uma segunda senha de texto que você precisa lembrar não seria um novo fator, pois ainda se encaixa no fator 1.

Neste exemplo, uma verdadeira implementação de 2FA utiliza tokens temporários no celular ou outros dispositivos, onde você precisa possuir o objeto para receber o token. Ou, em casos mais avançados, utiliza algum elemento biológico seu.

Mas cuidado! Só porque você está usando a impressão digital para login, não quer dizer que é um acesso por 2FA. Se a impressão digital está substituindo a senha, você ainda está usando só um fator, e nenhum fator é imbatível sozinho.

4. Não inclua informações pessoais nas senhas

Esta dica pode parecer óbvia, mas sempre é bom reforçar. Hoje em dia, é muito difícil esconder seus dados pessoais da internet – e, se alguém deseja encontrar os dados de uma pessoa específica, as redes sociais facilitam o processo.

Então, para garantir que você tenha senhas fortes, não inclua estas informações que podem ser encontradas publicamente. E não estamos falando só das informações presentes no seu perfil em redes sociais.

Dados como CPF, RG e telefone também podem ser encontrados através de pesquisa se a pessoa está particularmente dedicada. E, é claro, hackers já sabem que usar estes dados fáceis de lembrar é um ótimo passo inicial para adivinhar as senhas.

Também não é recomendado inserir os nomes de contatos pessoais, mesmo que abreviados. Afinal, listas de contatos e amigos em redes sociais estão disponíveis para o público.

Mas há algo ainda mais fundamental e importante para garantir sua segurança.

5. Nunca repita a mesma senha em vários sites

Recomendamos que você siga todas as dicas presentes neste artigo, mas, se existe uma dica prioritária é esta. Repetir uma mesma senha constantemente aumenta o risco à sua segurança exponencialmente.

Parte do problema em repetir senhas é que, se você está repetindo-as constantemente, há uma grande chance de que está indo contra a nossa dica anterior. Geralmente, se uma pessoa repete muito uma senha, é porque ela é fácil de lembrar, o que pode indicar o uso de dados pessoais.

Mas o pior risco que surge ao repetir senhas é que um invasor tenha acesso a todas as suas contas de uma só vez. Em parte, há o óbvio: assim que um invasor descobrir a senha em questão, ele poderá acessar várias contas de uma vez.

Mas, mesmo que você utilize senhas diferentes para outras contas, o invasor pode ter acesso a várias informações pessoais entre as diversas contas invadidas. Com estas informações pessoais, ele também pode solicitar troca de senhas em outras contas e ter acesso a ainda mais dados.

Então , por mais que você utilize apenas senhas fortes, não as repita. Especialmente em contas vitais ou serviços que incluem seus dados pessoais.

Em conclusão: utilize um bom gerenciador de senhas

Estas dicas podem parecer difíceis de seguir. E, realmente, como nossa memória é limitada, seguir tudo isto à risca pode ser um desafio sem o auxílio de alguma ferramenta.

Na Loupen, nós recomendamos o LastPass para facilitar o processo. Entre os benefícios de utilizar um gerenciador de senhas completo como o LastPass, indicamos:

  • Seu cofre seguro e encriptado, onde você pode guardar as senhas sem medo de outra pessoa ter acesso às suas informações;
  • Criação automática de novas senhas aleatórias, podendo controlar o número de caracteres;
  • Alertas quando alguma senha aparece em mais de um site no seu cofre;
  • Lembretes para troca de senhas e alertas para vazamentos online, facilitando a atualização dos dados.

Além destes benefícios no LastPass em si, você também tem acesso ao app LastPass Authenticator sem custo adicional. Com ele, você pode configurar acessos 2FA em uma ferramenta segura e que não invade sua privacidade.

Então convidamos você a ver do que o LastPass é capaz neste link, ou mesmo realizar um teste grátis do LastPass Premium por 30 dias.

Categorias
Segurança Digital

5 casos em que empresas pagaram caro por falhas de segurança digital

Segurança digital é algo sério e importante. Neste artigo, iremos conferir o que acontece quando ela é deixada de lado.

Uma coisa em que podemos concordar facilmente em 2021 é que segurança digital não é uma ideia nem um pouco nova. Estamos falando aqui de um conceito quase tão antigo quanto a própria internet.

E mais do que antigo, também é uma ideia extremamente importante – ainda mais para quem desenvolve softwares, onde a segurança pode ser a diferença entre manter ou não o seu emprego.

Inclusive, já falamos sobre o tema algumas vezes em nosso blog, em particular ao dar dicas sobre o LastPass. Mas aí pode surgir a pergunta: o que acontece quando uma empresa deixa isso de lado?

Em alguns casos, talvez só seja preciso pedir que os usuários troquem de senhas – já em outros, pode levar a verdadeiras catástrofes.

O portal CIO, da IT Mídia, traz um estudo alertando para o fato de que 40% dos usuários de softwares-como-serviço já perderam dados online.

Além dos danos causados aos clientes, que muitas vezes nem sabiam das brechas de segurança, isto também afeta a imagem e valor dos provedores destes softwares.

Então, para ilustrar este ponto, trouxemos algumas das falhas mais sérias que vieram à tona nos últimos 5 anos.

1. Quando o Zoom deixou seus usuários sem segurança digital em meio à pandemia

Se você estava entre os primeiros a partir para o Zoom no começo da pandemia, talvez já conheça essa história. Mas, de qualquer forma, vamos recapitular a saga:

Logo em março de 2020, pouco depois de a pandemia atingir o ocidente, muitas pessoas passaram a usar o Zoom para suas reuniões online. O problema? Além de usuários, também vieram à tona vários problemas de segurança. Problemas, estes, que incluem crimes cometidos através da prática de “Zoom bombing“. Mas vamos por partes.

No início, os tais “Zoom bombings” eram o único problema – mas isto não os torna menos sérios. Em resumo, “Zoom bombimg” era a prática de invadir chamadas no Zoom sem ser convidado. Algo que se tornou muito mais comum do que devia por um simples motivo: no início, as salas de reunião do Zoom apareciam nos resultados do Google por padrão.

Como resultado, incontáveis reuniões foram interrompidas por alguém berrando no microfone, ou até aparecendo com pornografia na tela – em alguns casos mostrando imagens ilegais.

Por si só, este escândalo já seria horrível, mas tem mais! Logo no mês seguinte, em abril, foi descoberto que usuários podiam captar a senha do Windows de outros através do chat, se estes não tomassem cuidado.

E em junho, especialistas descobriram uma falha de segurança na opção de enviar GIFs no chat, além de problemas ao implementar a encriptação de ponta-a-ponta.

Ufa. Parece muita coisa, mas é importante deixar claro que o Zoom corrigiu, sim, estas falhas. Mas o gosto amargo de ter que lidar com toda essa série de falhas permanece…

2. Zynga: indo do "FarmVille" a sérias brechas de segurança

Depois de falarmos de pessoas compartilhando pornografia no Zoom, é hora de pegar mais leve. Desta vez, não temos pessoas realizando atividades ilegais na frente de uma câmera, mas nem por isto a brecha encontrada pela Zynga em 2019 deixa de ser séria.

A empresa, que, no passado, foi uma gigante dos jogos online, anunciou a brecha no fim de 2019. Segundo o anúncio, os jogos afetados foram “Words With Friends” e “Draw Something“.

Algo que o anúncio não menciona, porém, é o volume de contas afetadas: cerca de 170 milhões!

A boa notícia é que os invasores não conseguiram acessar as informações financeiras dos usuários e nada indica que tenham obtido acesso às suas contas do Facebook.

Mas, por outro lado, foram quase 200 milhões de logins e senhas. E, quando muitos usam senhas repetidas para vários sites, é fácil imaginar o efeito em cascata que isso pode ter gerado.

Na época, isto fez a brecha ranquear como a 10ª maior brecha monitorada pelo site Have I Been Pwned – o que não é exatamente um ranking para se orgulhar.

3. A Uber abandona a segurança digital dos usuários para esconder uma brecha

Tentar esconder um erro para evitar consequências é um instinto humano e uma sensação pela qual muita gente passa. Mas e quando esse pensamento passa pela mente de um alto executivo de empresa a nível global?

Bom, este é basicamente o cenário em que a gerência da Uber se encontrou em 2016. É difícil dizer quando, exatamente, a invasão ocorreu, já que o anúncio só veio em novembro de 2017.

Segundo o (eventual) anúncio, a invasão afetou 57 milhões de usuários dos aplicativos da Uber – tanto motoristas quanto passageiros. Até aí, nada particularmente chamativo. Este tipo de invasão é (infelizmente) comum, mas geralmente é apenas uma questão de trocar senhas e avisar os usuários.

Mas a Uber, ao invés de avisar seus usuários, pagou 100.000 dólares aos hackers como um “resgate”. E, para piorar, pediu que eles assinassem um termo de confidencialidade – tudo isso sob ordens do seu executivo de segurança na época.

Vale deixar claro que, para adicionar a cereja a esse bolo, o anúncio da Uber sobre a brecha não foi uma questão de o executivo mudar de opinião e corrigir seu próprio erro.

A questão só veio à tona após uma investigação dos diretores da companhia – algo que, no início, era focado apenas nas práticas de negócios. Encontrar a falha de segurança foi apenas um efeito adicional.

O executivo em questão não estava mais na empresa quando a brecha foi anunciada, então espera-se que algo assim não ocorra mais.

4. Yahoo: invasão atinge 3 bilhões de contas

Quando falamos de números, não há invasão maior que a invasão do Yahoo de 2013.

Sim, estamos fugindo um pouco do título aqui, já que a invasão ocorreu há cerca de 7 anos atrás. Mas o anúncio da brecha surgiu só em 2016, e especialistas só descobriram a real escala do problema em 2017, 4 anos depois.

Novamente temos um caso onde a empresa demorou anos até avisar os seus usuários – mas pelo menos não pagaram nada aos hackers. Não que isto sirva de muito consolo, no fim das contas.

Este caso é um pouco confuso à primeira vista, já que estamos falando de um ano em que a Yahoo divulgou duas brechas. A primeira brecha divulgada ocorreu em 2014, onde 500 milhões de contas ficaram vulneráveis.

Como se isso não fosse o bastante, um mês depois a Yahoo divulgou uma segunda brecha, esta de 2013. A estimativa inicial dizia que a brecha afetou 1 bilhão de contas, o que já era o bastante para dizer que foi a pior brecha de segurança digital de todos os tempos.

Mas, um ano depois do anúncio, em 2017, especialistas descobriram o número final. A resposta? Todas.

Literalmente todas as contas presentes na base de dados do Yahoo em 2013 foram afetadas. São um total de 3 bilhões de contas vulneráveis.

3 bilhões de e-mails, 3 bilhões de senhas, 3 bilhões de acessos com dados pessoais inclusos nos dados das contas.

Por que o número exato ficou em segredo por tanto tempo, ninguém sabe ao certo – muito menos como conseguiram esconder. Mas o fato de que a empresa de telecomunicações Verizon comprou a Yahoo pouco antes de o número total ser revelado certamente é uma pista.

5. Especialistas em segurança digital ainda odeiam o TeamViewer

O TeamViewer é um software que, de tempos em tempos, aparece no noticiário com más notícias.

Em mais um caso de um anúncio de uma brecha surgindo anos depois do ocorrido, um anúncio que vem à tona é de 2019, mas trata de uma falha ocorrida em 2016.

Nesta brecha, um grupo de hackers chinês conseguiu usar o TeamViewer para enviar malware a várias empresas, deixando uma brecha que os permitisse acessar os computadores afetados remotamente quando quisessem.

A TeamViewer alega que avisou os usuários afetados assim que o evento ocorreu. Mas, como isto não foi anunciado ao público até 3 anos depois do ocorrido, não deixa uma boa impressão.

E esta impressão só piora quando pensamos sobre outra brecha de 2016 onde usuários alegam que invasores acessaram suas contas bancárias através de uma brecha no TeamViewer, permitindo que sacassem todo o dinheiro.

Mas o pior quase ocorreu ainda este ano quando, em fevereiro de 2021, um invasor teve acesso a uma usina de tratamento de água da cidade de Oldsmar, no estado americano da Flórida.

A invasão em Oldsmar

Acessando a conta de um dos funcionários, o invasor mudou as configurações da planta para aumentar o volume de reagentes químicos na água. Geralmente, estes reagentes são depositados em quantidades baixas e apenas reagem com impurezas para limpar a água.

Mas, neste caso, o invasor aumentou o nível em 11.000% – um aumento que teria envenenado 15 mil habitantes com soda cáustica se a usina não tivesse outras funções de segurança impedindo esta alteração brusca.

Pouco após a invasão, especialistas descobriram que vários funcionários da mesma planta compartilhavam uma senha para login. E, para piorar, os sistemas desta planta ainda utilizavam o Windows 7, que foi descontinuado e não recebe mais atualizações constantes.

A combinação destes fatores fez com que o FBI publicasse um aviso para que as pessoas não fizessem uso do TeamViewer com o Windows 7, devido ao programa ter acesso fácil a partes vitais do sistema operacional.

Bônus: "Collection #1"

Temos mais um último caso por hoje, mas aqui não temos nenhuma empresa específica que tenha cometido um erro, e sim uma lista preocupante.

A “Collection #1” (“Coleção Número 1”) foi uma lista descoberta em janeiro de 2019, quando estava sendo vendida no submundo da internet. Ela é um acúmulo de centenas, ou talvez milhares de ataques e invasões, coletando dados de várias pessoas.

No total, foi a maior lista de e-mails já encontrada, com 773 milhões de e-mails distintos. Pode parecer menor que a invasão à Yahoo que mencionamos antes, mas vale lembrar que, naquele caso, muitas contas tinham e-mails repetidos. Aqui estamos falando de dados completamente distintos.

Até hoje, especialistas em segurança digital ainda não conseguem confirmar de onde vieram todos estes dados. Os hackers envolvidos dizem que foram mais de 2000 ataques, mas é comum ver números inflados nestes casos.

Infelizmente, neste caso não há muito o que possamos dizer de positivo. Apenas reforçamos as tradicionais dicas de segurança:

  • Use senhas longas e difíceis de adivinhar;
  • Ative autenticação em duas etapas quando possível;
  • Não reutilize a mesma senha várias vezes;
  • Troque as suas senhas de tempos em tempos; e
  • Utilize um gerenciador de senhas para dar mais proteção aos seus dados.

E também deixamos aqui um convite: se você se assustou com alguma destas invasões, saiba que a LogMeIn possui alternativas seguras a aplicativos como o Zoom (GoToMeeting) e TeamViewer (Rescue).

E, é claro, um gerenciador de senhas seguro e confiável: o LastPass.