Carteiro, engenheiro, empregada de limpeza: Estarão os hackers a entrar sorrateiramente no seu escritório?

Quando se pensa num ataque informático, a maioria de nós imagina um hacker clássico - um homem de capuz, debruçado sozinho sobre o seu computador, acedendo remotamente à rede de uma empresa.

Mas nem sempre é esse o caso.

Apesar dos balcões de segurança dos escritórios, é fácil disfarçar-se e simplesmente entrar, disse um formador de cibersegurança à Euronews.

"Muitas pessoas, quando vêem um top de alta visibilidade, pensam: 'Oh, esta pessoa é um engenheiro' ou algo do género, e deixam-na passar."

Embora todos estejamos cientes dos ciberataques e da crescente ameaça que representam para as empresas - especialmente à luz dos recentes ataques à Pandora, Chanel, Adidas e Victoria's Secret - a maioria de nós subestima significativamente as formas físicas como as nossas defesas podem ser violadas.

Prevê-se que as despesas globais com cibersegurança atinjam 213 mil milhões de dólares (183 mil milhões de euros) em 2025, contra 193 mil milhões de dólares (166 mil milhões de euros) em 2024, de acordo com os dados mais recentes da Gartner, Inc. Apesar disso, de acordo com o índice de preparação para a cibersegurança de 2025 da Cisco, apenas 4% das organizações a nível mundial estão totalmente preparadas para as ameaças modernas.

De acordo com os especialistas em segurança Sentinel Intelligence, a segurança física é um ponto cego crítico nas nossas defesas, e as consequências de ignorar este vetor de ataque podem ser desastrosas.

A linha da frente física da segurança digital

Estima-se que a ameaça cibernética global na Europa custará 10 biliões de euros em 2025 e só tende a aumentar, de acordo com uma entrevista recente com a empresa de software Splunk.

Em termos de ciberataques físicos, a ameaça é real e perigosa, como mostra o World Security Report 2023. A pesquisa descobriu que grandes empresas globais, ou seja, aquelas com receitas combinadas de US $ 20 trilhões, relataram US $ 1 trilhão (€ 860 bilhões) em receitas perdidas durante 2022, diretamente causadas por incidentes de segurança física.

Isto pode significar que um hacker consegue aceder ao seu edifício de escritórios para atacar a sua infraestrutura digital.

Os testes de penetração são um serviço comum, encomendado por líderes empresariais para testar as suas defesas internas. Se trabalha num grande escritório, provavelmente já aconteceu à sua volta, sem que se apercebesse.

A Euronews Business falou com Daniel Dilks, diretor de operações da Sentinel Intelligence, para saber exatamente em que consistiram alguns dos seus testes recentes.

Caso 1: Tailgating e violação de acesso a uma sede de empresa

"Os agentes da Sentinel, vestidos em trajes de negócios, entraram no edifício seguindo o pessoal durante a hora de ponta da manhã, com crachás de identificação falsos e um saco para portátil para se misturarem. Uma vez lá dentro, localizaram uma sala de reuniões não segura, ligaram-se à rede Wi-Fi dos convidados e deixaram um dispositivo não autorizado (um implante de rede)", disse Dilks à Euronews.

Caso 2: arrombamento de fechaduras fora de horas e exposição de dados

"Fora das horas de expediente, os testadores obtiveram acesso através da abertura de uma fechadura de cilindro europeu na porta lateral. Uma vez lá dentro, acederam a um armário de arquivo desbloqueado que continha contratos de clientes impressos e palavras-passe. Nenhum alarme foi acionado", explicou Dilks.

E para um criminoso, uma vez que tenha descoberto como entrar num edifício, pode potencialmente fazê-lo em várias ocasiões, recolhendo sempre mais informações ou causando mais danos.

Caso 3: Engenharia social e simulação de roubo de credenciais

"Um agente fez-se passar por um empreiteiro do sistema de aquecimento e ventilação do edifício. Depois de entrar com um colete de alta visibilidade e uma ordem de trabalho falsa, o indivíduo foi escoltado até uma sala de servidores por funcionários que acreditavam que a visita estava agendada. Enquanto estava lá dentro, fotografou as credenciais expostas e ligou uma 'dropbox' USB a uma estação de trabalho", acrescentou, explicando que é comum os testadores de penetração deixarem canetas USB espalhadas pelos escritórios.

Muitos trabalhadores, na esperança de serem úteis, ligam-nas aos seus computadores para ver a quem pertencem. Num cenário de ataque no mundo real, isto pode introduzir malware diretamente na rede da empresa.

Em todos estes exemplos, a falta de medidas de segurança física, a relutância em desafiar ou verificar pessoas desconhecidas e cometer erros básicos como escrever palavras-passe em post-its podem ter consequências graves.

Quais são as consequências de um ataque informático?

Embora seja difícil calcular o custo exato de uma violação de segurança, os ataques têm consequências a curto e a longo prazo para uma empresa.

Há os custos diretos iniciais que podem estar associados a danos físicos.

"Alguém consegue entrar na empresa e sabotar o seu sistema, basicamente destruindo-o, certo? Portanto, há um custo direto para o equipamento em si", explicou o especialista em cibersegurança.

"Mas se os danos no equipamento significarem a impossibilidade de funcionar durante vários dias, isso é perda de negócio. E, por vezes, quando um cliente não consegue contactá-lo várias vezes, pode decidir ir a outro lado."

O especialista explicou que as consequências podem intensificar-se rapidamente se os dados forem apagados e as cópias de segurança não funcionarem, acrescentando que as organizações podem desmoronar-se sem os seus sistemas.

Os custos indirectos também podem ter ramificações duradouras.

"Digamos que alguém rouba os seus dados e depois há propriedade intelectual ou documentos confidenciais que são divulgados. Qual é o custo para a organização? Há um custo para a reputação da empresa, que pode perder contratos quando os clientes perdem a confiança nela".

As empresas também podem ser multadas por este tipo de violações de dados.

Vectores de ataque surpreendentes

O especialista em cibersegurança partilhou algumas formas particularmente surpreendentes como os criminosos invadiram os sistemas das empresas nos últimos anos.

"Houve um caso em que, num casino nos EUA, os atacantes conseguiram aceder à rede, não através da parte principal da rede, mas comprometeram um dispositivo de regulação da água num aquário que estava ligado ao sistema".

E embora nem todos tenhamos aquários nas nossas casas e escritórios, os dispositivos inteligentes também podem ser vulneráveis.

"Quando as chaleiras inteligentes foram lançadas pela primeira vez, a comunidade de segurança ficou muito interessada", explicou o especialista.

"Se formos a uma conferência de cibersegurança, por vezes vemos uma demonstração em que se pirateia uma chaleira e se extrai a palavra-passe do WiFi, utilizando-se depois o passaporte do WiFi para entrar numa rede, e a partir daí muitas coisas podem tornar-se uma bola de neve"

Se estiver a gerir uma empresa, vale a pena identificar todas as formas possíveis de ser atacado.

Mesmo assim, o especialista sublinha que, embora seja necessário ter cautela, isso não significa que tenhamos de ser rudes ou indelicados com estranhos no local de trabalho por medo.

"Basta ter cuidado e estar atento. Não precisamos de mudar a nossa natureza e ser indelicados com toda a gente, mas temos de estar conscientes de que há pessoas mal-intencionadas por aí."