Nas últimas semanas, o Superior Tribunal de Justiça (STJ) teve toda a sua base de dados criptografada por hackers que conseguiram invadir o sistema do tribunal. Este foi o pior ataque da história do órgão e diversos prejuízos foram causados para servidores, juízes e advogados, que tiveram não só que cancelar diversas sessões de julgamento como também ficaram impossibilitados de usar os sistemas de informática e telefonia da Corte, já que todas as máquinas foram desconectadas para tentar conter o acesso dos criminosos. Outros órgãos, como o Conselho Nacional de Justiça (CNJ) e o Tribunal de Justiça do Rio Grande do Sul (TJRS) também sofreram tentativas de ataques.
Mas este tipo de sequestro de dados (conhecido como ransomware), onde os hackers criptografam informações em troca de um resgate, não é uma ameaça apenas às instituições públicas. Empresas privadas também podem sofrer invasões, principalmente no cenário atual, com muitos negócios migrando para o digital por conta da pandemia. E os danos podem ser grandes: vão desde um prejuízo financeiro, caso se decida por pagar o resgate, até a perda total de todas as informações.
A boa notícia é que algumas medidas bem simples podem evitar este tipo de situação. Confira 7 dicas que Wilson Keske, arquiteto de soluções da WK Sistemas, empresa referência em software de gestão empresarial (ERP), separou para se manter protegido:
Mantenha sistemas sempre atualizados
Existe uma crença de que o antivírus é a melhor forma de proteção contra ataques cibernéticos, mas esta é apenas uma meia-verdade. Esses programas trazem um certo grau de proteção e não devem ser esquecidos, mas é importante lembrar que muitos hackers se aproveitam de falhas de segurança conhecidas em sistemas desatualizados. Todos os softwares têm brechas e não fazer o update deles pode deixar um caminho aberto para invasões. Então nada de pensar “se está funcionando normalmente, não preciso atualizar”. Garanta que tudo dentro do computador ou celular esteja na sua última versão, sejam navegadores, aplicativos ou o próprio sistema operacional – que também deve ser o mais recente.
Faça backups regularmente – online e offline
No ataque ao STJ, os criminosos conseguiram um acesso interno ao sistema, e criptografaram os dados para que mais ninguém conseguisse acessar as informações. Neste caso, a única proteção é ter um backup atualizado – online e físico – para não perder nada, já que as cópias de segurança digitais são suscetíveis a invasões.
Ter um backup em uma mídia externa, como um HD externo ou pendrive, traz uma garantia extra, já que quando você tira ele do computador não existe mais nenhuma forma de acessar digitalmente esses dados. Se a empresa não toma essa medida, as opções em caso de uma invasão acabam sendo pagar o resgate dos dados (e esperar que o hacker cumpra a palavra dele), tentar descriptografar as informações (uma opção normalmente inviável e muito custosa, já que geralmente os ataques são feitos de uma forma bem complexa) ou começar uma vida digital do zero. É como se fosse um carro roubado: se você tem seguro, é possível conseguir um carro reserva ou um reembolso. Se não tem, pode tentar acionar a polícia para tentar recuperar. Se não encontrar, o prejuízo é total.
Utilize o Princípio da Segregação de Funções
A segregação de funções é uma regra de controle interno que separa atribuições e responsabilidades entre diferentes pessoas, principalmente para as funções operacionais e contábeis.
Não é incomum que algumas empresas deem muitos acessos desnecessários a colaboradores que não precisam daquelas informações para trabalhar. E se um hacker consegue invadir um computador que tenha acesso total às informações da empresa, ele também tem acesso à todos aqueles dados. Se as funções estiverem mais restritas, é mais fácil notar que houve tentativas externas de acesso. Por isso, o ideal é sempre manter separadas as atividades de operação do dia a dia das operações administrativas do sistema. Ou seja, ter uma conta para as tarefas rotineiras e outra com direitos de administrador para instalar softwares, fazer configurações e adicionar ou remover usuários.
Use um gerenciador de senhas
Muitas pessoas têm costume de usar senhas iguais ou parecidas para não correr o risco de esquecer algum login importante. O problema é que, com frequência, nós vemos vazamentos de dados de diversos sistemas que usamos regularmente, como as redes sociais. Se essa informação cair em mãos erradas, é possível que haja uma tentativa de ataque ao sistema da empresa, por exemplo, usando essas mesmas informações. Por isso mantenha senhas complexas e distintas para cada sistema, principalmente diferenciando as pessoais das corporativas. Também vale usar um gerenciador de senhas, que funciona como um “cofre” para guardar todas as suas informações de acesso a sites e aplicativos de forma segura. Assim, você só precisa lembrar do login para ter acesso ao gerenciador, e copiar e colar a senha de lá diretamente no software.
Não mande senhas por e-mail
Ainda em relação às senhas, evite sempre mandar por email credenciais de acesso. Caso outra pessoa precise daquele login, mude a senha para uma temporária, envie e depois mude novamente. Do ponto de vista da segurança da informação, o ideal é nunca compartilhar essas informações.
Use autenticação por dois fatores
A autenticação por dois fatores é aquela que autentica quem está utilizando o sistema por mais de uma maneira. É enviado um código para um outro local, geralmente email ou SMS, para confirmar que é a mesma pessoa que está tentando acessar. Essa é uma segurança extra bastante necessária, porque em muitos casos os hackers têm acesso à senha, mas não ao segundo código solicitado para confirmar o login, o que dificulta a invasão.
Se proteja em todos os níveis
Por fim, ter manuais claros de proteção para toda a equipe pode proteger a empresa de muitos ataques. Os criminosos criam diversas artimanhas para atrair pessoas a clicarem em links maliciosos, como um email com um suposto boleto vencido, se passando por instituições de credibilidade ou ofertando promoções imperdíveis. Um clique no link e em questão de minutos a máquina já está totalmente acessível ao hacker. Isso acaba criando uma cadeia de acessos: já dentro de um sistema, o invasor consegue partir para outros em busca de credenciais importantes. Então se uma pessoa do time ficar desprotegida, todas as outras também vão estar.
Os ataques estão cada vez mais sofisticados, por isso, deixe claro para os colaboradores que eles precisam desconfiar de qualquer email suspeito, pensando sempre se aquele assunto é pertinente para receber no email do trabalho.
