Como as PMEs podem se proteger contra ransomware

Falar da necessidade de proteger os dados pessoais não é algo novo. Desde a Declaração Universal dos Direitos Humanos, aprovada pela Assembleia Geral das Nações Unidas em dezembro de 1948, passando pela Convenção Americana sobre Direitos Humanos, de 1969, a sociedade civil organizada já estabelecia limites para tentar proteger a intimidade de cada indivíduo.

Mais recentemente, em 1988, quando foi promulgada a Constituição Federal, que em seu artigo 1º fala sobre a dignidade da pessoa humana, até os tempos atuais, com a entrada em vigor da Lei Geral de Proteção de Dados (LGPD), a forma de abordar o direito à privacidade pode ter mudado. No entanto, o que não mudou foi a necessidade de manter o que é privado em sigilo. Em uma sociedade ideal, a frase anterior poderia parecer um pleonasmo, já que ninguém tem o direito de ter acesso a dados que são privativos. No entanto, isso está longe de se confirmar na prática, seja no Brasil ou no restante do mundo.

E, em tempos de pandemia, aumentou ainda mais a incidência dos temidos ataques de ransomware — software malicioso que infecta o computador, criptografa os dados e possibilita que o criminoso exija o pagamento de resgate em moedas não rastreáveis, como bitcoin. Um estudo divulgado recentemente aponta que, nos primeiros seis meses do ano, o aumento no número de casos desta natureza no mundo foi de 72%, devendo chegar a 20 mil até o fim de dezembro.

Uma das explicações para esse aumento vertiginoso é a alteração nos processos de segurança. Quando a grande maioria das empresas precisaram, como de medida de segurança emergencial, enviar seus colaboradores para trabalhar de casa, expuseram seus sistemas, já que as redes domésticas, sem boas práticas de segurança, são muito mais vulneráveis a ataques. E mesmo no caso de redes seguras, seguindo boas práticas de segurança, com VPNs (que mantêm seguros os dados enquanto trafegam pela rede) e firewalls, temos que lembrar que o equipamento que está utilizando a VPN, ou seja, o ambiente onde ela opera, pode estar infectado e comprometido, afetando a segurança da rede.

Na maioria das vezes, os ataques são bastante simples. O que você faria, por exemplo, se recebesse em seu e-mail pessoal o seguinte comunicado: “Sequestramos dados sensíveis que você não gostaria que fossem divulgados”. A genericidade da mensagem faz com que a preocupação de qualquer um vá às nuvens e comece a passar pela cabeça todo tipo de ilação, desde o dia que você deixou a câmera do computador aberta, dados da companhia onde você trabalha que poderiam ser estratégicos para a concorrência até os pagamentos recebidos que poderiam te comprometer com o imposto de renda, ou, ainda, aquelas informações sensíveis de família, que não têm nada de ilegal ou imoral, mas cuja divulgação te incomodaria.

Então pergunta-se: como proceder? Não dá para trabalha no escritório por conta do alto nível de transmissibilidade do novo coronavírus. Mas, por outro lado, enviar os colaboradores para trabalhar de casa sem a devida preparação tecnológica é colocar tudo o que a empresa construiu em risco. Uma resposta possível, que manterá as atividades em dia, de maneira que impacte minimamente sua operação e, ao mesmo tempo, proteja os colaboradores, é contratar uma empresa respeitável em relação à segurança, controle e disponibilidade.

Algumas tecnologias como a VPN já faziam parte do dia a dia das empresas. Entretanto, muitas delas não englobam todos os pontos necessários para que tudo funcione bem em momentos críticos como o que estamos atravessando.

Outras medidas essenciais são: bloquear o acesso a sites perigosos, realizar sazonalmente treinamentos de pessoal para que os colaboradores estejam atentos aos alertas e evitem a navegação inapropriada nesses ambientes virtuais e instalar uma solução de proteção contra malware nas estações de trabalho mesmo fora da empresa. Vale lembrar que a VPN cria uma espécie de túnel entre o ambiente remoto e a empresa, gerando assim uma gama de possíveis riscos à toda a corporação.

Por último e não menos importante: é primordial que se faça um acompanhamento sistêmico das soluções de proteção. Sabemos que muitos profissionais de TI acabam tendo orçamento e tempo restritos, o que é extremamente perigoso. Implementar e não acompanhar o andamento do sistema pode ser até pior do que não contar com nenhuma segurança, já que transmite uma falsa sensação de segurança.

Por todos esses motivos, é imprescindível contar com uma solução que atenda na nuvem, e que abranja todos os serviços em um só, priorizando segurança, controle e disponibilidade para a empresa. Essa característica de one stop shop (encontrar tudo em um único fornecedor) também torna o produto mais acessível, podendo ser até dez vezes mais barato que a contratação de cada uma das funcionalidades de segurança de forma separada ou, ainda, se toda a tecnologia fosse desenvolvida pelo time interno da empresa.

Além de contar com esse fornecedor de tecnologia robusto para se protegerem, os colaboradores de PMEs podem ser orientados a colocar com medidas práticas simples, como a ativação da verificação em duas etapas para os aplicativos, que não abram nenhum link desconhecido, além da verificação constante se a máquina não possui computadores “zumbis” rodando em segundo plano e a negar qualquer pedido feito por telefone ou SMS de números de confirmação.

*Ulisses Penteado é CTO da BluePex, empresa que desenvolve soluções de segurança da informação para o mercado corporativo.

Notícia divulgada no Portal: