Um em dez ciberataques no Brasil tem por trás um colaborador mal-intencionado

Um novo estudo da Kaspersky divulgado essa semana – e chamado Fator Humano – revelou que 58% das empresas brasileiras sofreram algum incidente online nos últimos dois anos, e que 10% foram causados pelo comportamento deliberado de um ou mais colaboradores.

Segundo a empresa de segurança, há dois tipos de ameaças internas: as intencionais e as não intencionais. No segundo tipo estão os erros cometidos por colaboradores, como clicar em mensagem falsa ou enviar e-mail com informação confidencial para o contato errado. Já as intencionais são premeditadas, e têm como objetivo invadir sistemas da organização em que a pessoa trabalha.

Segundo a Kaspersky, atos dessa natureza abrem portas para que atacantes consigam penetrar redes corporativas e até interromper operações. Qualquer que seja a consequência, diz a empresa, isso expõe fragilidades da infraestrutura de TI e da proteção de informações confidenciais.

O estudo cita um caso público recente envolvendo a fabricante de carros elétricos Tesla. Dois ex-funcionários divulgaram nomes, endereços, números de telefone e e-mails de 75 mil colaboradores da companhia para um jornal alemão.

Perfil da ameaça

Segundo a Kaspersky, de todos os incidentes envolvendo colaboradores, os mais perigosos são os causados por funcionários insatisfeitos ou mal-intencionados. Isso porque eles conhecem a empresa e têm informações específicas sobre infraestrutura e processos. Além disso, já estão dentro do sistema e não precisam recorrer a esquemas de phishing nem a ataques contra firewalls.

Eles também podem ter amigos na empresa, o que facilita a implementação de métodos de engenharia social, e podem estar motivados a prejudicar a empresa.

“Há criminosos com todos os perfis, aqueles que visam maior lucro e focam nas grandes empresas ou aqueles que visam o ganha em escala e buscam os ataques mais fáceis e frequentes – portanto nunca se sabe quem pode ser vítima”, diz Roberto Rebouças, gerente-executivo da Kaspersky no Brasil.

Segundo o especialista, identificar uma ação maliciosa desse tipo exige que as organizações unam boas tecnologias com processos avançados de segurança. “É preciso conseguir identificar uma intenção maliciosa por de trás de uma ação inicialmente inofensiva”, diz.

Recomendações

Para proteger uma empresa de ataques do tipo, a Kaspersky recomenda:

Regras claras de segurança da informação na empresa e medidas para monitorá-las;
Sistemas de proteção contra erros, comportamentos insensatos ou desleixados e ações maliciosas de membros internos;
Treinamentos de equipe para ensinar às pessoas o que pode ser uma infração;
Uso de produtos e soluções que protejam a infraestrutura da organização;
Backup de dados regular;
Serviços de inteligência de ameaças para melhorar a detecção e os processos de segurança corporativos.

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!