Hackers éticos: os “piratas” que evitam ciberataques

Os ataques cibernéticos estão entre as maiores preocupações das empresas, junto ao medo da perda de lucros.

A leitura vai levar 4 minutes

O trabalho dos hackers éticos está se transformando em uma necessidade vital para as empresas. Este tipo de prática analisa a infraestrutura tecnológica empresarial, simulando ataques “piratas”, a fim de avaliar o nível da cibersegurança.

 

No início de 2019, ficamos sabendo que mais de 700 bilhões de contas de e-mail e senhas tinham sido publicadas em uma base de dados chamada “Colection #1”. Esse ataque de grandes proporções evidenciou a necessidade de estarmos atentos à cibersegurança.

Um ano antes, em 2018, tinham sido produzidos outros ataques de grandes proporções a empresas, e eles afetaram as próprias companhias e também milhares de usuários e clientes. O caso da rede hoteleira Marriott é um dos mais chamativos. Embora tenha sido descoberto em novembro de 2018, o roubo de informação vinha sendo feito desde 2014. Ou seja, durante quatro anos os hackers tiveram acesso a informações pessoais e financeiras dos clientes: dados como nomes e sobrenomes, passaportes, endereços postais e cartões de crédito ficaram expostos.

Esses são apenas dois exemplos dos milhares de casos que se sucederam em 2018. No mapa interativo do Threat Cloud é possível consultar, em tempo real e classificados por países, os ataques em curso a cada momento. Apenas no dia 23 de janeiro de 2019, foram feitos 148.983.041 ataques. Portanto, é compreensível que as empresas tenham alterado suas prioridades. Segundo o Barômetro de Riscos 2019 da AGCS, os ataques cibernéticos estão entre as maiores preocupações das empresas, junto ao medo da perda de lucros. Cada vez mais empresas são conscientes da importância da cibersegurança no seu dia a dia, e também de que os ataques cibernéticos podem colocar em risco não apenas os dados da empresa, mas também de seus clientes e trabalhadores.

Portanto, o hacking ético se apresenta como uma das tendências mais importantes da indústria. Mas não é só isso, as empresas começaram a se conscientizar sobre a importância de formar seus recursos humanos no caminho da cibersegurança. A força dos sistemas reflete a força das pessoas que os protegem. Os ciberdelinquentes são cada vez mais criativos, e os firewall e antivírus convencionais deixaram de ser totalmente eficazes há tempos. A demanda por redes de segurança que realmente evitem práticas mal-intencionadas levou alguns hackers (os chamados white hats, ou hackers do bem) a trabalhar para as empresas a fim de comprovar se seus sistemas resistem a ofensivas, aprimorando-os para torná-los inexpugnáveis.

No final das contas, o hacking ético é uma auditoria de segurança informática na qual a empresa contrata um provedor para que este elabore um relatório sobre possíveis vulnerabilidades. Neste relatório, são reunidas as prováveis brechas nos sistemas de informática. O processo envolve várias fases a fim de garantir a proteção total das infraestruturas.

Acordo de colaboração

Quando uma empresa decide contratar os serviços de hacking ético, o primeiro passo é assinar um contrato que defina o alcance, as permissões e as possibilidades de tal colaboração. Neste documento, também estará por escrito quea empresa dá livre acesso para que os hackers realizem seus ataques-teste. Trata-se de uma peça-chave para garantir que os testes sejam realizados sem más intenções.

Entre os pontos tratados no acordo (ou contrato de colaboração) estarão os sistemas ou “áreas” que o hacker deve indagar e tentar acessar. Estas áreas podem ser sistemas de software, servidores, aplicativos, equipamentos e até aplicativos que os clientes da empresa auditada tenham instalados em seus dispositivos.

Pesquisa e elaboração de um plano de ataque

Assinado o contrato de colaboração, a empresa encarregada de fazer a auditoria estudará, de forma exaustiva, todas as opções que têm para atacar a empresa que a contratou. Investiga-se tanto o hardware quanto o software, utilizando todos os tipos de ferramentas que identifiquem as possíveis vias pelas quais os hackers poderiam se infiltrar.

Outra das ações de investigação consiste em conversar com os trabalhadores. Fazendo isso, eles conseguem extrair informações importantes que os funcionários de uma empresa administram no seu dia a dia, de dados confidenciais a cifras bancárias, passando por aplicativos instalados. Além disso, estudam o perfil pessoal e profissional dos funcionários, analisam seu posto na empresa e até seus gostos pessoais. Desta forma, reúnem todos os acessos detectados que possam supor um perigo para o sistema da empresa e todas as ferramentas com as quais alguém poderia ter acesso a esse sistema.

Com todos esses dados organizados, é elaborado um plano de ataque que colocará em cheque a segurança da empresa. Este projeto se plasma em um documento que a empresa auditada revisará junto ao hacker, no qual são explicados os passos a seguir a fim de levar a cabo os ataques-teste. Este é um documento informativo e tem a intenção de preparar os implicados (sejam diretores ou funcionários) com o objetivo de evitar possíveis mal-entendidos.

O “pentest”e a eliminação de riscos

Os especialistas em cibersegurança atacam diversos entornos no interior do sistema da empresa, sempre com a intenção de detectar falhas, vulnerabilidades ou brechas. Neste processo, denominado pentest ou teste de penetração, são comprovados os erros de segurança em softwares e hardwares em busca de um lugar por onde entrar e tomar o controle dos equipamentos ou aplicativos.

A origem dessas brechas pode estar em diversos fatores, de erros no código de programação a senhas previsíveis estabelecidas pelos próprios usuários. Os hackers se aproveitam dessas vulnerabilidades graças a exploits, ferramentas programadas para garantir o acesso aos sistemas e que foram preparadas graças ao estudo realizado na fase anterior.

Ao terminar esse processo, a empresa responsável pela auditoria reúne as provas que obteve no pentest e entrega um relatório com todas as vulnerabilidades detectadas, além de um plano para eliminá-las. No processo seguinte, são depurados os sistemas de segurançada empresa e eliminadas todas as vulnerabilidades localizadas. Superada essa fase, é feito um acompanhamento para comprovar que as vulnerabilidades foram erradicadas e que os sistemas de informática da empresa são seguros.

As previsões para 2019 em matéria de cibersegurança não são tão alarmantes quanto as de 2018, mas a ênfase foi posta na atuação de hackers com intenção econômica ou financeira. Ninguém pretende gerar pânico, mas conscientizar sobre a importância da proteção da informação. Não está em jogo apenas a própria empresa, mas a segurança de seus clientes e empregados.

 

Por Yvonne Rodríguez

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *

Você também pode gostar

PHYSEC, a tecnologia que promete um ecossistema IoT invulnerável

Christian Zenger criou o sistema PHYSEC, que garante uma Internet das Coisas mais segura ao detectar pequenas mudanças nos sinais emitidos pelos dispositivos cifrados

Spyware, o vírus que ameaça sua privacidade

El spyware o programa espía recopila datos personales para después utilizarlos con…

Os milenials não têm percepção dos delitos na internet

Qualquer usuário pode sofrer um ataque cibernético. Neste cenário, os milenials são os mais expostos a sofrer um delito através da internet.