Uma falsa equipa de IT convence um advogado a entregar ficheiros sensíveis

O que aconteceu

A sociedade de advogados Blank Rome sofreu um incidente em que os atacantes se fizeram passar pelo seu próprio departamento de IT. Através desse engano convenceram um advogado da sociedade a carregar ficheiros para uma localização controlada pelos atacantes.

Entre os ficheiros expostos estavam dados pessoais de clientes e contactos da sociedade. O caso enquadra-se numa vaga de ataques de engenharia social contra empresas norte-americanas documentada pela Reuters, em que o ponto de entrada não foi uma vulnerabilidade técnica mas sim o engano de uma pessoa com acesso legítimo.

O que ensina a qualquer organização com dados de clientes

Um escritório de serviços profissionais lida com informações sensíveis de terceiros —clientes, contrapartes, funcionários de outras empresas— sem ter necessariamente consciência do seu valor para um atacante. Fazer-se passar pelo suporte técnico interno funciona porque a vítima confia num canal que considera seguro por definição.

A principal lição é que a segurança da informação não depende apenas de firewalls ou antivírus, mas também da forma como se verificam os pedidos invulgares, sobretudo quando solicitam o carregamento, a transferência ou a partilha de ficheiros fora do procedimento habitual.

O que convém rever

Medidas que reduzem o risco deste tipo de engano:

• Procedimento para verificar através de um segundo canal qualquer pedido do «IT interno» que implique carregar ou partilhar ficheiros.
• Formação específica sobre fraudes de suporte técnico, com exemplos reais e não apenas exemplos genéricos de phishing.
• Restrições aos destinos para onde é possível carregar informações sensíveis a partir de equipamentos empresariais.
• Registo e alerta de carregamentos em massa de ficheiros para destinos externos pouco habituais.

Perguntas frequentes

¿Como conseguiram os atacantes que o advogado colaborasse?

Fizeram-se passar pelo departamento de IT da própria sociedade, um canal em que a vítima confiava à partida.

¿Que tipo de dados foi exposto?

Informações pessoais de clientes e contactos da sociedade, segundo o que foi comunicado no âmbito desta vaga de incidentes.

¿Como se evita este engano numa pequena empresa?

Estabelecendo que nenhum pedido de suporte técnico que implique partilhar ficheiros é atendido sem ser verificado através de um segundo canal conhecido.