Marc Sureda
Historicamente, vários grupos de ciberespionagem têm utilizado inteligência de fontes abertas para traçar o perfil dos seus alvos antes de lançarem qualquer ataque. Entidades como o Centro Nacional de Cibersegurança do Reino Unido documentaram como os agentes maliciosos, entre os quais se encontram o grupo SEABORGIUM, ligado à Rússia, e o TA453, alinhado com o Irão, analisam exaustivamente as plataformas pessoais e profissionais para investigar os interesses das suas vítimas. O procedimento habitual destes grupos consiste em identificar contactos e criar confiança através da troca de e-mails aparentemente normais para, posteriormente, enviar links maliciosos destinados a roubar credenciais corporativas.
Um exemplo notável do impacto económico destas táticas de investigação prévia é o incidente sofrido pelo centro Children’s Healthcare of Atlanta, que resultou em perdas de 3,6 milhões de dólares. Este caso de comprometimento do e-mail empresarial surgiu após a análise de vários comunicados de imprensa sobre a construção de um novo hospital. Permitindo aos atacantes identificar a empresa construtora responsável, a JE Dunn. Através do rastreio de redes profissionais e do site corporativo, localizaram os responsáveis financeiros de ambas as entidades e conseguiram suplantar a identidade do diretor financeiro da construtora para solicitar uma alteração nos dados de pagamento.
Os investigadores da empresa de cibersegurança ESET alertam que os cibercriminosos aproveitam a grande quantidade de dados públicos disponíveis para conceber campanhas fraudulentas altamente convincentes. O objetivo destas ações, que podem chegar através de e-mails, mensagens de texto ou chamadas telefónicas, é enganar os profissionais para que instalem programas maliciosos nos seus dispositivos ou revelem os seus dados de acesso. Nos casos mais sofisticados, a identidade de gestores ou fornecedores é usurpada para ordenar transferências bancárias de caráter urgente.
As plataformas profissionais, os repositórios de código e as redes sociais funcionam como bases de dados abertas que expõem desde hierarquias corporativas até detalhes técnicos. Redes como o LinkedIn revelam funções internas e relações entre funcionários, além de ofertas de emprego que muitas vezes revelam as tecnologias utilizadas pela empresa. No plano técnico, ambientes como o GitHub podem expor involuntariamente endereços IP, e-mails e até fragmentos de código sensíveis. A esta pegada digital junta-se a atividade em plataformas como o X ou o Instagram, onde a publicação de viagens de negócios ou a participação em feiras setoriais fornece o contexto necessário para que os atacantes construam os seus esquemas fraudulentos com um elevado grau de verosimilhança.
Os analistas de segurança destacam uma mudança de tendência nas estratégias criminosas, em que os autores dão prioridade à exploração do contexto humano e organizacional em detrimento da procura de falhas puramente técnicas. Ao dedicar tempo a compreender quem toma as decisões e como uma organização opera, a gestão da exposição digital surge como uma disciplina fundamental dentro dos departamentos de TI. Obrigando as empresas a controlar de perto a informação que é divulgada para o exterior.
Para minimizar estes riscos, os especialistas aconselham as organizações a restringir a publicação de dados sensíveis e a implementar protocolos rigorosos de verificação e autenticação. É fundamental limitar a divulgação de informação profissional que revele detalhes sobre ferramentas internas, infraestruturas ou projetos em curso. Assim como evitar a publicação de deslocações de trabalho em tempo real. Isto deve ser complementado com uma revisão periódica das configurações de privacidade em todas as plataformas utilizadas pelo pessoal.
A nível corporativo, as empresas devem estabelecer políticas de verificação inabaláveis para qualquer tipo de transferência financeira, prestando especial atenção às solicitações que se apresentem como urgentes ou imprevistas. Da mesma forma, é imperativo implementar sistemas de autenticação multifator e controlos de acesso rigorosos nas contas críticas. Paralelamente, deve manter-se uma formação contínua para que os funcionários adquiram os conhecimentos necessários para detetar e interceptar tentativas de engenharia social.
