É cada vez mais comum vermos notícias sobre dados de empresas sequestrados, abrangendo desde pequenos e médios negócios até grandes companhias listadas em bolsas de valores. Este fenômeno, conhecido mundialmente como Cyber Crime (ou Ciber Crime, em português), é uma realidade crescente e preocupante.
Na Dark Web, uma realidade pertencente ao mundo do crime, dados sequestrados ou simplesmente roubados são negociados ‘livremente’ para os interessados. Claramente, quem adquire dados alheios não visa ações benevolentes, mas sim extorquir, adquirir itens usando informações de terceiros ou espionar a concorrência.
O foco aqui é discutir o dilema de pagar ou não o resgate quando os dados da sua empresa são sequestrados, paralisando todas as suas atividades, afetando não apenas empresas de serviços, mas também indústrias. No caso das indústrias, hackers têm conseguido acessar e alterar a configuração de CLPs (Controladores Lógicos Programáveis), responsáveis pela automação de processos industriais, comprometendo a produção. Segundo o relatório do estado da OT e cibersegurança da Fortinet de 2023, 32% dos seus entrevistados em OT relataram ataques de sequestro de dados.
Imagine sua empresa com a produção de serviços ou produtos paralisada, as perdas financeiras altíssimas e as entregas aos clientes comprometidas. É um cenário que nenhum CEO gostaria de enfrentar, mas que, infelizmente, tem se tornado cada vez mais comum.
Qual seria a solução? Uma resposta simplista seria restaurar um backup e retomar as atividades normais. Seria maravilhoso se fosse tão simples, mas a realidade é que até mesmo os backups podem estar comprometidos.
Uma alternativa, em um momento de desespero, seria pagar o resgate para resolver rapidamente o problema. Essa é, de fato, uma solução de efeito imediato, mas que pode abrir portas para uma série de outras complicações, as quais serão exploradas a seguir.
As informações e referências a seguir são baseadas no artigo da ‘Harvard Business Review – The Year in Tech 2024’, intitulado ‘Your Company’s data is for sale on the dark web. Should you buy it back?’, de autoria de Brenda R. Sharton.
Vamos às consequências de comprar ou mesmo pagar resgate pelos dados da sua empresa. A primeira consequência é que, mesmo fazendo o pagamento do resgate por intermédio de terceiros, o mundo do crime perceberá que os dados da sua empresa têm valor e que há interessados, o que imediatamente aumentará o preço desses dados. Além disso, sua empresa será marcada virtualmente como um alvo para futuros ataques, uma vez que demonstra disposição para pagar resgates.
Outra consequência é lidar com criminosos que podem devolver seus dados com ‘surpresas’ escondidas, como códigos maliciosos ou ‘trojan horses’, que podem conceder aos criminosos acesso não autorizado ao sistema, agravando os problemas da empresa. Além disso, os dados recuperados podem conter informações de outras empresas também atacadas, expondo sua organização a acusações de acesso indevido a informações confidenciais.
Para empresas listadas em bolsa de valores, há a complicação adicional de que esse evento deve ser notificado às entidades reguladoras, o que pode desencadear uma série de problemas e processos judiciais devido à exposição dos dados ao mundo do crime.
Empresas que negociam com os Estados Unidos enfrentam um risco significativo, pois ao pagar o resgate, podem acabar transferindo recursos para países sob sanções econômicas americanas, atraindo ações do Escritório de Controle de Ativos Estrangeiros do Departamento de Tesouro dos EUA (OFAC).
Finalmente, pagar pelo resgate dos dados na Dark Web não garante que o hacker com quem você negociou detenha o controle exclusivo das cópias dos dados, que ainda podem estar à venda na rede, divulgando informações de clientes e resultando em violações da Lei de Proteção de Dados.
Comprar dados ou pagar resgate é uma medida desesperada. Se uma empresa optar por essa ação, deve avaliar cuidadosamente os prós e contras, ciente dos riscos à sua reputação e integridade, incluindo a possibilidade de possuir dados de concorrentes ou violar sanções americanas (OFAC).
Contudo, a solução ideal é investir em cibersegurança, monitorando todas as tentativas de ataque e alterações em senhas ou parâmetros de CLPs, além de revisar as regras de governança interna. A tecnologia atual está preparada para proteger empresas, mas o risco dos insiders, mesmo que involuntários, sempre existe, destacando a importância de aderir estritamente aos protocolos de segurança.
Por Dimitry Boczar
