No momento em que as organizações se preocupam com ameaças de cibersegurança vindas de hackers, criminosos, concorrentes e governos estrangeiros, muitas empresas não conseguem reconhecer devidamente o risco operacional e de reputação por violações de segurança que ocorrem internamente, por pessoas ligadas à empresa.

O alerta é de Tony Jaques, do site australiano Managing Outcomes. Ele conta que essa ameaça veio à tona, no mês passado, quando um insatisfeito engenheiro de TI (tecnologia da informação),  de 26 anos, apareceu num tribunal em Melbourne, depois de ter invadido o computador central de seu empregador Ele se sentia desprestigiado e pouco valorizado no trabalho e queria mostrar sua capacidade.

"A defesa alegou que ele planejava aparecer como um" herói ", quando fosse possível demonstrar suas habilidades em restaurar o sistema". Ou seja, ao invadir os arquivos sem intenção de cometer algum crime, ele estaria absolvido de falta grave. Mas o magistrado não encarou assim tão simplesmente e denunciou o empregado pelo seu "pernicioso, vil e vicioso" ato.

Ainda segundo Jaques, no mesmo artigo, “da mesma forma, no ano passado, a rede de supermercados Wm Morrison, do Reino Unido, teve roubados informações e números de contas bancárias da folha de pagamento dos 100 mil funcionários, por um empregado que postou os dados online. Nesse caso, o dano à reputação da rede Morrison foi agravado pelo fato de que apenas semanas antes o ex-Grupo Treasure, com sede em Bradford, foi acusado de dois crimes de abuso de informação privilegiada, após negociação de ações de uma empresa associada, antes do anúncio de um fato relevante, o que é considerado crime pela comissão que investiga as empresas que têm ações em Bolsa.”

Segundo o artigo do Managing Outcomes, “apesar da onda atual de invasões e principais violações, arquivos com dados feito por ativistas e criminosos - imagine muito além do que aconteceu no ataque à Sony, de onde foram roubados 200 milhões de dados - assaltos por  insiders (pessoal interno) são muito mais prevalentes. A última pesquisa sobre cibercrime da revista PwC de segurança, TI e executivos de negócios mostra que os incidentes de segurança detectados pelos inquiridos no total aumentaram 48% ano a ano, considerando aqueles causados por empregados atuais ou antigos, sendo, de longe, a maior categoria. O relatório constatou que o percentual de entrevistados que apontam o dedo para os atuais funcionários aumentou em 10%, e quase um terço dos entrevistados disseram que os crimes “insider” foram mais dispendiosos e mais prejudiciais do que aqueles perpetradas por pessoas de fora.”

Segundo Jaques, “quando se trata de causar danos, é fácil esquecer que as duas mais fortes violações nos últimos anos foram cometidas por pessoas de dentro das organizações (insiders).” O soldado americano Bradley Manning vazou informações militares para fora da base, ao entregar dados confidenciais ao site Wikileaks. Ele pegou 35 anos de prisão pelo crime. Edward Snowden, ex-administrador de sistemas da CIA e ex-contratado da NSA (agência de segurança dos Estados Unidos), roubou e divulgou milhões de arquivos secretos, enquanto trabalhava para uma empresa de defesa.

No entanto, em meio a todo o pânico e reações que os atos de Bradley e Snowden causaram, sobre questões que envolvem segurança nacional, política e militar de vários países e autoridades, ambos os casos, notórios na área de vazamentos, foram basicamente violações internas por funcionários, embora tenham causado danos colaterais fora de suas organizações.

O artigo da Managing Outcomes, diz que “é esse medo de exposição a dano potencial que ajuda a garantir a extensão dos ataques internos, em grande parte escondidos da opinião pública. De fato, 75% dos entrevistados na pesquisa sobre cibercrime do PwC disseram que não envolvem questões como aplicação da lei nem trazem  encargos legais em vazamentos cometidos por pessoal interno (insiders).”

"O desejo de evitar embaraço e publicidade adversa é compreensível, ainda que  as organizações continuem altamente vulneráveis. O relatório da PwC mostra menos da metade dos entrevistados (49%) disseram que tinham uma equipe inter-organização que se reúne regularmente para discutir coordenar e comunicar sobre questões que envolvem a segurança da informação. Com ciberataques em ascensão, o risco de danos à reputação ou uma crise operacional é muito real, e essa ameaça exige um nível muito mais elevado de compromisso da gestão e do planejamento de comunicação", conclui o articulista.

Cibercrime no Brasil

Além das invasões em sites de órgãos oficiais, o caso mais notório de cibercrime apurado pela polícia brasileira veio à tona em 2014, quando foi revelado que a PF e a polícia americana estavam investigando crimes cibernéticos o Brasil.

O golpe cibernético consistia em modificar boletos bancários, alterando valores e demais dados, para desviar os pagamentos de contas, quando, admite-se,  pode ter sido roubado quantia equivalente a US$ 3,75 bilhões (R$ 8,75 bilhões) desde 2012. Foi lá em 2012, que esse tipo de crise foi identificado pela primeira vez, segundo a RSA Research, divisão de cibersegurança da multinacional EMC, que descobriu a fraude dos boletos e a descreveu em seu blog em julho de 2014.

Segundo a RSA, em artigo publicado no jornal O Globo, 34 bancos em mais de um país foram afetados pelo golpe, investigado pelo FBI e pela Polícia Federal. Apesar de afirmar que a investigação do golpe ter envolvido três continentes, a RSA deixa claro que o golpe tinha o Brasil como alvo principal pela dependência dos boletos. O caso foi revelado em 2014 pelo New York Times.

“A PF está tomando todas as medidas necessárias na investigação desses fatos. A investigação obviamente corre em sigilo e, no momento oportuno, quando chegarmos a outras conclusões ao longo das investigações a sociedade será esclarecida dos fatos”, afirmou o ministro da Justiça, José Eduardo Cardozo. Até agora, nove meses depois, pouco se sabe sobre a fraude.

Outras informações sobre o tema
Fraude de boletos investigada por FBI e PF pode ter desviado R$ 8,75 bilhões

Cybercrime Scheme Uncovered in Brazil