Como você mantém os dados seguros quando o inimigo já rompeu suas defesas?
Em algum momento de 2017, um cassino na América do Norte contratou a Darktrace, uma empresa britânica de cibersegurança, para auxiliá-la na resposta a um vazamento de dados. A maioria das empresas de cibersegurança promete bloquear atacantes externos de penetrarem sua organização, mas a Darktrace, fundada por ex-operadores do MI5 e matemáticos de Cambridge, adota uma abordagem mais sutil. Ela usa Machine Learning para conhecer uma empresa de dentro. O suficiente para detectar qualquer desvio dos padrões normais do trabalho diário. Quando o sistema detecta algo suspeito, alerta a empresa.
A Darktrace geralmente diz aos seus clientes para não esperarem muitas informações úteis na primeira semana ou assim, quando seus algoritmos estão ocupados aprendendo. Nesta instância, porém, o sistema quase imediatamente reportou algo estranho: dados vazando através dos sensores de um aquário. O cassino havia instalado recentemente o aquário como uma atração para os hóspedes. Ele tinha sensores eletrônicos que se comunicavam com a empresa de manutenção do tanque, de modo que se a temperatura da água ficasse abaixo de uma certa temperatura, alguém seria enviado para consertar o problema. A Darktrace notou que mais de 10 GB de dados tinham sido transferidos, através do tanque, para um dispositivo externo com o qual nenhum outro dispositivo da empresa havia se comunicado. Um atacante na Finlândia havia encontrado um ponto de entrada.
Tão estranho quanto seja, a história do aquário é tranquilizadoramente familiar. Estamos acostumados com a ideia de que existem cibercriminosos tentando invadir empresas e governos. Mas a realidade, nua e crua, é que muitas das ameaças que a Darktrace descobre são perpetradas por pessoas confiáveis dentro de uma organização.
“Os incidentes que me deixam de boca aberta, os realmente audaciosos, tendem a envolver funcionários.”
Dave Palmer, co-fundador e diretor de tecnologia da Darktrace.
A noção de ameaça interna tornou-se um tópico relevante entre aqueles cujo trabalho é proteger organizações contra crimes digitais.
“Se eu fosse um Chief Information Security Officer (CISO), meus próprios funcionários seriam o que me manteria acordado à noite”
Justin Fier, diretor de inteligência cibernética e análise da Darktrace.
As empresas de cibersegurança estão desviando seu olhar do horizonte e voltando para a sua própria infraestrutura. Isso representa uma mudança enorme na forma como os gestores estão pensando sobre a integridade de suas organizações. Os funcionários precisam se acostumar com a ideia de que podem estar a um passo de serem considerados malware humano.
Convencionalmente, programas de software de segurança atuaram como porteiros patrulhando o perímetro da empresa. Eles guardam os portões, procurando por características que correspondam às descrições que lhes foram dadas de cibercriminosos conhecidos. Mas hoje, um malware é muito mais fácil de criar e distribuir. Vírus se movem mais rápido e agem de forma mais inteligente. Seus criadores dão a eles disfarces desconcertantes e frequentemente mutáveis que confundem software projetado para reconhecer ameaças conhecidas.
As organizações também são vulneráveis em muitos mais pontos. A internet das coisas (IoT) está expandindo rapidamente o que especialistas em segurança chamam de “superfície de ataque”. Os invasores agora podem entrar em uma organização através de uma máquina de venda automática, um termostato inteligente ou uma TV, sem mencionar os muitos dispositivos conectados que os funcionários carregam ou usam todos os dias. Os porteiros, enganados e sobrecarregados, responderam como líderes autoritários tentando conter a criminalidade, introduzindo políticas de segurança cada vez mais draconianas1. Mas quando os funcionários posteriormente acham mais difícil trabalhar, inovar e experimentar, o negócio sofre.
O cérebro humano tem duas maneiras de lidar com o risco:
- a primeira é detectar uma ameaça e instigar a ação apropriada. O psicólogo Daniel Gilbert descreve o cérebro como “uma máquina projetada que constantemente escaneia o ambiente em busca de coisas das quais deve se afastar agora”;
- a segunda é a capacidade de evitar possíveis perigos, que foi desenvolvida muito mais tarde na evolução humana: a capacidade de antecipar e bloquear. Daí capacetes, seguros e softwares antivírus. Esta segunda abordagem significa que podemos organizar nossas vidas de forma a reduzir a exposição a ameaças. Mas vem com desvantagens. Para começar, prejudica nossa liberdade.
A maneira tradicional de fazer cibersegurança é exercer cada vez mais controle sobre o negócio. A Segurança da Informação de uma organização pega uma lista de malwares e a conecta ao sistema de e-mail e laptops, para saber que, se um desses ataques acontecer será parado. Então você escreve uma lista de todas as coisas que não quer que seus funcionários façam, por exemplo, fazer upload de dados para seu Dropbox pessoal, Google Drive, utilizar LLMs, como por exemplo, ChatGPT, Gemini, Claude. ou visitar certos sites. Eventualmente, todas essas regras e políticas prejudicam a agilidade do negócio, porque impedem a capacidade das pessoas de experimentar. Às vezes você entra em uma grande organização e sente sua alma vazar. Todos têm o mesmo laptop. Eles podem visitar apenas 600 sites. Não podem receber informações de outras fontes. Torna mais difícil colaborar e criar.”
Outra abordagem que vem sendo adotada é anotar tudo o que acontece no negócio, cada ação tomada regularmente, depois analisar os dados, detectar qualquer atividade incomum e intervir antes que se torne perigosa. Mas em um grande negócio, pode haver dez milhões de coisas acontecendo todos os dias. Este é o tipo de problema que o Machine Learning é bom em resolver. Ele pode detectar padrões e detectar anomalias, em escala e velocidade. O negócio diz ao sistema: ‘Quero que você vá e aprenda o que é normal, e depois me diga o que é interessante.'”
Provavelmente nunca ocorreu ao cassino que havia um computador embaixo do aquário, e muito menos que alguém deveria estar monitorando-o. No papel parecia com todos os outros dispositivos conectados a sua infraestrutura.
Depois do vazamento de dados de Edward Snowden da NSA e da transferência de inteligência militar de Chelsea Manning para WikiLeaks, governos e empresas acordaram para os perigos da Insider Sabotage. O presidente Obama estabeleceu a Força-tarefa Nacional de Ameaça Interna e ordenou que todas as agências governamentais tomassem medidas para se protegerem de funcionários desviantes. A possibilidade de que alguém dentro do governo pudesse buscar prejudicar suas operações não é nova: Robert Hanssen, um agente do FBI, vazou milhares de páginas de material classificado para os serviços de inteligência soviéticos e russos de 1979 a 2001. Mas conforme computadores conectados à internet se tornaram centrais para a maioria das organizações, a população de possíveis delinquentes se expandiu enormemente. De acordo com um relatório do Cybersecurity Insiders, dois terços das empresas dos EUA agora consideram ameaças internas mais prováveis do que ataques externos. Até mesmo insiders de médio escalão podem acessar vastas quantidades de dados sensíveis e levá-los para fora do edifício num piscar de olhos. Suas motivações? Dinheiro, ideologia, vingança mesquinha, e o puro deleite de quebrar regras.
Sasse co-escreveu um artigo, “The user is not the enemy” (O usuário não é o inimigo), baseado em suas descobertas, que agora é considerado seminal pelos acadêmicos de cibersegurança. No mundo dos negócios, ainda há uma cortina de ferro entre o departamento de TI e o resto da empresa. Ou seja, os técnicos e pessoas de negócios não falam sobre como podem trabalhar juntos para serem resilientes. As pessoas de SI fazem parte de um conluio de especialistas que estabelecem regras e depois tentam forçá-las para as organizações e indivíduos. Mas você não pode apenas adotar os mandamentos da montanha, precisa entender as prioridades das pessoas em sua empresa, e não pode fazer isso se não ouvir. Se tudo o que você faz é emitir sanções, ninguém o ouvirá.
Debi Ashenden, professora de cibersegurança na Universidade de Portsmouth, concorda. E dia que tudo começa com como você entende o risco. Tradicionalmente, a cibersegurança usou modelos de risco da matemática e das ciências duras. Mas qualquer vez que você tem seres humanos interagindo com tecnologia, o risco é nebuloso. É sobre contexto social, ela argumenta: como essa pessoa está se sentindo; qual é seu apetite pelo risco. Esta informação não pode ser avaliada por um questionário. Tipicamente, as pessoas apenas fornecem a informação mínima necessária, ou falsificam suas respostas, apenas para poderem prosseguir com seu trabalho. A única maneira de chegar à verdade é ter conversas abertas. Um profissional de segurança uma vez me disse que quando você tem um relacionamento de confiança com a equipe, eles ‘confessam’ coisas que nunca o diriam de outra forma.
Não obstante, estão sendo feitas tentativas para quantificar o risco de um funcionário se tornar uma ameaça. A firma de consultoria EY aconselha seus clientes a desenvolver “programas de vigilância abrangentes” que “iluminem os cantos escuros de sua empresa. Outras startups oferecem ferramentas baseadas em dados que atribuem “pontuações de risco” aos funcionários, com base em itens como conformidade de despesas, horários de login e registros de presença. Alguém está se envolvendo em conversas por email muito menos do que antes, indicando desengajamento com a empresa? Eles estão procurando na rede por informações de uma forma que sugere intenção maliciosa? O princípio, de buscar anomalias, é semelhante ao método da Darktrace, mas com foco no humano em vez da máquina. Michael Gelles, um psicólogo forense e especialista em ameaças internas, disse à revista Security que quando várias anomalias se juntam, o próximo passo é analisar mais de perto o indivíduo: “Vemos um funcionário baixando muitas informações, e também notamos que seu desempenho é ruim, e ele não está vindo para o trabalho com frequência. Essas irregularidades precisam ser apuradas.”
Conclusão
A Necessidade de uma Abordagem Integrada: Tecnologia e Humanidade
O cenário de cibersegurança contemporâneo apresenta um paradoxo: enquanto as organizações investem bilhões em sofisticadas soluções tecnológicas como a Darktrace, o verdadeiro vulnerável permanece sendo o elemento humano. A história do aquário no cassino ilustra perfeitamente esta realidade. Não foi o perímetro da rede que falhou, mas sim a falta de compreensão sobre o que deveria ou não estar conectado naquele ambiente.
Os dados são inequívocos: duas em cada três empresas americanas agora veem as ameaças internas como mais perigosas que os ataques externos. No entanto, a maioria das organizações ainda aborda a cibersegurança como um problema estritamente técnico, implementando políticas cada vez mais restritivas que prejudicam a inovação e a produtividade sem necessariamente aumentar a segurança real.
A mudança de paradigma necessária não reside simplesmente em algoritmos mais sofisticados ou sistemas de vigilância mais invasivos. Reside, fundamentalmente, em reconhecer que a segurança da informação é, antes de tudo, uma questão humana. Profissionais como Angela Sasse e Debi Ashenden demonstraram que compreender como as pessoas realmente pensam e se comportam é tão crucial quanto qualquer ferramenta tecnológica.
O caminho para frente exige diálogo autêntico entre departamentos de TI e gestores de negócios, substituindo mandatos por compreensão, sanções por confiança. Quando as organizações conseguem estabelecer relacionamentos baseados em confiança mútua e escuta genuína, os funcionários deixam de ser vistos como ameaças potenciais e tornam-se parceiros na construção de uma postura de segurança resiliente.
A verdadeira defesa contra ameaças, internas ou externas, será sempre aquela que alia tecnologia inteligente com psicologia humana bem compreendida. Sem essa integração, as organizações continuarão construindo muros sofisticados enquanto deixam as portas abertas.
- Draconiana: a palavra vem de Draco, um legislador da Grécia Antiga conhecido por ter criado leis muito duras e puritivas, com punições extremamente severas até para infrações menores. ↩︎