Nós somos o elo mais fraco

No relatório anual “Global Risk Perception Survey” divulgado pelo World Economic Forum, os ciberataques fizeram parte do top 5 em 2018 e 2019, e em 2022 foram classificados como a 7ª maior ameaça global para os próximos 2 anos e a 8ª nos 3 anos seguintes.

Com a pandemia e as distintas crises que emergiram no início de 2022, outras notícias que não o cibercrime foram dominando a atenção mediática, com exceção de alguns casos que pela sua proximidade e impacto na vida das pessoas, acabaram por ganhar algum destaque.

Mas a verdade é que este tipo de crime do mundo digital não tem estado de férias e não há indicador nenhum que nos diga que a escalada verificada nos últimos anos vá abrandar agora. Os ataques de ransomeware às grande organizações vão continuar a suceder em maior escala e com mais frequência. O o roubo de dados, de identidade dos cidadãos ou acesso indevido às suas contas bancárias vai também continuar a aumentar.

A pandemia digitalizou mais as nossas vidas e obrigou-nos a entrar no mundo digital mais rápida e profundamente. Mais serviços online estão hoje na palma da nossa mão e passamos também a trabalhar de forma remota a partir de muitos lugares. Não poderia haver cenário mais propício para o pequeno ou grande delito digital. Ouvimos falar nos grandes casos de pedidos de resgate, mas também da chamada fraude do MBWay que foi ganhando vítimas muito pela baixa educação digital destes novos internautas.

Hoje qualquer um pode ser um cibercriminoso. No submundo da internet (dark web) compra-se malware “faz tu mesmo” por menos de 10 dólares com garantia de satisfação dada por vendedores bem cotados ou contratam-se serviços de “ransomeware” onde o custo está indexado ao sucesso do pedido de resgate. Esta é uma situação particularmente grave no caso de Portugal, pois esta democratização no acesso a estas ferramentas pode levar a uma maior incidência nas PMEs na sua maioria com menos defesas de cibersegurança necessitando de menor sofisticação no ataque.

É por isso, que mais do que nunca, deve ser feita uma grande aposta na prevenção, através das componentes tecnológicas, mas acima de tudo na componente humana. A tecnologia, regulamentação e técnicas maliciosas, andarão sempre num jogo do gato e do rato, onde nenhuma parte terá grande vantagem sobre as outras. O que fará sempre diferença é o comportamento das pessoas, pois está mais do que provado que 95% dos incidentes de cibersegurança foram provocados por falhas do utilizador

No mundo pós pandemia, muitos continuam a trabalhar alguns dias da semana a partir de suas casas ou em outros lugares onde estejam temporariamente. É o que se passou a chamar de trabalho híbrido, que faz com que os acessos se façam através de várias redes publicas e privadas elevando exponencialmente o risco de intrusão e roubo de dados. Até o facto do PC enquanto ferramenta de trabalho estar mais tempo em casa das pessoas faz com que por vezes seja utilizado por outros, como por exemplo os filhos, que através do download de aplicações gratuitas podem estar a instalar malware que mais tarde pode vir a contaminar toda uma organização.

Éfundamental a promoção de uma educação digital para todos, baseada na Confiança Zero (zero trust) independentemente das ferramentas tecnológicas de cibersegurança utilizadas. Só a consciência de que estamos constantemente a ser alvos de tentativas de intrusão nos deixará alerta para evitarmos aquelas que não foram bloqueadas pelas várias barreiras criadas pelas organizações para as quais trabalhamos ou pelos operadores tecnológicos que nos servem.

Se numa mensagem – mesmo de um remetende conhecido - nos pedem para acedermos a um link que não conhecemos ou nos enviam um ficheiro que não é habitual, muito provavelmente a conta dessa pessoa conhecida foi “hackeada” e está agora a ser utilizada para ações de phishing. Se recebemos no telemóvel uma mensagem sobre uma encomenda que não estamos à espera, mais vale não ser curioso ou achar que o Natal chegou mais cedo. A desconfiança tem sempre de estar presente.

Quantas pessoas continuam a ter os seus routers em casa, sem password ou com a senha de fábrica? Quantos continuam a ter o nome do cão ou datas de nascimento como password que utilizam igualmente em todos os logins de acesso a sites? Estes são comportamentos de risco que denotam pouca consciência para o problema, e aqui todos têm de fazer um esforço levar este conhecimento às pessoas. As empresas devem exercer ações de formação sobre cibersegurança, os cidadãos devem procurar adquirir essas competências e o estado deve assumir também essa prioridade dentro do pilar da Transição Digital no Plano de Recuperação e Resiliência, endereçando as empresas, administração publica e escola digital. O Centro Nacional de CiberSegurança tem muita informação disponível, como cursos de e-learning para o cidadão ou guias práticos para as empresas.

Em paralelo, o investimento em tecnologia tem de continuar a aumentar nesta vertente. O trabalho remoto faz com que a proteção dos sistemas deixe de ser tão centralizada e se foque muito nos postos de trabalho. A capacidade de bloqueio proactivo integrada no hardware recorrendo a inteligência artificial e a criação automática de ambientes virtuais para testar acessos de risco é hoje fundamental para aumentarmos o nível de segurança dos nossos computadores pessoais: Mas não nos deixemos enganar: a componente humana será sempre o elo mais fraco a ser explorado por todos aqueles que fazem do cibercrime o seu negócio.