Caso de Cliente. O Conto da Espionagem Industrial no Setor de TI

Um equívoco comum sobre espionagem corporativa é achar que é um problema exclusivo de empresas que lidam com informações sensíveis sobre inteligência governamental. Mas nada poderia estar mais distante da realidade.

Grandes e pequenas empresas podem ser vítimas de acesso malicioso a dados. Felizmente, embora o prejuízo decorrente da perda de informações possa ser enorme, também é relativamente fácil de evitar.

O roubo de informações críticas por norma acontece devido a pequenas falhas de segurança e falta de sensibilização. Já publicamos um artigo com uma análise aprofundada sobre DLP.

Hoje decidimos ir mais longe e falar de um exemplo concreto de um cliente nosso (com nomes e detalhes alterados por questões de privacidade) sobre a questão da espionagem corporativa e a crescente preocupação com proteção de dados.

Não há muito tempo, uma empresa de tecnologia dos EUA compartilhou a história de dois funcionários culpados por roubar segredos comerciais e outros dados corporativos sensíveis (antes de a empresa implementar o Kickidler DLP). Os invasores passaram anos planejando o acesso aos necessários para abrir sua própria empresa na China e competir no mercado bilionário de semicondutores.

Nosso cliente aposta na inovação em semicondutores analógicos de elevado desempenhou e investiu mais de $50 milhões de dólares em P&D nos últimos 25 anos, com recursos em doze soluções tecnológicas diferentes.

Os atacantes escolheram um método “low and slow” de exfiltração: foram lentamente roubando dados sensíveis ao longo de vários anos. Essa abordagem, muitas vezes vista em casos de espionagem corporativa, tem por base contornar as medidas de segurança através de ações metódicas; os atacantes testem pontos de controle procurando ativar alertas antes das tentativas efetivas de exfiltração. Isso torna a identificação da atividade maliciosa bem mais complicada, já que ela espalha ao longo de anos de comportamento aparentemente normal. Assim, encontrar evidências nos registros de atividade é como procurar agulha em palheiro.

Medidas de Segurança da Empresa

Avaliemos primeiro a maturidade dos protocolos internos contra ameaças de insiders com base no implementado para proteção de dados.

Controles de segurança vigentes:

• NDAs;
• restrições físicas (crachás, cartões de acesso);
• treinamento de funcionários em confidencialidade;
• câmaras de segurança;
• exigência de nomes de usuários e senhas;
• acesso VPN restrito;
• entrevistas de saída.

Pontos positivos: procedimentos dissuasórios comuns, como avisos de login e assinatura de NDAs, haviam já sido implantados para alertar usuários e oferecer proteção jurídica. Os controles físicos eram adequados à organização. E havia sido implementado treinamento anual de sensibilização para os funcionários.

Mas era evidente a falta de ferramentas de proteção de dados no momento do ataque. Um bom software DLP é mecanismo fundamental para deteção e prevenção de ameaças internas; com ele em atividade, e configurado corretamente, poderia ter ajudado a identificar comunicações de email hostis ou maliciosas com entidades externas.

Também não existia um meio centralizado de análise de dados: cada ponto de controle era monitorado de forma isolada, sem análises abrangentes.

Perfil do Ataque

O método de exfiltração foi o envio de emails: mensagens simples com anexos confidenciais enviadas com frequência elevada para partes externas.

O conteúdo dos emails não era criptografado; só endereços corporativos foram evitados, pois poderiam ser rastreados, e algumas mensagens foram escritas em chinês, o que dificultou a identificação do conteúdo.

Os anexos variavam entre diagramas de projeto, planilhas e documentos de texto e bancos de dados.

Os atacantes foram tão audazes que tentaram patentear partes dos dados roubados nos Estados Unidos e China, em nome de uma empresa criada nas Ilhas Caimão.

O roubo provocou danos significativos à organização, resultando em perda temporária de vantagem competitiva e várias repercussões jurídicas.

Segredos comerciais subtraídos:

• projetos de produtos;
• especificações de equipamentos;
• planos de projeto;
• relatórios de testes;
• dados de performance;
• bancos de dados;
• dados corporativos sensíveis (nomes de usuário, senhas).

Análise de Comportamento

Os dados subtraídos incluíam vários tipos, desde preços, projetos, bases de fornecedores e clientes, mas nem todos tipicamente acessados pelo cargo dos envolvidos (engenheiros).

A implementação de um software UBA poderia ter identificado os padrões exibidos pelos engenheiros, mostrando como eram anormais em comparação com os arquivos e pastas consultados por colegas.

Os recursos de UBA do nosso software poderiam ter também ajudado a identificar movimentações de dados (volumes, frequência e destinatários) e desvios em relação ao comportamento usual dos invasores (como o envio externo de grandes volumes de dados sensíveis).

Esse caso é um exemplo típico de ameaça interna que não foi enfrentada com a maturidade necessária de integrar diversas ferramentas em um recurso centralizado. Quando prevenção de perda de dados, analytics de comportamento de usuário e monitoramento de funcionários agem de forma sincrônica, é bem mais fácil detetar atividades internas maliciosas.

Medidas Preventivas

As organizações têm de adotar medidas robustas de cibersegurança preventiva para proteger seus negócios.

Eis estratégias para minimizar riscos à segurança dos dados:

• Monitorar a atividade dos usuários com software de acompanhamento para detetar em tempo real comportamentos incomuns ou tentativas de acesso não autorizado;
• Restringir o acesso a informações sensíveis de acordo com o cargo do funcionário, garantindo que apenas pessoas autorizadas vejam dados confidenciais;
• Implementar autenticação de dois fatores e incentivar o uso de senhas complexas, adicionando proteção extra;
• Fazer auditorias de segurança com regularidade para avaliar protocolos e identificar vulnerabilidades potenciais;
• Estabelecer uma cultura de sensibilização para a segurança com workshops e seminários, diminuindo tentativas de espionagem corporativa;
• Desenvolver políticas claras sobre manuseio de dados, para criar um ambiente onde colaborador se sinta responsável por proteger informações sensíveis;
• Oferecer treinamento contínuo em cibersegurança para instruir a equipe sobre ameaças comuns e táticas de engenharia social.

Como o nosso cliente exemplifica, a espionagem corporativa é uma realidade em qualquer ramo. Uma vez que as empresas sempre tentam minimizar a divulgação desses casos para evitar danos na sua reputação, o tema não recebe a atenção devida.

Mas não se preocupe! Nossos especialistas Kickidler sabem tudo sobre diversos problemas e utilizam o conhecimento para proteger as informações da sua empresa contra aqueles mal-intencionados. Tenha uma solução à sua medida para as necessidades do seu setor, capaz de revelar vulnerabilidades ocultas que talvez você não conheça internamente, reforçando a segurança dos seus dados.

Proteja o seu negócio e salvaguarde informações sensíveis com Kickidler!