Se algum empresário ou executivo ainda não priorizou a cibersegurança na sua empresa, é bom abrir o olho. Os cibercrimes têm se tornado cada vez mais frequentes e sua execução hoje em dia é muito sofisticada. Nada de adolescentes hackers fraudando computadores, mas verdadeiras quadrilhas, com integrantes que são profissionais especializados em diferentes tipos de fraudes, grande parte deles agindo no exterior. Muitos ataques digitais têm o poder de parar o sistema das organizações, que ficam dias sem faturar, vender e ligar os computadores. Para falar sobre esse cenário de riscos cibernéticos, Cláudia Santos conversou com Cristiano Lincoln Mattos, CEO da Tempest, uma das maiores empresas do Porto Digital, especializada em cibersegurança. A Tempest apresentou um crescimento de 40% no ano passado e possui na carteira de clientes grandes players dos setores financeiro, e-commerce, saúde, serviços e telecom. Esse desempenho, segundo Lincoln, é um reflexo do movimento das empresas que começam a se preocupar com a prevenção dos cibercrimes. “A cibersegurança, que era um assunto técnico, tem virado um tema de negócios”, constata o empresário, que explica nesta entrevista os principais tipos de crime, o impacto da Lei Geral de Proteção de Dados e analisa o megavazamento de dados de milhões de brasileiros, além do ciberataque ao Ministério da Saúde.
Pesquisa da PWC, com 4.400 CEOs em todo o mundo, mostrou que para 50% deles os riscos cibernéticos estão entre as principais ameaças ao crescimento da empresa. Qual o motivo dessa preocupação?
Essa pesquisa é interessante porque mostra que o assunto entrou na pauta dos CEOs, dos conselhos de administração etc. A cibersegurança, que era um assunto técnico, tem virado um tema de negócios, as pessoas estão procurando entender qual o impacto disso na estratégia das empresas. A pesquisa mostra como o mercado vem reconhecendo e dando importância ao tema.
Por que isso acontece? O primeiro fundamento tem a ver com a digitalização da economia. Nos últimos cinco ou seis, especialmente nos últimos dois anos da pandemia, todos os negócios estão virando ou já viraram digitais. Quem não vendia online na pandemia passou a vender, quem não tinha trabalho remoto na pandemia passou a ter. Todos os negócios, em maior ou menor grau, estão passando por uma transformação digital, não só ao usar tecnologia dentro da empresa, mas também para vender para seus clientes, para ter uma relação com eles, para prover algum serviço. Todo esse ambiente também puxa problemas de segurança. São ameaças que podem ser vazamentos de dados, fraudes, ataques de extorsão, os chamados ransomware em que a empresa inteira para de funcionar a não ser que se pague o resgate.
Quais são os principais cibercrimes de que as empresas podem ser vítimas?
Existem três principais. O primeiro deles é o vazamento de dados sensíveis da empresa e aí podem ser de pessoas, financeiros, de clientes, há uma variedade. Esses dados são roubados de alguma forma, o que é um grande problema. Imagine o vazamento de dados de clientes de uma escola, uma faculdade, que tem milhares de alunos. Um outro tipo é uma situação chamada de ransomware. Especialmente na pandemia, a gente viu esse tipo de crime explodir de uma forma assustadora, tanto no mundo quanto no Brasil. São ataques feitos por profissionais, não se trata daquela lenda de um adolescente sendo hacker num fim de semana. Estamos falando de grupos criminosos extremamente sofisticados, cheios de recursos, em geral do Leste Europeu, mas também já começam a surgir alguns no Brasil.
Eles invadem o ambiente digital das empresas, tomam o controle, roubam os dados e criptografam tudo. O efeito disso é o seguinte: você chega na segunda-feira para trabalhar e não consegue ligar nenhum computador da empresa, só aparece uma mensagem na telinha dizendo o seguinte: seus dados foram sequestrados, nenhum computador da empresa está funcionando, se você quiser reaver os dados tem que pagar, digamos R$ 5 milhões em bitcoin. E aí o caos está instaurado porque nada funciona: a empresa não fatura, o ponto de venda está parado. Esse tipo de ataque tem um impacto enorme e requer todo o processo de tentar recuperar o sistema.
O terceiro está relacionado à área financeira e aí afeta mais quem vende online ou quem faz transações online. Então, imagine um e-commerce que pode ter um grande volume de fraude. Ou imagina um banco que foi fraudado por alguém que faz um PIX indevido para outra empresa ou para outra pessoa.
Qual o impacto que a LGPD tem, principalmente nos casos de vazamento de dados?
A lei força as empresas a tomarem precauções e medidas básicas de segurança. Existe uma série de providências no caso de haver um vazamento de dados: você é obrigado a notificar o ocorrido, não pode esconder debaixo do tapete, tem que avisar para o regulador, a ANPD (Autoridade Nacional de Proteção de Dados Pessoais), e também para os seus usuários, para a bolsa de valores etc. Além disso, se roubarem a base de dados dos seus clientes, isso já virou um problema de imagem da empresa junto a eles. Você vai ter também um problema jurídico e poderá se expor a um processo porque não seguiu a LGPD, você pode ter um problema regulatório, ser multado pela ANPD porque você não tomou as medidas básicas.
É importante ressaltar que não é só a LGPD. Existem outras regulamentações de setores específicos. Por exemplo, no Banco Central há uma regulamentação de cibersegurança que todas as instituições financeiras do País têm que seguir, elas têm que implementar uma série de controles, não importa se é um grande banco ou uma corretora. Da mesma forma, o setor elétrico também deve seguir as regulamentações do ONS (Operador Nacional do Sistema Elétrico). Esse aspecto da regulamentação tem acelerado o nosso mercado de segurança.
Você falou que os hackers não correspondem à imagem do adolescente nerd atuando de forma amadora. Quem são esses criminosos?
São grandes profissionais especializados em fraude digital, extorsão e vazamento de dados etc. Até uns 10, 15 anos atrás, ainda havia aquele perfil do curioso, do hacker de final de semana, do estudante que fez alguma besteira. Essa era da inocência acabou. Hoje em dia esses crimes viraram business, do mesmo jeito que há tráfico de drogas sendo um negócio ilegal extremamente profissional e estruturado, cibercrime hoje, cada vez mais, é isso também. A gente está falando de grupos, e não de uma pessoa. Existe toda uma economia underground do crime em que há diferentes papéis de fraude. Então tem o cara que é especializado em roubar a sua conta, tem um outro cara que é especializado em tirar o dinheiro da conta e movimentar para um laranja, um outro cara que é especializado em fazer infecção por ransomware e, um outro, especializado em negociar o resgate.
É efetivamente um supply chain do crime, uma cadeia de valor do crime, com especialização de papéis. Uma pessoa faz o software, a outra executa, e há modelos de negócio. Existem até modelos de franquia. Vou dar um exemplo: esses ataques de ransomware, em geral, o software malicioso para fazer isso é produzido no Leste Europeu. Como é que ele vem parar aqui no Brasil? Esse pessoal lá do Leste Europeu tem parcerias com grupos criminosos daqui do Brasil que, digamos assim, alugam o software que é superpoderoso, especializado etc. e pagam um pedaço dos lucros do crime para os desenvolvedores de software do exterior.
Leia a entrevista completa na Edição 191.1 da Revista Algomais: assine.algomais.com