Como os "hackers" agiram no ataque ao Superior Tribunal de Justiça do Brasil?

Investigação, lições e como se proteger do ransomware


José Antonio Milagre*

Um dos maiores ataques cibernéticos do país indisponibilizou serviços do Superior Tribunal de Justiça Brasileiro (STJ). Estima-se que o Ministério da Saúde também tenha sido atingido. Após ter dados críticos criptografados, os técnicos da corte encontraram um pedido de resgate.

Ao que identificado, o STJ foi vitimado por uma ameaça conhecidíssima, nada de “alta tecnologia”, mas um ataque de ransomware, “sequestro de dados”, códigos automatizados que ao infectarem máquinas, criptografam arquivos com diversas extensões, ou mesmo cifram o disco todo, exigindo o pagamento em bitcoins.

No caso do STJ, o ataque criptografou os arquivos, renomeando as extensões, aparentemente, para *. Sth888. Como prova de que podem reverter o conteúdo, pedem que a vítima envie qualquer arquivo menor que 900 KB e devolverão descriptografados.

Assim, bases de dados críticas, sistemas, servidores web e softwares são paralisados, causando indisponibilidade de serviços e grandes transtornos. No caso, até audiências foram paralisadas. Trata-se de uma ameaça onde o que não se falta são medidas “preventivas” para evitar que criminosos tenham sucesso com o golpe digital. (Já tratei inclusive deste tema no meu canal em Ransomware: Como evitar, remover, descriptografar e descobrir como foi infectado? 2020 José Milagre 

Muitos poderiam pensar que um Tribunal estruturado e com um grande orçamento, jamais seria vítima de uma ameaça tão conhecida, para qual existem recursos preventivos diversos. Porém, a invasão ao STJ e a outros órgãos públicos nos faz refletir sobre alguns pontos:

a) Não importa o quão a empresa invista e infra-estrutura em seu ambiente, na nova forma de trabalho, home office, a vulnerabilidade pode estar no elo mais fraco da corrente, ou seja, as máquinas vulneráveis dos trabalhadores, que acessam a VPN ou rede da empresa;

b) Até mesmo ameaças conhecidas, se não tratadas com medidas e técnicas e organizativas, podem impactar grandemente em dados e na disponibilidade de sistemas; Um exemplo de boa prática é a adoção de backups e o estabelecimento de um disaster recovery plan.

c) Uma estrutura de resposta a incidentes jamais será eficaz se não estiver formalmente constituída e preparada com atencedência, com processos claros para compreensão do incidente, se evolve dados pessoais ou se há a necessidade da perícia em informática, para que se possa identificar e apurar o modus operandi e a possível autoria.

Os criminosos podem responder, de acordo com a situação, dentre outros delitos, por invasão de dispositivo informático e também pelo delito de interrupção ou perturbação de serviço informático ou de informação de utilidade pública, crimes previstos no Código Penal Brasileiro e Lei 12.737/2012 (Carolina Dieckman).

No entanto, no caso do ataque de ransomware, tão dificultoso quanto descriptografar os dados sem a chave de reversão (o que demandaria muito poder de processamento, diante da complexidade dos algoritmos), é a apuração da autoria ou dos responsáveis. A perícia digital e em informática lidará com origem incerta, além da dificuldade de apurar a conta de destino do resgate, considerando que os criminosos recebem em criptomoedas e as transações na Blockchain podem não indicar muito sobre o recebedor. 

Importante destacar, igualmente, que de acordo com a Lei Geral de Proteção de Dados, os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Mais que isso, deverão comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, em prazo razoável, indicando a descrição da natureza dos dados pessoais afetados, as informações sobre os titulares envolvidos, a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial, os riscos relacionados ao incidente e as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

Logo, é dever do órgão apurar se existiu ofensa a dados pessoais e ser transparente a respeito, nos termos da legislação nacional de proteção de dados.

Ferramentas e kits que permitem que qualquer pessoa aplique o ransomware e se torne um criminoso, com alguns cliques, são facilmente encontradas na rede. Pacotes efetivos e “atualizados” são vendidos na deep web, inclusive com disparos de e-mails “pishing” e outras formas mais sofisticadas de infecção, como o carregamento do código a partir do navegador, com o acesso a um site infectado. Em sentido oposto, as técnicas de perícia em informática para rastreio da Blockchain em busca do destino do dinheiro produto de crime engatinham e as transações em criptomoedas para fins ilícitos constituem um grande desafio para peritos de informática e investigadores digitais.

Deste modo, o ransomware, conquanto ameaça conhecida, continua em alta e muito efetiva, lesando de pequenos empresários e grandes cortes, sobretudo diante dos descuidos com proteção de dados e cópias de segurança, e como visto, a prevenção continua sendo a melhor forma de proteção contra este problema.

Prof. MSc. José Antonio Milagre, é perito em informática, advogado especialista em crimes cibernéticos e direito digital, Mestre e Doutorando Ciência da Informação pela UNESP, Pesquisador do Nucleo de Estudos em Web Semântica e Análise de dados - NEWSDA-BR da Universidade de São Paulo (USP), Diretor do Instituto de Defesa do Cidadão na Internet - IDCI. Autor pela Editora Saraiva em co-autoria com o Professor Damásio de Jesus, dos livros e “Marco Civil da Internet: Comentários à Lei 12.965/2014” e “Manual de Crimes Informáticos”. É colunista da Rádio Justiça/STF.

consultor@josemilare.com.br

***

O Primeiro Satélite Brasileiro será integrado ao veículo lançador no Centro Espacial de Kouru, na Guiana

A segunda fase de lançamento do Satélite Geoestacionário de Defesa e Comunicações Estratégicas (SGDC) teve início neste mês. Agora, o primeiro satélite brasileiro deve entrar em órbita no dia 21 de março.

"O procedimento ficou a cargo da Arianespace. Está correndo tudo bem", afirma o gerente de Engenharia e Operações de Satélites da Telebras, Sebastião Nascimento, que acompanha as atividades no centro de Kouru, na Guiana.

Nos próximos dias, o SGDC passará pela fase final de preparação para o lançamento ao espaço. O equipamento será acoplado ao veículo lançador Ariane VA 236, junto a um equipamento sul-coreano que será levado no mesmo módulo.

O primeiro satélite geoestacionário do Brasil terá uso civil e militar. O equipamento deve ampliar a oferta de banda larga em todo o território nacional, principalmente em regiões remotas do País, e garantir a segurança das comunicações na área de defesa.

O SGDC vai operar nas bandas X e Ka. A primeira é uma faixa de frequência destinada exclusivamente ao uso militar, correspondendo a 30% da capacidade total do satélite. Já a banda Ka, que representa 70%, será usada para ampliar a oferta de banda larga pela Telebras.

Parceria

O Satélite Geoestacionário é uma parceria entre o Ministério da Ciência, Tecnologia, Inovações e Comunicações (MCTIC) e o Ministério da Defesa e conta com investimentos no valor de R$ 2,1 bilhões. O processo de construção e lançamento do SGDC também envolve engenheiros e especialistas da Telebras e da Agência Espacial Brasileira (AEB), além da empresa Visiona.

Com 5,8 toneladas e 5 metros de altura, o equipamento ficará posicionado a uma distância de 36 mil quilômetros da superfície da Terra, cobrindo todo o território brasileiro e o Oceano Atlântico. Ele será operado por dois centros de controle, em Brasília e no Rio de Janeiro. Também há outros cinco gateways – estações terrestres com equipamentos que fazem o tráfego de dados do satélite – que serão instalados em Brasília, Rio de Janeiro, Florianópolis (SC), Campo Grande (MS) e Salvador (BA).

MEGA SISTEMAS CORPORATIVOS E WINE: TECNOLOGIA E E-COMMERCE LADO A LADO

Juntas, as empresas trabalham para vencer os desafios de um mercado ágil, acelerado e em crescimento constante, sempre em busca da excelência

Fundada há menos de uma década com um conceito inovador, a Wine chegou à terceira posição no ranking do e-commerce mundial de vinhos. Hoje, a empresa continua crescendo e acredita que é possível conquistar a liderança absoluta deste mercado.

E essa aspiração não é irreal. Afinal, comprometimento e expertise são qualidades que estão no DNA da companhia. E quando o assunto se trata de parcerias, uma tem obtido um destaque relevante na história da Wine: a firmada com a Mega Sistemas Corporativos. “A tecnologia também está no nosso DNA. Buscamos sempre as melhores soluções e, para isso, contamos com um setor próprio de desenvolvimento e pesquisa, que analisa, testa e projeta a Wine para um crescimento eficiente. Estar junto com a Mega significa muito para gente. Desde o início da nossa parceria, temos percebido nossa evolução com a utilização do ERP Mega Logística. Quando começamos, não tínhamos internamente uma área fiscal ou de contabilidade, mas, hoje, temos todos os setores funcionando aqui dentro e conseguimos fazer os fechamentos mensais antes do 5º dia útil. Para nós, isto é extremamente importante para o giro do negócio”, conta o Gerente de Sistemas e Infraestrutura da Wine, Clayton Freire.

Com cerca de 160 mil notas fiscais emitidas mensalmente, agilidade, eficiência e segurança das operações se apresentam como requisitos essenciais para o sucesso de uma companhia como a Wine. Para quem atua com e-commerce, cada vez mais se torna necessária a adoção de uma gestão adequada, eficaz e integrada devido à velocidade nas operações.

Para conseguir manter tudo em dia, a Wine conta com todos os benefícios do ERP Mega Logística. “Este é um ponto no qual nos destacamos. O mercado online requer decisões e respostas rápidas. Acredito que o que existe entre nós é uma visão de parceria e não de fornecedor x cliente. Estamos nos aproximando cada vez mais, compartilhando nosso plano de crescimento e o que desejamos agora, em 2015, e amanhã. Apontamos as nossas necessidades e a Mega se empenha em contribuir para que possamos chegar aos objetivos desejados", pontua Freire.

As ferramentas utilizadas pela Wine compreendem a solução de gestão empresarial completa, verticais de TMS e Contratos. Dentre elas, o módulo de Distribuição é o mais relevante para a companhia. “É dele que vem o nosso faturamento. Este módulo precisa estar sempre redondo e atualizado. A implementação mais recente que fizemos foi o faturamento automático com integração entre o nosso WMS e o ERP Mega Logística. Isto nos trouxe mais um importante ganho para a operação”, informa o gerente.

A equipe Wine acredita que, para continuar sendo produtiva, a tecnologia empregada em seus processos necessita estar em constante atualização. “Costumamos dizer que as implementações não terminam nunca. Estamos sempre automatizando novos procedimentos e disponibilizando funcionalidades novas. Temos uma equipe interna altamente capacitada para atender as nossas demandas rapidamente. Essa parceria com a Mega Sistemas Corporativos, como todas as outras que cultivamos, nos fortalece ainda mais e nos impulsiona a conquistar os nossos objetivos”, conclui Freire.

Para saber mais, assista ao #CaseDeSucesso: Wine no link https://www.youtube.com/watch?v=4_pjjONd19o e saiba mais sobre a empresa no site www.wine.com.br.

Sobre a Mega Sistemas Corporativos

A Mega Sistemas Corporativos é uma S.A. de capital fechado que nasceu no estado de São Paulo, em 1985. Em 30 anos de trabalho, a empresa cresceu, ampliou o seu portfólio de produtos e serviços e se consolidou com uma das mais importantes companhias de TI do Brasil, oferecendo soluções de gestão empresarial para os mercados de Construção, Manufatura, Logística, Combustíveis, Agronegócios e Serviços. Com presença direta em São Paulo, Curitiba, Rio de Janeiro e Minas Gerais, a companhia conta ainda com 15 canais de atendimento, 700 colaboradores e mais de 2.000 clientes em todo o território nacional.

www.mega.com.br

Sobre Wine

A Wine foi fundada em 2008 em Vila Velha, no Espírito Santo, e é considerada uma das empresas mais inovadoras do Brasil. Referência no e-commerce, inovou ao levar não apenas o vinho à casa de milhares de pessoas no Brasil e na América Latina, mas, principalmente, uma experiência única aos seus clientes. Hoje, ocupa a terceira posição no ranking do e-commerce mundial de vinhos.

www.wine.com.br

Quais os rumos da biometria no Brasil?

Executivo da Lumidigm revela que não há nenhum dispositivo 100%  à prova de fraudes. Mas os sensores de impressão digital estão quase lá

O Brasil vem chamando atenção do mundo todo por sua capacidade de rapidamente absorver novas tecnologias biométricas em vários segmentos – o que garante uma posição de destaque, principalmente no mercado financeiro. Cinco dos maiores bancos brasileiros já estão adotando a autenticação biométrica, implantando sensores nos caixas eletrônicos. Os demais não devem demorar a seguir esse caminho – nos transformando, provavelmente, no primeiro país no mundo em que o número de caixas eletrônicos com sistema de autenticação biométrica supera aqueles que contam apenas com modelos convencionais até o final deste ano. Diante desse avanço, Phil Scarfo, executivo da Lumidigm – líder global em soluções de autenticação biométrica que foi adquirida recentemente pela HID Global, gigante em soluções de identificação segura – fala sobre os rumos esperados para a biometria no curto e médio prazo.

1. As senhas e códigos alfanuméricos estão com os dias contados?

Phil Scarfo: “Sim, embora seja difícil prever uma data. O fato é que o mundo mudou dramaticamente nas últimas décadas. Então, por que continuar confiando em métodos de autenticação que não são nem seguros, nem convenientes? Quando fornecedores inteligentes combinam o que os consumidores querem (maior comodidade) com o que eles precisam (maior segurança), o resultado é uma fórmula convincente e vencedora para todos. As senhas têm sido usadas há mais de 50 anos e, embora elas venham se tornando cada vez mais inconvenientes, menos seguras e mais difíceis de administrar e manter – exigindo muito de nós em termos de memória e organização –, ainda persistem em muitas aplicações como se fossem suficientes”.

2. Existe algum setor pioneiro, que esteja mais adiantado na substituição das senhas por sensores de impressão digital?

Phil Scarfo: “O setor financeiro é o mais avançado. Os bancos brasileiros, por exemplo, estão provando para o mundo todo que a biometria pode aumentar a segurança sem aumentar a complexidade – oferecendo um benefício real e um modelo que funciona. Também sabemos que as senhas estão se tornando uma ameaça cada vez maior à segurança do usuário. Sendo assim, muito provavelmente a biometria será uma alternativa real dentro de uma década em vários setores da economia”.

3. Por que o Brasil está se destacando tanto com relação à adoção da biometria?

Phil Scarfo: “Antes de todos os outros países, o Brasil se deu conta de que segurança é tão importante quanto conveniência. Em muitos mercados, hoje em dia, os provedores estão forçando os clientes a ‘escolher’ entre segurança e comodidade. O que o Brasil já percebeu é que, enquanto os analistas de risco anseiam por segurança, seus clientes estão pedindo mais facilidade e comodidade. Com a biometria, as duas partes saem vitoriosas. Além disso, a tecnologia biométrica de impressão digital é muito bem aceita por toda a população – tendo sido incorporada, também, no sistema eleitoral, no controle de presença de empresas, faculdades, serviços de saúde etc.”.

4. Sendo uma tecnologia desenvolvida nos Estados Unidos, por que esse país não foi o primeiro a adotar amplamente a biometria?

Phil Scarfo: “Mercados como os Estados Unidos, onde grandes perdas financeiras devido a fraudes ainda são raras, não existe essa percepção da importância de ferramentas como a biometria para aumentar a segurança. Todavia, como esse cenário vem mudando rapidamente em nível mundial, não vai demorar para começar a ver outros mercados como os Estados Unidos e países fortes da União Europeia adotar a autenticação biométrica também”.

5. Em outros países da América Latina, onde a questão segurança é tão fundamental quanto no Brasil, também estão sendo adotados sensores biométricos de impressão digital?

Phil Scarfo: “Sim. No México, Chile e Argentina vemos um interesse crescente em adotar sensores biométricos em muitos segmentos da economia, principalmente o bancário. Assim como o Brasil, eles compreendem que a autenticação biométrica é a forma mais pura de identificação pessoal. Isso assegura que aquela parcela da população que não tem acesso à tecnologia – como moradores de áreas rurais, idosos pensionistas e pessoas que fazem parte de projetos assistenciais do governo – possa fazer uso da biometria sem grandes esforços, já que basta cadastrar a digital e aproximar o dedo do leitor biométrico para ter acesso à conta bancária no caixa eletrônico. Não há nada para aprender ou se lembrar – nem qualquer outra barreira de idade, idioma ou nível educacional. Trata-se de uma tecnologia simples e muito inclusiva.

6. Qual a relação custo-benefício para a implantação de sensores biométricos nos caixas eletrônicos?

Phil Scarfo: “O custo vem sendo reduzido na medida em que a nova tecnologia vai se popularizando e os sensores vão ficando melhores e mais baratos. Vale dizer que o retorno do investimento se torna mais claro e óbvio quanto mais percebemos seu custo-benefício. Afinal, alternativas como ‘memorização de senhas’ parecem gratuitas mas custam caro – já que são muito vulneráveis. As perdas devido a fraudes e abusos são impactantes para muitos negócios. Portanto, quando avaliamos a relação custo-benefício, é fundamental considerar o nível muitas vezes superior da biometria em termos de segurança e conveniência para clientes bancários ou de outros serviços e empresas. Ou seja, o custo de ter uma autenticação biométrica é menor do que o custo de não ter”.

7. Podemos dizer que a biometria é infalível em termos de segurança?

Phil Scarfo: “Nada em termos de segurança será 100% à prova de fraudes. Gerenciar riscos é uma questão de equilibrar segurança e conveniência. Podemos aumentar a segurança substancialmente, mas através da combinação de fatores que atingem quase a segurança total. Chegamos muito perto de 100%, mas não atingimos os 100%. A combinação entre biometria, um dispositivo inteligente (com uma aplicação segura) e talvez um PIN (código numérico de identificação pessoal) poderia ser mais do que suficiente para atender aos mais altos padrões de segurança. Mas é errado pensar que alguma coisa é 100% segura, à prova de fraudes. Sendo assim, a melhor opção é aquela que proporciona um nível bastante alto de segurança com a máxima conveniência possível. Que outra tecnologia oferece isso além da biometria? Por enquanto, nenhuma outra.

Fonte: Phil Scarfo, executivo da Lumidigm, líder global em soluções de autenticação por sensores biométricos de impressão digital – que foi adquirida recentemente pela HID Global, líder mundial em soluções de identificação segura que está ampliando seu portfólio, podendo entregar uma variedade de novas soluções de identificação ao mercado.