Quando um grande operador logístico é atingido por um ciberataque, a primeira pergunta geralmente é sobre as cadeias de abastecimento. Um comentário recente perguntou se o ciberataque à DP World colocou o comércio da Austrália em risco, e a resposta foi: provavelmente não, desta vez. Esse título é tranquilizador no plano económico. Deixa, no entanto, uma segunda questão em aberto, uma que importa às pessoas comuns: o que acontece aos dados quando os atacantes entram numa grande organização? Este guia usa o incidente da DP World como estudo de caso para explicar a extorsão dupla por ransomware em termos simples.

O Que Aconteceu no Ataque à DP World

O comentário de origem enquadra o incidente da DP World como parte de um aumento mais amplo do ransomware. Aponta para ataques alinhados com gangues de cibercriminosos prolíficos, incluindo o REvil e, mais recentemente, o LockBit. A sua questão central é sobre a exposição do comércio nacional, e a sua conclusão é que o risco para o comércio da Austrália era provavelmente limitado nesta ocasião.

O excerto disponível para nós não apresenta detalhes técnicos da intrusão, pelo que não vamos especular sobre como os atacantes entraram, o que levaram ou quem é responsável. O que o comentário fornece é uma descrição clara de como este estilo de ataque geralmente funciona. Essa descrição é a parte útil para os leitores.

Extorsão Dupla por Ransomware Explicada

O ransomware tradicional era simples: os criminosos encriptam os ficheiros de uma organização e exigem o pagamento para os desbloquear. Se a vítima tivesse boas cópias de segurança, podia muitas vezes restaurar os sistemas e recusar-se a pagar.

Como o comentário descreve, um ataque moderno costuma decorrer em duas fases:

  1. Os dados são extraídos. Os atacantes copiam dados dos sistemas da organização.
  2. Os dados são tornados inacessíveis. Os ficheiros originais são então tipicamente encriptados para que funcionários e clientes não os possam usar.

A organização recebe então uma exigência de resgate para "desbloquear" os dados, frequentemente pagável numa criptomoeda.

A extorsão dupla é a tendência que mudou a matemática. Como os dados foram copiados antes de serem bloqueados, os atacantes detêm uma segunda fonte de alavancagem. Mesmo que uma vítima restaure tudo a partir de cópias de segurança, os criminosos podem ainda ameaçar publicar ou vender o que levaram. Pagar pela desencriptação e pagar pelo silêncio tornam-se duas pressões separadas sobre a mesma vítima.

É por isso que a questão comercial da DP World e a questão da segurança pessoal são diferentes. Uma organização pode continuar a operar, e a economia pode encolher os ombros perante a perturbação, enquanto os dados roubados permanecem em mãos criminosas.

Para contexto sobre as pessoas por detrás destas operações, o nosso relatório sobre um tribunal suíço que condenou um programador ucraniano a 13 anos por Nefilim mostra que os programadores de ransomware podem eventualmente enfrentar consequências reais, embora o caso remonte a um ataque de 2020, um lembrete de quão lentamente a justiça se move em comparação com a rapidez com que os danos se propagam.

O Que os Dados Roubados Significam para os Indivíduos

A maioria das pessoas nunca será o alvo direto de uma gangue de ransomware. Mas as grandes organizações detêm dados sobre clientes, funcionários e parceiros, e é isso que acaba em cima da mesa num ataque de extorsão dupla.

O risco para si raramente é imediato. Tende a acumular-se ao longo do tempo:

  • Os registos divulgados são reutilizados. Uma vez que os dados pessoais circulam em fóruns criminosos, podem ser combinados com outras fugas de informação para construir um perfil mais completo de si.
  • O phishing torna-se mais convincente. Uma mensagem que usa o seu nome verdadeiro, empregador ou dados de conta é muito mais difícil de detetar como falsa.
  • Os documentos de identidade são especialmente sensíveis. Ao contrário de uma palavra-passe, não pode simplesmente alterar uma carta de condução digitalizada. Uma alegada listagem de 153 milhões de digitalizações de cartas de condução ligadas à IDScan.net é um bom exemplo de como os registos pessoais divulgados podem criar risco duradouro, mesmo quando a alegação subjacente ainda está a ser avaliada.

Os ataques podem também ter efeitos além dos dados. Quando um governo desligou dezenas de sistemas de propósito após um incidente, como abordado no nosso artigo sobre a Moldávia a desligar 82 serviços públicos, mostrou como a perturbação e a exposição de dados podem surgir em conjunto.

Passos Práticos para Reduzir a Sua Exposição

Não pode impedir que uma empresa com quem lida seja violada. Pode limitar os danos que uma fuga de informação lhe causa.

  • Use uma palavra-passe única para cada conta. Um gestor de palavras-passe torna isto realista. Se um serviço sofrer uma fuga, os outros mantêm-se seguros.
  • Ative a autenticação multifator, especialmente para email, banca e qualquer conta ligada à sua identidade.
  • Trate mensagens inesperadas com suspeita. Se um email ou SMS mencionar uma fuga recente, vá ao site oficial da organização por si mesmo em vez de clicar numa ligação.
  • Partilhe menos. Forneça às organizações apenas os dados de que genuinamente necessitam, e elimine contas antigas que já não utiliza.
  • Vigie as suas contas. Verifique regularmente os extratos bancários e de cartão, e considere um bloqueio ou alerta de relatório de crédito onde o seu país o ofereça.
  • Nunca assuma que um aviso de violação é inofensivo. Se lhe disserem que os seus dados foram envolvidos, altere as palavras-passe relevantes e mantenha-se alerta para burlas direcionadas durante meses depois.

O Que Isto Significa para Si

A questão principal sobre a DP World era se o comércio estava em risco, e a resposta, de acordo com o comentário, era provavelmente não desta vez. Para os indivíduos, a lição mais duradoura é sobre os dados. Sob extorsão dupla, restaurar sistemas não desfaz um roubo. A sua informação pode permanecer em circulação muito depois de uma organização ter recuperado e o ciclo noticioso ter avançado.

Isso não é motivo para alarme. É motivo para assumir que alguns dos seus dados acabarão eventualmente expostos em algum lugar, e para configurar as suas contas de modo a que essa exposição seja sobrevivível.

Pontos-Chave

Com a extorsão dupla por ransomware explicada, o padrão é claro: roubar primeiro, encriptar depois, e então pressionar a vítima duas vezes. Aperfeiçoe os seus hábitos agora em vez de depois de receber um aviso de violação. Reveja as suas palavras-passe, ative a autenticação multifator e desconfie de mensagens que parecem saber demasiado sobre si. Para um olhar mais atento sobre como os registos divulgados persistem, leia a nossa cobertura da alegada violação da IDScan.net, e para contexto sobre os atores por detrás do ransomware, veja o nosso relatório sobre a sentença do Nefilim.