A violação de dados do túnel do Brenner pela Everest é um lembrete de que os atacantes não precisam de tocar numa única máquina num estaleiro de construção para causar problemas graves. Segundo o relatório, a empresa de construção por trás do megaempreendimento alpino confirmou uma tentativa de extorsão após o roubo de 812 GB de dados. O consórcio recusou pagar e afirma que o incidente não afetou a construção nem os sistemas de controlo.

Essa combinação, dados roubados mais uma recusa em pagar, é agora um padrão familiar. Eis o que sabemos, o que as garantias cobrem e não cobrem, e o que os leitores podem fazer a esse respeito.

O que a Everest levou do consórcio do túnel do Brenner

Os factos confirmados são limitados. A empresa de construção reconheceu que o grupo Everest exigiu um resgate após roubar 812 GB de dados. A empresa recusou pagar. Também declarou que a construção e os sistemas de controlo não foram afetados.

O artigo de origem não detalha o que está dentro dos 812 GB, como os atacantes entraram, ou que montante de resgate foi exigido. Não vamos adivinhar esses pontos. O que importa por agora é o modelo: os atacantes levaram dados e depois usaram a ameaça de publicação como alavanca. Isto é frequentemente chamado de extorsão por roubo de dados, e não requer encriptar sistemas ou parar operações.

A Everest já apareceu na nossa cobertura anteriormente. Foi ligada a uma exigência de 12,3 milhões de dólares contra a Stadler Rail, que também terminou com uma recusa pública em pagar, e a uma listagem da Capgemini Engineering no seu site de fugas que permanecia não verificada na altura.

O que 'sem impacto nos sistemas de controlo' significa e não significa

A declaração de que a construção e os sistemas de controlo não foram afetados é importante e merece ser levada a sério. Sugere que a tecnologia operacional, os sistemas que gerem máquinas e processos no local, não foi perturbada. Para um projeto desta escala, esse é o resultado que todos desejam.

Mas responde a uma questão estreita. Não diz nada sobre a confidencialidade da informação que a empresa detinha. Continuidade operacional e segurança de dados são questões separadas. Uma empresa pode continuar a trabalhar normalmente enquanto um grande arquivo dos seus documentos está nas mãos de um grupo de extorsão.

Também não nos diz até onde os atacantes chegaram dentro da rede. Um roubo de 812 GB significa que alguém teve acesso a uma quantidade substancial de dados, e as investigações tipicamente focam-se em como esse acesso foi obtido e se foi completamente encerrado. Até que a empresa partilhe mais, os leitores devem tratar a garantia como precisa mas incompleta.

O que os dados divulgados podem expor e a quem

O artigo não especifica o conteúdo, por isso esta secção descreve o risco geral e não uma exposição confirmada. Grandes consórcios de construção tipicamente detêm informação sobre muitas partes: empregados, subcontratados, fornecedores e empresas parceiras. Se o arquivo roubado incluir esse tipo de material, as pessoas afetadas poderiam incluir:

  • Funcionários: dados pessoais, contratos ou comunicações internas.
  • Parceiros e contratados: termos comerciais, documentos de projeto ou correspondência.
  • O próprio consórcio: material de planeamento interno que poderia embaraçar a empresa ou ser útil a concorrentes.

Mesmo quando os dados não são obviamente sensíveis, podem ser úteis para criminosos. Nomes, endereços de email e detalhes de projetos tornam as mensagens de phishing mais convincentes. Qualquer pessoa que tenha trabalhado com uma grande organização que sofra uma fuga pode mais tarde receber mensagens que parecem referir projetos ou colegas reais.

Recusar pagar é uma escolha defensável, uma vez que o pagamento não garante a eliminação dos dados e financia mais ataques. O trade-off é que os ficheiros roubados podem ser publicados. Os grupos de extorsão também têm tentado aumentar a pressão de outras formas, como quando o gang CMD leiloou dados roubados e exigiu 1,9 milhões de dólares.

Como organizações e indivíduos reduzem a exposição a extorsão

Para organizações:

  • Limitar quanto dados são armazenados e por quanto tempo. Dados que já não existem não podem ser roubados.
  • Segmentar redes de modo a que os sistemas de escritório e de documentos estejam separados dos sistemas operacionais. A declaração da empresa do Brenner sugere que este tipo de separação pode ter ajudado.
  • Monitorizar transferências de saída invulgares. Mover 812 GB é um evento grande que pode ser detetado.
  • Preparar um plano de resposta que cubra a comunicação com funcionários e parceiros, não apenas a recuperação técnica.

Para indivíduos:

  • Usar palavras-passe únicas para cada conta e um gestor de palavras-passe para as armazenar.
  • Ativar a autenticação multifator onde quer que seja oferecida.
  • Ser cauteloso com emails inesperados que mencionem projetos, empregadores ou parceiros de negócios reais, particularmente se pedirem para clicar num link ou abrir um anexo.
  • Partilhar apenas o necessário ao lidar com grandes organizações, e perguntar como protegem e retêm a sua informação.

O que isto significa para si

Se trabalha para, fornece ou tem contrato com uma grande organização, assuma que alguma da sua informação está nos seus sistemas e que não pode controlar quão bem está protegida. Não pode impedir uma violação num terceiro, mas pode limitar os danos. Credenciais fortes e únicas e autenticação multifator reduzem o valor de quaisquer detalhes de login divulgados, e um olhar cético para phishing personalizado reduz o valor da informação de contacto divulgada.

Se está ligado ao projeto do Brenner de alguma forma, esteja atento a comunicação oficial do consórcio e trate mensagens não solicitadas sobre o incidente com cautela.

Principais conclusões

A violação de dados do túnel do Brenner pela Everest mostra que a extorsão pode conseguir criar pressão mesmo quando as operações continuam intactas. O consórcio declarou que a construção e os sistemas de controlo não foram afetados e que não vai pagar, mas os 812 GB de dados roubados continuam a ser a questão central em aberto.

  • Reveja as suas palavras-passe e ative a autenticação multifator em contas importantes.
  • Pense sobre que dados pessoais e comerciais entrega a grandes organizações, e partilhe o mínimo.
  • Espere phishing mais convincente se uma violação afetar o seu empregador ou parceiros.

Para um caso paralelo de extorsão da Everest e uma recusa em pagar, leia a nossa cobertura sobre como a Stadler Rail rejeitou a exigência de resgate da Everest.