A extorsão por ransomware está a tornar-se mais pessoal. De acordo com um relatório recente da Cybersecurity News, grupos criminosos estão cada vez mais focados em ransomware direcionado a funcionários e famílias, usando informação publicamente disponível para tornar as ameaças diretas e credíveis. Esta mudança transforma um incidente corporativo em algo que pode afetar a vida doméstica de um trabalhador.
A boa notícia é que grande parte daquilo em que estes grupos se baseiam é informação que as pessoas podem reduzir, proteger ou remover. Eis o que o relatório descreve e o que pode fazer a respeito.
Como surgiu o ransomware direcionado a funcionários e famílias
O relatório descreve isto como a próxima fase da extorsão. Os primeiros grupos de ransomware baseavam-se na encriptação de ficheiros: bloquear os dados de uma empresa e exigir pagamento pela chave. Muitos grupos acrescentaram depois o roubo de dados e ameaças de divulgação dos ficheiros roubados caso a vítima se recusasse a pagar.
O passo mais recente afasta a pressão da rede e direciona-a para as pessoas. Os criminosos podem agora estudar redes sociais, dados violados, registos públicos e páginas de empresas para identificar familiares, moradas, escolas e rotinas diárias. Esses detalhes permitem-lhes escrever mensagens que parecem pessoais e credíveis.
O objetivo, como o relatório o descreve, é simples: tornar a resistência ao resgate demasiado custosa. Uma ameaça que nomeia um familiar tem um impacto muito diferente de uma mensagem genérica sobre folhas de cálculo divulgadas.
Como os criminosos constroem perfis de funcionários e familiares
Nenhuma das fontes listadas no relatório é exótica. São os vestígios comuns que a maioria das pessoas deixa para trás:
- Redes sociais: Publicações públicas, fotos com marcações, listas de amigos e check-ins podem revelar familiares, escolas, passatempos e rotinas.
- Dados violados: Informação exposta em violações anteriores pode acrescentar moradas, números de telefone e contas de email a um perfil.
- Registos públicos: Registos associados a um nome ou morada podem ajudar a ligar um funcionário aos membros do seu agregado familiar.
- Páginas de empresas: Listagens de pessoal, biografias e perfis profissionais mostram quem trabalha onde e em que função.
Individualmente, cada peça parece inofensiva. Combinadas, permitem a um atacante passar de "esta pessoa trabalha na empresa-alvo" para "esta é a sua família, e é aqui que estão durante o dia." Essa combinação é o que faz a mensagem parecer credível, e é por isso que o risco se estende para além do funcionário que por acaso está listado no site de uma empresa.
Reduzir a sua pegada pública e a exposição da família
Não pode apagar o seu histórico, mas pode tornar a criação de perfis mais difícil e mais lenta. O ponto central do relatório é que a higiene básica de privacidade ajuda, por isso comece por aí.
Proteja as contas sociais. Defina os perfis como privados sempre que possível e reveja quem pode ver listas de amigos, fotos com marcações e ligações familiares. Peça aos familiares para fazerem o mesmo, uma vez que uma conta pública pertencente a um cônjuge ou filho pode revelar informação sobre si.
Limite detalhes de rotina e localização. Evite publicar localizações em tempo real, nomes de escolas, horários regulares ou exteriores de casa. Publicar depois do sucedido é mais seguro do que publicar em direto.
Audite o que já é público. Pesquise o seu próprio nome, número de telefone e morada para ver o que aparece. Verifique listagens de pesquisa de pessoas e perfis antigos que já não utiliza. Serviços de remoção de dados e pedidos de exclusão podem ajudar a limpar algumas destas listagens, embora os resultados variem e possa precisar de repetir o processo.
Reforce a segurança das contas. Como os dados violados podem alimentar estes perfis, use palavras-passe únicas, um gestor de palavras-passe e autenticação multifator. Uma VPN pode acrescentar uma camada de privacidade ao seu tráfego de navegação, mas não remove informação que já é pública, por isso trate-a como uma ferramenta entre várias.
Separe a identidade profissional da pessoal. Considere usar um endereço de email diferente para contas pessoais e profissionais, e seja criterioso quanto ao nível de detalhe que coloca em perfis profissionais.
O que isto significa para si
Se trabalha para qualquer organização, faz parte da sua superfície de ataque, e o seu agregado familiar também, indiretamente. Os atacantes não precisam de comprometer os seus dispositivos para o pressionar; só precisam de encontrar informação pública suficiente para parecer convincentes.
Isso não significa que uma mensagem que nomeia a sua família seja prova de que o atacante tem acesso à sua vida. Detalhes recolhidos de fontes públicas podem parecer alarmantes sem refletir qualquer violação mais profunda. Sabendo isto, pode responder com calma: não responda nem pague por iniciativa própria, guarde a mensagem e comunique-a à equipa de segurança do seu empregador e, quando apropriado, às autoridades.
O que empregadores e indivíduos devem fazer agora
Para empregadores:
- Trate a exposição de funcionários e famílias como parte do planeamento de incidentes, não como uma reflexão tardia.
- Reveja que detalhes do pessoal aparecem nas páginas da empresa e considere se todos os nomes, cargos e fotos precisam de ser públicos.
- Dê aos funcionários uma forma clara e sem julgamentos de comunicar rapidamente mensagens ameaçadoras ou pessoais.
- Ofereça orientação sobre definições de privacidade e opções de remoção de dados, especialmente para executivos e pessoal com acesso a sistemas sensíveis.
Para indivíduos:
- Reveja as definições de privacidade das suas redes sociais esta semana.
- Pesquise por si mesmo e solicite a remoção de listagens desnecessárias.
- Fale com os familiares, incluindo adolescentes, sobre o que partilham publicamente.
- Decida antecipadamente a quem diria se recebesse uma mensagem ameaçadora.
Estes grupos também estão a crescer de outras formas. Para contexto sobre como as operações se estão a expandir e a recrutar, veja a nossa cobertura sobre como o grupo de ransomware Moondancer recruta afiliados na América Latina.
A conclusão
O ransomware direcionado a funcionários e famílias mostra que a extorsão já não se resume apenas a sistemas corporativos. Tem a ver com as pessoas ligadas a eles. Não pode controlar o que os criminosos tentam, mas pode controlar quanto encontram. Audite a sua pegada pública, proteja as suas contas sociais e use ferramentas de remoção de dados e privacidade para reduzir o perfil que qualquer pessoa pode construir sobre si e a sua família. Algumas horas de limpeza agora podem tornar uma mensagem ameaçadora muito menos convincente mais tarde.
