Quinta-feira, 30 de Junho de 2022

Home em foco Hackers invadem sistemas do governo e vendem senhas de servidores públicos

Compartilhe esta notícia:

Sem investimento em tecnologia de informação, o governo federal, responsável por guardar dados sigilosos de milhões de brasileiros, vive uma “ciberinsegurança”. Ocorrida há mais de dez dias, a invasão de hackers ao ConecteSUS, Painel Coronavírus e DataSUS — que monitoram a evolução da pandemia e da vacinação no país — expôs mais as fragilidades da rede da União do que a habilidade dos criminosos.

Isso foi constatado em uma auditoria do Tribunal de Contas da União (TCU) que, em maio, identificou que 74% dos órgãos da administração federal não têm uma política padrão de backup e 66% das instituições não armazenam arquivos criptografados. Com a consolidação do home office e o processo de digitalização do serviço público, o Brasil virou um terreno fértil para ataques virtuais.

Em 2020, o País bateu o recorde de ocorrências cibernéticas, com 24.300 registradas. Os bancos de dados da Saúde derrubados ainda não foram completamente restabelecidos, o que sugere, de acordo com especialistas, que o problema é mais complexo e que os invasores podem ter tido acesso à nuvem (arquivo virtual dos dados) dessas instituições.

No início, as autoridades tentaram minimizar a gravidade da invasão e a classificaram como “pichação virtual”. Mas relatórios internos do Gabinete de Segurança Institucional (GSI) e do TCU mostram que a realidade dos sistemas públicos propicia o crime: senhas fracas, ausência de criptografia e de ferramentas de duplo fator de autenticação, baixos investimentos em antivírus e em equipes de Tecnologia da Informação.

Os hackers descobriram nessas fragilidades um mercado rentável. Uma das principais linhas de investigação do GSI e Polícia Federal é que a nuvem da pasta da Saúde teria sido invadida por um “perfil legítimo de administrador”. Tanto é que uma das primeiras providências foi a suspensão das credenciais de funcionários terceirizados, licença ou férias.

Um dos suspeitos é o grupo hacker Lapsu$, que reivindicou a autoria do ataque. O grupo de origem russa é relativamente novo e com baixa reputação em fóruns hackers, que costumam ranquear os ataques cibernéticos dependendo do dano provocado — além dos proveitos financeiros, os cibercriminosos gostam de exibir os seus feitos na internet.

Nos últimos dois anos, o Lapsu$ disse ser responsável ofensivas virtuais contra a empresa de games Eletronic Arts e a Apple Music, segundo informações levantadas por Soares. Portanto, este seria o primeiro ataque do grupo a uma entidade brasileira.

Mercado paralelo

Não é difícil encontrar oferta de datacenters ou pen-drives com dados confidenciais de brasileiros, de R$ 300 a R$ 1.500, em fóruns na dark web ou em lojinhas escondidas na Praça da Sé, centro de São Paulo.

As informações armazenadas nos sistemas do Ministério da Saúde são valiosíssimas por terem os registros atualizados de mais de 200 milhões de cidadãos, com os nomes do pai e mãe, identidade, CPF, número do celular e o endereço, tendo em vista que a maioria teve que se cadastrar recentemente para se vacinar contra a covid.

Com esses dados em mãos, os criminosos conseguem abrir contas no banco, fazer empréstimos, cartões de crédito e até se filiar a algum partido político.

Os ataques de cibercriminosos mais graves contra o setor público brasileiro aconteceram no Superior Tribunal de Justiça (STJ), em novembro de 2020, e na Secretaria do Tesouro Nacional, em agosto deste ano. Ambos ainda são investigados. No primeiro, os hackers teriam entrado no sistema, criptogrado as informações e pedido um resgate em bitcoins para liberá-las.

Como a instituição não pagou, o grupo hacker apagou os arquivos levando os funcionários do STJ a recorrerem ao último backup do sistema, que precisou ser atualizado posteriormente. No segundo, há a possibilidade de os criminosos terem tido acesso a informações super sigilosas da economia do país.

Há duas semanas, o sistema interno da Polícia Rodoviária Federal foi derrubado. O órgão informou que houve um “incidente de segurança”, mas sem vazamentos. No mercado privado, a fornecedora de carne JBS fez um comunicado oficial, em junho, dizendo que pagou R$ 55 milhões a cibercriminosos para recuperar seus dados após um sequestro virtual (ou ransomware).

Ambientes interligados merecem atenção especial. É o caso, por exemplo, do Sistema Eletrônico de Informações, mantido pelo governo, por meio de mais de 5.500 prefeituras.

“Não adianta proteger só o seu perímetro. Para um ataque hacker, basta entrar pela porta dos fundos”, avalia a advogada Patrícia Peck, presidente da comissão de proteção de dados da OAB-SP e integrante do Conselho Nacional de Proteção de Dados Pessoais e Privacidade (CNPD). “O Brasil não fez o seu dever de casa.”

A falta de prioridade com a cibersegurança fica evidente nos gastos do Orçamento da União. A despeito da escalada das invasões hackers, os investimentos pagos em 2021 para a “implantação de sistema de defesa cibernética” nacional caiu nos últimos três anos. De R$ 15 milhões em 2019 e R$ 12 milhões em 2020, os desembolsos foram reduzidos a R$ 7 milhões até dezembro deste ano.

Compartilhe esta notícia:

Voltar Todas de em foco

Procuradoria denuncia suspeito de ameaçar diretores da Anvisa
Com aumento só para policiais, auditores da Receita Federal ameaçam debandada
Deixe seu comentário
Pode te interessar
Baixe o app da RÁDIO Pampa App Store Google Play

No Ar: Pampa News