Archetyp Links

Quem é a próxima vítima, de onde partirá um novo ataque, quanto de prejuízo será contabilizado? Um emaranhado de interrogações envolve, neste momento, empresas brasileiras de todos os portes e dos mais diferentes setores da economia. O motivo está no furacão de cibercrimes que sacudiu o sistema financeiro nacional nos últimos meses, provocou medidas emergenciais do Banco Central sobre o Pix e, em correlação direta, ergueu uma maré generalizada de apreensões e receios no meio corporativo. No lugar dos antigos hackers românticos, como o coletivo Anonymous, que nos primórdios da internet realizava invasões de plataformas de governos para dar impulso a mensagens políticas, agora os cibercriminosos são quadrilheiros profissionais, quebram sistemas robustos em busca de dinheiro e dados estratégicos e fogem, enriquecidos, para lugares ignorados. “O momento é assustador”, diz o administrador de empresas Fabio Jesus Augusto, vice-presidente de tecnologia do grupo de supermercados Plurix. A missão dele é liderar a proteção eletrônica de uma operação de varejo perigosamente capilarizada, com perto de 10 000 terminais de computadores instalados em 170 endereços físicos no interior dos estados de São Paulo e Paraná, 18 000 funcionários e um faturamento previsto para este ano em 10 bilhões de reais. Sob o guarda-chuva do fundo de investimentos Pátria, o Plurix se formou, cinco anos atrás, por meio da aquisição de mercadinhos familiares como o Boa, o Amigão e o Superpão. Durante essa trajetória, nenhuma entre milhares de tentativas de invasão hacker contra os sistemas do grupo obteve sucesso significativo. “É importante que todo o time da empresa tenha convicção, clareza e humildade para reconhecer a qualidade técnica dos atacantes, as vulnerabilidades das defesas cibernéticas e a relevância do papel de cada um na segurança coletiva”, diz Augusto. Nessa perspectiva, os computadores operados pelos funcionários do Plurix passam por varreduras aleatórias, as credenciais de acesso a escalões cibernéticos de decisão são revisadas de surpresa e a rede de fornecedores participa de programas regulares de educação cibernética. “As conexões por e-mails, trocas de notas de serviços e meios de pagamento nos incluem no mesmo ambiente digital”, afirma o executivo. “Mesmo fortalecendo as áreas vulneráveis dos nossos parceiros, é difícil equalizar a maturidade digital de todos. É nessa diferença que mora o perigo, porque a cadeia de segurança se rompe sempre pelo elo mais fraco.” Realizada neste ano, uma pesquisa da Federação das Indústrias do Estado de São Paulo (Fiesp) deixou claro quanto as empresas não financeiras têm sofrido com o incremento dos ciberataques. Entre as cerca de 300 companhias participantes, 65% relataram tentativas de extorsão após a contaminação de sistemas pelo recurso conhecido como ransomware, que subtrai informações armazenadas até mesmo em nuvem e bloqueia os servidores. Nada menos que 43% delas admitiram pagamentos de resgate para reaver os seus próprios dados estratégicos, reproduzindo, no universo virtual, o modelo básico de remuneração pelo sequestro de pessoas de carne e osso. Continua após a publicidade Como antídoto à evidente sofisticação dos crimes digitais, a entidade empresarial paulista tem coordenado exercícios de cibersegurança que simulam invasões hacker e ensaiam ações de contenção de danos. “Não se faz um plano de contingência na hora em que uma crise está acontecendo”, adverte o advogado Rony Vainzof, diretor de defesa cibernética da Fiesp. “Saber antecipadamente o que fazer durante um ataque hacker pode representar a diferença entre sobreviver ou quebrar, a depender da dimensão do estrago na empresa.” Para atualizar as 130 000 companhias associadas sobre modelos ciberseguros, a entidade já produziu três cartilhas específicas e criou um canal no YouTube para viralizar seus seminários de treinamento defensivo. A previsão para o exercício de 2025, a ser realizado em breve, é bater a marca de 33 empresas representadas presencialmente e 7 300 observadores virtuais da edição do ano passado. No Brasil, um caso clássico de vítima do ransomware é o do laboratório Fleury, que no início da década sofreu dois golpes sequenciais e se viu impedido, por dias a fio, de entregar milhares de resultados de exames de saúde aos pacientes, desorganizando a agenda de altas, internações e procedimentos em dezenas de hospitais. A companhia jamais admitiu qualquer pagamento para o restabelecimento da normalidade, limitando-se a informar que realizou “investigações e avaliações sobre as circunstâncias dos ataques”. Continua após a publicidade Uma recente estimativa global de rombos financeiros causados por ciberataques à indústria, ao comércio e a serviços, feita pela IBM, estimou em 1,7 milhão de dólares a média de prejuízos consumados a cada incidente cibernético criminoso contra empresas. A conta engloba do valor do furto aos gastos posteriores com indenizações, investigações e processos. De acordo com a respeitada consultoria Fortinet, os cibergolpes desviam 10 trilhões de dólares anuais da economia formal no mundo, com crescimento projetado em 30% até 2030. Líder em serviços de cibersegurança na América Latina, a brasileira SEK aferiu que 500 milhões de ciberataques foram desfechados no ano passado contra as 300 companhias privadas nacionais sob os seus cuidados. A alta intensidade é explicada pelos múltiplos tipos de dispositivos invasores que ferramentas de inteligência artificial podem proporcionar aos atacantes. “A IA é, sim, um elemento que favorece os hackers, mas também ajuda muito os defensores, porque detecta, barra e expulsa mais rapidamente as iniciativas maliciosas”, aponta o especialista Igor Ripoll, presidente da SEK. “A IA colabora com as duas forças em conflito.” Com alto índice de contenção a ataques digitais, a empresa mantém no Chile uma central de defesa cibernética com 250 engenheiros da computação. Eles atuam em regime 24/7, municiados por investimentos de 3,5 milhões de reais em inovação neste ano. “Se há um lado positivo nessa onda de ciberinsegurança, é exatamente o de fazer com que líderes empresariais dediquem cada vez mais atenção à atualização de defesas eletrônicas”, diz Ripoll. Com um número crescente de fechamento de contratos, a SEK projeta um faturamento inédito de 1 bilhão de reais em 2025. Continua após a publicidade O governo federal dá status de assunto de segurança nacional à escalada dos crimes digitais. Em Brasília, o Exército Brasileiro realizou, em setembro, o 7º Exercício Guardião Cibernético, iniciado em 2018, com a participação recorde de 750 empresas estatais, privadas e instituições originárias de vinte países. “Uma parte relevante do simulado foi fazer os dirigentes das grandes companhias sentirem na pele os problemas que podem derivar de ações de hackeamento”, diz o comandante de Defesa Cibernética, o general Ivan de Sousa Corrêa Filho. Líder da FTI Consulting, a executiva sênior de comunicação Adriana Prado conduziu um dos desafios de segurança do evento militar. “A pauta foi criar situações de máximo estresse de risco para testar reações individuais e coletivas em meio a invasões eletrônicas bem-sucedidas”, diz ela. As simulações se estenderam aos setores de energia, transporte, recursos hídricos, comunicações, biossegurança e financeiro. A atual fase aguda de ataques a instituições financeiras brasileiras começou pela quebra das barreiras eletrônicas da fintech C&M Software, naquela que é definida, nos gabinetes da Federação Brasileira de Bancos, como “a fatídica terça-feira 1º de julho”. A prisão em flagrante de uma ciberquadrilha de oito hackers, em plena tentativa de arrancar, por meio do ambiente digital, 1,2 bilhão de reais dos cofres da Caixa Econômica Federal, na madrugada de 12 de setembro, em São Paulo, significou um ponto de inflexão no avanço do crime digital. A vitória policial, depois de um longo período de fracassos diante das dificuldades de identificação e localização dos atacantes, se deu no âmbito da Operação Carbono Oculto, que apura a infiltração do crime organizado em instituições financeiras. Entre os dois episódios, porém, já haviam sido invadidos os sistemas das fintechs Sinqia, Monbank, E2 Pay, BMP e Tribanco, com reflexos em operações de bancos de grande porte como o HSBC. Mais recentemente, o Santander foi alvo de um ataque hacker que provocou instabilidade em seus sistemas, reforçando a percepção de que nenhuma instituição está imune à escalada do crime digital. Continua após a publicidade Após a quebra das trancas eletrônicas das fin­techs, a resposta do Banco Central foi admitir um baixo nível de fiscalização sobre os sistemas de cibersegurança dos entes intermediários que atuam no sistema Pix. No último mês, a autoridade monetária formalizou, sob a pressão dos grandes bancos, medidas que limitaram em 15 000 reais o valor de transações feitas por provedores de serviços de tecnologia da informação (PSTI) e ampliaram exigências financeiras para o seu funcionamento (leia a reportagem a partir da pág. 46). A autoridade monetária firmou, ainda, a promessa de fechar as chamadas “contas laranjas” existentes aos milhares nos bancos tradicionais. Elas servem para que os titulares bancarizados sob CPFs falsos, ou remunerados pelos cibercriminosos, tomem parte na cadeia descentralizada de coleta e distribuição dos butins arrecadados nos cibergolpes. “A autoridade monetária acerta ao aumentar a segurança do sistema financeiro nacional”, diz o diretor de inovação, produtos e serviços bancários da Febraban, Ivo Mósca. “As discussões em torno de novas medidas de proteção estão amadurecendo rapidamente e logo devem chegar ao público, que permanece inserido em sistemas extremamente eficientes de segurança.” Continua após a publicidade Cumprir a lei do silêncio prevalece como estratégia principal das empresas para não provocar as ciberquadrilhas, mas há representantes de operações bem estruturadas de segurança digital que veem como fundamental demonstrar uma alta capacidade defensiva. É o caso do C6 Bank. “Como nativos digitais, estruturamos o negócio sobre bases sólidas de cibersegurança, que em nossa estrutura é independente da área de tecnologia da informação”, afirma José Luiz Santana, sócio e Ciso (diretor de segurança da informação, na sigla em inglês) da instituição. Segundo ele, são desenvolvidas funcionalidades inéditas como a de liberar apenas transferências de baixo valor quando o cliente opera o celular fora de sua residência. “Se o aparelho for roubado na rua, esse cliente jamais perderá tudo o que tem investido conosco”, diz Santana. Presidente da seção brasileira da GlobalSign, maior certificadora digital do mundo, a ex-veterinária Luiza Dias sustenta que procedimentos básicos como a dupla verificação de acesso a e-mails corporativos são muito eficientes para evitar cibercrimes. “Manter a porta de entrada da casa bem trancada é de grande valia contra assaltos”, afirma ela. “Por incrível que pareça, um dos golpes digitais mais antigos do mundo, o phishing, que leva usuários a abrir links suspeitos, ainda é a primeira etapa da grande maioria dos crimes cibernéticos”. Segundo a versão 2024 do robusto Relatório de Defesa Digital, da Microsoft, 92% das fraudes digitais praticadas mundialmente poderiam ser evitadas apenas com um controle mais rígido de acesso aos endereços eletrônicos dos funcionários das empresas lesadas. No mundo hiperconectado, a verdadeira segurança não está apenas em eliminar riscos, mas em aprender a conviver com eles e buscar estar sempre um passo à frente dos atacantes. Publicado em VEJA, setembro de 2025, edição VEJA Negócios nº 18