Por Eduardo Lopes

/ Em Segurança da Informação /

Postado em

jan 31, 2017

Cuidado com seus dados: como a invasão no LinkedIn pode impactar sua empresa?

Não sei se você vai se lembrar, mas em 2012 os dados do LinkedIn foram vazados por hackers. Na época, cerca de 7 milhões de pessoas tiveram suas contas bloqueadas.

Agora um fato mais interessante ainda, em maio de 2016 você e outras milhões de pessoas tiveram que alterar a senha do LinkedIn assim que entraram em suas contas. E o porquê disso? Na época, mais de 117 milhões de pessoas tiveram seus dados (login e senha) vazados e comercializados na Deep Web.

A maior rede social corporativa do mundo voltou a tocar no assunto por meio de um pronunciamento de sua equipe de segurança alegando que o “estrago” foi maior do que imaginavam e aproximadamente 117 milhões de usuários precisaram mudar suas senhas de acesso.

Mas isso não acontece só com os usuários do LinkedIn. Aplicativos, redes sociais, sites como Dropbox, Adobe, MySpace foram invadidos e até mesmo uma conta de e-mail está vulnerável a ataques de hackers. O objetivo desse roubo de informações é disponibilizar e vender na deep web.

Por que eles vendem esses dados? O que fazem com a minha senha do Adobe, por exemplo?

A resposta é mais simples do que parece. Grande parte dos usuários da internet usam a mesma senha para todas as suas contas: Instagram, Facebook, e-mail corporativo, etc.

Com esses dados, um hacker – e não precisa ser o melhor deles – consegue acesso direto às informações, ERP, Intranet e outras ferramentas internas de qualquer empresa em que a pessoa trabalha. Uma etapa do processo liga à outra.

Vamos considerar o caso do LinkedIn. O primeiro passo do hacker é adquirir o login e senha do João, por exemplo. Se o e-mail que o João usa para acessar o LinkedIn é o corporativo, cabe usar a técnica de “tentativa e erro” para encontrar a senha do e-mail corporativo de João. Se João tem acesso às informações privilegiadas, o hacker terá acesso a tudo.

No caso dos dados inseridos no cadastro do Adobe a situação é ainda pior, pois quem busca informações sobre esses aplicativos são pessoas ligadas à TI da empresa. A chance de se corromper dados privilegiados é grande e o impacto gerado será maior ainda.

 

E como é possível evitar essa exposição?

Com segurança. A primeira recomendação que damos aos nossos clientes é que o e-mail corporativo deve ser utilizado única e exclusivamente para assuntos da empresa. Ele não deve ser “linkado” a uma rede social. A segunda recomendação é usar uma senha para cada conta virtual e mudá-la com frequência (1x por mês, por exemplo).

LinkedIn não é corporativo. LinkedIn é uma rede social. Afinal, se você deixar a empresa, sua conta do LinkedIn permanecerá.

 

Dados corrompidos: e agora? 

Nesse caso, explicando como fazemos aqui na REDBELT, o primeiro passo é fazermos um processo que chamamos de “De => Para” onde correlacionamos os dados e e-mails corporativos dessa empresa com os dados de logins e senhas que vazaram dessas redes sociais e outras aplicações. Em seguida, em conjunto com a área de TI da empresa, solicitamos que as senhas sejam alteradas o mais rápido possível e fazemos um monitoramento em cima dessas contas. Ainda nessa altura do processo, verificamos se dados institucionais e corporativos também vazaram, utilizando o nosso Threat Analytics. Investigamos fóruns, canais de troca de mensagens e dados, páginas que não são indexadas pelo Google e outros.

 

Espero que o texto tenha sido esclarecedor para você. Mesmo assim, se ficou alguma dúvida, por favor, poste nos comentários.

Será muito bacana trocar experiências aqui. Até a próxima.

0
Eduardo Lopes

Autor: Eduardo Lopes

Nos últimos 5 anos participou da implantação de projetos de MSS (Management SecurityServices) em grandes empresas do segmento financeiro, construção civil e órgãos públicos.Trabalha na área e Segurança da Informação há 9 anos com formação em Penetration Testing e Pesquisa Forense, já tendo passado por projetos de auditoria em segmentos de segurança do governo federal, de seguradoras e grupos de cartões de crédito. Dentro das certificações é ISO27001 Lead Auditor.

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *