Fábulas de fraudes nas empresas portuguesas: credenciais expostas

A Sandra recebe um email do Jorge, o seu fornecedor habitual de uma empresa de transportes que faz entregas na Europa. O email refere que - devido a uma auditoria em curso no banco atual - o pagamento de 133 mil euros relativo à última fatura enviada, deverá ser efetuado para uma conta alternativa, e com urgência, para balanço de contas.

A Sandra responde ao email do Jorge referindo que a fatura em questão apenas tem vencimento na semana seguinte, mas o Jorge volta a insistir que o pagamento precisa de ser efetuado de imediato. Perante esta pressão, e tratando-se de um fornecedor habitual, a Sandra procede ao pagamento da quantia para o IBAN indicado pelo Jorge no email, que até é de uma entidade bancária nacional.

Dias mais tarde, a Sandra recebe um outro email do Jorge, referindo que existe uma fatura vencida, no valor de 133.600 euros, ao que a Sandra indica que a mesma já foi paga por transferência bancária para o IBAN mencionado, enviando o comprovativo da transferência ao Jorge. Este, após receber o email, liga de imediato à Sandra, explicando que não tinha enviado email nenhum, e que o IBAN não pertence à sua empresa.

A situação é escalada para a administração da Almord SA que, perante tal situação, decide chamar uma empresa especializada em cibersegurança, para analisar todas as comunicações efetuadas, pois a organização tinha sido lesada.

Como resultado na análise forense efetuada, percebe-se que alguém acedeu à conta de correio eletrónico do Jorge, sem este saber, verificou os emails existentes, e percebeu existir uma fatura a pagamento, espoletando todo o processo que terminou com sucesso no envio desta quantia considerável. No seguimento da análise forense, verificou-se ainda que as credenciais do Jorge (jorge@transportes_aspri.org e palavra passe jorge66), se encontravam expostas na Internet, visto o Jorge ter-se registado em vários websites e redes sociais ao longo dos últimos anos - sempre com o mesmo endereço e a mesma palavra-passe - e muitos destes websites terem sido pirateados, estando a Informação dos registos disponível publicamente. Alguém testou as credenciais no Sistema de webmail e conseguiu ter acesso à conta de correio eletrónico do Jorge, sem que este se tenha apercebido, resultando neste desfecho desastroso.

Como situações destas podem ser evitadas?

• Utilizar palavras-passe fortes e diferentes será a primeira recomendação – e a existência de uma política de mudança periódica obrigatória de palavras-passe é uma boa prática;
• A utilização de autenticação de dois ou mais fatores (por exemplo juntar algo que eu sei – a palavra-passe, com algo que eu tenho, como o telemóvel que gera ou recebe um código) é cada vez mais pertinente;
• Evitar ao máximo a utilização de endereços de trabalho para registo em websites, também acaba por reduzir bastante a exposição da organização.

Situações como esta estão a acontecer diariamente nas organizações portuguesas, acabando as vítimas de fraudes avultadas, com impactos financeiros potencialmente incomportáveis ou mesmo intrusões persistentes no tempo, levando ao roubo de informação sensível, passível de ditar a reputação e o rumo de uma organização. Uma pequena falha é suficiente para colocar a organização em risco, pelo que uma monitorização contínua para detetar situações anormais, em qualquer ponto de um processo de compromisso, acaba por ser cada vez mais pertinente e obrigatório.

Nota: Todos os nomes são fictícios, não existindo nenhuma associação a qualquer empresa existente ou a existir será coincidência.

Branded content co-produzido pela MediaNext para a Claranet Portugal.