Em dezembro do ano passado, a rede varejista americana Target revelou ao mercado que uma falha de segurança permitira o roubo de 40 milhões de números de cartões de crédito e débito da sua base de clientes. O vazamento de dados — um dos maiores ocorridos nos Estados Unidos — aconteceu a partir de senhas roubadas fora da rede do Target: um software malicioso havia se instalado no computador de um empregado da Fazio Mechanical Services (FMS), prestador de serviços responsável pela manutenção de sistemas de refrigeração de algumas lojas da cadeia. Mas por que um funcionário terceirizado, da área de refrigeração, teria credenciais para acessar a rede da Target e causar tamanho estrago?
A resposta a essa questão está diretamente ligada à internet das coisas, tendência de conexão dos objetos de uso cotidiano à web. “Nos Estados Unidos, a energia é relativamente mais cara que no Brasil. Por isso, quando há menos movimento na loja, é possível economizar energia controlando remotamente os balcões refrigerados e geladeiras de cada loja”, explica Daniel Garcia, arquiteto de Segurança da Cisco para a América Latina. A conexão das geladeiras do supermercado à internet — seja por cabo ou sem fio — também permite a manutenção à distância. Um detalhe que chamou a atenção dos especialistas foi a sofisticação do ataque, já que os caixas do Target, por onde entram os dados de cartão de crédito, não estão ligados à web. Foi necessário combinar uma série de artifícios para chegar aos servidores onde ficam armazenadas essas informações.
“O panorama da área de segurança é de ameaças cada vez mais direcionadas para um determinado alvo, mais customizadas, difíceis de encontrar”, resume Garcia, da Cisco. A sofisticação crescente dos ataques cibernéticos e os prejuízos causados — a Target, por exemplo, teve uma queda de 46% no lucro líquido no quarto trimestre do ano passado — atraíram a atenção da Cisco. Forte nas áreas de infraestrutura de rede e mobilidade, entre outras, a gigante americana trabalha para concluir até 1º de agosto deste ano a criação de sua Global Security Sales Organization, unidade de negócios voltada para o ramo de segurança. “A implantação já está em curso”, diz Raphael D’Ávila, gerente regional no Brasil para a área de Segurança. “Em 2014, a companhia vai dar ênfase, em nível mundial, à área de segurança”. O esforço vai abranger tanto grandes quanto pequenas e médias empresas.
A Cisco já atuava em segurança, mas a partir de 2008 perdeu força nesta área,com produtos que já não ofereciam os mesmos recursos da concorrência — Crossbeam (hoje Blue Coat), Juniper e McAfee. A situação melhorou a partir de 2011 e no ano passado a companhia adquiriu a Sourcefire, empresa do segmento de segurança. Neste mês, a Cisco anunciou a aquisição de outra empresa do ramo, a ThreatGRID, de capital fechado. “Nossa estratégia é oferecer ao cliente uma solução completa e não apenas produtos isolados”, afirma Vitor Pupe, gerente de Desenvolvimento de Negócios da Cisco no país
Embora tenham repercussão infinitamente menor na mídia, os ataques cibernéticos no Brasil são frequentes, especialmente o roubo de dados bancários. “Geralmente, o dinheiro desviado de contas de pessoas físicas é usado para pagamento de contas de serviço públicos”, esclarece Daniel Garcia. Um caso típico é o de moradores de áreas de menor renda que têm contas de água, eletricidade ou telefone em aberto. O hacker se oferece para quitar essas pendências por metade do valor total.
No caso da varejista Target, a repercussão foi catastrófica para a empresa, que perdeu sua CIO (Chief Information Officer ou diretora de Tecnologia da Informação) em 5 de março último. Em 5 de maio, foi a vez de Gregg Steinhafel, CEO da empresa. A estratégia usada pelos hackers permitiu a captura de 70 milhões de dados pessoais de clientes, incluindo não apenas informações de cartões mas também os números do seguro social, o equivalente ao CPF brasileiro. Só a reemissão dos cartões que tiveram seus números roubados custou US$ 200 milhões às administradoras. Segundo divulgado na época, cada número foi vendido no mercado negro por um valor entre US$ 18 e US$ 37, nos dias posteriores ao início do ataque, que começou em 27 de novembro de 2013.
Posteriormente,à medida em que o caso ganhou divulgação e começaram os cancelamentos, esse valor caiu. Estima-se que os fraudadores tenham lucrado US$ 53,7 milhões com a operação. No primeiro trimestre deste ano, o faturamento da Target aumentou 2,1% em relação ao mesmo período de 2013, mas o lucro caiu 16% na comparação anual, ainda sob impacto da falha de segurança. “A sofisticação dos grupos internacionais de hackers é tanta que muitos oferecem garantia e suporte dos kits de malware (software malicioso) que vendem. Aceitam até pagamento em cartão de crédito. Eu, não recomendaria”, brinca o arquiteto de Segurança da Cisco para a América Latina.
