Entidade máxima do futebol mundial sofre segundo ciberataque neste ano
Os sistemas de computadores da Fifa (Federação Internacional de Futebol) foram hackeados novamente e a entidade está preparada para vazamentos mais danosos de informações confidenciais.
Autoridades da Fifa admitiram o ciberataque sofrido e teme que uma série de matérias seja prontamente publicada com base em um conjunto de documentos internos que foram originalmente obtidos pelo site Football Leaks em 2015.
O órgão emitiu uma declaração condenando “quaisquer tentativas de comprometer a confidencialidade, integridade e disponibilidade de dados em qualquer organização usando práticas ilegais”. O presidente da Fifa, Gianni Infantino, disse à Associated Press que os meios de comunicação contataram a organização sobre vazamentos de informações que receberam.
“As perguntas que recebemos, respondemos”, disse ele. “Meu trabalho envolve discussões, conversas, trocas de documentos, rascunhos, idéias, em muitos, muitos, muitos, tópicos, senão você não vai a lugar algum.”
“Quero dizer, se eu tiver que ficar no meu quarto e não falar com ninguém e não puder fazer nada, como posso fazer meu trabalho adequadamente? Então se isso está sendo retratado como algo ruim, acho que não há muito que eu possa fazer mais do que o meu trabalho de maneira honesta, profissional e tentando defender os interesses do futebol”, adicionou Infantino.
Uma campanha de phishing é a principal causa suspeita do hack, que ocorreu em março, meses depois de a entidade ter sido vítima de outro grande ataque cibernético, que levou o grupo russo de hackers Fancy Bears a vazar detalhes de testes de drogas fracassados por jogadores de futebol.
Medidas preventivas
Tim Sadler, cofundador e CEO da startup de segurança de e-mail Tessian, disse que o hack parece ser o resultado de um esquema clássico de phishing que enganou um funcionário despretensioso.
“Dentro de uma organização que emprega milhares de pessoas como a FIFA, existem milhares de vulnerabilidades humanas para os atacantes mirarem e explorarem e enormes quantidades de dados altamente valiosos para exfiltrar”, disse ele.
“Para minimizar o risco de ser vítima deste ataque de phishing – e qualquer outro tipo de tentativa de phishing – é importante que os funcionários da Fifa sejam céticos e vigilantes. Em outras palavras, eles devem ser alvo de fraudadores e responder tratando qualquer solicitação para informações ou pagamento em sua caixa de entrada como suspeitas, particularmente no rescaldo dessa violação.
“Também é importante que os funcionários sejam treinados sobre as características de um esquema de phishing, como eles operam e como eles podem impactar financeira e reputacionalmente sua organização. No entanto, como a Fifa foi hackeada duas vezes este ano, e golpes de phishing em ascensão e provando cada vez mais eficaz, a vigilância por si só não é suficiente.”
Sadler argumentou que o melhor meio de defesa é usar ferramentas de machine learning que analisam padrões de comportamento em e-mails e detectam anomalias que sugerem uma tentativa de comprometimento.
Tony Pepper, CEO da Egress Software, ecoou os apelos de Sadler para mitigar tais riscos por meio do uso de machine learning e expressou simpatia pela defesa de Infantino.
“Quando questionado sobre a violação, o presidente da Fifa explicou que a troca de documentos, rascunhos e ideias é fundamental para o seu trabalho, e acho que todos podemos relacionar”, disse Pepper.
“Na verdade, muito poucos dados permanecem em um banco de dados ou em um único servidor. Ao compartilhar documentos contendo informações confidenciais, a primeira coisa que deve ser feita é criptografar e-mails e anexos em trânsito e em repouso na caixa de correio e adicionar autenticação de fator e controles de política quando segurança adicional também é necessária.”
Mudanças simples
Simon McCalla, CTO da Nominet, órgão que registra domínios on-line no Reino Unido, acrescentou que mudanças simples em processos e sistemas apoiados por treinamento e educação podem ter impedido a violação.
“Para reduzir o risco de usuários clicarem nos domínios ‘próximos a’ usados - como a substituição de john@fifa.com por john@fi-fa.com – a implantação de um sistema anti-phishing robusto ajudará absolutamente, mas você não pode dependem apenas de sistemas de defesa “, disse ele
“É importante conscientizar os usuários sobre os perigos do phishing e como identificar e-mails suspeitos também. Também é essencial incutir uma cultura de segurança, onde os funcionários são encorajados e habilitados a verificar qualquer coisa sobre a qual não tenham certeza”, completou McCalla.
