Mitos comuns sobre conscientização em cibersegurança

Ao entrarmos no Mês de Conscientização sobre Segurança Cibernética, devemos nos preparar para a onda de mitos e equívocos comuns sobre segurança, muitas vezes disseminados com boas intenções, mas com efeitos negativos. Esses temas podem ser controversos até mesmo entre profissionais experientes, por isso adotaremos uma perspectiva orientada por dados e abordaremos o público empresarial mais amplo possível.

Essa abrangência costuma ser motivo de divergências. Cada empresa precisa discutir internamente os riscos e as perdas aceitáveis, os modelos de ameaça aplicáveis e os prováveis agentes de ameaça, além das particularidades de seu ambiente. O ponto em comum, porém, deve ser o uso de dados, conhecimento especializado e objetividade — e não de conhecimento restrito a determinados grupos, imitação sem compreensão e vieses de confirmação e de sobrevivência.

Abordaremos os "três grandes": clicar em links de e-mails, usar redes Wi-Fi públicas e o "juice jacking", ou seja, os perigos de usar carregadores USB gratuitos para celulares.

Nº 1: Clicar em links de e-mails

Conclusão: ensine a identificar sinais claros de phishing e golpes, mas conselhos pouco realistas, como “não clique em links”, são improdutivos e podem até ser prejudiciais.

A conscientização sobre o "uso seguro" é uma ferramenta poderosa, pois ajuda os funcionários a usar melhor a tecnologia e, ao mesmo tempo, aborda problemas comuns. No entanto, anos pedindo às pessoas que mudem comportamentos fundamentais, com orientações como "não clique em links", parecem não estar surtindo efeito. O Relatório de Investigações de Violações de Dados de 2023 da Verizon aponta que 74% de todas as violações envolvem o fator humano (não apenas e-mails), e o Estudo de Insights sobre Riscos da Informação de 2022 do Cyentia Institute classifica o phishing entre as três principais técnicas de acesso inicial em 18 dos 20 setores (ocupando o 4º lugar nos setores de Informação e Outros Serviços).

Acidentes acontecem, e até mesmo um funcionário bem-intencionado e treinado acabará clicando em um link malicioso mais cedo ou mais tarde. Esse é um dos motivos pelos quais os programas de segurança continuam investindo na proteção de e-mails e dispositivos, mesmo após anos tentando convencer os usuários a usar o e-mail de outra forma. Mais preocupante é o tempo dedicado a esse assunto nos valiosos treinamentos de conscientização em segurança, que acabam fazendo mais mal do que bem ao perder a atenção do público por falta de aplicabilidade prática.

As empresas precisam ser mais resilientes do que depender de um funcionário não clicar em um link. Os funcionários podem ajudar, especialmente fornecendo relatos sobre o que realmente está acontecendo ("viu algo, diga algo"), mas mitigar esse risco é responsabilidade das equipes de segurança.

#2 Uso de Wi-Fi público

Conclusão: o Wi-Fi público é seguro para uso, mesmo em contextos empresariais.

Ainda persiste a crença de que redes Wi-Fi públicas são menos confiáveis ou mais perigosas do que redes domésticas ou corporativas. No entanto, não há relatos de exploração em massa de redes Wi-Fi públicas, nem mesmo entre 2020 e 2022, quando houve um aumento expressivo do trabalho remoto. A Comissão Federal de Comércio dos Estados Unidos (FTC) alertou contra o uso de redes Wi-Fi públicas em 2011; porém, em 2023, atualizou suas orientações para refletir os avanços tecnológicos que tornaram seu uso seguro.

Em comparação, há casos de furto de laptops e dispositivos, como crimes de oportunidade em espaços públicos, um risco mais provável que pode ser mitigado por investimentos em criptografia de armazenamento, gerenciamento de dispositivos móveis (MDM) e políticas de bloqueio. Um exemplo de subpopulação é a lista arquivada de violações de dados de saúde protegidos e não protegidos adequadamente que foram denunciadas e afetaram 500 pessoas ou mais do Escritório de Direitos Civis (OCR) do Departamento de Saúde e Serviços Humanos, que mostra mais de 4,6 mil ocorrências de furto ou perda de laptops ou outros dispositivos eletrônicos portáteis desde 2009, afetando mais de 345 milhões de pessoas.

Enquanto isso, o tráfego da rede local mantém sua tendência de segurança:

• O Relatório de Transparência "Criptografia HTTPS na Web" do Google mostra que mais de 90% do tráfego nos serviços da empresa é criptografado, além da ampla adoção de tráfego criptografado por sistemas operacionais como Windows e Mac.
• As estatísticas do Let's Encrypt sobre a porcentagem de páginas da Web carregadas pelo Firefox usando HTTPS com base na telemetria do Firefox da Mozilla mostram que cerca de 80% do tráfego dos usuários em todo o mundo é criptografado, assim como cerca de 90% do tráfego dos usuários dos EUA e do Japão.
• O Relatório de Transparência sobre "Criptografia de e-mails em trânsito" do Google mostra que mais de 90% dos e-mails enviados e recebidos pelo Google (Gmail) são criptografados.
• A adoção dos recursos de segurança de DNS ainda enfrenta desafios, que são parcialmente atenuados pelo amplo suporte à criptografia do tráfego de aplicativos e pela presença generalizada de VPNs e soluções equivalentes para o tráfego gerenciado por empresas. A adoção do DNSSEC é baixa (cerca de 5% dos domínios .com estão protegidos, segundo o Painel do DNSSEC da Verisign); no entanto, ela decolou em 2020 e vem mantendo um crescimento contínuo. Da mesma forma, o DNS sobre HTTPS (DoH) é compatível com sistemas operacionais e navegadores.

A menos que o dispositivo tenha serviços expostos à rede — o que deveria ser uma exceção extrema em dispositivos de usuários —, o Wi-Fi público apresenta pouco ou nenhum risco específico em comparação com qualquer outra rede Wi-Fi. Para quem adota uma abordagem de confiança zero, o Wi-Fi público é um excelente exemplo de que nunca se deve confiar na rede — seja ela pública ou privada.

#3 “Juice jacking” ou os perigos de carregar celulares gratuitamente via USB

Conclusão: Esse ataque já foi comprovado em diversos modelos de celular, mas não há dados confirmados que indiquem seu uso, e as medidas de proteção para o usuário têm baixo custo. Portanto, em caso de necessidade, geralmente é seguro usar um carregador USB gratuito.

Embora haja situações em que seja melhor evitar estações de carregamento USB, como quando você deixa o celular sem supervisão, correndo o risco de ele ser roubado, ou durante uma conferência de segurança, onde é mais provável haver "demonstrações" desses ataques, não há dados confirmados que justifiquem toda a repercussão dada ao "juice jacking".

• A Comissão Federal de Comunicações (FCC) informa não ter conhecimento de nenhum caso confirmado de ocorrência desse ataque.
• O Snopes verificou os alertas sobre "juice jacking" emitidos pelo gabinete do promotor público do Condado de Los Angeles em 2019 e pela FCC e pelo Federal Bureau of Investigation (FBI) em 2023, e não encontrou evidências de que essa prática fosse amplamente utilizada. Essa verificação foi citada pelo KrebsOnSecurity ao noticiar os alertas emitidos pela FCC e pelo FBI em 2023.

Para quem se preocupa com esse risco, as medidas de mitigação têm baixo custo tanto para o empregador quanto para o funcionário:

1. Use adaptadores de tomada para USB e pequenos carregadores portáteis, que se tornaram itens comuns na bagagem de mão, especialmente para quem viaja a negócios.
   
2. Selecione "somente carregar" se, ao conectar o cabo USB, o celular perguntar se você deseja "compartilhar dados", "confiar neste computador" ou algo semelhante.
   
3. Se for avaliado que o risco de um usuário é significativamente maior, considere investir em carregadores e cabos especiais que bloqueiem ou não transmitam dados.

O maior risco das estações gratuitas de carregamento USB é deixar o dispositivo sem supervisão e alguém levá-lo. Novamente, o investimento da empresa no gerenciamento de dispositivos e na aplicação de práticas de segurança costuma ser uma medida de mitigação razoável.

Por que aumentar a conscientização sobre esses temas é ruim? Mais conscientização não é sempre algo positivo?

A segurança geralmente recebe pouca ou nenhuma atenção positiva dos colegas de trabalho, e os treinamentos obrigatórios da empresa não despertam entusiasmo. Esses momentos preciosos e as primeiras impressões estão entre os recursos mais valiosos de que as equipes de segurança dispõem.

Na melhor das hipóteses, todo o tempo gasto com conteúdo que não seja essencial ou relevante, ou que seja impreciso ou irrealista, é desperdiçado. Na pior das hipóteses, as equipes de segurança perdem a atenção do público e não serão ouvidas na próxima vez, por mais importante que seja a mensagem.

A questão mais ampla é por que mitos e equívocos como esses persistem. Parte do problema é de natureza humana, como mencionado no início do artigo.

A outra parte do problema é estrutural: equívocos como esses acabam incorporados a estruturas de conformidade e contratos comerciais. Essas prescrições raramente resistem bem ao tempo, sobretudo quando são redigidas com um nível de especificidade que não acompanha a evolução da tecnologia. Com isso, os programas de segurança acabam implementando requisitos obsoletos ou baseados em mitos, que são assimilados pelas equipes e levados para seus próximos empregadores. Esse conhecimento contaminado é pior do que malware.