Em um exemplo que mistura esperteza humana e tecnologia, recentemente descobriu-se que uma série de hacks sophisticatedos tem invadido contas no Salesforce, empresa conhecida por suas soluções em gestão. Aproximadamente, a fraude funcionou assim: criminosos fingiam ser membros da equipe de TI dos alvos e pediam acesso imediato à conta. Em vez de explotar vulnerabilidades de software ou sites, optaram por algo bem mais simples — ligar para os funcionários e pedir ajuda.
Para surpresa de ninguém, empresas como a Google, a Adidas, a Qantas, a Allianz Life, a Cisco e as subsidiárias da LVMH (Louis Vuitton, Dior e Tiffany & Co.) foram vítimas desse esquema. O que torna ainda mais impressionante é que o próprio Google, empresa de tecnologia que se orgulha de sua robustez cibernética, foi hackeado — mas só descobriu dois meses após o ataque.
Os criminosos aproveitaram uma funcionalidade do Salesforce que permite vincular contas a aplicativos externos. Eles contactavam empregados e pediam para conectar um app terceiro ao sistema, solicitando um código de segurança de 8 dígitos no processo. Com esse número em mãos, acessavam todo o banco de dados.
Embora a Google tenha inicialmente atribuído os ataques a um grupo conhecido como UNC6040, descobriu-se que outro grupo, UNC6042, está envolvido em atividades de extorsão. Esses criminosos, que se autointitulam ShinyHunters, já estão planejando escalonar suas táticas, possivelmente criando um site para vazamento de dados — o que significaria pressão ainda maior sobre as vítimas.
Diante desse cenário alarmante, a pergunta que não quer calar é: quantas outras empresas foram afetadas sem que sequer saibamos? Ainda bem que existem medidas preventivas. As companhias devem:
- Auditar regularmente suas instâncias do Salesforce;
- Implantar autenticação multifatorial;
- Treinar os funcionários para reconhecerem tentativas de golpe.
Mesmo assim, o maior desafio continua sendo o lado humano — aquele que ainda é capaz de confiar em um estrangeiro que liga do nada pedindo acesso à conta. Até quando seremos a nossa própria fraqueza?
