Um novo incidente de cibersegurança abalou a rede de cacifos Locky em Portugal, comprometendo as informações pessoais de mais de um milhão de utilizadores nas bases de dados.
A fuga de nomes, endereços de e-mail e números de telefone não representa um problema isolado, mas fornece a matéria-prima necessária para ataques de engenharia social.
O risco derivado da reutilização de credenciais (Credential Stuffing)
O incidente não representa necessariamente uma vulnerabilidade direta no código da Locky, mas expõe um vetor de ataque altamente explorável: o credential stuffing. Os atacantes utilizam bases de dados de credenciais vazadas noutros sites para tentar aceder a contas corporativas de forma automatizada.
Se os colaboradores reutilizarem as mesmas palavras-passe em contas pessoais e sistemas corporativos, a segurança da empresa fica exposta. Assim que o atacante obtém o controlo das credenciais de um colaborador, o acesso à rede interna torna-se direto e difícil de detetar pelos sistemas tradicionais.
Como é que o roubo de dados influencia o phishing de alta precisão?
Quando são vazadas informações de um milhão de utilizadores, o realismo das campanhas de usurpação de identidade aumenta drasticamente. Ao dispor de nomes reais, e-mails e números de telefone, os cibercriminosos podem estruturar ataques de phishing de alta precisão (spear-phishing):
- Maior credibilidade: as notificações simuladas de serviços de mensagens ou encomendas dirigidas ao utilizador pelo seu nome real aumentam a probabilidade de que seja realizada uma ação de risco.
- Ataques multicanal: o acesso a números de telefone facilita o uso de técnicas combinadas como o smishing (phishing por mensagens de texto), desviando a atenção dos usuários.
- Foco na urgência: as comunicações fraudulentas exploram o senso de urgência nos processos de entrega, pressionando para obter uma interação rápida com links maliciosos.
Conscientização contínua diante da falha das defesas técnicas
Para blindar a infraestrutura contra esse tipo de ameaça, o treinamento tradicional em cibersegurança, baseado em palestras anuais ou vídeos passivos, mostra-se insuficiente. É indispensável implementar programas de conscientização contínua e gamificada.
A plataforma Guardey resolve essa necessidade por meio do uso de microaprendizagem semanal e simulações de phishing baseadas em casos reais do setor. Ao treinar constantemente o "reflexo de segurança" dos colaboradores, a equipe aprende a desconfiar de comunicações suspeitas e a reportar ameaças antes que comprometam a segurança da organização.
O valor de uma transição planejada na formação em cibersegurança
A implementação bem-sucedida de um programa de treinamento contínuo requer uma análise das necessidades específicas e um diagnóstico do nível de maturidade tecnológica da organização. Não basta adquirir licenças de software; o verdadeiro impacto é alcançado estruturando planos formativos adaptados.
A Sinfopac, como parceira consultora especializada, assessora as organizações na implementação do programa Guardey, analisando seus riscos específicos e desenhando estratégias formativas que garantam a adoção real e efetiva de hábitos de cibersegurança.
Planejamento e otimização da conscientização em segurança
O estabelecimento de uma cultura preventiva sólida é o passo estratégico adequado para mitigar as brechas de segurança provocadas pela engenharia social e pelo fator humano.
{{fs-button}}