Ameaça cibernética no local de trabalho: Uma ameaça cibernética

Compreender o Tailgating na Engenharia Social

O que é a tailgating? Tailgating é uma técnica de engenharia social utilizada por indivíduos que procuram obter acesso não autorizado a áreas seguras, seguindo de perto uma pessoa autorizada. Esta tática explora a cortesia humana, permitindo que o infiltrador ganhe acesso sem a devida autenticação.

Os títulos das notícias estão repletos de violações de segurança maciças e os analistas explicam-nos os hacks frequentemente complexos envolvidos.

Frank Abagnale foi um dos hackers mais infames do mundo. As suas actividades criminosas ficaram famosas no filme sobre a sua vida, “Apanha-me se puderes“. Frank fez grande parte da sua pirataria informática na década de 1960. Utilizou técnicas de engenharia social de baixa tecnologia, incluindo o “Tailgating”, para se fazer passar por um médico e um piloto e facilitar várias fraudes financeiras. Durante as suas burlas, Frank usava identidades falsas para falsificar cheques e descontá-los. Frank roubou grandes somas de dinheiro e acabou por ser condenado a 12 anos de prisão por fraude. Desde então, Frank deixou a sua vida de crime para dar conselhos sobre como prevenir o cibercrime.

Frank utilizou a engenharia social para cometer fraudes, manipulando situações e pessoas. Estes métodos de ataque centram-se normalmente em pontos fracos do comportamento humano, explorando-os para iniciar ciberataques, incluindo danos criminosos, infeção por ransomware, Business Email Compromise (BEC) e exposição de dados. O termo “engenharia” desmente a natureza frequentemente subtil e de baixa tecnologia de muitos problemas de engenharia social. Aqui está um olhar sobre a tática de hacking de baixa tecnologia conhecida como ‘Tailgating’.

O que é “Tailgating” no contexto de uma ameaça cibernética?

Os cabeçalhos das notícias estão cheios de violações de segurança maciças, com analistas a explicar-nos os hacks frequentemente complexos envolvidos. No entanto, nem todos os hacks são digitais; muitos são conseguidos utilizando tácticas de baixa tecnologia. Mas mesmo esses ataques de baixa tecnologia podem resultar em grandes violações e roubos.

Tailgating, por vezes conhecido como “Piggbacking”, é uma forma de engenharia social de baixa tecnologia que é um hack físico e não digital. No entanto, este ataque físico pode levar a um ataque cibernético digital.

Um exemplo típico de tailgating é um fraudador que consegue aceder a um edifício empresarial fingindo ser um visitante legítimo, um entregador ou algo semelhante. Colin Greenless, um consultor da Siemens Enterprise Communications, demonstrou em 2009 a facilidade com que o tailgating é praticado e os danos que pode causar. Greenless entrou sem autorização num edifício de uma instituição financeira cotada na FTSE 100 e, em 20 minutos, encontrou um documento de fusões e aquisições altamente sensível à vista de todos numa secretária.

A psicologia do Tailgating ou Piggbacking

O ato de “tailgating” ou “piggbacking” tira partido do comportamento e das situações humanas. O tailgating é uma tática de engenharia social in-situ, ou seja, o tailgater tem de estar fisicamente no ambiente que pretende explorar. Isto traz à tona outros factores importantes para o sucesso do tailgating, nomeadamente o pretexto.

O pretexto é provavelmente tão antigo como a sociedade humana. É o ato de te apresentares como outra pessoa para obteres informações sensíveis ou importantes de outro indivíduo ou grupo, um pouco como Frank Abagnale. No ato de “tailgating”, o infrator assume frequentemente uma forma de identidade que torna o alvo mais aberto a revelar informações ou a realizar um ato (como abrir uma porta). O pretexto requer investigação sobre um alvo. Também se baseia na noção de confiança – que pré-requisitos ajudam a construir uma pessoa de confiança para tornar qualquer cenário de engenharia social mais bem sucedido? Por exemplo, se o engenheiro social quiser seguir uma empresa alvo, pode passar algum tempo a analisar os tipos de visitantes que aparecem no edifício da organização; existe uma hora específica em que são feitas as entregas, por exemplo. Esta recolha de informações permite ao burlão construir uma personagem de confiança que pode utilizar para manipular e influenciar os empregados para que lhes permitam entrar num edifício ou sala normalmente seguros.

Os danos provocados pela utilização de rabo de saia no local de trabalho

O Tailgating não é apenas um caso de alguém que se faz de parvo e entra num edifício por brincadeira. O Tailgating tem intenções maliciosas e os seus autores praticam este ato para causar danos materiais, roubar informações, instalar malware e até pôr em risco a vida dos funcionários. Num inquérito recente da Boon Edam, 71% dos inquiridos sentiram-se em risco de sofrer uma infração física devido à prática de “tailgating”.

O Tailgating assume qualquer forma e aqueles que o praticam podem ser ex-empregados ou estranhos.

Ex-empregados: De acordo com a investigação, 80% dos pedidos de indemnização por responsabilidade cibernética resultam de negligência de funcionários, incluindo funcionários desonestos. Estes ex-funcionários estão muitas vezes descontentes, procuram vingança, danificam bens e roubam informações e dados sensíveis da empresa para se vingarem.

Perigo estranho: A delicadeza pode levar ao roubo de dados e a infecções por malware: durante o exercício de tailgating de Colin Greenless, 17 empregados, a pedido, deram a Colin as suas palavras-passe. Normalmente, os autores de fraudes planeiam o seu ataque com bastante antecedência. Sabem a quem se dirigem e, para além das palavras-passe, os cartões de acesso fazem parte da sua lista de coisas a ter em conta. Ser educado com um estranho pode levar a contas comprometidas, a uma violação de dados e até a uma infeção através da instalação de malware.

Como deixar de andar de rabo na mão

Um sistema de gestão de políticas de segurança e de conformidade é um primeiro passo importante para o desenvolvimento de métodos de prevenção de incidentes de “tailgating”. As políticas devem refletir os métodos de tailgating e a forma de travar o tailgater no seu caminho. Para impedir o “tailgating”, antes que se instale na sua organização, analisa as seguintes áreas:

Fundamentos

Ensina os funcionários sobre o que é o tailgating, como acontece e quais as consequências. Isto deve fazer parte de um programa contínuo de formação de sensibilização para a segurança. Os programas de sensibilização para a segurança devem abranger todos os aspectos das ciberameaças, tanto digitais como de segurança física.

Vigilância

Incentiva uma atitude vigilante por parte dos empregados. Qualquer pessoa que pareça suspeita deve ser desafiada a fornecer as suas credenciais. Melhor ainda, estabelece um processo para que os funcionários possam informar um membro da equipa de segurança ou um gestor relevante sobre as suas suspeitas.

Consciência ambiental

Dá formação aos empregados sobre acções de tailgater, tais como tentar obter acesso físico a áreas restritas quando uma pessoa autorizada entra no espaço. Assegura-te de que os empregados sabem que o tailgating envolve truques de confiança utilizados para criar confiança.

Assertividade

Ser educado é importante, mas ser assertivo pode ajudar a evitar uma violação grave da empresa. Os funcionários precisam de ser ensinados sobre os truques do comércio de tailgating e como estes criminosos usam o medo de parecerem indelicados para contornar a segurança.

Fecha a porta ao Tailgating

Colin Greenless era um hacker de chapéu branco, e as suas escapadelas foram tornadas transparentes para ajudar a prevenir o tailgating. No entanto, o tailgating continua a ser um evento comum. Um exemplo mais recente envolveu uma mulher que conseguiu aceder a uma área restrita do Mar-a-Lago Trump Resort, transportando quatro dispositivos móveis, um computador portátil, um disco rígido externo e uma pen drive contendo malware. Mesmo com os níveis de segurança presidenciais em vigor, ela conseguiu contornar a segurança fingindo não entender as perguntas do pessoal de segurança, o resultado foi que “o pessoal de segurança culpou uma barreira linguística e admitiu-a“.

As pessoas que pretendem prejudicar uma organização e/ou cometer fraudes esforçar-se-ão muito para enganar os empregados. Caraterísticas humanas como a delicadeza, a falta de vigilância ou a simples distração com o trabalho podem levar a que indivíduos nefastos entrem numa organização com intenções maliciosas. Os funcionários devem ser alertados para os perigos do que pode parecer inofensivo, como alguém que aparece num escritório e que talvez não devesse estar lá. A formação de sensibilização para a segurança fechará a porta ao “tailgating” e dará aos empregados os conhecimentos necessários para enfrentar este problema insidioso.