Código malicioso abriu caminho até a autorização de transferências e expôs a importância de comunicar incidentes sem medo de retaliação
Uma falsa seleção de emprego integrou a estratégia do ataque à Binance que afetou aproximadamente US$ 6,34 bilhões em criptoativos em 29 de outubro. Em relatório preliminar divulgado em 3 de novembro, a corretora descreveu como um exercício de programação contaminou o computador de um engenheiro e abriu caminho para os invasores alcançarem outros equipamentos e a estrutura de autorização de transações. A investigação continua em andamento.
Para Hesron Hori, especialista em gestão de riscos corporativos e segurança da informação, sócio e diretor de Risk Assessment da Under Protection, empresa especializada em cibersegurança e continuidade operacional, o caso mostra como uma abordagem aparentemente distante da operação financeira pode atingir funções críticas. “O criminoso pode começar por alguém que não tem autorização para movimentar dinheiro e procurar caminhos até quem tem. Por isso, é importante revisar conexões entre sistemas, privilégios de usuários e credenciais armazenadas nos computadores”, explica.
Segundo a Binance, o engenheiro foi abordado em setembro em uma plataforma legítima de empregos. Para dar credibilidade à seleção, os criminosos fizeram uma entrevista por vídeo e compartilharam um perfil com fotos e publicações pessoais. Na segunda etapa, pediram ao candidato que baixasse um teste técnico no computador de trabalho. O código malicioso foi executado durante a configuração do projeto.
“Entrevistas falsas exploram uma situação legítima, que é o interesse por uma oportunidade profissional. A empresa precisa orientar seus funcionários, mas também limitar o que pode acontecer depois de um engano. Uma máquina invadida não deveria permitir acesso irrestrito à operação”, afirma o especialista.
De acordo com o relatório, os invasores usaram o computador comprometido e uma ferramenta interna de inteligência artificial para alcançar os dispositivos de outros dois engenheiros. Com credenciais roubadas de um deles, os criminosos executaram, na máquina do outro, um programa que deu início ao ataque ao sistema de assinatura das carteiras, responsável por autorizar movimentações.
Como reduzir o risco e conter uma invasão
A proteção começa pela confirmação da oportunidade profissional em um canal oficial obtido fora da conversa com o suposto recrutador.
O computador corporativo deve ser usado apenas para finalidades previamente autorizadas pela empresa. Se a política interna permitir a avaliação de um teste externo, a equipe responsável deve examinar o material e, quando necessário, executá-lo em ambiente isolado, sem acesso a dados ou sistemas de trabalho.
O termo de uso dos equipamentos deve explicar quais atividades são permitidas. O aviso de privacidade deve informar quais atividades podem ser monitoradas, quais dados são coletados e com que finalidade. Quando envolver dados pessoais, o monitoramento deve respeitar os princípios de finalidade, necessidade e transparência da Lei Geral de Proteção de Dados (LGPD).
Se um arquivo suspeito já tiver sido executado, o profissional deve comunicar imediatamente a equipe de segurança e seguir o procedimento de isolamento do equipamento. A resposta precisa preservar registros e avaliar sessões, credenciais e outros dispositivos que possam ter sido alcançados.
Gestores e equipes de segurança devem ser capacitados para presumir a boa-fé e acolher, sem retaliação, o relato de quem suspeita ter provocado um incidente, mesmo quando a pessoa admite um erro. O erro deve ser tratado como incidente de segurança, com prioridade para a contenção. A ocultação deliberada e a omissão negligente do dever de comunicar devem ser tratadas como infrações disciplinares, conforme o código de ética da empresa. O uso de equipamento corporativo para uma finalidade sem autorização prévia também deve ser previsto no código como violação de conduta.
O programa de conscientização deve explicar essas responsabilidades, indicar o canal de comunicação e mostrar como o compartilhamento indevido de materiais pode violar políticas internas, acordos de confidencialidade (NDAs) e direitos de propriedade intelectual da empresa. Exemplos incluem o envio de código-fonte, documentos internos ou dados de clientes a recrutadores, plataformas de teste ou ferramentas de IA sem autorização.
Como detectar desvios no uso de ferramentas internas
Em julho de 2024, a KnowBe4 identificou uma tentativa de infiltração depois de contratar, para uma vaga de tecnologia, uma pessoa que usava uma identidade roubada. O computador enviado pela empresa gerou um alerta quando houve uma tentativa de instalar código malicioso. Segundo a KnowBe4, a equipe de segurança bloqueou o acesso em até 25 minutos após o primeiro alerta. O episódio mostra por que o monitoramento deve abranger também equipamentos e ferramentas autorizados quando são usados fora da finalidade prevista.
Um centro de operações de segurança de nova geração (NG SOC) com recursos de análise de comportamento de usuários e entidades (UEBA) pode cruzar registros de contas, dispositivos e aplicações para identificar desvios. A instalação inesperada de um programa, seguida pelo uso de uma ferramenta interna de IA para acessar outros equipamentos, é um exemplo de sequência que pode ser priorizada para investigação. A equipe de segurança avalia o contexto do alerta e decide se é preciso isolar a máquina ou revogar acessos.
Entre a execução de um arquivo suspeito e o acesso a um sistema crítico, a empresa pode ter uma oportunidade de conter a invasão. Um relato imediato ajuda a equipe de segurança a localizar o computador de origem, identificar quais contas e ferramentas foram usadas e interromper acessos antes que o ataque avance para áreas como pagamentos ou bases de clientes.
Sobre Hesron Hori
Hesron Hori é sócio e diretor de Risk Assessment da Under Protection, especialista em gestão de riscos corporativos e segurança da informação. Atua há mais de uma década na avaliação de vulnerabilidades, governança digital e continuidade operacional, apoiando empresas na identificação e mitigação de riscos que afetam resultados, operações e reputação.
Formado em Segurança da Informação, possui MBA em Administração, Finanças e Geração de Valor pela Pontifícia Universidade Católica do Rio Grande do Sul (PUCRS). Sua atuação integra tecnologia e estratégia de negócios, com foco em normas internacionais e boas práticas de segurança aplicadas ao ambiente corporativo.
Para mais informações, acesse: LinkedIn
Sobre a Under Protection
Com mais de 25 anos de atuação, a Under Protection é especializada em cibersegurança e continuidade operacional. Criadora das metodologias LISA e NG LISA, combina monitoramento em tempo real, resposta imediata e análise integrada de pessoas, processos e tecnologia. Atua com planos priorizados e clareza executiva para proteger ambientes digitais com eficiência e resiliência.
A empresa também opera um centro de operações de segurança (NG SOC) que monitora ambientes 24/7, processando eventos em tempo real e executando ações automatizadas para contenção de ameaças. Com presença nacional e atuação em diversos setores, a Under Protection é reconhecida por sua abordagem estratégica e capacidade de adaptação às necessidades específicas de cada organização.
Para mais informações, acesse: Site
Fontes de pesquisa
https://learn.microsoft.com/en-us/azure/sentinel/identify-threats-with-entity-behavior-analytics?WT.mc_id=EM-MVP-4028970&utm_source https://www.gov.br/funasa/pt-br/acesso-a-informacao/lei-geral-de-protecao-de-dados-pessoais-lgpd/principios-fundamentais-da-lgpd-1 https://blog.knowbe4.com/how-a-north-korean-fake-it-worker-tried-to-infiltrate-us?hs_amp=true&trk=article-ssr-frontend-pulse_little-text-block&utm_source= https://www.binance.com/en/square/post/384328127385979?utm_source=
