À medida que empresas reforçam sistemas e controles de segurança, criminosos procuram outros caminhos para chegar a informações, sistemas e operações. Um deles passa justamente por quem já possui acesso legítimo.
Funcionários e terceiros podem ser abordados para fornecer credenciais, alterar informações ou facilitar fraudes. O aliciamento amplia o desafio porque desloca parte do risco cibernético da tecnologia para o comportamento humano.
O tema esteve no centro do webinar “Ameaça Invisível – Aliciamento e Riscos Cibernéticos no Ambiente Corporativo”, promovido pelo Machado Meyer Advogados.
Na oportunidade, Juliana Abrusio, sócia da área de Direito Digital e Proteção de Dados do escritório, discutiu como o fator humano passou a ocupar uma posição estratégica nos ataques cibernéticos.
A questão ultrapassa a área de tecnologia. Segundo Abrusio, o envolvimento de insiders (colaboradores contratados diretamente ou terceirizados que estão dentro da operação) em fraudes e incidentes cibernéticos tornou-se uma das principais preocupações de executivos e conselhos.
“A questão tecnológica é um recorte limitado desse risco. Ele vai muito além, é um tema central de governança, de gestão de riscos e de compliance”, afirmou.
O caminhos do ciberataque
Bancos, fintechs e instituições de pagamento estão entre os alvos mais evidentes do crime cibernético. No entanto, a exposição não termina no sistema financeiro.
Varejo, telecomunicações, turismo, e-commerce, marketplaces e empresas de delivery também fazem parte de ecossistemas nos quais circulam pagamentos, dados e credenciais. Por isso, podem funcionar como caminhos para alcançar recursos financeiros ou informações dos consumidores.
Por isso, a proteção do consumidor também entra nessa equação. Uma vulnerabilidade explorada dentro de uma empresa pode avançar pela cadeia e atingir contas, dados pessoais, meios de pagamento e serviços utilizados pelo cliente.
Aliciamento migra para as redes
As redes sociais e plataformas de comunicação ampliaram as possibilidades de abordagem fora dos ambientes corporativos. Isso cria um desafio adicional para as empresas, que podem sequer saber que um funcionário recebeu uma proposta de aliciamento.
Sem orientação, um funcionário que recusou uma proposta pode preferir ficar em silêncio por receio de se tornar suspeito.
Esse processo cria um desafio adicional para as empresas. A tentativa de aliciamento pode acontecer fora de qualquer ambiente corporativo e sem que a organização saiba que seu funcionário recebeu uma proposta.
Contratação exige atenção
Abrusio relacionou esse cenário ao conceito de Know Your Employee (KYE), ou “conheça seu funcionário”. Uma discussão que amplia o olhar sobre os processos de contratação. Ou seja, além de avaliar competência técnica e adequação ao cargo, empresas passam a observar os riscos associados às posições que terão acesso a informações e sistemas sensíveis.
Isso não significa, porém, presumir que funcionários sejam potenciais criminosos. O desafio está justamente em construir controles capazes de reduzir oportunidades de fraude sem transformar relações de trabalho em relações permanentes de desconfiança.
E esse equilíbrio se torna ainda mais delicado quando uma credencial legítima efetivamente cai nas mãos de criminosos. Nesse ponto, identificar onde termina uma falha de segurança e onde começa a participação de um insider pode ser decisivo para a empresa (e para os consumidores que estão na outra ponta da operação).
Quando o acesso legítimo vira ataque
Uma das dificuldades para identificar a participação de um insider está justamente no acesso utilizado. Em vez de romper uma barreira tecnológica, o criminoso pode operar com uma credencial válida, pertencente a alguém autorizado a entrar naquele ambiente.
Além disso, o acesso pode vir de fora da própria organização atacada. Fornecedores e terceiros conectados aos sistemas corporativos também fazem parte da cadeia de risco. Por isso, proteger apenas o perímetro da empresa deixou de ser suficiente.
Juliana Abrusio chamou atenção para essa questão ao falar sobre operadores e fornecedores conectados por APIs. “Um incidente em uma empresa aparentemente distante da operação principal pode ganhar outra dimensão quando existe uma conexão direta entre os ambientes”, disse.
A lógica ajuda a explicar por que a gestão de riscos cibernéticos precisa acompanhar toda a cadeia. Uma credencial comprometida em um terceiro pode abrir um caminho até sistemas, informações e serviços de outra organização.
SIM Swap coloca consumidor no alvo
O consumidor pode aparecer na outra ponta dessa cadeia sem perceber o que aconteceu dentro da empresa. Um dos exemplos discutidos no webinar foi o SIM Swap, fraude na qual criminosos assumem o controle da linha telefônica da vítima. Segundo Abrusio, o esquema pode envolver o aliciamento de um funcionário de uma operadora de telecomunicações.
Nesse caso, o consumidor perde a conexão do próprio aparelho e segue sem saber o que aconteceu. “Ele acha que teve uma pane no parelho, que está sem conexão, que aconteceu alguma coisa”, disse Abrusio.
Enquanto isso, a troca pode ter ocorrido dentro da operadora. Com o controle da linha, criminosos podem avançar sobre informações e mecanismos de autenticação associados ao número do consumidor.
O exemplo mostra como uma ameaça interna pode ultrapassar os limites da organização. A empresa enfrenta o incidente, mas seus efeitos podem chegar diretamente aos clientes.
E se a fraude ainda não aconteceu?
A complexidade aumenta quando a empresa descobre uma tentativa de aliciamento antes que o ataque seja executado.
Imagine que um criminoso encontre um funcionário em uma rede social e ofereça dinheiro para que ele forneça uma credencial. O empregado recusa a proposta e comunica a empresa. A organização consegue preservar mensagens e até identificar quem realizou a abordagem.
Mas, o que pode ser feito criminalmente? Abrusio explicou que a resposta exige observar uma regra fundamental do Direito Penal: uma pessoa não pode ser responsabilizada por uma conduta que a legislação não definiu como crime.
Para explicar a questão, ela recorre ao iter criminis, expressão utilizada para descrever o caminho percorrido até a prática de um crime. Antes da execução, existem etapas de preparação. “Se o Código Penal ou uma legislação específica não traz exatamente aquela conduta, você não pode fazer uma analogia”, explicou.
Por isso, a simples abordagem de um funcionário para recrutá-lo pode permanecer, dependendo das circunstâncias concretas, no campo dos atos preparatórios de uma fraude futura. A situação muda à medida que outras condutas são praticadas e crimes previstos na legislação passam a se configurar.
Abrusio faz uma distinção importante. O crime patrimonial que aparece no final da cadeia pode ser responsabilizado tanto quando consumado quanto, preenchidos os requisitos legais, na forma tentada. Entretanto, isso não significa que todo ato anterior destinado a preparar a fraude constitua automaticamente um crime autônomo.
Essa diferença cria um desafio para organizações que conseguem detectar o problema cedo. Justamente quando a fraude ainda pode ser evitada.
Prevenir não significa ficar parado
A ausência de um enquadramento penal automático para uma abordagem preparatória não significa que a empresa deva ignorar o episódio.
Abrusio defendeu que as organizações procurem as autoridades e construam uma estratégia adequada de investigação. Dependendo do caso, pode ser necessário recorrer a medidas judiciais para obter informações que a empresa não controla diretamente.
Isso ocorre porque parte do aliciamento pode acontecer em ambientes externos. Plataformas e canais pessoais não estão sob monitoramento corporativo, e a organização não pode simplesmente acessar comunicações privadas de seus funcionários.
Além disso, uma investigação precisa preservar evidências. Nesse ínterim, logs, registros de acesso e outras informações podem ser decisivos para reconstruir o caminho percorrido durante um incidente e estabelecer responsabilidades. O cuidado vale também para evitar o movimento contrário: partir da existência de uma fraude e concluir que necessariamente houve participação de alguém de dentro.
Até onde a empresa pode monitorar?
Identificar riscos internos não autoriza uma empresa a investigar funcionários sem limites. Juliana Abrusio lembrou que o monitoramento de ambientes corporativos encontra respaldo na jurisprudência, mas exige transparência e respeito às garantias dos trabalhadores.
Isso significa que a organização precisa definir previamente o que pode monitorar, estabelecer políticas claras e avaliar juridicamente cada medida. Comunicações privadas e dados pessoais não se tornam automaticamente acessíveis porque existe uma suspeita de fraude.
“Você pode e deve monitorar os ambientes corporativos dos empregados, desde que haja transparência em relação a isso”, afirmou Abrusio.
O cuidado evita que a própria empresa, ao tentar responder a um incidente, ultrapasse limites relacionados à privacidade e à proteção de dados.
Pessoas, processos e tecnologia
Para reduzir a exposição ao aliciamento, Abrusio destaca uma estratégia que combine pessoas, processos e tecnologia. Entretanto, tecnologia não resolve o problema sozinha.
Abrusio destacou especialmente os processos. Uma empresa pode contratar ferramentas avançadas e investir na preparação das equipes, mas precisa definir como esses recursos funcionarão juntos quando um incidente ocorrer.
“Você pode contratar as melhores tecnologias, investir em pessoas, mas, se não há um processo, o processo é um amálgama. Ele que vai fazer tudo isso ser efetivo e acontecer”, explicou.
A preparação também passa por simulações de incidentes e planos de resposta. Quem precisa ser acionado? Quais áreas devem participar? Como preservar evidências? Como manter a operação? E como comunicar o problema?
Responder a essas perguntas somente depois de um ataque aumenta o risco justamente no momento em que a empresa precisa agir rapidamente.
