O que é uma violação de dados e por que demora 194 dias a ser detetada

A maioria das violações de dados chega aos indivíduos através de um envelope familiar: uma carta da empresa, um pedido de desculpas cauteloso e uma oferta de doze meses de monitorização de crédito gratuita. O que a carta não descreve é tudo o que aconteceu antes de ser enviada. Entre o momento em que um atacante entra pela primeira vez numa rede e o momento em que a pessoa descobre que os seus dados estiveram envolvidos, passam em média 194 dias. Compreender o que se passa nesses meses e por que razão permanecem invisíveis é mais útil do que o serviço de monitorização.

Uma violação de dados é qualquer incidente de segurança em que informações protegidas são acedidas, copiadas ou extraídas sem autorização. Isto abrange registos de clientes, dados financeiros, ficheiros médicos, identificadores governamentais e informações de funcionários. Os quadros legais que as regem acrescentam outra camada: ao abrigo do Regulamento Geral sobre a Proteção de Dados europeu, as organizações devem notificar as autoridades no prazo de 72 horas após tomarem conhecimento de uma violação. A expressão-chave é “tomarem conhecimento” e o intervalo entre o início de uma violação e o momento em que a empresa dela toma conhecimento é exatamente onde a maior parte dos danos se acumula.

Os atacantes encontram o seu caminho para o interior através de um pequeno número de métodos fiáveis. Em 2024, a exploração de vulnerabilidades visando falhas de segurança em software, em particular nas VPNs, firewalls e ferramentas de acesso remoto que as organizações utilizam como pontos de entrada seguros, foi responsável por 33% das violações. Credenciais roubadas ou comprometidas foram responsáveis por 16% e os e-mails de phishing por 14%. A violação MOVEit, que afetou mais de 62 milhões de pessoas em centenas de organizações numa única campanha, ilustra como uma única vulnerabilidade não divulgada num software de transferência de ficheiros amplamente confiável pode ser armada antes de o fornecedor ter conhecimento dela. Ataques à cadeia de fornecimento deste tipo exploram a confiança que as organizações depositam em ferramentas de terceiros; uma vez o software comprometido, todas as organizações que o utilizam tornam-se potenciais alvos em simultâneo.

Entrar numa rede é o início, não o objetivo. Assim que um atacante obtém acesso inicial, começa o trabalho de se movimentar pela rede: recolher credenciais adicionais, escalar privilégios e identificar os sistemas que contêm os dados mais valiosos. Esta fase, chamada movimento lateral, requer tempo e é concebida para permanecer invisível. A violação Change Healthcare, que acabou por afetar cerca de 100 milhões de americanos e custou mais de 2,4 mil milhões de dólares em custos diretos de resposta, começou com uma única credencial comprometida para um portal de acesso remoto que não dispunha de autenticação multifator. Lacunas de autenticação na camada de acesso — um segundo fator em falta ou uma interface de início de sessão não corrigida — revelam-se consistentemente mais consequentes do que explorações técnicas sofisticadas.

A média de deteção de 194 dias reflete uma assimetria fundamental: os atacantes trabalham ao seu próprio ritmo dentro de uma rede que já controlam, enquanto os defensores procuram sinais que o atacante está ativamente a esconder. Quando as organizações detetam violações através da sua própria monitorização, o tempo de permanência mediano cai drasticamente para 16 dias, sugerindo que as capacidades de deteção interna, quando existem e funcionam corretamente, detetam intrusões muito mais cedo. As empresas que utilizam inteligência de ameaças em tempo real identificaram intrusões 28 dias mais rápido, em média. Após a deteção, a contenção de uma violação demora em média mais 64 dias, perfazendo um ciclo de vida total desde a intrusão até à contenção de cerca de 258 dias.

Antes de ocorrer a deteção, a exfiltração já aconteceu quase sempre. Os dados roubados seguem rotas previsíveis através dos mercados criminosos. Registos de alto valor — incluindo números de Segurança Social, identificadores médicos e detalhes de contas financeiras — são vendidos a granel e revendidos a compradores especializados. A violação National Public Data comprometeu cerca de 2,9 mil milhões de registos, incluindo números de Segurança Social de indivíduos nos Estados Unidos, Reino Unido e Canadá, com o conjunto de dados oferecido à venda por 3,5 milhões de dólares antes de a empresa fazer uma declaração pública. Ferramentas automatizadas aceleram agora tanto a exploração como as fases de monetização, o que significa que a janela entre uma violação bem-sucedida e o primeiro uso criminoso dos dados extraídos pode ser muito mais curta do que a janela entre a violação e a sua notificação.

Os efeitos a jusante de uma violação não são imediatos nem uniformes. As perdas por fraude de identidade em 2025 atingiram 27,3 mil milhões de dólares, mas a maioria das contas fraudulentas abertas com identidades roubadas aparece meses ou anos após a violação, quando os criminosos consideram o momento vantajoso. O roubo de identidade médica tem o seu próprio calendário: pedidos de seguro fraudulentos apresentados sob uma identidade roubada podem corromper o histórico médico do titular legítimo, afetar a cobertura futura e levar anos a identificar e corrigir. A consciência de como funciona este pipeline está entre as defesas individuais mais eficazes disponíveis, não porque a consciência evite violações, mas porque o reconhecimento precoce de atividade suspeita reduz drasticamente o dano eventual.

Nenhum investimento em segurança elimina totalmente o risco de violação. As organizações que sofreram as violações maiores e mais consequentes nos últimos anos não foram negligentes. Operavam sistemas complexos em grande escala, e os atacantes encontraram as lacunas que inevitavelmente existem em sistemas complexos em grande escala. O que os gastos com segurança mudam é a velocidade de deteção e a amplitude de acesso que um atacante pode acumular antes de ser descoberto. As violações detetadas dentro de 200 dias custam às organizações, em média, 1,39 milhões de dólares menos do que as que permanecem por detetar mais tempo. O objetivo realista não é a impermeabilidade, mas a capacidade de resposta.

Se receber uma notificação de violação de dados, três passos são mais importantes do que a oferta de monitorização de crédito. Primeiro, congele o seu crédito junto das principais agências: isto impede que novas contas sejam abertas em seu nome, e descongelar é simples quando precisar de pedir crédito. Segundo, consulte a ferramenta gratuita Have I Been Pwned para verificar se o seu endereço de email aparece em conjuntos de dados de violações conhecidas. Terceiro, altere qualquer palavra-passe partilhada entre o serviço violado e outras contas, uma vez que o credential stuffing se baseia em palavras-passe reutilizadas. A notificação RGPD que poderá receber de uma empresa europeia representa a janela de 72 horas a partir do momento em que a organização tomou conhecimento, não a partir do início da violação. O detalhe mais útil em qualquer carta de notificação é o tipo específico de dados envolvidos: saber se os seus registos médicos, credenciais financeiras ou identificadores governamentais foram expostos determina a urgência com que deve agir.

Etiquetas: cibersegurança, ransomware, violação de dados, phishing, privacidade digital, RGPD