“Se existe uma vulnerabilidade técnica ou humana, ela vai acabar por ser explorada”

Este artigo foi publicado originalmente na edição de 19 de junho do suplemento Dinheiro Vivo e republicado agora.

Na III Conferência de Cibersegurança de Sintra, as autoridades apresentaram como um dos fenómenos que estão em crescimento em Portugal o dos golpes usando ‘deepfakes’, tecnologia de Inteligência Artificial que permite imitar a voz e a parecença de alguém. 

“Estas fraudes estão a aumentar exponencialmente e todas as semanas há empresas que fazem transferências avultadas em Portugal”, disse ao Dinheiro Vivo o responsável de cibersegurança da Vodafone Portugal, Nuno Bastos, que esteve presente na conferência. 

“É claramente uma tendência que tem vindo a ganhar representatividade”, apontou, explicando como os grandes modelos de linguagem permitem agora criar fraudes muito mais refinadas, porque recriam linguagem natural em português de forma precisa. Os ataques podem variar conforme o alvo, mas há várias instâncias em que a tecnologia ‘deepfake’ é usada para convencer o diretor financeiro de que o CEO está a pedir uma transferência avultada de dinheiro, por vezes até na presença de advogados. Usando chamadas de vídeo, a fraude é convincente e está a fazer várias vítimas  entre empresas portuguesas. 

O ‘ransomware’ é outra das ameaças que continua forte, indicou o responsável, alertando para a necessidade de melhorar a consciencialização das organizações. 

“Nós temos tido uma postura não só de participação ativa nestes eventos, mas também de ajudar os clientes nestas componentes de ciberhigiene, onde temos produtos e serviços para identificar comportamentos de risco e dar formação aos recursos das empresas dos nossos clientes, para que estejam sensibilizados para os riscos inerentes à utilização da tecnologia”, afirmou. 

A cibersegurança é uma das áreas onde a Vodafone Portugal tem concentrado mais atenção e que esteve em destaque no Open Day que decorreu no Taguspark. A empresa fez demonstrações do funcionamento do Vodafone Business Security Operations Centre (VBSOC), um centro que está aberto em Portugal desde abril com serviços a funcionar desde o início do ano. 

“Nós não concorremos com nenhum dos fabricantes, pelo contrário”, explicou Nuno Bastos. “Nós disponibilizamos todo o ecossistema dos principais fabricantes, Fortinet, TrendAI, Lookout, Microsoft, Google. Somos um ‘player’ que agrega valor de acordo com a necessidade do cliente e, como tal, escolhemos o parceiro que responda melhor à necessidade em concreto que o cliente tem.”

Os clientes podem visitar o centro, que tem “pessoas portuguesas sediadas em Portugal e que atuam sempre que existe uma vulnerabilidade de risco”, acrescentou Nuno Bastos. A ideia é que a empresa tenha um plano de resposta a incidentes e possa focar-se no seu negócio, garantindo também a resiliência das redes e a conformidade regulatória após a transposição da diretiva europeia NIS2 para a realidade portuguesa. 

“A regulamentação ajuda a acelerar a responsabilização dos meios diretivos das empresas com responsabilidade direta e também cria maior consciencialização no C-level”, considerou Nuno Bastos. “Mas eu diria que uma coisa anda a par com a outra. Acredito que a consciencialização para a resiliência das organizações, para manterem a tecnologia em cima e garantirem as suas operações a funcionar, tem sido fundamental para este desenvolvimento tecnológico.”

Melhores práticas a seguir

Nuno Bastos tem quatro recomendações para as empresas portuguesas mitigarem os riscos de cibersegurança na era da dependência digital e da Inteligência Artificial. 

A primeira é que a inovação traz sempre novas oportunidades de exploração no mundo digital, por isso é preciso desconfiar de que vão aparecer novas metodologias e não ficar complacente. 

“Um segundo ponto é, se existe uma vulnerabilidade, seja ela técnica ou humana, ela vai sempre acabar por ser explorada”, indicou o responsável. 

A terceira recomendação é partir do princípio de que tudo é vulnerável e essa deve ser a mentalidade por defeito, de que não há soluções 100% seguras. Bastos dá o exemplo: às vezes a empresa tem a melhor solução de perímetro, que limita a entrada remota no servidor. Mas desvaloriza as técnicas aplicadas por entidades maliciosas, em que entram fisicamente no escritório e têm acesso ao servidor. 

“Porque trabalhamos cada vez mais em ambientes híbridos, em que de vez em quando aparece lá um colega que ninguém sabe bem o que é que faz, essa pessoa entra lá no servidor, liga a ‘pen’ a um servidor, desliga uma ficha ou faz o carregamento de malware”, descreveu. “Por isso, tudo é vulnerável de alguma forma.”

Além disso, Bastos sublinhou a importância de a empresa conhecer toda a sua superfície de risco.

A quarta recomendação é ter consciência de que as pessoas confiam mesmo quando não deviam. “Os seres humanos estão vocacionados para criar relações de confiança e frequentemente confiamos mais do que aquilo que duvidamos”, apontou. “Por isso, cada vez mais estas metodologias de desconfiar por defeito são uma norma.”