Ransomware a partir de dentro A ameaça interna e o modelo RaaS

O veredicto recente contra dois profissionais de cibersegurança envolvidos em ataques com o ransomware conhecido como BlackCat (ALPHV) destaca uma realidade inquietante: não só existem ameaças externas sofisticadas, mas também podem vir de quem deveria nos proteger. Os acusados, que trabalhavam em empresas do setor e aceitaram repartir com os operadores do ransomware uma porcentagem de resgates, combinavam conhecimentos técnicos e acesso privilegiado para violar sistemas e extorsionar vítimas nos Estados Unidos.

Para além da história judicial – onde se descreve o pagamento de resgates no Bitcoin, a lavagem posterior de fundos e o abuso de funções internas para inflar negociações – a lição principal é que o modelo de Ransomware-as-a-Service (RaaS) permite a atores com diferentes papéis colaborar para maximizar lucros ilegais. Embora grupos específicos possam desaparecer ou mudar de nome, o esquema técnico e económico persiste e evolui, o que exige respostas tanto organizativas como regulamentares.

Do ponto de vista da gestão do risco, existem várias implicações imediatas: a necessidade de reforçar a confiança em terceiros e contratantes, rever privilégios e acessos de pessoal com alta capacidade técnica, e melhorar a supervisão de quem mediam negociações ou respostas a incidentes. Também é claro que a existência de apólices de ciberseguro pode tornar-se uma variável explorada por intervenientes internos e externos, pelo que a informação sobre limites e condições deve ser gerida com cuidado extremo.

No plano técnico, as defesas tradicionais continuam a ser necessárias, mas não suficientes. É imprescindível combinar cópias de segurança testadas e isoladas, segmentação de redes, princípio de mínimos privilégios, autenticação multifator e soluções modernas de detecção e resposta em endpoints (EDR). Além disso, manter um inventário atualizado de ativos e aplicar adesivos de forma priorizada reduz a superfície de ataque que os grupos RaaS costumam aproveitar.

Para organizações que gerem a resposta a incidentes, convém estabelecer procedimentos claros sobre quem pode negociar, quais informações são partilhadas e como cada passo é documentado, envolvendo sempre aconselhamento legal e forças de segurança quando apropriado. As negociações sem transparência ou com intervenientes internos que facilitem dados sensíveis aumentam o risco de pagamentos mais elevados e de efeitos jurídicos subsequentes.

Em matéria de recrutamento e de recursos humanos, as empresas devem alargar as avaliações de risco ao contratar perfis técnicos com acesso crítico: verificações de antecedentes, controlos contínuos de privilégios, políticas de separação de funções e supervisão de actividades invulgares. A formação ética e em segurança para pessoal com capacidades avançadas pode reduzir a probabilidade de abuso deliberado.

A ação judicial contra esses indivíduos é um lembrete de que o combate ao cibercrime requer coordenação entre o setor privado e as autoridades, bem como transparência na notificação de incidentes para evitar que atores maliciosos repitam táticas eficazes. Recursos oficiais sobre prevenção e resposta ao ransomware fornecem guias práticas que convém rever e aplicar: por exemplo, as recomendações do CISA sobre ransomware https://www.cisa.gov/ransomware e a informação geral sobre pesquisas cibernéticas do FBI https://www.fbi.gov/investigate/cyber.

Finalmente, para qualquer organização, a recomendação é clara: não delegar a confiança em meras credenciais ou experiência técnica sem controles compensatórios, fortalecer a governança de acessos e respostas, e conceber planos de resiliência que permitam restaurar operações sem sucumbir a chantagem. A combinação de medidas preventivas, detecção precoce e cooperação com autoridades reduz tanto o atrativo económico dos ataques como a capacidade de atores internos para se tornar facilitadores do crime.