Está ouvir este som? É o barulho de 36 milhões de gargantas a engolir em seco ao mesmo tempo. Falo-lhe da fuga de dados do AshleyMadison.com, um website dedicado ao adultério.
O site foi atacado por hackers, a informação roubada e, num ato de autoproclamada “justiça hacktivista”, os cibercriminosos tornaram públicos os dados recolhidos. Os relatórios variam quanto ao número de pessoas afetadas, mas é inegável que se trata de uma cifra impressionantemente elevada.
O que podemos dizer sobre isto? Não é fácil defender os utilizadores de serviços desta natureza, mas os números demonstram que se trata de um grande negócio.
Por outro lado, não podemos felicitar os hackers por revelarem nomes, números de cartões de crédito e demais informação dos adúlteros online.
Dois erros não fazem um certo, nem mesmo na Internet.
Devemos também assumir que há muitos inocentes entre os culpados, pessoas que se inscreveram apenas para ficar a conhecer o serviço, da mesma forma que se pode frequentar um site de encontros amorosos “legítimo” sem chegar a contactar com alguém.
Do meu ponto de vista profissional, o importante a reter – pondo de lado as questões éticas e morais – é que o Ashley Madison era um negócio gerido por uma empresa chamada Avid Life Media. Sendo assim, não importa o que vendiam. Podiam ter sido ursos de peluche, frascos de compota ou componentes eletrónicos. O que interessa é que era um negócio e foi atacado por hackers e isto é ilegal.
Como qualquer negócio hoje em dia, o ativo mais valioso do Ashley Madison eram os seus dados. Melhor dizendo, os dados eram na verdade o seu único ativo.
Vendiam ligações de dados: “Querida coleção de zeros e uns, gostaria de apresentar-me. Também eu sou uma coleção de zeros e uns à procura de alguém como eu”. Era o que faziam. Conectavam dados, de forma privada. Agora esses dados são públicos.
Alguém poderia usar este caso para dizer ao seu departamento de TI: “Veem o que aconteceu? Há que ter mais cuidado com estas coisas!”. Mas na verdade esta é simplesmente uma gota no oceano do que parece uma série de brechas de segurança sem fim, perda de dados, revelação de informação confidencial, etc.
Saber que se tem um problema potencial e fazer algo a respeito disso são duas coisas diferentes. Mesmo que se saiba que é preciso fazer algo, seja o que for, isso não significa que se faça o mais correto ou o mais inteligente.
As empresas são atacadas, porque a segurança dos dados é dura e complicada e existem pessoas muito inteligentes lá fora constantemente à procura de brechas, todos os dias.
Portanto, que podemos fazer? As normas gerais das tecnologias da informação são, por vezes, valiosas nestes casos:
Consolidar. Simplificar. Reforçar. Simplificar. Nunca deixar de supervisionar. Simplificar.
Notará que uma das normas se repete. A complexidade leva à debilidade, porque nunca se pode supervisionar durante todo o tempo. É mais fácil entender um produto do que entender cinco e isto é especialmente importante no caso da gestão de dados e da segurança.
E não tema pedir a ajuda de um perito se não tiver as competências necessárias. Sim, custa dinheiro pedir a um especialista que supervisione a sua infraestrutura – sejam fabricantes ou VAR ou consultores – mas também custa dinheiro que o nome da sua empresa apareça nos títulos sensacionalistas dos jornais.
Há uma lição que podemos aprender sobre o AshleyMadison.com: que nunca nos apanhem com as calças na mão. Outra empresa ou governo em breve substituirá este caso nas parangonas dos jornais. Há sempre uma vítima mais recente. Mas se o trabalho necessário for bem feito e tivermos uma sólida estratégia de gestão de dados e um parceiro de confiança, então a próxima vítima não seremos seguramente nós.
