Newsletter Paradox Zero | 25.março.2020
Caros colegas,
Na prática, a maioria das empresas só começou a permitir o home office de seus funcionários na sexta-feira (21) ou poucos dias antes.
Com três dias úteis de quarentena profissional por conta do novo coronavírus, muitas dessas empresas e instituições públicas devem começar a sentir o efeito devastador de outro vírus, bem mais antigo, universal e bastante conhecido, chamado senha do usuário no Windows.
Há dois cenários distintos de home office. No primeiro e mais comum, o funcionário usa o computador que tem em casa. No segundo, ele leva o notebook corporativo cedido pela empresa.
Em comum entre os dois cenários, há duas brechas enormes. Com ou sem notebook, você vai usar sua conexão de casa ou da rua. E vai precisar colocar sua senha do Windows para começar a trabalhar.
Há 35 anos que a senha para entrar no Windows é uma das maiores piadas da segurança digital. Não serve para absolutamente nada. É uma senha que mantém afastado os xeretas do trabalho ou a família em casa. Atende a um objetivo simples, porém sucumbe a qualquer tentativa real de acesso aos dados no computador.
De casa ou do café, sua senha do usuário pode ser ignorada de duas maneiras: pela internet ou pelo acesso físico ao computador. Um pendrive de 10 reais é suficiente para um profissional ter acesso ao disco sem passar pelo Windows.
Não é coisa de hacker e nem tecnologia de ponta. É assim desde 20 de novembro de 1985, quando o Windows 1.0 chegou ao mercado.
E para a ironia ser completa, um pendrive pode rodar um subsistema customizado do próprio Windows para dar um bypass na sua senha de usuário e… já era.
Nos notebooks modernos é ainda mais grave, pois a velocidade de acesso aos discos SSD (usado em todos os ultrabooks) é tão rápida que a clonagem dos dados pode levar segundos ou, talvez, poucos minutos se o seu disco estiver muito cheio.
Sem precisar de senha alguma.
A depender do comportamento do usuário, o simples acesso físico a determinados arquivos pode puxar outras senhas que talvez sejam importantes para as empresas.
A depender do comportamento do gestor, o acesso remoto em notebooks de uso privado abre uma infinidade de brechas que adolescentes do mundo inteiro aproveitam online para derrubar sites, sistemas internos.
Especificamente no Brasil, temos acompanhado uma ascensão notável nessas tentativas de acesso forçado desde o início do mês. É a mesma tendência em vários outros países. É algo bem parecido ao que ocorre em períodos de longos feriados, como Carnaval e recesso natalino. A diferença de agora, contudo, é que esse “longo feriado” causado pelo coronavírus ainda não tem dia certo para terminar.
E os arquivos em nuvem?
Atualmente, para trabalhar de casa, a maioria de nós precisa do acesso a algum serviço em nuvem como Google Drive, Dropbox e Microsoft OneDrive.
Se os arquivos da nuvem estiverem acessíveis offline ou a senha gravada nesse mesmo computador, o acesso físico ou remoto permite ler, escrever, apagar, fazer o que quiser com eles.
Por fim, temos a derradeira insegurança no equipamento corporativo para home office: milhares de funcionários levam para casa notebooks com acesso liberado a BIOS, uma espécie de pré-sistema que o computador precisa carregar antes do Windows ou qualquer sistema operacional.
Com acesso físico a BIOS, em cinco segundos você pode travar com uma senha ou mandar para o espaço todo o acesso ao computador em si.
O usuário, o profissional, não tem como saber dessas informações e nem deve. Mas a maioria levou para casa um notebook sem nenhuma restrição ao acesso a BIOS e com zero orientação sobre segurança.
Todo esse cenário não tem nada a ver com o novo coronavírus, mas com a gestão de segurança e tecnologia das empresas. A relação é que a pandemia do Covid-19 está expondo muitas de nossas fraquezas como sociedade e como gestores de corporações. A conta virá em dobro: dos casos positivos do coronavírus e dos casos positivos do vírus chamado usuário.
E a sua empresa, como procedeu? Explicou quais são as boas práticas de segurança para o trabalho em casa? Melhor ainda, conferiu o seu notebook pessoal para se certificar que não está com vírus e spyware? Houve uma verificação na conexão para saber se não tem boi na linha?
Não é para rir, mas você provavelmente riu com essas perguntas.
Grande abraço e sigamos no isolamento social. Infelizmente sem poder isolar determinados presidentes do planeta.
Rebêlo.