Opinião: (in)Segurança Informática e o Turismo, por João Pronto*

No passado dia 12 de Maio de 2017, ocorreu um ataque informático sem precedentes, à escala europeia e nacional, com enorme impacte em diversas multinacionais de tecnologia, que providenciam serviços informáticos a inúmeras empresas e instituições turísticas, designadamente serviços de email e serviços de cloud, como backups online, áreas de trabalho na cloud, acessos internet, entre outros.

O maior constrangimento tratou-se ao nível da gestão de email, pois o ataque foi direcionado por esta via, em que os atacantes enviaram massivamente email para caixas de correio empresariais, e, quando pelo menos um dos colaboradores de determinada instituição/empresa turística/de tecnologia abriu o email e carregou num link ou num ficheiro anexo ao email, contendo código malicioso, o malware (MALicious SoftWARE) propagou-se automaticamente por toda a rede interna da instituição/empresa turística/ tecnológica em questão e… encriptou grande parte ou todo o sistema informático da instituição/empresa atacada. Consequências? Quem abriu e ativou inadvertidamente estes conteúdos de email e não desligou a tempo todos os servidores e computadores internos, ficou literalmente sem sistema informático.

O ambiente de trabalho transforma-se na imagem abaixo apresentada, (fonte, El Mundo), impedindo o acesso aos ficheiros existentes no computador em questão, ou, pior, impedindo o acesso a todos os servidores e computadores da rede interna, que estavam ativos aquando do ataque.

 

 

Infra, podemos verificar alguns ataques detetados pela Checkpoint (um dos principais fornecedores de ferramentas de Firewall), onde também é possível observar que em Portugal, na quinta feira passada, i.e., no dia 12 de Maio, um significativo incremento de ataques informáticos aos sistemas informáticos lusos.

Infelizmente, hoje, dia 14, alguns players de turismo nacionais ainda não têm os seus email em pleno funcionamento, pois não conseguem receber email, outros estão numa situação mais delicada ainda, estão a repor os sistemas informáticos, com base nos backups existentes, o problema aumenta quando os atacantes conseguem encriptar e inutilizar os próprios backups, haja coração!

 

 

Por outro lado, tive conhecimento de empresas e de instituições turísticas e até tecnológicas! que, com receio de ficarem sem a informação/conhecimento armazenado nos seus sistemas informáticos, desataram a desligar os sistemas informáticos, sem que nenhum dos seus computadores/servidores tivessem sido atacados!

Esta onda de pânico, não faz muito sentido, pois bastava continuar a estar “alerta” ao problema, tendo precaução de não abrir email contendo código malicioso, e, tendo noção de que recebemos dezenas ou centenas destes email diariamente, através de técnicas mais ou menos bem elaboradas de phishing (fraude online em que alguém se faz passar por quem não é, para obter dividendos indevidos), e não é por isso que desligamos os nossos email e/ou computadores diariamente… A não ser que queiramos ir, alegadamente, ver o Santo Padre… ou obter uma folga indevida…

Para terminar este artigo, deixo algumas recomendações de boas práticas na utilização de tecnologia, no nosso quotidiano de trabalho/lazer:

Todos os computadores, sem exceção, devem ter o sistema operativo (Windows, Linux, OS X) atualizado, com antivírus também atualizado.

É imperativo que toda e qualquer empresa/instituição turística tenha uma ou mais Firewall de última geração, para que consigam intercetar códigos maliciosos em email e na web, bem como gerir os acessos internos e externos à organização. Estas Firewall, devem, para além de barrar determinado tipo de acessos do exterior, cumulativamente, têm o poder de monitorizar e informar quem de direito, sempre que sejam detetados determinados tipos e/ou tentativas de acessos indesejados.

É também imperiosa a existência de uma política concreta de acesso à informação interna, e à informação proveniente de clientes, fornecedores e parceiros de negócio. A implementação de políticas de password e de controlo de acessos informáticos, é fundamental e obrigatória!

A tradicional abordagem “coração que não vê, coração que não sente”, do ponto de vista tecnológico, já não faz qualquer sentido, e ainda aí vem legislação concreta que “obrigue” os players turísticos e proteger condignamente os dados pessoais dos seus clientes… é portanto, fundamental, termos todos noção de que os nossos sistemas informáticos são compostos por diferentes níveis de acesso, como se tratassem de peças de Lego, em que temos de proteger todas estas ligações, porque, demasiadas vezes, os ataques informáticos não são sequer detetáveis na interface gráfica à qual o utilizador tradicional acede… Temos então, que proteger todas estas camadas que se interligam, e que, no seu todo constituem o nosso sistema de informação/conhecimento da nossa organização, seja empresarial ou institucional.

Como venho afirmado, demasiadas vezes para o meu gosto, vamos todos ser atacados, algum dia, com sucesso (do ponto de vista do atacante, claro está), o que devemos então de fazer? Prepararmo-nos para que esse dia chegue o mais tarde possível, não facilitando e estando alerta também online, e quando chegar o momento, que temos procedimentos tão ágeis quanto possíveis, de reposição do sistema informático que suporta toda a nossa informação organizacional.

Tendo noção de que a esmagadora maioria das nossas organizações turísticas são de muito pequena dimensão, em que o conceito “Segurança Informática” é algo de abstrato e difuso, creio que este será um tema crescentemente recorrente, nos próximos meses e anos… Para piorar o cenário, quando empresas enormes e de cariz fundamentalmente tecnológico, como as empresas de telecomunicações nacionais e internacionais ficam literalmente OFF durante mais de 48h, a probabilidade da coisa piorar é brutal… e ainda vêm aí os drones e os carros autónomos…

Em jeito de conclusão, é sempre possível baixar o nível: há relatos de que as grandes multinacionais de reservas turísticas também estão vulneráveis e alegadamente sucedem, de forma crescente, casos de reservas turísticas fictícias… o manancial de escrita de artigos relativos a esta temática é quase tão promissor quanto o arrepio na espinha que sinto quando escrevo este tipo de artigos…

Quero com este artigo alertar, muito claramente, a duas situações complementares:

  • Temos que proteger os nossos sistemas informáticos de forma efetiva, adquirindo as ferramentas necessárias para que seja mais difícil aos atacantes, entrarem nos nossos sistemas informáticos;
  • Temos que manter um comportamento responsável na utilização quotidiana do nosso sistema informático, pois de muito pouco servem as ferramentas de proteção informática, se mantivermos uma postura irresponsável e muito pouco cuidada, provocando o colapso da nossa informação e das pessoas que connosco trabalham.

 

* João Pronto

Professor Adjunto da Escola Superior de Hotelaria e Turismo do Estoril
Professor Convidado da Católica Porto Business School
Consultor de IT em Empresas Turísticas