Porque é que o departamento de RH é fundamental para a cibersegurança

Nos últimos anos, tem havido uma tendência crescente para os cibercriminosos visarem os departamentos de recursos humanos a fim de explorarem os dados sensíveis que estes geram. Os hackers podem fazer muitos danos e ganhar muito dinheiro a partir do momento em que têm acesso a informação da Segurança Social, datas de nascimento, histórico de trabalho ou números de conta bancária de funcionários e empresas. 

Os departamentos de RH são um alvo atrativo dada a quantidade de dados que gerem, mas estão também bem posicionados para agir como uma barreira de entrada e prevenir potenciais ciberataques.

Quais são as formas mais comuns de ataque aos departamentos de RH?

De acordo com os dados do último relatório da Verizon Data Breach Investigations, 85% das falhas de segurança de dados ocorrem devido a erro humano, pelo que é da maior importância que este departamento esteja preparado para mitigar os riscos de ciberataques e assegurar a proteção dos dados.

A que ameaças devem os funcionários de RH estar atentos?

• Phishing: de acordo com um inquérito realizado pelo Statista em 2021, que entrevistou 3.500 organizações a nível mundial, 3% dos empregados que receberam um e-mail malicioso clicaram no link fornecido, expondo a organização a criminosos. Estes resultados mostram que, embora esta técnica seja uma das mais utilizadas e muitos utilizadores já estejam conscientes dos perigos, nunca devemos baixar a nossa guarda.
• Fraude nos salários: este novo esquema visa especificamente os departamentos de recursos humanos, uma vez que os hackers utilizam a engenharia social para fazer com que a empresa desvie o salário de um colaborador para uma conta que possui. As grandes organizações são geralmente visadas, uma vez que a comunicação entre departamentos é frequentemente fraca.
• Malware: hackers enviam candidaturas a um trabalho falsas, com anexos, concebidas para parecerem currículos legítimos, que contêm malware que infeta o dispositivo quando descarregado.

Roubo de identidade, o primeiro passo para uma quebra de segurança empresarial

O roubo de identidade é uma das táticas mais comuns utilizadas para apanhar departamentos de pessoal desprevenidos. A Society for Human Resource Management (SHRM) afirma que a percentagem de roubo de identidade com origem no trabalho é estimada em 30% e 50%.

A falsificação de e-mails permite que o cibercriminoso se faça passar pelo remetente, utilizando a identidade de um funcionário da empresa para contactar o departamento de recursos humanos. Isto permite ao hacker obter informações sensíveis que podem ser utilizadas para lançar outro ataque mais poderoso ou, como explicámos anteriormente, para levar a cabo uma fraude relacionada com os salários. 

Como é que os hackers fazem isto? 

• Comprometendo a conta de e-mail corporativo de um empregado.
• Usando uma técnica de ciberespeculação, em que imitam o domínio legítimo do remetente fazendo uma pequena alteração que é muito difícil de detetar. Por exemplo: alterando uma letra no endereço de correio eletrónico que o destinatário, provavelmente, não irá identificar.

Uma nova forma de imitação foi recentemente reportada nos EUA, onde uma pessoa utiliza a tecnologia Deepfake para entrevistas de emprego para posições remotas, utilizando uma cara diferente para não ser reconhecida. Normalmente, esta nova técnica é utilizada para obter trabalhos que dão acesso pessoal a informações de clientes, dados financeiros, bases de dados de TI empresariais e informações de propriedade.

Que medidas devem ser tomadas para evitar este tipo de incidentes?

• O departamento de recursos humanos deve estar muito vigilante durante os processos de recrutamento, bem como ao receber documentos dos fornecedores. É importante ter a certeza de que o remetente e o documento são legítimos antes de abrir quaisquer anexos. 
• Durante as entrevistas à distância, observar se as ações e movimentos labiais da pessoa a ser entrevistada não estão totalmente coordenados com o áudio da pessoa que fala, pois isto é um sinal claro de Deepfake.
• Utilizar soluções avançadas de gestão de identidade que impeçam o acesso não autorizado a sistemas e recursos, bem como o roubo de dados corporativos ou protegidos.
• Assegurar que as políticas e procedimentos da empresa estão atualizados, incluindo procedimentos para o trabalho remoto. Todos os empregados devem estar cientes das suas funções e responsabilidades.
• Rever e revogar o acesso dos colaboradores para garantir que estes apenas têm acesso ao que necessitam para fazer o seu trabalho. Isto torna mais difícil para os hackers vaguearem livremente através dos sistemas de uma organização.