Article image
Iago Ó
Iago Ó28/05/2024 11:27
Compartilhe

$ 5364,25 economizados. Depois do prejuízo de R$ 17.852,88...

  • #SQL
  • #Python
  • #Segurança da informação

R$ 5364,25 economizados. Depois do prejuízo de R$ 17.852,88 para o Phishing.

Eis o que houve:

Meu objetivo foi identificar falhas e alinhar com os processos de negócios, pois vejo a Segurança da Informação como algo estratégico.

Em resumo, através de um arquivo malicioso baixado indevidamente pelo computador de um funcionário para ativação, sem êxito, de um software, os criminosos escalaram de privilégios e extraíram cookies e outras formas de credenciais para acesso, faziam inserção dos títulos falsos no BD e também nos arquivos backupeados posteriormente para Nuvem, para validarem no fluxo de pagamentos. Depois começaram com os phishing para inserir títulos indevidos na programação de pagamentos.

Tudo foi resolvido e restaurado.

Parece uma operação de filme. Mas estimo ter durado aproximadamente 10 dias de ataque, desde o primeiro alerta, que foi do próprio fornecedor sobre a inadimplência. A partir daí começou uma corrida contra o relógio que foi agravada por outros fatores como: Ausência de Antivírus por ser "desnecessário", dispositivos compartilhando pastas na rede sem uma hierarquia de acessos definida e ausência de uma política que instruía os funcionários sobre conduta de uso.

Em toda a rede havia 42 funcionários logados com smartphones, 18 notebooks, 2 PC's e um servidor desatualizado.

A imagem abaixo é o primeiro e-mail recebido depois de atualizarmos as políticas de segurança dos dados, quando o sentimento de segurança apareceu. Infelizmente muito foi pago antes. Vencemos.

Como tem examinado as políticas de segurança de onde trabalha ou de clientes?

Compartilhe
Comentários (6)
Regilene Silva
Regilene Silva - 28/05/2024 18:52

Vou ver esse Roadmap agora! Obrigada de novo!! Abraços!!!

Iago Ó
Iago Ó - 28/05/2024 17:17

Olá Regilene,


Já te desejo sorte e muita força de vontade!! Confesso que minha escolha pela Eng. foi por conta de uma bolsa de estudos irrecusável kk Mas estava inicialmente entre ADS e Eng. de Software, quando decidi pela área de DevSecOps entendi que precisaria saber o quanto eu pudesse, daí Eng. da Computação caiu como uma luva! O Curso é extremamente complexo, mesmo tendo conhecimentos bons com hardware.


Sobre as vulnerabilidades, é um universo a parte kk Encantador e assustador ao mesmo tempo.


Sobre direcionamento, aqui mesmo em um bootcamp de Ciência de Dados que participei acompanhei um RoadMap que me ajudou a bater o martelo: Roadmaps DIO (digitalinnovationone.github.io)


Veja se pode te ajudar,



Regilene Silva
Regilene Silva - 28/05/2024 15:28

Iago, vi que tu faz Eng. da computação. Ainda não fiz transição de carreira, ainda sou professora, e não escolhi o curso de graduação porque queria ter uma direção na carreira. Estudo pela trilha de estudos de análise de sistemas, que peguei de uma faculdade. Nesse 1 ano me interessei muito por banco de dados, engenharia de dados, todo o processo antes da Análise ><. Na trilha de estudos que peguei tem 'Big data' e to gostando muito, acho que vou pra engenharia da computação. Cogitou fazer Análise de sistemas? É um curso bem generalista. Ou tu já foi decido pra Eng. da computação? O que te direcionou? Obrigada de novo!!!

Regilene Silva
Regilene Silva - 28/05/2024 15:21

Nossa, estou estudando exatamente sobre isso! Comecei a pesquisar situações para começar um estudo de caso e fiquei abismada!!! No fim de semana eu tirei o dia(Aproveitando a obra do vizinho) para rever os privilégios e senhas das contas dos serviços do SQL SERVER services kkkkk. Obrigada por compartilhar o caso! Confesso que já fui dessas de achar segurança lógica 'desnecessário' também. Boa sorte.

Iago Ó
Iago Ó - 28/05/2024 15:10

Olá Gessyca,


Atualmente trabalho como analista de infraestrutura em uma industria, com foco em processos de qualidade e equipamentos, também faço parte de equipes de SOC para serviços terceirizados, quando consigo kk. Minha ambição é atuar como Head DevSecOps!!


Fico feliz que tenha gostado do post, tenho alguns estudos de caso que participei e espero contribuir com a comunidade.

Gessyca Moraes
Gessyca Moraes - 28/05/2024 12:41

Excelente post! Primeiro artigo que eu leio aqui na DIO. O que você faz exatamente na empresa em que trabalha? Achei muito interessante.