• Roubo de propriedade intelectual (PI) é a aquisição não autorizada de informações comerciais sensíveis, como segredos comerciais, código-fonte, pesquisas científicas ou designs proprietários. De acordo com pesquisadores do CERT, mais da metade dos casos de roubo de PI envolvem pessoal técnico — desenvolvedores, pesquisadores, engenheiros — cujas habilidades e nível de acesso permitem extrair discretamente grandes volumes de dados. Os gatilhos comuns incluem necessidade financeira, insatisfação com o trabalho, desejo de ajudar um novo empregador ou a crença de que o trabalho roubado lhes pertence.
• Sabotagem de TI é o abuso da tecnologia da informação para causar danos específicos a uma organização ou indivíduo. Esses ataques também costumam ser realizados por administradores de sistemas, programadores ou outros funcionários com conhecimento técnico que conseguem ocultar suas ações maliciosas e desativar as operações de uma organização. Essas pessoas geralmente são motivadas pelo desejo de se vingar de uma experiência profissional negativa e geralmente executam seus ataques durante o período de emprego ou logo após a demissão.
• Fraud envolve obter acesso não autorizado ou modificar os dados de uma organização. Normalmente, a motivação para a fraude é ganho pessoal ou roubo de dados com a intenção de roubo de identidade ou fraude de cartão de crédito. Esses ataques geralmente são cometidos por funcionários de finanças, contabilidade ou cargos executivos, que podem manipular registros, emitir pagamentos não autorizados ou acessar informações de identificação pessoal (PII). Na maioria dos casos, essas pessoas são motivadas por ganância ou pressão financeira.
• Espionage é a coleta e transferência não autorizadas de informações sensíveis de uma organização, como segredos comerciais, dados de clientes ou planos estratégicos, em benefício de um governo estrangeiro ou entidade concorrente. A espionagem é normalmente conduzida por pessoas de confiança com acesso legítimo, como engenheiros, pesquisadores ou líderes de projeto, e pode ser motivada por ideologia, pressão ou lucro.

É importante entender que ataques de insiders mal-intencionados raramente são cometidos aleatoriamente, pois os insiders geralmente planejam suas ações com antecedência ou agem após um evento desencadeador. Entender o caminho percorrido por um usuário até cometer um ato malicioso é fundamental para identificar potenciais ameaças de insiders mal-intencionados precocemente e prevenir danos antes que eles ocorram.

Como usuários confiáveis se tornam insiders maliciosos

O folheto informativo Insider Threat 101 da CISA descreve seis estágios distintos que marcam o caminho de um insider até um incidente malicioso.

1. Queixa e ideação

As intenções maliciosas de um usuário contra sua organização são frequentemente desencadeadas por uma resposta emocional a uma injustiça ou a um revés pessoal. Isso pode resultar de rejeição profissional, problemas financeiros, conflitos sociais ou diferenças ideológicas. Com o tempo, o usuário se apega a essas emoções negativas e começa a acreditar que causar danos à sua organização é justificável. Se as frustrações do usuário não forem abordadas, ele pode dar o primeiro passo para cometer um ato malicioso.

2. Preparação

Nesta fase, o usuário supera a frustração e começa a planejar como causar o máximo de dano. Ele pode começar identificando ferramentas, coletando informações ou procurando por fragilidades em seus sistemas ou fluxos de trabalho. Atores mal-intencionados também podem começar a roubar arquivos confidenciais ou manipular processos. Enquanto alguns indivíduos abandonam seus planos nesta fase, outros se sentem cada vez mais comprometidos — especialmente se a raiz de suas emoções negativas permanecer sem solução.

3. Exploração

O que distingue esta etapa das demais é a mudança do planejamento para o teste de como, quando e onde podem agir com a menor chance de detecção. Pessoas de dentro podem investigar vulnerabilidades do sistema e avaliar quais ativos da sua organização são mais valiosos. Às vezes, elas tentam envolver outros funcionários.

4. Experimentação

Nesse ponto, o insider pode começar a testar partes do seu plano em condições reais. Ele pode tentar acessar áreas restritas, executar scripts ou simular ataques hostis para ver como o sistema de segurança da sua organização responde. Esses testes o ajudam a avaliar os riscos e ajustar o plano de acordo. Se não houver resposta, o insider pode se sentir encorajado a prosseguir com suas ações maliciosas.

5. Execução

O insider executa seu plano nesta fase. Ele usa seu acesso e conhecimento dos seus sistemas internos para roubar dados, sabotar operações, danificar infraestrutura, etc. Ele escolhe o momento do ataque cuidadosamente para evitar ser detectado e causar o máximo de dano. Se você ainda não detectou nenhum sinal de alerta, pode não descobrir a ameaça até que ela já tenha causado danos.

6. Fuga

Após o incidente, o insider malicioso concentra-se em evitar consequências. Ele pode tentar adulterar evidências ou enganar os investigadores. Alguns podem deixar a organização imediatamente, enquanto outros permanecem para continuar a explorar seu acesso. Com este plano em mente, vamos agora analisar vários indicadores comportamentais e técnicos importantes de um funcionário desonesto que pode representar uma ameaça maliciosa à sua organização.

Indicadores comportamentais de insiders maliciosos

Nem todos os funcionários se tornam insiders maliciosos, então não há necessidade de levantar suspeitas sobre todos. Ao contratar, preste atenção aos seguintes sinais de um insider potencialmente perigoso:

• Verificações de antecedentes, incluindo registros oficiais de prisões, assédio, invasão ou violações de segurança em antigos locais de trabalho
• Histórico de descumprimento de políticas corporativas
• Falsificação de informações de contratação
• Casos de comportamento antiprofissional
• Comportamento abusivo em relação a outros funcionários
• Conflitos de personalidade
• Uso indevido de viagens, tempo ou despesas em antigos locais de trabalho
• Conflitos com ex-colegas de trabalho ou supervisores

Indicadores comportamentais também podem surgir durante o período de emprego na sua organização e sinalizar a insatisfação do funcionário e a potencial prontidão para tomar ações maliciosas. O seu departamento de recursos humanos (RH) deve prestar mais atenção aos funcionários ou contratados que:

• Violar as políticas corporativas
• Ter conflitos com colegas
• Ter baixo desempenho
• Estão profundamente interessados em projetos nos quais não estão envolvidos
• Use licenças médicas com muita frequência
• Trabalhe sem férias

Nesses casos, o departamento de RH deve discutir os motivos desse comportamento com o funcionário e tentar facilitar uma solução. Deve também informar os responsáveis pela segurança para que possam realizar um monitoramento técnico direcionado dos funcionários em questão. Embora possa não haver sinais de um ataque em andamento durante esses períodos, é importante monitorar constantemente eventos suspeitos e detectar anomalias.

Indicadores técnicos de insiders maliciosos

Indicadores tecnológicos de uma ameaça interna maliciosa em seu meio incluem ações que envolvem computadores ou mídia eletrônica. Para executar seus ataques, pessoas de dentro da empresa podem usar indevidamente o acesso legítimo autorizado a dados corporativos críticos ou criar um novo caminho para acessar ativos não autorizados e ocultar sua identidade ou ações. Vejamos alguns indicadores de diferentes tipos de atividades internas maliciosas — roubo de propriedade intelectual, sabotagem, fraude e espionagem — e exemplos de violações reais.

Indicadores de roubo de PI

Em casos de roubo de propriedade intelectual, pessoas de dentro da empresa tentam acessar, roubar e compartilhar dados críticos com concorrentes ou futuros empregadores, ou mantê-los para uso pessoal. Como pessoas de dentro da empresa podem ter acesso regular aos dados durante o desempenho de suas funções, pode ser bastante difícil detectar o roubo de dados. No entanto, os responsáveis pela segurança devem estar atentos às seguintes ações que podem ser um sinal de exfiltração de dados:

Em 2024, o Google processou o ex-engenheiro Harshit Roy por vazar designs proprietários de chips. Roy, que havia trabalhado em hardware para dispositivos Google Pixel, deixou a empresa e, mais tarde, começou a compartilhar especificações detalhadas da tecnologia de chips do Google no X e no LinkedIn. Ele chegou a marcar concorrentes do Google, como Apple e Qualcomm, para agravar os danos causados pela divulgação de propriedade intelectual.

Indicadores de sabotagem

Em casos de sabotagem, pessoas de dentro da organização visam prejudicar os sistemas, as operações ou a reputação de uma organização. Certas atividades podem servir como sinais de alerta precoce de uma potencial sabotagem: