Uma secretária executiva publica nas redes sociais uma foto em seu restaurante favorito, o Cantinho do Sabor. Na segunda-feira, recebe um e-mail com um cupom de desconto do estabelecimento. Animada com a oferta, ela não percebe que o nome do restaurante está escrito com uma letra trocada: "Cantlnho do Sabor". Ao preencher o cadastro para receber o benefício, acaba instalando um programa espião no computador.
Em outra situação, um executivo C-Level, com acesso a informações estratégicas de uma companhia, frequenta semanalmente o mesmo bar e compartilha sua rotina nas redes sociais. Publica os lugares que visita, seus interesses e hábitos. Em uma dessas noites, conhece uma mulher que parece compartilhar os mesmos gostos. A conversa avança, a confiança aumenta e, entre uma bebida e outra, informações que deveriam permanecer restritas ao ambiente corporativo começam a aparecer: dados pessoais, rotina profissional, cargo ocupado e até detalhes sobre projetos da empresa.
Os dois cenários ilustram diferentes formas de atuação da engenharia social, técnica de manipulação que explora comportamentos humanos, confiança e informações disponíveis para obter dados, acesso ou vantagens indevidas. Nem sempre é necessário invadir um sistema: às vezes, basta convencer alguém a abrir a porta.
Mas o que acontece quando a própria liderança de uma empresa se encontra em uma situação de exposição? E quando o CEO mantém um relacionamento extraconjugal com uma pessoa suspeita de envolvimento em uma operação internacional de espionagem?
O episódio envolvendo Jensen Huang, CEO da NVIDIA, e a empresária Alice Huang trouxe essa discussão para o centro do debate sobre segurança corporativa. O relacionamento foi admitido por Huang, enquanto as suspeitas de envolvimento de Alice em atividades de inteligência permaneciam sob investigação. Até então, não havia confirmação de que informações confidenciais da companhia tivessem sido comprometidas.
O caso levanta uma questão delicada para empresas de todos os portes: até onde vai a responsabilidade das equipes de segurança da informação quando o possível risco envolve a vida pessoal do principal executivo?
Quando a vida pessoal entra no radar da segurança corporativa,
Para Renato Jager, CTO do Oakmont Group, não cabe ao departamento de tecnologia ou segurança determinar com quem um CEO pode se relacionar. A responsabilidade dessas equipes é identificar situações que possam representar riscos para a organização e comunicar os responsáveis pela tomada de decisão.
"Um relacionamento pessoal pode passar a ter consequências corporativas quando envolve situações de conflito de interesses, como vínculos com fornecedores e concorrentes, entre outros. O foco principal é o acesso a informações confidenciais ou a influência sobre decisões administrativas da corporação", explica.
O especialista destaca que proteger os dados de uma companhia não significa obter autorização para investigar indiscriminadamente a intimidade de seus executivos. O monitoramento precisa ter fundamento legal, escopo definido e acesso restrito às informações coletadas.
A questão ganha importância quando se considera o nível de exposição de quem ocupa posições estratégicas. Um CEO pode ter acesso a planos de expansão, negociações, resultados financeiros, propriedade intelectual e informações sobre clientes. Por isso, situações aparentemente particulares podem exigir uma avaliação de risco quando existe possibilidade de exposição desses ativos.
Quem fiscaliza o executivo mais poderoso?
Um dos desafios da segurança corporativa é justamente quando o risco envolve alguém que ocupa o topo da hierarquia. Afinal, como um profissional de segurança pode alertar sobre uma possível vulnerabilidade do próprio CEO sem comprometer sua posição dentro da companhia?
Jager considera que uma empresa precisa estabelecer caminhos formais para esse tipo de situação. O CISO, responsável pela segurança da informação, deve ter condições de levar alertas relevantes ao conselho de administração, a um comitê de auditoria ou a outra instância independente.
"Se é necessário escolher entre comunicar um risco e preservar o emprego, a empresa já tem um problema de governança", afirma.
A avaliação também precisa ser baseada em evidências, separando fatos, suspeitas e possíveis impactos. Mais do que apontar um comportamento, o profissional deve demonstrar quais informações podem estar expostas e quais medidas podem reduzir o risco.
Waldo Gomes, diretor de marketing e relacionamento da NetSafe Corp, concorda que a responsabilidade precisa ser compartilhada entre diferentes instâncias da organização. Para ele, o conselho deve aprovar as políticas, o time de segurança deve implementar os controles e um comitê independente deve acompanhar eventuais alertas.
"A recomendação de pedir a um analista que investigue o próprio chefe gera um conflito que nenhum processo resolve", observa.
Gomes defende que os mecanismos de proteção executiva funcionem como padrões permanentes, e não como medidas improvisadas depois que uma suspeita aparece. Em um exemplo prático, acessos anormais à conta do CEO, utilização de um dispositivo desconhecido ou comportamentos fora do padrão poderiam gerar alertas automáticos direcionados ao presidente do comitê responsável.
Engenharia social: o ataque pode começar fora do escritório.
O caso NVIDIA também ajuda a discutir uma modalidade de ameaça que não depende necessariamente de vulnerabilidades técnicas: a engenharia social.
Criminosos podem pesquisar previamente a rotina de executivos, identificar seus interesses, acompanhar eventos dos quais participarão e utilizar essas informações para construir aproximações aparentemente espontâneas.
Segundo Gomes, confiar apenas na intuição para identificar uma tentativa de manipulação é insuficiente. "Um ataque bem preparado é desenhado justamente para parecer espontâneo. O atacante já estudou a pessoa, isto é, sabe onde ela costuma estar, do que gosta, em qual evento vai palestrar. Muito disso está público no LinkedIn, no Instagram e em agendas de eventos", explica.
Alguns comportamentos, entretanto, merecem atenção. Uma conversa que começa de maneira casual e passa a abordar projetos profissionais, viagens ou informações internas pode ser um sinal de alerta. O mesmo vale para pessoas que demonstram conhecer detalhes da agenda do executivo que não foram compartilhados diretamente.
Pedidos aparentemente banais também podem fazer parte de uma abordagem: carregar um celular, escanear um QR code, receber um arquivo ou conectar um cabo. Isoladamente, esses comportamentos não comprovam uma tentativa de ataque, mas exigem cuidado quando envolvem desconhecidos e dispositivos corporativos.
O especialista recomenda evitar conversas sobre informações não públicas fora do ambiente profissional, manter celulares bloqueados e não aceitar cabos ou dispositivos de terceiros. Também sugere confirmar solicitações sensíveis por um segundo canal, inclusive por ligação ou vídeo, já que tecnologias de inteligência artificial permitem falsificar voz e imagem.
Outra medida é utilizar autenticação resistente a phishing, como chaves físicas de segurança, além de revisar periodicamente quais informações pessoais e profissionais estão disponíveis publicamente.
Empresas menores também precisam de regras.
Embora o caso envolva uma das maiores empresas de tecnologia do mundo, os cuidados não devem ficar restritos a multinacionais. Pequenas e médias empresas também concentram informações comerciais, dados de clientes, contratos e estratégias que podem despertar o interesse de criminosos.
Para Jager, os controles precisam ser proporcionais ao porte e à capacidade financeira de cada organização. Uma empresa menor pode não ter um conselho de administração estruturado, mas precisa estabelecer regras claras para seus sócios e gestores.
"Nas menores, uma estrutura simples pode atender. Quanto maior, mais camadas serão necessárias", afirma.
Entre as medidas estão compromissos de confidencialidade, declaração de conflitos de interesses e avaliação independente quando um vínculo pessoal puder influenciar decisões comerciais. O importante é que as regras também alcancem fundadores e proprietários, e não apenas os funcionários.
Gomes chama atenção para uma dificuldade adicional nas empresas em que o fundador também é o maior acionista. Nesses casos, a concentração de poder pode reduzir a independência dos mecanismos de fiscalização.
O executivo defende regras que tratem do acesso às informações, e não da fiscalização da vida privada. Isso inclui separar dispositivos pessoais e corporativos, evitar o compartilhamento de informações não públicas por canais particulares e realizar orientações de segurança antes de viagens e eventos de maior exposição.
"O controle vira exagero quando passa a monitorar com quem o executivo janta, o que ele fala na vida privada ou exige aprovação prévia para encontros pessoais", pondera.
O desafio, portanto, é encontrar o equilíbrio entre proteger os ativos da organização e preservar a privacidade de quem trabalha nela.
Segurança também depende de uma cultura de confiança.
Um dos pontos mais relevantes da discussão é que a segurança corporativa não pode depender exclusivamente de ferramentas, sistemas de monitoramento ou políticas escritas. Os profissionais precisam ter liberdade para comunicar situações suspeitas, inclusive quando envolvem pessoas em posições de liderança.
Gomes resume essa preocupação ao defender uma cultura em que os executivos não tenham receio de relatar abordagens incomuns ou possíveis tentativas de manipulação.
"Uma cultura em que o executivo tem vergonha de reportar é mais vulnerável do que qualquer falha técnica", afirma.
A mesma lógica vale para os demais funcionários. Uma secretária que recebe uma mensagem suspeita, um assessor que percebe uma aproximação incomum ou um profissional de TI que identifica um acesso fora do padrão precisam saber a quem recorrer.
No fim, o caso NVIDIA deixa uma discussão que vai além de um relacionamento pessoal ou de uma investigação envolvendo possíveis interesses internacionais. Em um ambiente no qual informações estratégicas podem ser obtidas por meio de relações de confiança, a proteção das empresas também passa pela maneira como seus líderes se comportam, se expõem e são orientados.
A segurança da informação precisa alcançar todos os níveis da organização. Inclusive aqueles que estão no topo.
