Em resumo: está afetado? Ligue-nos. Nós ajudamos. Depois de um ciberataque à sua empresa, a gerência precisa sobretudo de um interlocutor que assuma a parte técnica, para que possa decidir. Trabalhamos remotamente, preservamos os vestígios, fechamos a porta de entrada, limpamos e documentamos, até o incidente estar encerrado.
Não apague nada nem reinstale nada agora. Peça também à sua equipa de TI e ao seu fornecedor de alojamento que, para já, não alterem nada. Arrumar no calor do momento destrói provas de que precisa para o seguro, a proteção de dados e a polícia. Comunicar uma emergência; assumimos o caso desde a primeira mensagem.
Está afetado? Como a gerência repara num ataque
Um ciberataque raramente começa com um aviso da equipa de TI. Muitas vezes, o primeiro indício vem de fora:
- Um cliente ou parceiro de negócio comunica um e-mail estranho, um redirecionamento ou um aviso no navegador.
- O fornecedor de alojamento bloqueia o site ou escreve que foi encontrado código malicioso.
- O site mostra conteúdos alheios, spam ou comporta-se de forma diferente do habitual.
- A sua equipa de TI relata ficheiros, contas ou processos desconhecidos no servidor web.
- Há uma extorsão, uma oferta de dados na Internet ou um aviso de autoridades.
Pode haver um ataque mesmo sem um sinal inequívoco. Desde a publicação das vulnerabilidades PHP2Shell, o BSI (Gabinete Federal Alemão para a Segurança da Informação) alerta com o nível de alerta 3 / laranja; segundo a Cloudflare e a Patchstack, foram observadas tentativas de ataque. Se a sua empresa está afetada, esclarecemo-lo com gosto, sem que tenha de provar a suspeita. Os sinais técnicos estão em Já fui comprometido?.
O que fazer já
- Nomear um decisor. Uma pessoa pode decidir em nome da empresa sobre desligar, reiniciar e alterar palavras-passe, e está contactável.
- Não deixar alterar nada. Nada de apagar, nada de reinstalar, nada de repor cópias de segurança antes da preservação de vestígios.
- Escrever a situação em poucas palavras. O que foi notado, quando e por quem? Que sistemas e dados podem estar afetados?
- Informar o encarregado da proteção de dados. Se dados pessoais estiverem afetados, pode estar a decorrer um prazo. Leia a este respeito o dever de notificação do RGPD.
- Verificar o segurador. Se existir uma apólice de ciberriscos, esta regula muitas vezes quando e como deve comunicar o sinistro. O que importa está descrito em Ciberseguro em caso de sinistro.
- Combinar a comunicação externa. Quem fala com clientes, imprensa e colaboradores? A página Comunicação de crise após um ataque ajuda nisso.
- Contacte-nos agora. Ligue ou escreva-nos por WhatsApp.
O que a gerência tem de esclarecer e o que assumimos
Um ciberataque é um acontecimento técnico e empresarial. As decisões ficam consigo; o trabalho técnico podemos assumi-lo nós.
| Questão | Responsável |
|---|---|
| O site ou a loja é desligado temporariamente? | Decide a gerência; nós mostramos consequências e alternativas |
| Houve fuga de dados e de quais? | Nós fornecemos os factos técnicos a partir de registos e ficheiros |
| Existe dever de notificação? | Encarregado da proteção de dados ou advogado, com o nosso relatório |
| É apresentada queixa? | Decide a gerência; nós preservamos antes as provas |
| Como são informados os clientes? | A gerência, com especialistas em comunicação; nós fornecemos os factos |
| Como volta o servidor limpo? | Nós, em articulação com a sua equipa de TI |
Sobre a responsabilidade da gerência por vulnerabilidades de segurança não prestamos aconselhamento jurídico; há informação geral em Responsabilidade da gerência. A decisão sobre uma queixa-crime é facilitada pela página sobre os pontos de contacto centrais para o cibercrime (ZAC) da polícia alemã.
Pensar em conjunto a atividade e o incidente
Para além da técnica, nas primeiras horas urge a questão de como o negócio continua. Se encomendas, marcações ou pedidos dependem do site, a operação precisa de uma solução intermédia: uma página de manutenção com número de telefone, um formulário num sistema limpo ou o tratamento por telefone e e-mail. Segundo notícias dos meios de comunicação, no contexto do PHP2Shell, autoridades retiraram preventivamente os seus sites da rede e continuaram contactáveis por telefone e e-mail; isto mostra que desligar e estar contactável podem coexistir.
Fale também com os seus colaboradores. Quem sabe do incidente não cai nos e-mails de phishing que agora costumam ser enviados a seguir, e não presta informações ao exterior que mais tarde pareçam contraditórias. Mantenha as declarações sobre o incidente breves e comprováveis. Suposições não pertencem a um e-mail a clientes; o que sabemos com certeza, o que supomos e o que está em aberto, separamo-lo expressamente no nosso relatório.
Como ajuda concretamente a PHP SOS?
- Levantar a situação: numa primeira conversa esclarecemos o que é conhecido, que sistemas podem estar afetados e o que neles se encontra. Recebe uma avaliação breve com os passos seguintes.
- Preservar e fechar: ficheiros, base de dados e registos são preservados antes de alterar o que quer que seja. Depois contemos e fechamos a entrada, no caso do PHP2Shell com patch e reinício de todos os processos.
- Verificar e limpar: procuramos backdoors, acessos alheios e ficheiros manipulados e arrumamos. Quando necessário, reconstruímos a partir de fontes fiáveis.
- Reforçar e relatar: recebe um relatório legível para a proteção de dados, os seguradores e os parceiros de negócio, além de recomendações para o período seguinte.
Se o incidente se estender para além de um servidor, passamos a uma resposta a incidentes estruturada. Se for preciso um esclarecimento que resista em tribunal, recorremos a parceiros especializados em perícia forense informática.
O que nos deve enviar
- Nome e contacto da pessoa decisora na empresa
- uma breve descrição: o que chamou a atenção, quando, por quem?
- Indicações sobre o sistema afetado e sobre o fornecedor de alojamento ou prestador
- Indicações sobre um eventual ciberseguro existente e sobre o serviço de proteção de dados competente
- Acesso ao servidor ou autorização para falarmos diretamente com o seu fornecedor de alojamento
Porquê a PHP SOS
Trabalhamos com qualidade Made in Germany e, há mais de 25 anos, estamos especializados em segurança informática com a nossa rede de parceiros de profissionais de cibersegurança. Tem um interlocutor em vez de uma fila de espera. Trabalhamos remotamente, sem deslocações, em toda a Alemanha e na Europa. Cada passo fica documentado, também para que possa comprovar perante o segurador, a proteção de dados e os parceiros de negócio o que aconteceu. Dizemos-lhe abertamente o que está comprovado e o que é apenas provável, e não prometemos nada que ninguém possa cumprir. O que um incidente pode custar, descreve-o a página Rubricas de custo de um hack.
Está afetado? Ligue-nos. Nós ajudamos.
Quanto mais cedo os vestígios forem preservados, mais se poderá comprovar mais tarde. Assumimos o caso desde a primeira mensagem e ficamos até o incidente estar encerrado e documentado. Comunicar já uma emergência.
Perguntas frequentes
Ciberataque à empresa: o que deve a gerência fazer primeiro?
Nomear uma pessoa como decisora e interlocutora, não apagar nem reinstalar nada e obter ajuda técnica. Em paralelo, devem ser informados o encarregado da proteção de dados e, se existir, o segurador de ciberriscos. A situação técnica esclarecemo-la consigo.
Quando tem de ser comunicado um ciberataque?
Se dados pessoais estiverem afetados, pode ser necessária uma notificação à autoridade de proteção de dados no prazo de 72 horas. Se a obrigação se aplica, avaliam-no os encarregados da proteção de dados ou os advogados. Nós fornecemos os factos técnicos para isso.
Devo apresentar queixa depois de um ciberataque?
Muitas empresas fazem-no, também porque seguradores ou parceiros de negócio o esperam. Para isso, a polícia alemã dispõe de pontos de contacto centrais para o cibercrime (ZAC). Para que as provas continuem a ser utilizáveis, os vestígios devem ser preservados antes.
Enquanto empresa, precisamos de um prestador de serviços se tivermos TI própria?
Muitas vezes sim. A TI interna conhece o funcionamento normal, mas menos frequentemente a preservação de vestígios e a limpeza após uma intrusão. Trabalhamos com a sua equipa de TI e assumimos a parte para a qual falta experiência ou tempo na casa.
Quanto custa um ciberataque à empresa?
Depende da duração, dos dados envolvidos e da interrupção da atividade. As rubricas de custo típicas estão na nossa página sobre os custos de um hack. Não indicamos um número sem conhecer a sua situação.