Um notário, alguém encarregado de organizar uma formação ou um funcionário de um organismo público podem ser afetados sem serem advogados. O ciberataque contra a AVOCATS.BE vai além do diretório da profissão: cerca de 27 500 outros contactos estão entre as pessoas cujos dados de contacto foram expostos, segundo o comunicado publicado a 6 de novembro pela Ordem dos Advogados de língua francesa e alemã.
Este número acresce ao dos advogados afetados. Não representa, portanto, nem o total de pessoas afetadas nem o número de processos judiciais roubados. A organização dá conta de um acesso fraudulento a dados de contacto e de identificação no seu software de gestão das ordens, o LGO. Indica que, segundo as análises realizadas até ao momento, não foram afetados dados bancários nem dados sensíveis, nos termos especificados no seu comunicado.
Uma ferramenta profissional que reunia muito mais do que advogados
O LGO é utilizado nas atividades das ordens e dos bares. Os dados de contacto registados incluíam os de profissionais ligados à justiça, nomeadamente notários e membros do pessoal judicial, mas também de funcionários dos bares e de organizadores de formações. Entre os contactos abrangidos estão ainda os de organismos públicos, universidades e serviços de polícia.
Esta diversidade explica por que razão alguém alheio à profissão pode receber um alerta ou ter de manter-se vigilante. O critério é ter os seus dados de contacto registados na aplicação, devido às suas relações profissionais com estas instituições.
A AVOCATS.BE representa as ordens de advogados de língua francesa e alemã da Bélgica. O comunicado descreve, assim, o incidente de uma organização identificada e da sua ferramenta de gestão: não permite concluir que todos os sistemas judiciais belgas tenham sido atacados.
O que se sabe sobre os dados expostos
As informações visadas podem incluir o nome, o endereço de correio eletrónico, o número de telefone e, em alguns casos, a morada. O conteúdo depende dos dados que tinham sido introduzidos na aplicação. Por conseguinte, nem todas as pessoas afetadas tinham necessariamente os mesmos campos preenchidos.
A organização esclarece que os números e as categorias apresentados no seu comunicado correspondem ao estado dos conhecimentos a 3 de novembro e ainda podem evoluir. A informação de 6 de novembro deve ser lida tendo em conta esta limitação: a análise continua, embora a vulnerabilidade já tenha sido corrigida.
A exclusão de dados bancários e de dados sensíveis anunciada é atribuída à AVOCATS.BE. Isso não torna os dados de contacto profissionais desprovidos de valor. Por outro lado, as informações publicadas não permitem afirmar que tenham sido roubados documentos processuais, comunicações confidenciais entre advogados e clientes ou processos de defesa. Fazer esta distinção evita atribuir a uma fuga confirmada um âmbito que não está confirmado.
Um ataque comunicado a 29 de outubro
A AVOCATS.BE indica que foi informada do ataque a 29 de outubro. Segundo a organização, o incidente foi identificado e neutralizado nesse mesmo dia, nas horas que se seguiram à sua comunicação. Os dados a que foi acedido de forma fraudulenta foram posteriormente colocados à venda na dark web por pessoas cuja identidade não era conhecida à data do comunicado.
A proteção do software e o desaparecimento das cópias são duas questões diferentes. Fechar o acesso utilizado pelos intrusos impede que continue aberto; não demonstra que os dados já extraídos tenham sido apagados.
A Ordem anuncia a preservação das provas, uma análise com um prestador especializado, a reposição dos acessos, a alteração das palavras-passe e o reforço da autenticação. Notificou o incidente à Autoridade de Proteção de Dados e ao Centro para a Cibersegurança da Bélgica e anuncia que vai apresentar queixa. A monitorização da divulgação dos dados na Internet também faz parte das medidas referidas.
Porque é que dados de contacto públicos podem, ainda assim, ser usados para uma fraude
A AVOCATS.BE assinala que grande parte destes dados de contacto já estava acessível em diretórios. Isso reduz a novidade de algumas informações, mas não elimina todos os possíveis usos maliciosos. A própria organização menciona o risco de cruzamento com outras fontes, de abordagens comerciais abusivas, de phishing e de usurpação de identidade.
Uma mensagem que conheça um nome, uma função ou uma relação com uma ordem de advogados pode parecer mais credível do que um correio eletrónico impessoal. Poderia, por exemplo, invocar uma formação ou uma verificação administrativa para pedir um pagamento ou um nome de utilizador. Trata-se aqui de um cenário de risco, não de uma campanha cuja existência tenha sido estabelecida neste incidente.
A verificação correta deve, portanto, incidir sobre o pedido e o canal utilizado, e não apenas sobre a exatidão das informações. Nas suas recomendações contra o phishing, a Safeonweb lembra que um endereço de remetente aparentemente legítimo não garante, por si só, a autenticidade da mensagem.
O que podem fazer as pessoas afetadas
Perante um pedido invulgar ou urgente, é preferível voltar a contactar a organização através dos dados de contacto habituais ou dos que constam do seu sítio oficial. Deve evitar-se utilizar o número ou a ligação fornecidos na mensagem suspeita para fazer essa verificação. Não se deve fornecer qualquer nome de utilizador, palavra-passe ou dado bancário sob pressão de um pedido deste tipo.
As mensagens suspeitas podem ser enviadas para suspect@safeonweb.be. Se tiver sido introduzida uma palavra-passe num sítio falso, a Safeonweb recomenda que seja alterada imediatamente, bem como nos serviços onde tenha sido reutilizada. Esta medida responde a uma situação concreta de comprometimento de credenciais; não significa que as palavras-passe de todos os contactos façam parte da fuga anunciada.
Para qualquer questão sobre os seus próprios dados, o contacto indicado pela AVOCATS.BE é a sua encarregada da proteção de dados, através de dpo@obfg.be. A organização esclarece que não pode contactar individualmente todas as pessoas afetadas e que utiliza esta comunicação pública para as informar. As pessoas podem também apresentar uma reclamação à Autoridade de Proteção de Dados.
Fotografia de arquivo: o Palácio da Justiça de Bruxelas ilustra o contexto judicial belga; não identifica o local da intrusão. Crédito: Romainberth, Wikimedia Commons, CC BY-SA 3.0.
