Não são novos os ataques desencadeados a servidores de email ou vulnerabilidades associadas a e-mail, só este ano já foram identificadas 18 vulnerabilidades relacionadas com email ou servidores de email, que afetam tanto a Microsoft como outros Provedores.

No último relatório disponibilizado pela Rapid7 podemos verificar que o volume de vulnerabilidades publicadas cresceu significativamente nos últimos cinco anos. O ano de 2017 experimentou um aumento de 127% nas vulnerabilidades nomeadas CVE em relação a 2016, e cada ano de CVE identificadas desde então, superou o seu antecessor em volume absoluto. Quando o ano de 2020 chegou ao fim, acumulava 18.362 vulnerabilidades (total), o que representou um aumento de 6% em relação a 2019 e um aumento vertiginoso de 185% em relação a cinco anos atrás.

Com o "novo normal", designadamente a forma de trabalhar remotamente e a rápida adoção de plataformas que conseguissem dar resposta a tão grande crescimento, foi deixado um pouco para trás a componente de segurança, uma vez, que seria necessária uma rápida resposta por parte das empresas bem como dos colaboradores.

Nunca tanto se ouviu falar em VPN que permitam uma conectividade segura entre colaborador e organização, nunca tanto se ouviu falar em fraudes através de emails de Phishing e outros tais, isto porque a rapidez na procura e implementação de soluções que conseguissem suprimir as necessidades de ambas as partes, não foi acompanhada com a componente de segurança que era exigida.

Percorremos vários caminhos, desde a procura de soluções avançadas de Deteção de Intrusão (IDS), de Data Loss Prevention (DLP), Firewalls Next Gen, etc., mas esquecemo-nos que a componente humana é o elo mais fraco da cadeia de suprimentos de serviços prestados, e digo isto, porque a maioria dos ataques que acontecem contra as organizações são efetivamente através da componente humana. 

O facto de existir uma notícia que dá conta de um Mega Ataque global a e-mail da Microsoft que atingiu 60 mil empresas e instituições, em que até a EBA se encontra entre as vítimas, vem colocar mais uma vez a descoberto a ineficácia dos sistemas perante a capacidade de improviso por parte de quem pretende hackear um qualquer sistema, independentemente do tipo ou forma como o pretende fazer.

Interessante é reparar que não são só as grandes empresas afetadas, mas sim todas aquelas onde a vulnerabilidade é passível de ser explorada, o que demonstra duas coisas: uma que não é o facto de se ser uma grande empresa e ter tudo devidamente alinhado e enquadrado que faz com que seja mais segura, por outro lado demonstra que o reforço em formação, treino e sensibilização poderá ser um bom trunfo para que possíveis tentativas de fraude através de email, possam ser evitadas.

Para finalizar, um bom investimento em formação e treino dos colaboradores, aliada à componente tecnológica da organização, pode ser o modelo mais eficaz para salvaguardar a organização, pois se colocarem nos pratos da balança quanto custa o investimento em formação e quanto custa um incidente deste género que poderia ser evitado, facilmente chegam à conclusão que a formação é mais em conta e tem efeitos mais benéficos e duradores.