Caso do segundo possível ataque virtual contra a Universidade Estácio de Sá em menos de 2 anos desperta alerta para a cibersegurança nas instituições de ensino.
No último mês a Universidade Estácio de Sá (UNESA) supostamente sofreu uma nova invasão de seus servidores, deixando todas as unidades fora do ar por boa parte da última quarta-feira (26/6) e com instabilidade ainda na quinta-feira (27/6), acarretando atrasos, confusão, provas online canceladas e alunos e funcionários sem acesso ao sistema (veja aqui).
Numa instituição da dimensão da entidade, que possui 93 campus pelo Brasil e mais de 561 mil alunos, dos quais 239,2 mil são EAD (ensino à distância) e onde praticamente 20% da carga horária de todos os cursos é ministrada pela internet, imagine a proporção do impacto desta paralisia online.
Em comunicado oficial, a Estácio explicou que, após detectada a invasão, imediatamente a empresa iniciou o plano de contingência e tirou a rede do ar e “nenhum dado foi vazado ou alterado”. Porém, mesmo que nenhuma informação de fato tenha sido comprometida, o prejuízo em termos financeiros pela suspensão das operações online e, principalmente de reputação da imagem da instituição, que já teve entre seus alunos famosos como Kelly Key e até Carlos Bolsonaro (o filho nº 2 do nosso presidente), já aconteceu. E pela segunda vez em menos de 2 anos.
Em abril de 2017 (veja aqui), o incidente ocorrido foi de uma possível espionagem e virou investigação oficial por parte da Delegacia de Repressão aos Crimes de Informática (DRCI) do Rio e notícia em toda imprensa nacional.
Instituições de Ensino no topo da lista dos cibercriminosos
Casos como desta universidade podem ser fatalidades e acontecer com qualquer empresa. Mas a questão que fica não é apenas dos casos isolados. Mas de uma realidade preocupante: o setor de educação está hoje no topo da lista dos alvos de cibercriminosos.
Desde 2005, as instituições de ensino superior foram vítimas de 539 ataques, resultando em 13 milhões de registros comprometidos. A frequência global de ataques de ransomware (sequestro e resgate de dados) a instituições de ensino já é considerada maior do que o registrado em qualquer outra indústria, de acordo com relatório Segurança Cibernética em Educação (veja aqui), produzido pela Cisco com base em levantamentos internacionais. Na verdade, este tipo de ataque é três vezes maior do que em setores como Saúde e dez vezes maior do que em Finanças.
O documento cita um estudo do Center for Digital Education, que revela que, somente no 1º trimestre de 2016, as instituições de ensino nos EUA desembolsaram US$ 209 milhões para o pagamento de resgates a hackers sequestradores. Dados preliminares do CDE estimam que as perdas globais com ataques de ransomware em 2017 devem ultrapassar a casa dos US$ 5 bilhões.
Os casos de crimes cibernéticos bem-sucedidos contra IES, colégios e até secretarias de Educação vão desde a fraude em notas de alunos, vazamento de informações pessoais de estudantes, professores e funcionários, até o bloqueio de computadores com a ameaça da destruição ou vazamento dos dados, caso o usuário não pague o resgate.
Por que tanta ameaça contra as instituições de ensino?
Entre as razões apontadas pelo relatório da Cisco para a área educacional ter se tornado o alvo preferencial de ciberataques nos últimos anos estão o baixo nível de maturidade em TI e, por consequência, em segurança da informação, e as características do mundo acadêmico.
· Falta de cultura de cibersegurança
“A própria natureza do setor acadêmico propicia o crescimento de vulnerabilidades”, afirma Ricardo Santos, gerente regional da América Latina para o setor de educação da Cisco Systems. Segundo ele, os processos e ambientes das IES foram projetados para incentivar e facilitar o acesso a informações e o intercâmbio de conhecimento. “E quanto mais aumenta o número de acessos, mais cresce o grau de vulnerabilidade”, diz.
Os riscos relacionados a essa concepção de livre acesso a informações são extremamente preocupantes, segundo Santos. Para explicar o porquê, ele traça um comparativo entre as IES e os bancos: “Os bancos, por exemplo, têm volumes de acessos muito grandes, portanto o potencial de sofrerem ataques cibernéticos é bastante elevado. A diferença é que a cultura das instituições financeiras é protecionista, cheia de regras de segurança, com portas, janelas e cadeados, etc. E o setor acadêmico ainda tem essa tradição”, salienta.
· Massificação dos meios digitais
A massificação dos meios digitais é outro aspecto. Hoje, nas IES e mesmo nas escolas de educação básica, alunos, professores e funcionários administrativos geralmente têm à disposição um autêntico arsenal tecnológico, como redes Wi-Fi, internet, sistemas de CFTV ou CATV, redes de computadores, acesso às redes sociais, entre outros. E grande parte deles costuma acessar as bases de dados da instituição, dentro e fora do campus, por meio de diferentes dispositivos. Todos estes meios precisam ser acessados em segurança, o que nem sempre ocorre.
· Escolas como esconderijos de cibercriminosos
Ainda, segundo Arlete Muoio, perita em cibercrimes e especialista em cibersegurança da empresa Aissa Tecnologia, “as escolas e IES se tornaram um grande alvo para cibercriminosos justamente porque a maioria não está bem protegida”, alerta. O amplo acesso à rede Wi-Fi, sem os devidos requisitos de segurança, podem servir de esconderijos, inclusive, destes cibercriminosos. “Até mesmo as cantinas, pelo Wi-Fi aberto, podem ser pontos de acesso fáceis para coleta de dados de alunos. É a oportunidade gerando o ladrão”, complementa.
E a escola ainda tem outra preocupação: cyberbullyings e crimes contra a reputação digital. Segundo a perita Arlete, “não adianta restringir o acesso ao Facebook ou Twitter, como muitas escolas fazem. O problema não está nos dispositivos ou nas redes sociais. Mas na própria educação para as boas práticas na internet e nas estratégias de prevenção e combate aos cibercrimes das instituições de ensino. A cibersegurança não é uma área estanque. Ela envolve toda a instituição, todo o público e o tempo inteiro. A cibersegurança, nas escolas, precisa ser 360º”, finaliza.
O que fazer?
Considerando todas as vulnerabilidades específicas do setor e da cada vez maior necessidade de expansão da conectividade em toda a rede global das instituições, que caminham a passos largos com os avanços tecnológicos, da Realidade Virtual à Internet das Coisas (IoT), é consenso: a cibersegurança nas instituições de ensino precisa, hoje, estar no centro das estratégias das entidades. Só desta forma pode se garantir tanto um futuro seguro para a educação quanto para as pessoas.
Precisa de ajuda? Entre em contato conosco. Somos especialistas em cibersegurança para instituições de ensino e podemos estudar em conjunto planos sob medida para a sua instituição.
Fontes desta matéria: