A história publicada pelo Escritório do Inspetor-Geral da NASA deveria preocupar toda organização que detém conhecimento sensível, código, software, projetos de engenharia ou informações comerciais valiosas.
Segundo a publicação, um cidadão chinês chamado Song Wu se passou durante anos por engenheiros, pesquisadores e professores americanos, e contatou funcionários da NASA, pesquisadores acadêmicos, militares e empresas privadas. Seu objetivo não era obter uma senha de uma conta. Ele pediu algo muito mais simples e muito mais perigoso: cópias de softwares, código-fonte e ferramentas de engenharia sensíveis que poderiam ser usadas para projeto aeronáutico e desenvolvimento de sistemas de armas.
E é exatamente esse o ponto.
Em muitas organizações, quando as pessoas ouvem a palavra 'phishing', pensam imediatamente em um e-mail com um link suspeito, um site falso ou um pedido para inserir uma senha.
Mas em casos mais sofisticados, o phishing não parece um ataque cibernético. Parece um pedido profissional legítimo de uma pessoa conhecida. 'Por favor, me envie o código'. 'Preciso da última versão do software'. 'Me passe o arquivo, estou trabalhando nele com a equipe'.
A vítima não sente que está caindo em um ataque. Sente que está ajudando um colega.
E esse é exatamente o perigo.
O erro profissional que vejo repetidamente é que as organizações tratam essa ameaça apenas como um problema tecnológico. Mas, neste caso, a fraqueza central não estava apenas no sistema. Estava na confiança humana, na cultura de trabalho e na ausência de um mecanismo claro que obrigue a parar e verificar antes que informações sensíveis saiam.
Do meu ponto de vista, há aqui algumas lições importantes.
Nem todo pedido que vem de uma pessoa 'conhecida' realmente vem dela.
Nem todo compartilhamento de informações entre colegas é um ato inocente, especialmente quando se trata de código, software, planos, dados, modelos ou infraestruturas.
Os funcionários precisam saber reconhecer não apenas links suspeitos, mas também pedidos incomuns: pedidos repetidos do mesmo software, falta de explicação sobre por que a informação é necessária, uma mudança repentina no meio de pagamento ou de transferência, o uso de canais não habituais, ou pressão para entregar material sem um processo ordenado.
E o mais importante: em uma organização séria, um funcionário não deveria decidir sozinho se é permitido transferir material sensível a outra parte, mesmo que essa parte pareça conhecida, sênior ou profissional.
É preciso um procedimento. É preciso verificação de identidade. É preciso uma checagem de permissões. É preciso compreensão dos limites de regulação, exportação, confidencialidade e propriedade intelectual. E é preciso uma cultura em que parar para verificar não seja visto como burocracia, mas como parte da responsabilidade profissional.
A história da NASA é um lembrete contundente de que uma ameaça interna nem sempre começa com um funcionário malicioso. Às vezes começa com um funcionário bom e profissional, que quer ajudar, mas não percebe que está sendo manipulado.
E essa talvez seja uma das ameaças mais perigosas de todas: um cavalo de Troia humano que não sabe que é um.