JBS não priorizou gastos em segurança cibernética

Por

08 jun 2021, 9:07 - atualizado em 08 jun 2021, 9:10

JBSS3 Frigoríficos — A JBS, maior produtora de carne do mundo, teria rejeitado iniciativas para gastar mais em segurança cibernética porque o assunto não era considerado prioridade (Imagem: Reuters/Diego Vara)

Alguns anos antes de ser atingida por um grande ataque cibernético, a JBS (JBSS3), maior produtora de carne do mundo, teria rejeitado iniciativas para gastar mais em segurança cibernética porque o assunto não era considerado prioridade e não mostrava retorno imediato sobre o investimento, de acordo com três ex-funcionários.

Os funcionários, que trabalhavam em tecnologia da informação e segurança nos Estados Unidos, disseram que a JBS encomendou uma auditoria de segurança cibernética entre 2017 e 2018 que identificou fragilidades na infraestrutura da empresa e que poderiam ser exploradas por hackers.

A auditoria recomendou a compra de tecnologia de monitoramento especializada que pudesse detectar possíveis ataques, mas executivos da JBS teriam considerado a tecnologia muito cara e se recusaram a comprá-la, disseram os funcionários.

Embora a auditoria tenha sido encomendada nos EUA, teve implicações globais para a companhia porque alguns sistemas estão interconectados, disse um funcionário.

Um deles descreveu a segurança cibernética como uma questão “secundária” para a JBS, onde a pessoa disse que os executivos estavam focados no corte de custos.

Um segundo ex-funcionário compartilhou preocupações semelhantes.

A empresa estava tão focada nos lucros, disse, que era difícil promover melhorias em segurança cibernética.

Grupo sofisticado

Não se sabe se a JBS pagou o pedido de resgate dos hackers.

Richardson não respondeu a mensagens com pedido de comentário sobre se a empresa pagou.

A JBS foi atacada por “um dos grupos mais especializados e sofisticados do mundo”, mas conseguiu se recuperar rapidamente e perdeu menos de um dia de produção, disse Richardson. “Nossa capacidade de resolver os problemas rapidamente foi devido à nossa criptografia e segurança aprimoradas de nossos servidores de backup”, afirmou a representante. “O FBI observou que isso é extremamente raro e elogiou nosso processo.”

A JBS foi obrigada a fechar todas as processadoras de carne bovina nos EUA após uma invasão cibernética no final de maio, em meio a uma série de grandes ataques de ransomware, incluindo um contra a Colonial Pipeline, que bloqueou a oferta de combustíveis ao longo da costa leste.

O ataque à JBS, que o FBI atribuiu ao grupo russo REvil, também desacelerou a produção de carne suína e de aves.

As redes da JBS foram restauradas e as unidades estão operando com capacidade total, disse Richardson.

Ransomware é um tipo de malware que criptografa e inutiliza os arquivos da vítima, que são desbloqueados mediante pagamento.

Alguns grupos de ransomware também roubam arquivos, proporcionando um meio extra de extorsão.

A JBS forneceu poucos detalhes sobre o ataque contra a empresa.

Especialistas em segurança cibernética disseram que o setor de alimentos geralmente possui baixa proteção das redes contra ataques devido à falta de investimento e pouca ou nenhuma regulamentação ou padrões uniformes.

A indústria de alimentos não tem tradicionalmente focado em tecnologia, disse Dmitri Alperovitch, presidente do Silverado Policy Accelerator e cofundador da empresa de segurança cibernética CrowdStrike Holdings. “Eles não têm prestado muita atenção à segurança cibernética, seja gastando dinheiro nas últimas tecnologias e serviços ou recrutando os melhores talentos.”

Segurança cibernética

Um consultor de segurança cibernética que trabalha com uma grande processadora de carne dos EUA e pediu para não ser identificado disse que o estado de segurança no setor geralmente é “inexistente”.

As empresas do setor de frigoríficos e outros mercados de commodities geralmente não possuem tecnologias básicas de segurança, porque não consideram que sua propriedade intelectual tenha valor para os hackers, disse a pessoa.

O consultor disse que organizações com investimentos limitados em TI e segurança inevitavelmente fazem a mesma pergunta: se esse é um problema tão grande, por que nada nos aconteceu ainda? Mas é difícil detectar ameaças – ou investigar ataques – se os controles de segurança cibernética não estiverem em vigor, disse a pessoa.

Uma análise sobre a JBS pela empresa de classificação de segurança SecurityScorecard, conduzida dias após o ataque cibernético, concluiu que a empresa era um alvo particularmente vulnerável na indústria de alimentos e bebidas.

A JBS ocupou o 10º lugar entre as 57.251 empresas do setor de alimentos avaliadas pela empresa.

As classificações são baseadas em uma série de métricas de segurança cibernética publicamente visíveis.

Aleksandr Yampolskiy, cofundador e CEO da SecurityScorecard, disse que, com base na análise, não seria difícil para um invasor violar as redes da JBS usando ferramentas de ataque amplamente disponíveis.

Richardson, porta-voz da JBS, contestou os resultados. “Questionamos qualquer avaliação sobre nosso desempenho de segurança cibernética que dependa exclusivamente de dados disponíveis publicamente. Nossas interações com os principais profissionais de segurança cibernética durante esta crise contradizem completamente a análise da SecurityScorecard.” Com a colaboração de Brody Ford, Jordan Robertson e Michael Hirtzer.