Edition 17

Leia para além das criptomoedas, porque este padrão existe na sua organização. É uma falha de autorização. O controlo de assinatura protegeu a chave, não a veracidade da instrução: foi solicitado a autorizar uma transferência, confirmou que estava habilitado a autorizar transferências e assinou. Ninguém verificou que a transferência era real. Substitua wallet por ordem de pagamento, ou por dados bancários de fornecedor, e tem um business email compromise com melhor criptografia.

O controlo de que realmente necessita situa-se a montante, na integridade daquilo que chega ao signatário. Onde originou esta instrução, corresponde a uma fonte aprovada, e o sistema que compõe as transferências é considerado de confiança com mais rigor do que aquele que as assina? Mantenha a linha norte-coreana com reservas por agora: é preliminar, o ponto de entrada é desconhecido, e o Lazarus tornou-se uma etiqueta para tudo o que tenha vagamente a forma do DPRK. O mecanismo é a lição, não o rótulo.

Segunda vez em dois meses que a mesma lição se repete: um reset de password não expulsa um atacante. Em agosto foi um kit de phishing a inscrever o seu próprio passkey, que sobreviveu ao reset. Aqui, o fornecedor fraudulento sobrevive ao reset e recolhe a password de substituição. A ordem das operações é, portanto, um controlo por direito próprio. Remova primeiro a persistência, o fornecedor, as suas aplicações, chaves e URIs de redirecionamento, e só depois faça a rotação das credenciais. Na ordem inversa, entregou a nova password.

Seja preciso quanto ao que isto é, porque importa. Trata-se de pós-comprometimento, não de acesso inicial: registar um fornecedor fraudulento requer Global Administrator ou Authentication Policy Administrator. A descoberta a montante é, portanto, privilégio permanente, não MFA comprometido. E repare no que o Entra verificou: uma assinatura válida num token a afirmar que o segundo fator ocorreu. Nunca que ocorreu de facto.

Fixe aquela frase na parede. O mecanismo de segurança apresentou um bloqueio de política depois de os dados já terem saído. Recebeu a mensagem tranquilizadora e a violação, do mesmo controlo, no mesmo segundo. Se alguma vez precisou de prova de que um controlo a reportar sucesso não é o mesmo que um controlo a funcionar, ela chegou esta semana com uma captura de ecrã.

Dois pontos a levar para o seu próprio ambiente. Primeiro, um formulário público de leads é um input não fidedigno com um caminho direto para as suas joias da coroa; questione o que pode escrever em tudo o que os seus agentes leem. Segundo, o agente não fazia ideia de quem o estava a conduzir, pelo que assinou o phishing com o seu próprio nome de confiança. Esta é a versão concreta do conselho que dei há quinze dias: uma identidade por agente, e registos do que o agente efetivamente fez, em vez do que era suposto fazer.

Olhe para os fundamentos. Sem violação, sem ataque, sem nenhuma técnica elaborada. Licitude, equidade, transparência, retenção e incapacidade de demonstrar conformidade. Este último é o Artigo 5.º, n.º 2, e é o mesmo fio condutor de tudo o que antecede: estar em conformidade e conseguir evidenciá-la não são duas metades opcionais. Se não conseguir mostrar o seu trabalho, o regulador trata-o como não realizado. A retenção foi identificada como fator agravante, o que é a terceira vez este ano que escrevo sobre dados que sobrevivem à sua finalidade.

E repare na ordem, não no valor. Disse o mesmo sobre a coima DMA em julho: para a Alphabet o dinheiro é uma rubrica contabilística, a medida corretiva comportamental é o instrumento real, e a Google tem agora seis meses para alterar a forma como trata os dados de localização. Repare também no calendário. Aberto em fevereiro de 2020, decidido em setembro de 2026. Seis anos e meio, que é o tempo após o qual pode ser chamado a justificar decisões tomadas por pessoas que entretanto saíram.

Uma cultura não é um procedimento. Não se pode redigir, aprovar e arquivar, e um auditor não a avaliará lendo a sua página de política. Avaliá-la-á perguntando às suas pessoas como se reportam os defeitos e se alguém hesita antes de comunicar más notícias. A sua defesa é a evidência do que a gestão efetivamente faz: atas de reuniões de direção, decisões em que a qualidade prevaleceu sobre o calendário, o que aconteceu à última pessoa que escalou um problema. Recolha-a agora, porque não a poderá reconstruir mais tarde.

Duas notas práticas. O Anexo A.6.1.2 indica que o pensamento baseado em risco não implica uma abordagem formal de gestão do risco nem um processo documentado; portanto, se um consultor lhe disser que a nova versão o obriga a ter um registo de riscos, está a vender algo. E não confie na margem de três anos. A maioria das organizações transita durante uma auditoria de vigilância ou de recertificação programada, e esses lugares preenchem-se pelo lado do organismo de certificação, não pelo seu. Conte a partir do seu próprio ciclo ao contrário e normalmente encontrará uma única janela realista. A leitura completa cláusula a cláusula está disponível no link acima.