0 
0 EM 3 DE ABRIL, O Website Planet estava executando um projeto de mapeamento da web quando descobriu buckets de dados inseguros do AWS S3 pertencentes a uma agência estadual de saúde na Nigéria. Esses baldes continham cerca de 75.000 entradas de cerca de 37.000 pessoas – cerca de 45 GB no total, incluindo documentos de identificação e fotos de pessoas registradas na agência. Os buckets datavam de janeiro de 2021 e estavam ativos e sendo atualizados no momento da descoberta, de acordo com o Website Planet.
A agência, conhecida como Plateau State Contributory Healthcare Management Agency (PLASCHEMA), foi lançada em setembro de 2020 pelo governador do estado, Simon Bako Lalong, e foi voltada para fornecer assistência médica barata e acessível aos residentes do estado de Plateau da Nigéria.
Em 5 de abril, o Website Planet entrou em contato com as autoridades nigerianas, informando-as sobre os baldes de dados expostos. Mas o Website Planet diz que os buckets de dados permaneceram ativos e inseguros até o final de julho. Não se sabe se os agentes maliciosos encontraram os dados antes que eles fossem protegidos, diz um porta-voz do Website Planet, mas “quanto mais tempo ficou aberto, maior a probabilidade de ser capturado por partes mal-intencionadas”. Informações pessoais como as encontradas nos baldes podem ser exploradas para roubo de identidade, que pode ser usada para abrir redes sociais e contas bancárias ou de crédito virtuais.
Em 23 de julho, dias após o bloqueio dos baldes não seguros, Fabong Yildam, diretor geral da PLASCHEMA, negou qualquer violação ou exposição de dados em uma entrevista coletiva.
O incidente, infelizmente, é típico de problemas generalizados de segurança cibernética na Nigéria, onde os regulamentos são ineficazes, as más práticas são desenfreadas e as divulgações públicas de violações de segurança geralmente são lentas e insuficientes.
“Muitas organizações em países desenvolvidos se comunicam quando têm casos de ataques cibernéticos, o que incentiva a resiliência cibernética e a ampla resposta a incidentes”, diz Confidence Staveley, analista de segurança nigeriano e diretor executivo da Cybersafe Foundation, um grupo de consultoria e defesa de segurança. aqui, no entanto, vemos que, em geral, muitas organizações negam absolutamente a ocorrência de ataques cibernéticos e incidentes de violação de dados, mesmo na presença de evidências inegáveis. Isso, ou minimizam drasticamente o incidente.”
Em agosto de 2020, dois grandes bancos nigerianos sofreram violações de dados, expondo os detalhes financeiros de seus clientes. Nenhum dos bancos respondeu até dias depois, e então seus comunicados à imprensa foram vagos, não negando nem admitindo a ocorrência de qualquer violação de dados.
No início deste ano, em julho, David Hundeyin, um jornalista nigeriano independente, também relatou um possível comprometimento de e-mails pertencentes ao governo do estado de Lagos e a venda desses e-mails no mercado negro. O governo do estado de Lagos e as agências de segurança cibernética da Nigéria permaneceram calados sobre as alegações de Hundeyin, não respondendo nem negando a suposta violação.
Ao não se comunicarem, essas agências falham em fornecer a seus clientes e outras partes interessadas as informações de que precisam para se proteger e fornecer conselhos acionáveis a qualquer pessoa exposta a uma possível violação. A falta de comunicação, diz Staveley, juntamente com muitas práticas ruins de segurança cibernética, prejudica a segurança cibernética e a proteção de dados na Nigéria e cria uma grave falta de confiança e capacidade.
Muitas infraestruturas de TI e processos de dados na Nigéria não levam em consideração a segurança e a proteção, diz Staveley, que trabalhou e consultou vários bancos e agências governamentais na área de segurança cibernética. “As organizações nem entendem o peso que vem com a coleta de dados. Eles não veem os dados que coletam como algo que precisa ser protegido e, portanto, não consideram a criptografia e a segurança em seus pipelines de dados.”
A Agência Nacional de Desenvolvimento de Tecnologia da Informação da Nigéria (NITDA) é responsável pela segurança cibernética e proteção de dados, e estabeleceu regulamentos e diretrizes que exigem que as organizações que processam dados pessoais sejam seguras na coleta, processamento e armazenamento desses dados e realizem a segurança dos dados auditorias anualmente. A Lei de Proteção de Dados de 2020 também afirma que os dados pessoais devem ser “processados de maneira a garantir a segurança adequada dos dados pessoais, incluindo proteção contra processamento não autorizado ou ilegal e acesso contra perda”.
Na prática, no entanto, a coleta e o processamento de dados na Nigéria permanecem em grande parte sem monitoramento, e a proteção é muitas vezes uma reflexão tardia. Dados sensíveis como endereços, números de celular, detalhes financeiros e até mesmo dígitos de identificação são solicitados em filas, shoppings e recepções de escritórios – locais onde esses dados não são necessários e onde são deixados acessíveis a qualquer pessoa com curiosidade suficiente para verificar o frequentemente registros públicos. “A maioria das pessoas nem sabe a importância de seus dados pessoais, e ninguém se preocupa em dizer a eles que isso é importante”, diz Staveley.
Há também um problema de retenção de talentos, principalmente devido à baixa remuneração e à falta de valor atribuído ao trabalho dos especialistas em segurança cibernética. De acordo com uma troca de e-mails entre o Website Planet e um porta-voz da Equipe de Resposta a Emergências de Computadores da Nigéria obtida pela WIRED, a PLASCHEMA aparentemente não tinha acesso ou conhecimento técnico para resolver o problema imediatamente. “A organização parece não ter acesso ou capacidade técnica para remediar o incidente prontamente”, dizia o e-mail de 27 de junho de 2022.
“Não apreciamos a segurança cibernética neste país, por enquanto”, diz Moses Joshua, especialista em segurança cibernética e fundador do Diary of Hackers, uma comunidade de segurança cibernética que, entre muitas outras coisas, conta as histórias de hackers. Devido a problemas com remuneração e falta de ferramentas e incentivos necessários para um desempenho adequado, os profissionais de segurança cibernética acham difícil trabalhar para empresas ou organizações nigerianas.
“É difícil encontrar um hacker veterano trabalhando para empresas nigerianas. No máximo, eles são usados como transições – para ganhar experiência – e quando eles [especialistas em segurança cibernética] ganham dois ou três anos de experiência, eles saem. Não faz sentido ficar em um lugar onde você recebe menos, há pouca ou nenhuma projeção de carreira e você tem acesso limitado a ferramentas comerciais importantes”, diz Joshua. (Staveley também levantou essa preocupação.) Isso leva à falta de talento em segurança cibernética, mas também a uma sombra mais escura do mesmo problema. Isso significa que o talento disponível tem um conhecimento superficial do setor, porque muitos não ficam tempo suficiente para aprender. Isso significa que cada geração tem que começar de novo.
Esse problema se espalha para os talentos de tecnologia em geral. Nos últimos tempos, à medida que o trabalho remoto se tornou cada vez mais aceitável, a retenção de talentos em tecnologia tem sido mais difícil para empresas e organizações locais , pois elas são forçadas a competir com corporações maiores que podem pagar mais e oferecer melhores planos de carreira. Este é um problema significativo, especialmente para startups. Mas os mais afetados são empresas e organizações com pouca ou nenhuma perspectiva internacional, como os bancos nigerianos . Os bancos tradicionais da Nigéria estão na vanguarda da “grande demissão da tecnologia”, que afetou bastante as infraestruturas de tecnologia, como aplicativos bancários, redes de e-mail e segurança .
A segurança cibernética, de certa forma, também pode ter um custo proibitivo. Para empresas e organizações que já têm problemas para sobreviver na crise econômica da Nigéria, a segurança e a proteção adequada de dados são vistas como um luxo que muitos não podem pagar. “Custa dinheiro contratar profissionais e realmente priorizar a segurança em vez de falar da boca para fora”, diz Staveley. “Com a economia atual, às vezes pode ser como pedir à organização que escolha entre segurança e sobrevivência.”
A Nigéria tem uma das melhores políticas de segurança cibernética e proteção de dados da África, mas isso não se traduz em ação. Muitas organizações falam apenas da boca para fora da segurança, e a ausência de uma figura de autoridade ativa e comunicativa permite muitos excessos.
As políticas de segurança cibernética e proteção de dados da Nigéria são abstratas e, como os incidentes de segurança cibernética podem ser muito específicos, exigem pessoas que possam tomar decisões sobre cada incidente e se comunicar claramente com a mídia. A Agência Nacional de Desenvolvimento de Tecnologia da Informação está longe de ser ativa. Se uma organização for investigada e considerada culpada por comprometer ou abusar de dados pessoais, o NITDA pode impor uma multa equivalente a 2% do faturamento anual da empresa ou 10 milhões de nairas (US$ 23.647) por violação de dados, o que for maior. No entanto, apesar da cobertura jornalística da violação do PLASCHEMA, a agência ainda não divulgou nenhum comunicado de imprensa ou tentativa de comunicação. Também não respondeu aos vários pedidos de comentários da WIRED.
Na Nigéria, brechas específicas no crescente uso de POS e transações eletrônicas estão deixando muitas pessoas vulneráveis a incidentes que às vezes significam perda de dinheiro. É uma das questões de segurança cibernética mais urgentes da Nigéria, responsável cumulativamente por mais de 60% das fraudes financeiras em 2020 . No entanto, continua desatendido pelas autoridades financeiras e de segurança cibernética.
Em abril, a plataforma de apostas nigeriana Bet9ja sofreu um ataque de ransomware da BlakCat . Em maio, poucos dias após o lançamento na Nigéria, o MoMo Payment Service Bank sofreu uma violação que supostamente levou a US$ 53 milhões em perdas. Em um caso mais paralelo, em 2019, a Receita Federal de Lagos (LIRS) foi acusada de expor dados pessoais online por meio de seu portal da web e foi multada em 1 milhão de nairas pelo NITDA. De acordo com um relatório de 2022 da Sophos , 71% das organizações nigerianas foram atingidas por ransomware no ano passado, mas alguns dos piores incidentes de segurança cibernética da Nigéria ainda não foram relatados .
O problema de segurança cibernética da Nigéria atinge tanto organizações públicas quanto empresas privadas, mas corrupção, atraso e burocracia podem agravar o problema nas organizações públicas. Deixar um bucket de dados contendo informações pessoais cruciais mal configurados e inseguros pode acontecer devido a erros humanos. Mas os longos dias entre contato, resposta e ação – e a óbvia falta de comunicação – refletem uma atitude negligente em relação à segurança cibernética nas organizações governamentais nigerianas.
Como diz Staveley: “Temos um longo caminho a percorrer”.
FONTE: WIRED