O Poder do CIO: Target 2013 – O vazamento de 40 milhões de cartões que derrubou a diretoria

Entre 27 de novembro e 15 de dezembro de 2013, criminosos invadiram os sistemas da Target, uma das maiores redes de varejo dos Estados Unidos, e roubaram dados de até 40 milhões de cartões de crédito e débito, além de nomes, endereços, telefones ou e-mails de até 70 milhões de pessoas. O sistema de segurança da empresa havia emitido alertas durante o ataque, e eles não foram atendidos. Em 5 de março de 2014, a diretora de tecnologia da informação, Beth Jacob, renunciou. Dois meses depois, foi a vez do presidente-executivo.

O caso mostra o que acontece quando a segurança da informação falha no ponto mais sensível do negócio, e por que ela é parte central da responsabilidade de um CIO.

Como foi o ataque?

Os invasores entraram pela porta de um fornecedor. Em 29 de janeiro de 2014, uma porta-voz da Target informou que os criminosos usaram credenciais roubadas de um prestador de serviços das lojas. A empresa não identificou qual.

O roubo durou de 27 de novembro a 15 de dezembro, quase três semanas, em plena temporada de compras de fim de ano do varejo americano.

Em 27 de dezembro, a empresa informou que os dados de senha de cartões de débito também haviam sido levados, em formato criptografado.

Como o vazamento veio a público?

Por um jornalista. Brian Krebs, especialista em segurança, publicou a notícia em 18 de dezembro de 2013. A Target confirmou o incidente no dia seguinte.

Em 10 de janeiro de 2014, a empresa ampliou a dimensão do caso: além dos cartões, foram roubados dados pessoais de até 70 milhões de pessoas. Somados, os dois grupos chegavam a até 110 milhões de registros, embora parte das pessoas aparecesse nos dois.

A empresa podia ter impedido?

Segundo a revista Bloomberg Businessweek, sim. A equipe de segurança da Target foi notificada pelo serviço de monitoramento FireEye, contratado pela própria empresa, e teve tempo de interromper o roubo. Não agiu.

Esse é o ponto que transformou um ataque em caso de gestão. A Target tinha investido em ferramenta de detecção, e a ferramenta funcionou. O que falhou foi o processo que deveria transformar o alerta em ação.

Quais foram as consequências?

Para os clientes, para as vendas e para a liderança:

1. 21 e 22 de dezembro de 2013: a Target ofereceu 10% de desconto em todas as lojas e monitoramento de crédito gratuito aos afetados.
2. Até 23 de dezembro: o número de transações estava de 3% a 4% abaixo do mesmo período do ano anterior, em plena temporada de Natal.
3. 5 de março de 2014: renúncia da CIO, Beth Jacob.
4. 5 de maio de 2014: renúncia do presidente-executivo, Gregg Steinhafel.

O caso foi descrito como o segundo maior ataque cibernético contra uma varejista na história.

Por que a CIO caiu?

A empresa não divulgou os motivos, mas os fatos do caso apontam para falhas de processo, e não só de tecnologia: credenciais de um fornecedor bastaram para a entrada, e os alertas existiam sem que ninguém os tratasse.

A renúncia do presidente-executivo, dois meses depois, mostra a outra face do episódio. Um incidente de segurança deixou de ser assunto técnico, delegado à área de TI, e passou a custar o cargo de quem está no topo.

O que o caso mostra sobre fornecedores?

Que a rede de uma empresa é tão segura quanto o acesso mais fraco concedido a terceiros. Cada credencial entregue a um prestador de serviços é uma porta.

As práticas que respondem a esse risco são conhecidas:

• Segmentação da rede: o acesso de um fornecedor não deve permitir chegar a sistemas que ele não usa, menos ainda aos de pagamento.
• Privilégio mínimo: cada credencial recebe só as permissões necessárias para a tarefa.
• Revisão periódica: acessos de terceiros são conferidos e cancelados quando o contrato termina.
• Resposta a alertas: cada aviso crítico tem dono, prazo e registro do que foi feito.

O que o caso exige da função de CIO?

Duas coisas. A primeira é estrutura: alguém com autoridade e tempo dedicados à segurança, com acesso à presidência e ao conselho, para que o tema não dependa só do orçamento e das prioridades do dia a dia da TI. Em empresas maiores, esse papel costuma caber a um diretor de segurança da informação, o CISO.

A segunda é linguagem. O CIO precisa explicar riscos em termos de negócio: quanto custa um vazamento, que impacto ele tem nas vendas, que exposição jurídica cria. Os 3% a 4% de queda nas transações em pleno Natal de 2013 são o tipo de número que um conselho entende.

O que o caso Target ensina a quem quer ser CIO?

Ensina que ferramenta sem processo não protege. A empresa tinha o sistema de detecção, e ele detectou. Faltou quem respondesse.

Ensina também que a segurança chega ao conselho pelo caminho mais duro quando o CIO não a leva antes. Explicar riscos, pedir investimento e mostrar o custo de não agir faz parte do cargo tanto quanto manter os sistemas no ar. Formação, trajetória e remuneração da função estão na página de CIO (Diretor de Tecnologia da Informação) do Guia de Carreiras.