How Clicking a Single Link Can Cost Millions | Ryan Pullen | TED

Tradutor: Cláudia Sebastião Revisora: Margarida Ferreira

Recebi um telefonema de alguém que precisava da minha ajuda.

I received a phone call from somebody who needed my help.

And they explained to me

Explicaram-me que esta organização tinha sofrido um ataque cibernético,

that this organization had suffered a cyberattack,

more specifically a ransomware attack,

mais especificamente um ataque ransomware,

which is designed

que é concebido

to both steal your data and make it unusable.

para roubar os vossos dados e torná-los inutilizáveis.

Multiplica-se por toda a empresa

It replicates itself throughout the business

e pode deixar-vos só com controlos baseados em papel.

and can drive you down to paper-based controls.

And this was an opportunity that I saw

Esta foi uma oportunidade em que vi

where I could influence something positively.

que podia influenciar algo positivamente.

And it was my job to investigate what had happened,

Cabia-me investigar o que tinha acontecido,

how it happened and why.

como acontecera e porque é que acontecera.

Presenciei una coisa que nunca tinha presenciado, diretamente.

And I saw something that I hadn't experienced before firsthand.

In 2017, the NHS suffered something similar,

Em 2017, o SNS britânico sofreu algo semelhante,

and it cost nearly 100 million pounds to recover.

que custou quase 100 milhões de libras para recuperar.

Este incidente custou cerca de cinco milhões de libras para recuperar

This incident cost around five million pounds to recover

and took 14 months.

e demorou 14 meses.

No entanto, o que vi foi o impacto humano.

Yet what I saw was the human impact.

Como é que isto acontecera?

How this happened?

A single individual clicked a link,

Um único indivíduo clicou num link

and a single individual enabled this, unknowingly,

e um único indivíduo permitiu que isto acontecesse, sem o saber,

to happen to an organization.

a uma organização.

Multiple people were signed off sick due to stress,

Várias pessoas não puderam ir trabalhar devido ao stress,

and multiple people were unable to go to work the next day

e várias pessoas não puderam trabalhar no dia seguinte

and carry out their job.

e realizar o seu trabalho.

Na minha perspetiva,

Now, for me,

cybersecurity is a very technological-focused term.

“cibersegurança” é um termo muito focado na tecnologia

And yet IBM did a study in 2021.

mas, a IBM fez um estudo em 2021

and 95 percent of cyberattacks

e 95% dos ataques cibernéticos

used a human element.

usaram um elemento humano.

Now that's all well and good,

Isto faz sentido,

but what does that actually mean?

mas o que é que significa realmente?

It means people can be exploited, too.

Significa que as pessoas também podem ser exploradas.

There’s no lines of code, and there’s no fancy software.

Não há linhas de código e não há software sofisticado.

Cybersecurity is, as far as the media is concerned,

A cibersegurança, no que diz respeito aos meios de comunicação social,

maybe teenagers in their bedrooms causing trouble,

talvez seja fruto de adolescentes nos seus quartos a causar problemas,

stealing things and learning how to use them.

a roubar coisas e a aprender a usá-las.

Yet what people don't see is the impact and how his day-to-day life.

No entanto, o que as pessoas não veem é o seu impacto

e como é a sua vida quotidiana.

And this incident for me,

Este incidente, para mim,

made me think slightly differently around cybersecurity.

fez-me pensar de forma um pouco diferente sobre a cibersegurança.

And recently I had an opportunity

Recentemente, tive uma oportunidade

which presented this thought process.

que apresentou este processo de pensamento.

I was commissioned to evade security controls

Fui contratado para contornar a segurança

for a very well-known building in London.

de um edifício muito conhecido em Londres.

That’s a snazzy way of saying “break in.”

É uma maneira elegante de dizer “forçar a entrada”.

And effectively, it was my job to see if I could get past the security controls

Efetivamente, coube-me ver se era capaz de ultrapassar os controlos de segurança

and get into the building.

e entrar no edifício.

And so for me, thinking kind of outside of the box,

Na minha perspetiva, a pensar um pouco fora da caixa,

este edifício tem portas embutidas,

this building has floor to ceiling doors,

24/7 security team,

segurança 24 horas por dia

endless budget for this kind of thing based on where they are.

um orçamento infinito para este tipo de segurança devido à sua localização.

And so, thinking slightly outside,

Desta forma, a pensar fora da caixa,

I needed to come up with a different plan.

precisava de elaborar um plano diferente.

And ...

What I did was I tried to go down the social engineering route,

O que fiz foi tentar seguir a rota da engenharia social,

which is the art of kind of deception

que é a arte de enganar

and making people believe something without the full information.

e fazer as pessoas acreditar em algo sem todos os factos.

And what I did was I walked in the front door,

O que fiz foi entrar pela porta da frente,

vestido de forma semelhante a agora,

dressed quite similarly to this,

and I was greeted by eight people

fui cumprimentado por oito pessoas e pensei:

and I thought, oh, that's a bit over the top.

“Isto é um bocadinho exagerado”.

And it's because every single person should have the right information

Isto acontece porque, se uma pessoa tiver as informações certas

and should know where they're going,

e souber para onde está a ir,

It’s very rare for them to be visitors.

é muito raro que seja um visitante.

And this person asked me,

Uma pessoa perguntou-me:

"Why are you here? Who are you here to see?"

“Porque está aqui? Quem é que veio visitar?”

And I explained, I didn't have an appointment,

Expliquei que não tinha hora marcada,

but I was here to see a specific person.

mas que vinha visitar uma pessoa específica.

And they said, "Yeah, there's no chance you're getting in."

Eles disseram: “Não o podemos deixar entrar.”

And I thought, oh goodness, I traveled all this way.

Pensei: “Meu Deus, fiz esta viagem enorme”.

And yet what I know is people are empathetic,

No entanto, o que eu sei é que as pessoas são simpáticas

and people want to help each other, right?

e querem ser prestáveis, certo?

And so I made up a story and I said I was here for a legal matter,

Então, inventei uma história e disse que estava ali por motivos jurídicos,

and I was only able to achieve what I needed to achieve

e que só podia fazer o que precisava de fazer

on these premises.

naquelas instalações.

And they said, "Yeah, sorry, we're still ..."

Responderam: “Desculpe, mas mesmo assim...”

And I explained the urgency, and I made them feel sorry for me.

Expliquei a urgência e fiz com que sentissem pena de mim.

And what I was thinking about giving this talk,

E pensei que, quando fizesse esta palestra,

faria uma pausa e fingir que estava a ter dificuldades.

I was going to pause and I was going to pretend that I was struggling.

Essa emoção que vocês teriam sentido, quando quisessem ajudar-me

And that emotion that you would have felt

where you wanted to help me

or you wanted me to continue, is exactly how this person felt.

ou quisessem que eu continuasse,

foi exatamente como aquela pessoa se sentiu.

They felt they were stopping me from doing my job, which they were,

Sentiram que me estavam a impedir de fazer o meu trabalho, o que era verdade,

but not for how they expected it.

mas não como imaginavam.

And then I pretended to be on the phone in the foyer, pacing up and down,

Depois fingi estar ao telefone no hall, a andar nervosamente,

pretending to be aggravated.

a fingir estar exasperado.

Depois, o gerente apareceu com um código QR para mim e disse:

And then the manager came across with a QR code for me and said,

"So sorry for the issues, no problem."

“Lamento pelo incómodo, não há problema.”

And they showed me around a side passage away from the two rounds of security.

Mostraram-me uma passagem lateral afastada das duas rondas de segurança.

So I had my laptop bag with me with “the evidence,”

Eu tinha a minha mala de computador comigo, com “as provas”,

mala que não foi verificada, e pude entrar

and it wasn’t checked and I was able to go in,

and I was able to go to the floor that I needed to.

e pude ir para o andar que precisava.

And I was paid as a cybersecurity expert to evade the controls of this building.

Fui contratado como especialista de cibersegurança

para contornar a segurança desse edifício.

And all I did was ask for access and make someone feel sorry for me.

A única coisa que fiz foi pedir acesso e fazer alguém sentir pena de mim.

And so that's two very different perspectives.

Portanto, são duas perspetivas muito diferentes.

Uma, a de 5 milhões de libras e levou 14 meses a recuperar,

One, the five-million-pound job and took 14 months to recover

where I was helping people,

em que ajudava as pessoas,

but the second, I was the aggressor

mas a outra, em que eu era o agressor ou a pessoa a tentar entrar.

or the person trying to get in.

Now this is all enabled through the way that humans exist

Tudo isto é possível através da forma como são os seres humanos

and human behavior.

e pelo comportamento humano.

And cybersecurity as a whole doesn't really represent that

A cibersegurança como um todo não representa isto

in a way that is sufficient, I don't think.

de forma que seja suficiente, a meu ver.

And so I have one more narrative and different perspective to share.

Portanto, tenho mais uma narrativa e uma perspetiva diferente para partilhar,

And it's when I was a victim.

a de quando eu fui a vítima.

This happened only a few weeks ago.

Isto aconteceu apenas há umas semanas.

And what happened was I received a phone call.

E o que aconteceu foi que recebi um telefonema

por volta das 8 horas da tarde.

It was around 8pm.

I received a phone call from a phone number.

Recebi uma chamada de um número de telefone.

And they said, "Hello, is this Mr. Pullen?"

E disseram: “Olá, é o Sr. Pullen?”

And I said yes.

E eu disse que sim.

And they said, "We've seen your bank cards be used

Continuaram: “Vimos os seus cartões bancários a serem usados

in a different part of the country."

“numa parte diferente do país”.

And I thought, oh goodness.

E eu pensei: “Meu Deus”.

And what they explained was,

Explicaram-me que tinham ocorrido três transações diferentes

they explained there's been three different transactions

e se eu queria que as bloqueassem.

and would I like them to block them for me?

Respondi: “Sim, por favor. Seria muito útil.

I said, "Yes please.

That would be really helpful."

And I Googled the number out of instinct,

Procurei o número online por instinto,

and it was the phone number from the fraud line in the bank.

e era o número de telefone da linha de fraude do banco.

And something didn't add up.

Algo me pareceu errado.

And I'm a bit of a pessimist.

Sou um pouco pessimista.

I don't really trust people.

Não confio muito nas pessoas.

And so I was instantly on the back foot,

Fiquei imediatamente de pé atrás.

and they're saying all of these things,

Eles confirmaram a minha identidade,

they were confirming my identity.

They told me where I lived, my mother's maiden name,

a minha morada, o nome de solteira da minha mãe,

e outras informações que o banco saberia.

and they told me a few other bits of information the bank would know.

And all of this is to build a perception of credibility.

Tudo isto serve para criar uma perceção de credibilidade.

Why shouldn't I trust you?

Porque é que não haveria de confiar neles?

And why shouldn't you be phoning me to help me?

Porque é que eles não me telefonariam para me ajudar?

And we go back and forth for around an hour and a half,

Continuámos a falar durante cerca de hora e meia

and there was a few things that didn't sit right with me.

e algumas coisas não me soavam bem.

And so when I was on hold, when they were blocking my transactions,

Então, quando estava em espera, quando estavam a bloquear as minhas transações,

I phoned the actual fraud line and I said,

liguei para a linha real e disse:

is there a way that I can verify their identity?

“É possível verificar a identidade deles?”

A pessoa ao telefone disse: “Parecem muito profissionais e legítimos”.

The person on the phone said, "They sound very professional and legitimate"

and they were.

E pareciam mesmo.

I asked for their name, and they had a fake LinkedIn profile.

Pedi o nome deles, e eles tinham um perfil falso no LinkedIn.

They had a fake crime reference number for me.

Tinham um número de referência falso para mim.

And ...

E...

Me experiencing this firsthand,

ao experienciar isto em primeira mão,

having investigated things like this on a regular basis for mortgages

tendo investigado coisas como isto regularmente

and transactions ending up in the wrong place,

com hipotecas e transações que acabam no lugar errado,

I knew something wasn’t sitting quite right,

percebi que algo não estava certo,

and the true person put a note on my account

e a pessoa verdadeira colocou uma nota na minha conta

and I explained to the person,

e expliquei à pessoa:

"Can you tell me what the note says, please?"

“Podes dizer-me o que diz a nota, por favor?”

And that was the first time they got a little bit flustered.

Essa foi a primeira vez que ficaram um pouco confusos.

Cinco minutos depois disseram:

And it took them five minutes and they said,

“Vamos ver com a contabilidade.

"We'll go and check with accounts team.

“Entretanto, pode dizer-me o código da sua aplicação móvel?”

But in the meantime, can you tell me the code that it says in your mobile app?"

Nessa altura, desliguei, mandei vir novos cartões e fiquei bem.

At which point I hung up, got my cards replaced, and I was OK.

But these three narratives

Mas estas três narrativas

of cybercrime or scams or criminal behavior

de cibercrime ou fraudes ou comportamento criminoso

are all technology-focused with the end goal

têm todas a tecnologia como objetivo final

but are human-led.

mas são encabeçadas pelo ser humano.

And you may ask, "How is this possible?"

Podem perguntar: “Como é que isso é possível?”

"Why can this be so easy?"

“Porque é que acontece facilmente?”

I've literally just walked into a building

Literalmente entrei num edifício

and asked someone to let me in with a fake story.

e pedi que me deixassem entrar com uma história falsa.

And someone's phoned me up with a small piece of information

Alguém me telefonou com uma pequena quantidade de informações

and built this incredible picture around, OK, yes, I should trust you.

e construiu uma história em torno da ideia de que eu iria confiar neles.

And it's because data has a value in different pockets,

É porque as informações têm um valor em mãos diferentes,

and with small bits of information you can build quite a narrative,

e com pequenas quantidades de informações, podemos construir uma narrativa e tanto,

as you can see.

como podem ver.

And so today,

Por isso, hoje,

what you would be able to do

o que seriam capazes de fazer,

on the kind of criminal underground, if you like,

do tipo de clandestinidade criminosa, se quiserem,

would be buy 1,000 email addresses and passwords

seria comprar 1000 endereços de e-mail e palavras-passe

for around six US dollars

por cerca de 6 dólares americanos,

a cup of coffee in some places, right?

o que é o preço de um café nalguns sítios, certo?

That's 1,000 people's account details that you may be able to log into

São 1000 dados de pessoas com os quais podem iniciar uma sessão

or have tangible information to create a case,

ou obter informações tangíveis para criar um caso,

and that might be pretending to be Amazon for a password reset.

como para fingir ser a Amazon para obter uma nova palavra-passe,

It might be what location you went on holiday,

ou para descobrir o local onde foram de férias,

and we're going to do a bit more of a targeted attack that way.

e, nesse caso, seriam alvo de um ataque direcionado dessa forma.

And this information is available

Estas informações estão disponíveis

because of vulnerabilities from a technical standpoint.

devido às vulnerabilidades do ponto de vista técnico.

Yet this is to exploit human behaviors.

No entanto, existe para explorar comportamentos humanos.

Take my parents, for example.

Vejam os meus pais, por exemplo.

I think I’m in cybersecurity because my parents give me a balance.

Acho que estou na cibersegurança porque os meus pais me equilibram.

My mom is 100 percent, 110 percent optimist.

A minha mãe é 110% otimista.

Nothing's going to go wrong, everything's OK,

Nada vai correr mal, está tudo bem,

no one's going to hurt my little boy and all of this sort of stuff.

ninguém vai magoar o seu filhinho e todo este tipo de atitudes.

And my dad's much more on the pessimistic end where,

O meu pai é muito mais pessimista, do género:

“Why do you want to know me?

“Porque é que me quer conhecer?”

Why do you want this information?”

“Porque é que quer essa informação?”

And so that balance for me brings kind of both sides of the story.

Portanto, esse equilíbrio para mim traz os dois lados da história.

And my mom is the sort of person that would have shared

A minha mãe é o tipo de pessoa que teria partilhado

the traditional WhatsApp messages,

as mensagens tradicionais do WhatsApp,

250 pounds at Christmas and oh, how lovely that would be,

250 libras no Natal, que diz “Isso seria tão adorável”,

pay for your Christmas lunch and all those sorts of things.

paga o vosso almoço de Natal e todo esse tipo de coisas.

And that then becomes a whole different attack vector,

Isso torna-se um vetor de ataque totalmente diferente,

because it's coming from someone you trust,

porque vem de alguém em quem confiamos,

and they're sharing you a link

e eles partilham uma ligação

and they're sharing something you might want to click,

com alguma coisa em que talvez queiramos clicar,

and you begin to trust it even more.

e confiamos ainda mais nela.

And so my talk is around really focusing on the ways

Portanto, a minha palestra foca-se realmente

in which human behavior is exploited

em como o comportamento humano é explorado

and how we can benefit and protect each other.

e como nos podemos beneficiar e proteger uns aos outros.

And it's OK to call these things out.

Podemos falar sobre este assunto.

And so there's some basic things you can do,

Há algumas medidas básicas que podem tomar,

such as resetting passwords

como repor as palavras-passe

and making sure you're not using the same password for all your accounts.

e utilizar palavras-passe diferentes para as vossas contas.

Because if one of your passwords did get leaked,

Se uma das suas passes foi divulgada,

you would like to know, OK, it's just this one account,

é mais fácil saber que foi só aquela conta,

and I understand that's the one I need to look after.

e que só precisa de tomar medidas para aquela.

Quando muitas pessoas usam o mesmo perfil para o Facebook,

When many people will use the same profile for Facebook,

their bank -- their online banking, sorry,

para o seu banco online,

and sites that you can purchase things.

e para sites onde onde fazem compras,

alguém pode conseguir ir ao Amazon

So you might be able to go on Amazon

e comprar um iPhone com os dados de alguém, certo?

and buy an iPhone with someone's username and password, right?

Bank account details are stored.

Os detalhes da conta bancária estão guardados.

And that creates a whole different perspective of risk and cybercrime.

Isso cria uma perspetiva totalmente diferente do risco e do cibercrime.

Portanto, na minha perspetiva,

And so for me,

I don't believe any generation can avoid this anymore.

não creio que qualquer geração seja capaz de evitar isto.

Children are being raised with iPads,

As crianças estão a ser criadas com iPads,

and older generations are online shopping

e as gerações mais velhas fazem compras online

because of convenience and accessibility to services they may not have had before.

devido à conveniência e acessibilidade de serviços que talvez não tenham tido antes.

And so I believe that understanding how these things may happen

Por isso, acredito que entender como estas coisas podem acontecer

and putting some light on them

e falar abertamente sobre as mesmas

can really impact the way in which people conduct themselves

pode ter um impacto real na forma como as pessoas se comportam

and challenge when things may not feel quite right.

e se opõem quando algo parece não estar certo.

And so for me,

Na minha perspetiva,

going through this journey and those three different perspectives,

percorrer este caminho e as três perspetivas diferentes,

the one where I was the person helping, five million pounds,

aquela em que eu era a pessoa a ajudar, cinco milhões de libras,

and seeing people really suffer.

e presenciar sofrimento real.

The second one where I was putting people potentially in that position,

A segunda, onde eu coloquei potencialmente pessoas nessa posição,

however fully ethically, and I was meant to be there for my job.

ainda que eticamente, e onde tinha de lá estar devido ao meu trabalho.

And the third where I was the victim,

E a terceira, onde fui a vítima.

it shows that it can take many different shapes based on information.

Demonstra que isto pode assumir várias formas com base nas informações.

And information can come from social media.

As informações podem ter origem nas redes sociais.

Portanto, se vão de férias para o México,

And so if you're going on holiday to Mexico,

say, for your honeymoon,

digamos, para a vossa lua de mel,

you've saved up all of this money.

pouparam muito dinheiro.

Wonderful, have a lovely time.

Que bom, divirtam-se.

Yet someone you know or an acquaintance

Mas imaginem, um conhecido

ou se os seus compromissos forem publicamente conhecidos...

or you have public visibility of your arrangements.

If someone knows that information

Se alguém souber dessas informações

and they know the bank you may work with,

e souber o banco com que vocês podem trabalhar,

they could phone you whilst you land and say,

podem telefonar-vos quando estiverem a aterrar e dizer:

"We've seen your card be used in this location."

“Vimos o seu cartão ser usado neste local”.

Agora, como é que se vai sentir

Now, how are you going to feel

if someone's saying your card is being used and it's you?

se lhe disserem que o vosso cartão está a ser usado e se forem vocês?

You're going to feel OK, cool, yeah, this is me, no problem.

Vão achar que, se são vocês, então não há problema.

And they say, "OK, can you just confirm your identity?

E dizem: “OK, pode confirmar a sua identidade?

Because we want to make sure this is you.

“Porque queremos ter a certeza de que é você.

Can you just tell me your card number?"

“Pode dizer-me o número do seu cartão?”

So you do, and then you're asked why you're there.

Assim o fazem, e perguntam-lhes porque é que estão lá.

"I'm on my honeymoon."

- Estou em lua-de-mel. - Divirta-se.

"Have a lovely time."

All of these social engineering, empathetic side of behaviors.

Toda essa engenharia social, o lado empático dos comportamentos.

And then you get down into the more conversational elements.

Depois entram nos elementos mais conversacionais.

"OK, can you just confirm your card isn't going to expire?

“Pode confirmar que o cartão não vai expirar?

“Quando expira?”

When does it expire, please?"

There's many different ways you can pose questions to make people feel acceptance.

Há maneiras diferentes de fazer perguntas para fazer as pessoas sentirem aceitação.

And then lastly, "Can you just check the security pin

Por último, “Pode verificar o código de segurança

so I know which card I'm going to disable?"

“para eu saber qual o cartão que vou desativar?”

And by that time what you've done is

Por esta altura, o que fizeram foi dizer a alguém

que têm dinheiro no banco

you've told someone you've got money in your bank

porque pouparam para uma ocasião maravilhosa,

because you've been saving for this wonderful occasion,

e também que vão estar fora do país

and also you're not going to be in the country to do anything about it.

e não vão poder tomar ações concretas.

And so from a cybersecurity perspective,

Do ponto de vista da cibersegurança,

exploitation can happen in many different ways,

a exploração pode acontecer de muitas maneiras,

e acho que não é suficientemente divulgada em torno dos elementos humanos.

and I don't think it's publicized around the human elements enough.

And so if you take one thing from today,

Portanto, se retirarem algo desta palestra de hoje,

I ask that you see this as your opportunity

peço que vejam isto como a vossa oportunidade

to make sure that you protect your own information and your loved ones

de garantir que protegem os vossos dados, os dos vossos entes queridos

and your identity online.

e a vossa identidade online.

There's no problem with using social media.

Não há problema em usar as redes sociais.

All I ask is you consider who you're sharing that information with.

Só peço que considerem com quem estão a partilhar esses dados.

The reason being that information is valuable, even if it's not to you.

Porque os dados são importantes, mesmo que não o sejam para vocês.

It could build a picture,

É capaz de construir uma imagem

and it could cause you some trouble.

e causar-vos alguns problemas.

Considerem com quem partilham os vossos dados.

Consider who you share your information with.

Thank you.

Obrigado.

(Applause)

(Aplausos)