Louvre senha: Louvre

Louvre senha: Louvre. Roubo no Louvre mostra que a maior ameaça à sua empresa não é o hacker, mas a negligência

Houve incredulidade e horror após o jornal francês Libération noticiar que a senha do sistema de videovigilância do Louvre era “Louvre”. A revelação surge após um roubo de grande repercussão, no qual ladrões levaram joias da coroa avaliadas em cerca de 102 milhões de dólares, e levou o museu mais visitado do mundo a reavaliar a segurança digital.

Como uma única palavra se tornou um ponto único de falha

Ao longo dos anos, as equipes de segurança podem estar trabalhando com configurações legadas herdadas que possuem credenciais “temporárias” circulando, ou os fornecedores podem enviar sistemas com configurações padrão que nunca são alteradas. As plataformas de gerenciamento de vídeo, em particular, podem ser negligenciadas — consideradas equipamentos de infraestrutura em vez de componentes de TI e, portanto, ignoradas quando se trata de políticas de senhas centralizadas, monitoramento ou autenticação multifator.

Essa confusão de responsabilidades é perigosa. Os consoles de CFTV podem conter mapas de câmeras, plantas baixas ou ferramentas administrativas que poderiam ser usadas indevidamente para ocultar câmeras, reproduzir imagens em loop ou cronometrar uma intrusão. Embora, neste caso específico, os invasores possam não tê-la usado, tal porta dos fundos complicaria a perícia forense e correria o risco de corroer a confiança pública.

Em sua essência, ter uma única palavra fácil de adivinhar protegendo algo tão sensível é um erro monumental. Mesmo que houvesse outras formas de mitigação, uma senha idêntica à da organização permite ataques de força bruta, ameaças internas e engenharia social. E para uma instituição que administra mais de meio milhão de obras, o risco vai além de uma única galeria: os sistemas de vigilância geralmente estão integrados ao controle de acesso, alarmes e fluxos de trabalho de resposta a incidentes.

O recente roubo milionário no Museu do Louvre, em Paris, não foi obra de um gênio do crime digital, mas o resultado de uma sequência de erros básicos que parecem roteiro de comédia. A senha do sistema de vigilância era “Louvre”. O principal servidor rodava uma versão do Windows extinta há dez anos. E os ladrões? Foram classificados como “amadores”.

Para empresas que investem milhões em tecnologia de ponta, a notícia é um alerta brutal: a maior vulnerabilidade não mora em ataques complexos, mas na cultura de negligência que permite que o básico seja ignorado.

Enquanto conselhos de administração discutem ameaças de inteligência artificial, o Louvre caiu por falhas primárias. “Algumas empresas se preparam para enfrentar exércitos de hackers, quando na verdade a porta da frente está aberta para qualquer um que tente girar a maçaneta”, adverte Michel Novelo, head de TI da Logithink. “O fato de os ladrões serem amadores prova que não é preciso ser um especialista para causar um dano milionário. Basta encontrar uma organização que trata a segurança como uma formalidade.”

O incidente expõe uma mentalidade perigosa e ainda comum: a de que segurança é “problema de TI”. No Louvre, auditores apontavam os mesmos riscos há uma década, mas os relatórios foram ignorados. Os sistemas envelheceram, os contratos de manutenção expiraram e o risco se acumulou. 

“A segurança é uma construção horizontal, que envolve todos os setores. Delegar essa tarefa à equipe de TI sem treinar todos os colaboradores e implantar, de fato, uma cultura de segurança é o maior erro que uma corporação pode cometer. O caso do Louvre é a prova disso”, comenta Fernando Brolo, CSMO e sócio fundador da Logithink.

O custo da inércia: por que não atualizar é um risco ativo

Um dos sistemas de segurança do museu rodava em um Windows Server 2003, falha que ilustra um erro fatal na gestão de tecnologia: acreditar que sistemas são eternos. Eles não são. Softwares e hardwares têm um ciclo de vida, e ignorar suas datas de validade é o que cria a chamada “dívida técnica”. “A cultura do ‘se está funcionando, não mexa’ é uma bomba-relógio”, afirma Novelo. “A liderança precisa entender que a decisão de não atualizar um sistema é uma decisão de assumir um risco financeiro e de reputação.”

Essa mentalidade se estende aos fornecedores. O software de vigilância não era mantido pela Thales, a empresa desenvolvedora, porque o museu nunca renovou o contrato de suporte. “Sua segurança termina onde a do seu fornecedor mais fraco começa. Não gerenciar a cadeia de suprimentos é como trancar a porta da frente e deixar a janela dos fundos com um parceiro que você mal conhece”, completa Brolo.
 

Segurança não é um departamento, é uma cultura

No final das contas, senhas fracas, sistemas antigos e auditorias ignoradas são apenas sintomas de uma doença maior: a falta de uma cultura de segurança. E, mesmo na ausência de um time dedicado, a inércia não pode ser uma desculpa. 

“Consultorias especializadas podem assumir a gestão de segurança, monitorando o ambiente, gerenciando atualizações e, principalmente, trazendo a expertise que muitas vezes falta internamente. É uma forma inteligente de mitigar riscos e acessar conhecimento de ponta sem a necessidade de uma estrutura interna complexa”, avalia Brolo.

Uma cultura de segurança forte nasce quando a liderança para de ver esse pilar como um custo e passa a tratá-lo como um valor essencial para a continuidade do negócio. Ela se manifesta quando um funcionário hesita antes de clicar em um link suspeito, quando um gerente exige autenticação multifator para sua equipe e quando um diretor questiona por que um risco crítico, apontado em uma auditoria, ainda não foi resolvido.

“A segurança começa quando o CEO pergunta sobre os riscos do negócio e termina quando o estagiário escolhe uma senha forte. Se a liderança não trata a segurança como um valor fundamental, ninguém mais o fará”, reforça Novelo.

O Louvre aprendeu da maneira mais difícil que suas obras de arte estavam sendo protegidas por processos frágeis. A pergunta que fica para todas as empresas é: quais são as “joias da coroa” do seu negócio e quem está, de fato, cuidando delas? O incidente não foi sobre tecnologia; foi sobre pessoas e processos. “A pergunta que todo líder deve se fazer não é ‘temos o melhor firewall?’, mas sim ‘construímos uma cultura onde a negligência é inaceitável?'”, conclui Brolo.

Uma fraqueza conhecida, com novos dados a considerar.

Senhas fracas e reutilizadas continuam sendo um dos principais vetores de ataque em praticamente todos os setores. E, em suas diversas edições, o Relatório de Investigações de Violações de Dados da Verizon tem consistentemente identificado as pessoas como a vulnerabilidade central na maioria das violações, sendo credenciais roubadas ou fracas um dos principais vetores de ataque ano após ano. Não se trata apenas de “123456” e “senha” — qualquer palavra associada a marcas, lugares ou mascotes de times pode ser especialmente popular entre hackers que buscam descobrir sua senha, pois os invasores criam dicionários com base nessas informações públicas.

A NordPass publica anualmente uma lista das senhas mais comuns, que, com quase certeza, são pequenas sequências previsíveis e fáceis de serem quebradas num piscar de olhos. Existem dezenas de milhões de contas em todo o mundo usando “123456” como senha, de acordo com o Centro Nacional de Segurança Cibernética do Reino Unido. A lição é simples: se você consegue se lembrar dela — porque o dono do prédio tem um nome famoso que você já ouviu falar —, qualquer outra pessoa também conseguirá.

Instituições culturais são alvos atraentes

Museus e sítios históricos precisam encontrar o equilíbrio certo entre transparência e proteção. Suas marcas e plantas, assim como seus calendários de exposições, são, por definição, de conhecimento público — o que fornece aos criminosos ampla informação para reconhecimento. Objetos valiosos, equipes reduzidas e ecossistemas de contratados complexos e intrincados agravam ainda mais o cenário de ameaças.

A história revela como as deficiências na infraestrutura podem ampliar as perdas. A onda de botnets Mirai em 2016 comprometeu em massa dispositivos usando credenciais padrão de câmeras e DVRs, evidenciando a frequência com que a tecnologia operacional apresenta vulnerabilidades de segurança. No setor cultural, a segurança física e os controles cibernéticos precisam ser considerados como um sistema unificado, pois os atacantes explorarão a brecha onde ambos convergem.

Referências: FindArticles & Michel Novelo, Head de TI da Logithink & Fernando Brolo, CSMO e sócio-fundador da Logithink

Veja também:

• Microsoft é alvo de 40% dos ataques de phishing de marca
• Questões de GeoPolítica aumentam risco para ambientes ciberfísicos
• Novo malware infecta sites WooCommerce
• Servidores PHP e dispositivos IoT enfrentam riscos crescentes
• Como os vizinhos podem espionar casas inteligentes
• Novas cadeias de ataque para elevar privilégios de SMB
• Exploração de escalonamento de privilégios tem como alvo o minifiltro de arquivos do Windows Cloud
• Além da conscientização
• Sophos anuncia evolução de seu portfólio de operações de segurança
• Malware mira jogadores de Minecraft, Discord e espiona webcam
• 4TB SQL Server da EY exposto
• Travessuras ou tech: o que tem assombrado a TI?