A maioria das PMEs guarda código em repositórios públicos sem imaginar que uma simples fuga de credenciais cloud pode custar milhares de euros. A CISA, agência de cibersegurança dos EUA, confirmou que um contratante seu deixou escapar chaves privadas da cloud por falta de controlos de segurança em repositórios públicos. E o pior: podia ser a sua empresa.
O que é e como funciona
Imagine que deixa a chave do escritório debaixo do tapete da entrada. É exactamente isso que acontece quando uma chave de acesso à cloud — como as usadas na Amazon Web Services, Microsoft Azure ou Google Cloud — é publicada num repositório GitHub público. Estas chaves são códigos que permitem aceder e gerir recursos na nuvem: servidores, bases de dados, sistemas de email. Se caírem nas mãos erradas, qualquer pessoa pode usar esses recursos, muitas vezes para mineração de criptomoedas ou para aceder a dados confidenciais.
O caso revelado pela CISA, segundo a própria agência, envolveu um contratante que, por descuido, colocou chaves de acesso privadas num repositório público do GitHub. A falha não foi um ataque sofisticado, mas sim a ausência de controlos básicos: ninguém verificava automaticamente o que era publicado. O GitHub é uma ferramenta essencial para equipas de desenvolvimento, mas a sua facilidade de uso também facilita o erro humano. Basta um commit mal configurado para expor informação sensível.
O que diferencia das alternativas
Até agora, a maioria das PMEs confiava que os seus programadores não cometeriam erros. A segurança dependia da boa-fé e da atenção individual. O problema é que, como mostra o caso da CISA, mesmo agências governamentais com orçamentos milionários falham neste aspecto. A diferença está em adoptar uma abordagem sistemática: em vez de confiar, verificar.
Existem ferramentas gratuitas e pagas que fazem a verificação automática de cada alteração nos repositórios, procurando padrões de chaves de acesso, palavras-passe e outros segredos. Estas ferramentas alertam em tempo real e podem até bloquear a publicação. Para uma PME, isto significa substituir a esperança de que nada aconteça por um processo repetível e auditável. Não é preciso uma equipa de segurança dedicada — basta integrar estas verificações no fluxo de trabalho que já existe.
O que isto significa para PMEs portuguesas
Qualquer empresa que use serviços na cloud e tenha pelo menos um programador a usar GitHub está em risco. E a factura pode ser pesada: há relatos de empresas que, em poucas horas, acumularam milhares de euros em custos de computação porque alguém usou as suas chaves para minerar criptomoedas. Para uma PME com margens apertadas, um incidente destes pode significar um rombo financeiro difícil de absorver.
Além do custo directo, há o dano à reputação e a possível violação do RGPD, se dados pessoais forem expostos. A consultoria estratégica pode ajudar a mapear onde estão estes riscos e a definir processos simples para os mitigar. Não se trata de comprar mais software, mas de integrar a segurança no dia-a-dia. Como explicamos no nosso guia de cibersegurança para negócios digitais, a prevenção começa com a consciência do problema.
O erro que a maioria comete
A maioria acredita que por ter o repositório privado está seguro. Mas o erro humano — um commit acidental, uma configuração mal feita — acontece. E quando acontece, o custo não é apenas financeiro: é a confiança dos clientes. Confiar apenas no modo privado do GitHub é como fechar a porta mas deixar a janela aberta.
Riscos e limitações
Esta abordagem não é para empresas que não usam cloud nem GitHub — se tudo está em servidores locais, o risco é diferente. Além disso, mesmo com ferramentas de detecção, uma fuga pode ocorrer e ser explorada em minutos, antes que o alerta seja accionado. A versão actual das ferramentas exige alguma supervisão humana para configurar os alertas e responder rapidamente. Não é uma solução mágica, mas uma camada essencial de protecção.
Veredito Descomplicar®
Vale a pena explorar se a sua empresa usa GitHub e serviços cloud. Se não usa, este risco específico não se aplica — mas a maioria das PMEs já está na cloud sem saber. A prevenção passa por processos e ferramentas, não por confiar na sorte. Comece por perguntar à sua equipa: “O que está nos nossos repositórios?” A resposta pode surpreendê-lo.