A maioria das PMEs instala actualizações de software sem pensar duas vezes. Mas o que acontece quando uma ferramenta de segurança se transforma no próprio malware? O malware em dependências de software é uma ameaça real que já afectou quase 1.500 empresas num único ataque.
Segundo a Bleeping Computer, um pacote npm da Jscrambler — uma empresa de segurança web — foi adulterado por hackers e descarregado inadvertidamente por milhares de programadores. O código malicioso roubava dados sensíveis dos sistemas infectados.
O que é e como funciona
O npm é um repositório gigante de blocos de código reutilizável. Em vez de escrever tudo de raiz, os programadores importam estes pacotes para acelerar o desenvolvimento. É como um supermercado de ingredientes digitais. A Jscrambler fornecia um pacote legítimo para proteger sites contra ataques, mas alguém conseguiu publicar uma versão falsa, contaminada com um infostealer — um programa que recolhe passwords, cookies e outros dados privados.
O ataque explora a confiança na cadeia de fornecimento de software. Imagine que compra farinha a um fornecedor de confiança, mas alguém contaminou o lote antes de chegar à sua padaria. O pão sai envenenado e ninguém percebe. Aqui, o “pão” são as aplicações que as empresas usam diariamente. O malware em dependências de software não ataca directamente o seu servidor; entra pela porta da frente, disfarçado de actualização legítima.
Neste caso, o pacote malicioso foi descarregado quase 1.500 vezes antes de ser detectado. Cada download representa uma potencial porta aberta para roubo de informação. E o mais irónico: a vítima era uma ferramenta de segurança, o que mostra que ninguém está imune.
O que diferencia das alternativas
Até agora, a protecção tradicional contra malware baseava-se em antivírus e firewalls que analisam ficheiros em busca de assinaturas conhecidas. Mas um ataque à cadeia de fornecimento contorna essas defesas porque o código malicioso vem assinado por um editor de confiança. É como receber uma carta-bomba com o selo dos CTT: o carteiro entrega-a sem desconfiar.
A diferença está na origem da ameaça. Enquanto um vírus comum tenta explorar uma falha técnica, o malware em dependências de software explora a confiança humana e os processos automáticos de actualização. As soluções convencionais não foram desenhadas para verificar a integridade de cada actualização de biblioteca. Por isso, este tipo de ataque tem crescido: segundo a Bleeping Computer, os incidentes de supply chain attack aumentaram mais de 300% nos últimos anos.
Para as PMEs, a consequência é clara: já não basta proteger o perímetro da rede. É preciso auditar o que entra através das ferramentas que a própria equipa utiliza.
O que isto significa para PMEs portuguesas
Muitas empresas nacionais dependem de websites em WordPress, lojas Shopify ou aplicações à medida que importam pacotes npm. Se um programador usou a versão contaminada da Jscrambler, o site da sua empresa pode estar a enviar dados de clientes para um servidor remoto sem que ninguém dê conta.
O impacto não é apenas técnico. Uma fuga de dados pessoais pode resultar em coimas pesadas ao abrigo do RGPD — até 4% do volume de negócios anual. Além disso, a perda de confiança dos clientes é muitas vezes irreversível. Como explicamos no nosso guia de cibersegurança para negócios digitais, a prevenção começa com um inventário rigoroso de todas as dependências de software.
Para uma PME sem equipa de segurança dedicada, o caminho mais realista passa por uma consultoria estratégica em segurança digital que ajude a definir políticas de actualização, monitorização de vulnerabilidades e planos de resposta a incidentes. Não se trata de eliminar o risco — impossível — mas de o reduzir a um nível aceitável.
O erro que a maioria comete
O erro clássico é confiar cegamente nas actualizações automáticas. “Se o sistema avisa que há uma nova versão, é porque é segura” — esta é a mentalidade que os atacantes exploram. A maioria das empresas não mantém uma lista actualizada dos componentes de software que utiliza (a chamada SBOM, ou lista de materiais de software). Sem esse inventário, é impossível saber se um pacote comprometido está presente. Outro erro: assumir que ferramentas de segurança são invulneráveis. O caso Jscrambler prova o contrário.
Riscos e limitações
Não há solução milagrosa. A verificação manual de cada actualização é impraticável para uma PME. As ferramentas automáticas de análise de dependências ainda geram falsos positivos e exigem conhecimento técnico para interpretar os resultados. Além disso, o ecossistema npm é imenso — milhões de pacotes — e novos ataques surgem todas as semanas. Este tipo de ameaça não vai desaparecer; vai sofisticar-se. Para empresas com orçamentos muito limitados, o risco pode ser mitigado mas nunca eliminado por completo. É preciso assumir que, mais cedo ou mais tarde, algum incidente ocorrerá e ter um plano de contenção preparado.
Veredito Descomplicar®
O ataque ao pacote Jscrambler é um alerta sério para qualquer empresa que dependa de software de terceiros — ou seja, praticamente todas. O malware em dependências de software já não é uma ameaça teórica; é um risco operacional concreto. Vale a pena agir agora, começando por um levantamento das dependências críticas e pela definição de um processo de actualização controlada. Para a maioria das PMEs, o apoio externo é o caminho mais rápido para ganhar maturidade nesta área sem desviar a equipa do negócio principal.