A maioria das PME confia em bibliotecas de código aberto para acelerar o desenvolvimento, mas poucas verificam a origem desses pacotes. Pacotes maliciosos npm PyPi foram descobertos a roubar credenciais de utilizadores de plataformas como Paysafe, Skrill e Neteller. E o pior: estavam disponíveis nos repositórios oficiais, prontos a serem instalados por qualquer equipa de desenvolvimento.
O que são estes pacotes falsos e como operam
Os atacantes publicaram pacotes nos repositórios npm (para JavaScript) e PyPi (para Python) com nomes muito semelhantes aos SDKs legítimos da Paysafe, Skrill e Neteller. Um programador que procurasse integrar pagamentos online poderia facilmente instalar a versão errada. Uma vez instalado, o código malicioso entrava em acção: capturava nomes de utilizador, palavras-passe, cookies de sessão e até dados de cartões de crédito guardados no navegador.
O malware não se limitava a roubar credenciais. Também recolhia informações do sistema, como ficheiros de configuração e variáveis de ambiente, onde muitas vezes ficam chaves de API e tokens de acesso. Tudo era enviado para servidores controlados pelos criminosos, sem que o utilizador notasse qualquer anomalia. A sofisticação estava na camuflagem: os pacotes até incluíam funcionalidades reais de pagamento para não levantarem suspeitas imediatas.
O que diferencia este ataque de ameaças anteriores
Até agora, a maioria dos ataques à cadeia de fornecimento de software visava grandes empresas ou projectos de código aberto muito utilizados, como o incidente com o SolarWinds. Desta vez, o alvo eram programadores individuais e pequenas equipas que integram pagamentos online. Os atacantes apostaram na escala: em vez de um único alvo valioso, preferiram milhares de pequenas vítimas, cada uma com acesso a contas financeiras.
Outra diferença é a utilização de múltiplos repositórios em simultâneo. Ao publicar tanto no npm como no PyPi, cobriram duas das linguagens mais usadas em aplicações web e scripts de automação. Isto significa que uma empresa podia ser comprometida através do frontend (JavaScript) e do backend (Python) ao mesmo tempo, aumentando o dano potencial.
O que isto significa para PMEs portuguesas
Se a sua empresa utiliza um sistema de pagamentos online, a instalação inadvertida de um destes pacotes maliciosos npm PyPi poderia expor dados financeiros de clientes, resultar em multas do RGPD e paralisar operações durante dias. O custo médio de uma violação de dados para uma pequena empresa em Portugal ronda os 95€ por registo comprometido, segundo estimativas do sector. Para uma base de 500 clientes, o prejuízo directo pode ultrapassar os 47.500€, sem contar com a perda de confiança e o tempo de recuperação.
Além disso, muitas PME portuguesas dependem de plataformas de e-commerce que usam estes SDKs para processar pagamentos. Uma interrupção no serviço ou um roubo de credenciais pode bloquear vendas durante o período crítico de uma campanha. Uma consultoria estratégica pode ajudar a mapear estes riscos e a definir processos de verificação antes de integrar qualquer biblioteca externa. Também é recomendável rever o guia de cibersegurança para negócios digitais para implementar práticas básicas de protecção.
O erro que a maioria comete
O erro mais comum é confiar cegamente nos repositórios oficiais, assumindo que tudo o que lá está é seguro. A verdade é que qualquer pessoa pode publicar um pacote, e a verificação de segurança é mínima. Muitas equipas instalam dezenas de dependências sem nunca auditar o código fonte ou verificar a reputação do autor. Este ataque mostra que mesmo nomes conhecidos podem ser falsificados, e a pressa para implementar funcionalidades leva a decisões arriscadas.
Riscos e limitações
Ainda não existe uma solução automática que garanta 100% de segurança. Ferramentas de análise estática e serviços de monitorização de dependências ajudam, mas pacotes maliciosos bem construídos podem escapar durante semanas. Para empresas sem uma equipa de segurança dedicada, o risco é maior porque a detecção depende de actualizações manuais ou de alertas da comunidade. Além disso, a remoção de um pacote malicioso do repositório não o elimina dos projectos que já o instalaram — é preciso uma intervenção manual em cada sistema afectado.
Veredito Descomplicar®
Este incidente é um alerta sério para qualquer PME que desenvolva ou integre software. Vale a pena rever imediatamente a lista de dependências dos projectos activos, verificar a origem de cada pacote e implementar um processo de validação antes de adicionar novas bibliotecas. Se a sua empresa depende de pagamentos online, não ignore este risco: o custo de uma auditoria preventiva é insignificante comparado com o de uma violação de dados. A segurança começa na disciplina de desenvolvimento, não numa ferramenta mágica.
Fonte: Bleeping Computer