Eles chamam isso de “estancar o sangramento”: uma janela crítica para evitar que bancos de dados inteiros sejam destruídos por criminosos ou que uma linha de produção seja interrompida.
Quando chega uma chamada para a S-RM, uma empresa de segurança cibernética com sede na Whitechapel High Street, no leste de Londres, uma empresa ou instituição hackeada pode ter apenas alguns minutos para se proteger.
S-RM, que ajudou um cliente de varejo de alto perfil a superar Um ataque cibernético de aranha dispersa Tornou-se um sucesso silencioso e frequentemente comentado.
Muitos dos funcionários seniores da empresa são multilíngues e têm presença on-line mínima, revelando currículos escassos, mas impressionantes, sugestivos de carreiras baseadas em inteligência corporativa ou governamental.
A S-RM agora afirma ter a maior equipe de resposta a incidentes cibernéticos do Reino Unido. Seu serviço de socorrista consiste em aproximadamente 150 especialistas de todo o mundo. Tem clientes que o mantêm sob controle, vítimas indicadas pelas seguradoras e “internos”: pessoas que de repente descobrem que seu negócio está sob ataque e acessam os primeiros resultados em seu mecanismo de busca.
No caso da vítima do Scattered Spider, que o Guardian entende não ter sido a Marks & Spencer ou a Co-op – dois retalhistas atacados em 2025 – uma chamada de equipa de 30 minutos com um retalhista tornou-se “uma chamada de 24 horas com uma equipa itinerante de especialistas”, diz Ted Cowell, diretor do ramo de negócios cibernéticos da S-RM.
“Em média, contactamos os clientes em seis minutos”, diz ele, “o que é importante porque muitas vezes as primeiras horas de um incidente cibernético podem ser a maior janela de oportunidade para determinar o resultado de um caso e o seu impacto”. “O que pode começar como uma intrusão na rede pode então se transformar em um cenário completo de malware ou ransomware.”
Cowell, um falante de russo formado em Cambridge, diz que obter o controle de um ataque durante o período de “reconhecimento” poderia levar a resultados fundamentalmente diferentes de uma resposta mais lenta. Os criminosos muitas vezes precisam de tempo para descobrir o que é mais valioso depois de entrarem pela primeira vez nos sistemas de uma empresa. Este curto período de tempo pode, portanto, permitir que os especialistas evitem os ataques mais dolorosos da operação. A “exfiltração” – o roubo de dados críticos – e a encriptação, que pode bloquear o acesso das empresas aos seus próprios sistemas, podem ser os mais prejudiciais.
“Às vezes podemos impedir que a situação aumente rapidamente”, diz Cowell. As equipes se concentram em “estancar o sangramento”, limitando ou reduzindo o acesso do invasor ao sistema. Foi isso que a equipe S-RM conseguiu fazer com a vítima do Scattered Spider: impedir que o malware explodisse no sistema.
o negócio é bom Indústria do crime cibernético cresceMas isso traz desafios éticos. S-RM e seus parceiros industriais enfrentou críticas Para ajudar a facilitar pagamentos de resgate a criminosos que sequestram empresas por dinheiro.
O “apoio à extorsão” é uma parte importante do trabalho do S-RM. Isto significa que os seus especialistas estão presentes na sala quando o resgate é negociado, por vezes negociando em nome do próprio cliente. Cowell parece interessado em evitar críticas à promoção do crime organizado, ajudando as empresas a pagar resgates ou agindo em nome de seguradoras que vendem apólices que cobrem pagamentos de resgate.
“Somos instruídos pelo segurado, pelo segurado”, afirma.
“A nossa ambição é orientar as decisões de ‘não pagamento’ sempre que possível”, acrescenta, acrescentando que as empresas estão cada vez mais a adoptar essa abordagem e a não pagar o resgate.
“Nosso papel é facilitar o pensamento estratégico”, diz ele. “Dê aos clientes alguma estrutura para organizar seus pensamentos. Talvez eles nunca tenham estado em uma situação como essa antes.”
“As empresas decidem o que fazem. Nós apenas oferecemos um modelo de crise, com base na nossa experiência de como as coisas acontecem.
“Por que deveríamos pagar esses criminosos?” É um desafio que Cowell diz que a sua equipa mantém funcionários de topo nas empresas afetadas. “Uma das coisas sobre as quais frequentemente educamos o conselho é que o ransomware é uma empresa criminosa organizada.”
Ele explica que esses grupos nefastos têm “marcas para manter”. Grupos de ransomware normalmente estabelecidos honrarão qualquer acordo. O S-RM também tem uma imagem detalhada de como estes grupos se comportaram em negociações anteriores.
Quanto mais estabelecido o grupo estiver, maior será a probabilidade de honrar qualquer acordo alcançado, excluindo dados roubados ou fornecendo chaves para descriptografar arquivos importantes. O S-RM fornece um inventário de quem é quem em termos de credibilidade, padrões de interação, comportamento, estendendo-se até mesmo a preocupações com sanções.
No entanto, este último raramente se aplica. Cowell diz que tentar proibir grupos ligados ao Estado é um “jogo de bater na toupeira”. Se os chamados “actores de ameaças” aparecerem na lista de sanções, serão desmantelados e reformados numa nova forma. Assim, o risco de colocar dinheiro, mesmo que indiretamente, nas mãos de um inimigo do Estado é outra consideração para as empresas que enfrentam ataques cibernéticos.
Mesmo assim, às vezes as empresas decidem pagar. Isso pode ser lógico para as circunstâncias da empresa, diz Cowell, e, em última análise, “a decisão é sempre deles”.
À medida que os códigos éticos empresariais de pagamento de resgates continuam a amadurecer e as decisões de não financiar o crime organizado se tornam mais comuns, os serviços de restauração e recuperação tornaram-se uma parte maior do mercado de resposta à cibersegurança. Cada vez mais tem se tornado uma prioridade colocar o sistema de volta em funcionamento o mais rápido possível e realizar análises forenses para determinar como alguém entrou no sistema e foi comprometido.
Nos últimos anos, o papel da ciberinteligência do governo do Reino Unido também mudou significativamente. “O Centro Nacional de Segurança Cibernética passou por mudanças tremendas nos últimos quatro ou cinco anos”, diz Cowell. O NCSC agarrou-se aos seus homólogos nórdicos e agora contacta activamente as vítimas, dizendo-lhes que podem ser alvos com base em informações de inteligência.
“Era mais intensivo em informações”, diz Cowell, “buscar informações de pessoas como a S-RM, que elas forneceriam de bom grado com o consentimento do cliente”.
“(Agora) eles estão desempenhando um papel muito mais forte, agindo na frente e unindo as pessoas Facilite o compartilhamento de informações“Vimos seu impacto com os ataques do Scattered Spider,”
