Clorox processa Cognizant por falhas em segurança digital após ataque hacker de 2023

A multinacional Clorox iniciou um processo judicial contra a provedora de serviços de TI Cognizant após um grave ataque cibernético em agosto de 2023 que paralisou operações de fabricação e causou prejuízos de dezenas de milhões de dólares. A ação judicial alega falhas absurdas de segurança que permitiram a invasores acessar sistemas críticos usando táticas básicas de engenharia social.

Segundo documentos judiciais, os atacantes comprometeram os sistemas da Clorox após funcionários da Cognizant supostamente fornecerem senhas administrativas sem os devidos protocolos de verificação. Esse vazamento de credenciais permitiu a instalação de ransomware que obrigou a Clorox a desativar parte significativa de sua infraestrutura de TI, causando atrasos na produção e falta de produtos na América do Norte.

O ataque, atribuído a um grupo especializado em campanhas de engenharia social, explorou o que especialistas consideram uma das vulnerabilidades mais básicas: o fator humano no gerenciamento de credenciais. Em vez de exigir autenticação multifator ou protocolos de gerenciamento de acesso privilegiado, o sistema permitia que credenciais simples funcionassem como chaves-mestras da infraestrutura digital da Clorox.

Especialistas em cibersegurança apontam que o caso revela múltiplas falhas de segurança:

1. Ausência de princípios de confiança zero no acesso de fornecedores
2. Falta de provisionamento just-in-time para credenciais sensíveis
3. Treinamento inadequado contra engenharia social para equipes de suporte
4. Falha na implementação de políticas básicas de rotação de credenciais

'Não foi um APT avançado explorando vulnerabilidades zero-day', observou o especialista em resposta a incidentes Mark Henderson. 'Estamos falando de falhas básicas de segurança que deram aos invasores as chaves do reino através do que equivale a um simples pedido.'

A batalha judicial deve focar se a Cognizant violou suas obrigações contratuais de segurança e o dever de cuidado padrão do setor. O resultado pode redefinir como empresas estruturam seus requisitos de segurança para terceiros e cláusulas de responsabilidade em incidentes. Para a comunidade de cibersegurança, o caso serve como um alerta sobre como muitos ataques devastadores ainda se originam de falhas básicas, não de explorações técnicas sofisticadas.