Cisco sofre ataque de ex-engenheiro que manteve acesso à nuvem; prejuízo de US$ 2,4 mi

Em setembro de 2018, cinco meses após deixar seu emprego na Cisco, um ex-engenheiro chamado Sudhish Kasaba Ramesh fez login na infraestrutura em nuvem da empresa e executou um código que apagou 456 máquinas virtuais. O ataque derrubou mais de 16 mil contas do Webex Teams — a plataforma de videoconferência, mensagens e colaboração da Cisco — deixando usuários sem acesso por até duas semanas. Os custos para recuperar o serviço e compensar clientes afetados chegaram a aproximadamente US$ 2,4 milhões.

Ramesh havia trabalhado na Cisco entre agosto de 2016 e abril de 2018 como engenheiro em uma equipe responsável por automação, acesso a dados e registro de métricas. Nessa função, recebeu uma chave de acesso aos servidores da Amazon Web Services que hospedavam o Webex Teams. Quando saiu da empresa em abril de 2018, a Cisco cometeu um erro crítico: não alterou a senha da conta AWS associada à sua credencial. Essa falha de segurança deixou a porta aberta.

Cinco meses depois, em 24 de setembro de 2018, Ramesh acessou a infraestrutura sem autorização através de uma conta própria no Google Cloud Project. Durante aproximadamente duas horas, ele executou comandos que resultaram na exclusão das 456 máquinas virtuais. O impacto foi imediato e total: o Webex Teams saiu completamente do ar. Mais de 16 mil contas ficaram indisponíveis, e os usuários afetados permaneceram sem acesso ao serviço por períodos que se estenderam até duas semanas.

A investigação do FBI rastreou a operação até Ramesh através de múltiplos pontos de evidência digital. A conta do Google Cloud usada no ataque estava registrada em seu nome e em um nome alternativo, havia sido paga com seu cartão de crédito, e o endereço de internet utilizado foi vinculado ao computador de trabalho que ele usava em seu emprego seguinte — indicando que o acesso aconteceu enquanto ele estava presente naquele local. Nenhuma das fontes oficiais revelou a motivação por trás do ataque. Não há registro de vingança, disputa trabalhista ou tentativa de ganho financeiro.

A Cisco precisou mobilizar funcionários para restaurar a aplicação, um esforço que consumiu aproximadamente US$ 1,4 milhão em custos internos. Além disso, a empresa devolveu mais de US$ 1 milhão aos clientes afetados. Apesar da magnitude da interrupção, o Departamento de Justiça confirmou que nenhum dado de cliente foi comprometido — o dano concentrou-se exclusivamente na disponibilidade do serviço.

Ramesh foi formalmente acusado em 13 de julho de 2020 de acessar um computador protegido sem autorização e causar danos de forma imprudente. Em 26 de agosto de 2020, declarou-se culpado. No acordo, admitiu que sabia existir um risco considerável de sua conduta prejudicar a Cisco, mas executou o código mesmo assim. A acusação poderia ter resultado em até cinco anos de prisão e multa de US$ 250 mil.

Em 9 de dezembro de 2020, a juíza federal Lucy H. Koh condenou Ramesh a 24 meses de prisão, seguidos por um ano de liberdade supervisionada. Ele também foi obrigado a pagar multa de US$ 15 mil. A pena começou em 10 de fevereiro de 2021. Notavelmente, embora a Cisco tenha calculado aproximadamente US$ 2,4 milhões em custos e reembolsos, a empresa não solicitou restituição financeira ao ex-funcionário.

O caso, documentado em um estudo oficial do Center for Development of Security Excellence — órgão ligado ao Departamento de Defesa dos Estados Unidos — tornou-se uma lição clara sobre os riscos de credenciais privilegiadas não revogadas. Uma única operação de um ex-funcionário atingiu milhares de contas e exigiu milhões de dólares para restaurar o serviço. A falha não foi técnica sofisticada, mas administrativa: uma senha que deveria ter sido alterada no dia em que Ramesh saiu da empresa.