Do Malware Ao Phishing: Seu Guia Para Ataques Cibernéticos

Visão Geral

Em maio de 2017, usuários do mundo inteiro receberam em seus computadores uma tela vermelha seguida por uma mensagem que exigia pagamentos de até US$ 600 em bitcoins para desbloquear as máquinas. Assim foi o Wannacry, um dos maiores ataques de ransomware da história. Estima-se que o ataque cibernético tenha causado cerca de US$ 4 bilhões em danos e atingido aproximadamente 200 mil alvos, incluindo o Serviço Nacional de Saúde do Reino Unido e a provedora de serviços de telecomunicações espanhola Telefônica.

Na Pesquisa Global de Gerenciamento de Risco de 2017, feita pela Aon, o risco cibernético foi classificado como um dos cinco principais riscos globais. Em 2016, os ataques cibernéticos custaram à economia global cerca de US$ 450 bilhões, com cerca de dois bilhões de dados roubados – incluindo mais de 100 milhões de registros de pacientes nos Estados Unidos. Em 2019, as perdas podem atingir US$ 2 trilhões – mais de 2% da economia mundial.

As empresas e seus líderes já estão cientes disso. Mas, uma coisa é admitir que existe uma ameaça – outra é realmente abordá-la. Além disso, à medida que nossas vidas se tornam cada vez mais digitalizadas, a responsabilidade de entender exatamente quais tipos de ameaças cibernéticas estão por aí é nossa.

Análise

TIPOS DE CRIMES CIBERNÉTICOS

Classificar ataques cibernéticos não é tão simples quanto parece, já que um único ataque pode combinar vários métodos diferentes. Por exemplo, um ataque de engenharia social pode resultar na tentativa de infectar os sistemas de uma empresa através de um dispositivo USB contaminado com um vírus.

Como as ameaças e os métodos cibernéticos podem se sobrepor e se mesclar, as categorias a seguir podem não ser completamente precisas. No entanto, elas são um bom indicador da variedade de ataques cibernéticos e táticas maliciosas que as empresas têm de lidar.

Malware

Malware é um termo que abrange uma ampla variedade de vírus. Qualquer código se que infiltre em um sistema com o objetivo de causar danos, alterações ou roubo de informações do usuário são classificados como malware. Adware, spyware, ransomware, worms, vírus e bots são tipos de malware existentes, e todos podem invadir uma rede de várias formas.

O malware pode causar danos de várias maneiras, que incluem o encerramento de sistemas até o pagamento de resgates e a destruição de sistemas operacionais. Os ataques de malware são um dos tipos de crime cibernético que mais crescem, com um grande aumento na quantidade de organizações afetadas – só o número de ataques de ransomware aumentou 167 vezes no comparativo entre os anos de 2015 e 2016.

DoS

Um ataque de negação de serviço (DoS, na sigla em inglês) ocorre quando um hacker sobrecarrega uma rede com excesso de tráfego, fazendo com que o sistema seja desligado.

Uma tendência que vem se destacando é o ataque DDoS (Distributed Denial of Service), quando vários vírus diferentes invadem uma rede de uma única vez – tornando impossível para a vítima gerenciar o ataque cibernético simplesmente bloqueando usuários individuais. No final de 2016, um ataque de DDoS desativou uma parte significativa da internet, incluindo Netflix, CNN e Reddit.

O ganho financeiro nem sempre é a motivação por trás dos ataques DoS – eles podem ser realizados com o intuito de interromper ou sabotar as operações ou até mesmo causar a descontinuação nos negócios. Em média, um ataque DDoS custa cerca de US$ 2,5 milhões para os negócios.

Ataques de Força Bruta

Ataques de força bruta tentam adivinhar as senhas de um sistema, percorrendo em alta velocidade cada possível combinação de caracteres, geralmente em um esforço para descobrir informações confidenciais. As variedades incluem ataques de dicionário, nos quais algoritmos passam rapidamente por palavras ou combinações de caracteres conhecidas na esperança de achar a senha correta.

Um ataque de força bruta que atingiu o governo britânico, em junho de 2017, deu acesso aos e-mails de 90 funcionários – possivelmente incluindo legisladores e até a Primeira-ministra britânica.

Injeção de SQL

SQL, sigla para o termo Structured Query Language, é uma linguagem de computador usada para comunicar e emitir instruções para banco de dados digitais. Os ataques de SQL envolvem a injeção de códigos maliciosos em sites, com o objetivo de explorar as vulnerabilidades de seus bancos de dados para que os hackers possam acessar e adulterar registros.

Ao emitir instruções fraudulentas, os ataques podem manipular esses bancos de dados e os ativos que eles contêm, o que pode representar um grande risco, tanto para as empresas, quanto para os seus clientes. Por exemplo, uma injeção de SQL pode ser usada para extrair os dados de cartões de clientes do banco de dados dos varejistas. Em 2015, os dados de 150 mil consumidores britânicos da empresa de telecomunicações TalkTalk foram roubados em um ataque de injeção de SQL.

Phishing

Phishing é a tentativa de acessar ou manipular uma rede de destino fingindo ser algo mais inocente. Por exemplo, um alvo pode receber um e-mail, aparentemente de um contato ou conhecido confiável, contendo um link que, quando clicado, faz o download de um malware no computador do usuário.

Apesar das campanhas para incentivar a conscientização da população sobre o phishing, uma pesquisa mostra que pelo menos um em cada três e-mails de phishing são abertos.

Engenharia Social

Um ataque cibernético parecido com o phishing, só que mais sofisticado, é a engenharia social. Aqui, ao invés de assediar os alvos por canais digitais, o invasor atrai diretamente a pessoa do outro lado, seja por telefone ou pessoalmente, usando truques psicológicos e intimidação.

O famoso e-mail do “Príncipe da Nigéria” é um exemplo de spear-phishing – um ataque de engenharia social via e-mail, com o objetivo de abrir um canal direto de comunicação com um indivíduo, antes de usar truques tradicionais para ganhar acesso a dinheiro ou informações pessoais. Hoje, os hackers estão ficando mais sofisticados e focados – por exemplo, um alvo pode receber um e-mail ou uma ligação de alguém que finge ser um executivo sênior exigindo informações valiosas sobre as contas.

Pelo menos 60% das empresas foram afetadas por ataques de engenharia social em 2016. E mais recentemente, até mesmo a Casa Branca foi vítima de e-mails fraudulentos.

3 Maneiras de Melhorar sua Resiliência Cibernética

Os ataques cibernéticos são quase inevitáveis. Além de o perigo ser grande, é improvável que qualquer empresa possa se proteger completamente de incidentes com tecnologias e técnicas que mudam tão rapidamente.

Independentemente do tipo de ataque cibernético, existem várias medidas que as organizações podem adotar para minimizar sua exposição:

Implemente os melhores padrões de tecnologia de segurança cibernética:

Parece básico, mas garantir que o seu perfil tecnológico esteja atualizado é um passo fundamental para limitar a exposição ao crime cibernético. A instalação de antivírus deve ser uma prática de negócios padrão. No entanto, as organizações também devem se lembrar de manter os equipamentos tecnológicos já existentes atualizados. O ataque WannaCry afetou particularmente os computadores com software desatualizado e sem patches.

Gerencie o risco humano:

Manter as tecnologias atualizadas é fundamental, mas tudo isso pode ser em vão se as empresas falharem em reconhecer e controlar o risco humano. Pessoas podem cometer erros, ser vítimas de ataques de engenharia social ou simplesmente estarem mal-intencionadas. Na maioria das vezes, é um erro humano que está no centro das principais violações de segurança. Por isso, educar sua equipe sobre suas responsabilidades e sobre os perigos que enfrentam é essencial.

Estabeleça estratégias de resposta:

Até mesmo a empresa mais cautelosa, que segue todas as melhores práticas de segurança cibernética, pode se tornar vítima de um ataque cibernético. Ter um plano para gerenciar os ataques quando eles acontecem é, portanto, crucial.

Os principais stakeholders sabem o que devem fazer quando ocorre um ataque? Existem etapas para controlar a disseminação de malware? Estabelecer e testar estratégias de resposta, por meio de exercícios em equipe ou simulações, pode ajudar a fechar essas lacunas e garantir que a empresa esteja preparada para quando um ataque cibernético acontecer.

A atenção é essencial. Alguns métodos de ataque cibernético são bem estabelecidos, relativamente fáceis de serem protegidos – e ainda assim se mostram bem-sucedidos. Falhar em proteger adequadamente suas operações pode afetar sua capacidade de conseguir um seguro para reduzir o impacto de uma violação quando ela ocorrer. Cada vez mais, deixar de lado os princípios da resiliência cibernética se mostrará uma ameaça significativa aos negócios – não apenas em termos de impacto financeiro, mas também em termos de reputação e viabilidade de negócios a longo prazo.

“Nós vivemos em um ambiente interconectado e em contínua evolução digital, no qual as empresas enfrentam desafios para acompanhar as mais recentes soluções de segurança – isso as deixa mais expostas do que nunca a potenciais ataques cibernéticos e ameaças relacionadas”, explica Michael Moran, CEO da Aon Inpoint. “Em algum momento, até mesmo o sistema mais sofisticado poderá ser violado, conforme novas tecnologias e técnicas surgem”.

*Este artigo foi adaptado do inglês