Ciberataques: Quando o imprevisível se torna prioridade para a empresa

Analistas especializados em tecnologia e segurança digital já previam um novo ataque cibernético em larga escala e de alto impacto após o que ficou conhecido como WannaCry — deflagrado em 12 de maio e que, poucos dias depois, já havia afetado aproximadamente 200 mil sistemas em cerca de 150 países. Mesmo assim, uma variação ainda mais perigosa não deixou de pegar de surpresa corporações de vários segmentos. A nova ofensiva, batizada de NotPetya, chegou antes do esperado, foi lançada em 27 de junho e já havia impactado 2 mil usuários em diversas partes do mundo até o dia seguinte, tendo como epicentro a Ucrânia, que concentrou 60% dos sistemas infectados.

Para piorar, a surpresa não se limitou ao timing e à rápida proliferação do ataque, mas também à dificuldade de compreendê-lo rapidamente. O que muitos achavam que era um ransomware era, na verdade, algo que superava os riscos conhecidos. O NotPetya impedia as vítimas de recuperar os arquivos mesmo se pagassem pelo resgate exigido – no caso, US$ 300 em bitcoins. Tratava-se de um wiper, cujo objetivo é literalmente “limpar” o disco rígido. Esse malware extrapola o objetivo de lucratividade por parte dos criminosos cibernéticos e causa danos permanentes às informações digitais e aos sistemas computacionais.

A falta de conhecimento e previsibilidade sobre os ataques cibernéticos é hoje o indicativo mais forte de que o desenvolvimento de processos de segurança digital e a adoção de sistemas de prevenção devem, mais do que nunca, ser tratados como prioridade estratégica nas empresas. É um caminho sem volta que independe do porte, do market share, do segmento de atuação e da região geográfica.

Ignorar esse contexto coloca em risco a inteligência da própria empresa, de seus clientes e parceiros, gerando prejuízos incalculáveis – não apenas financeiros, mas também em credibilidade e confiança. De acordo com a 19ª edição da Pesquisa Global sobre Segurança da Informação, realizada pela EY com milhares de empresas em todo o mundo, inclusive do Brasil, 49% das companhias não fazem ideia dos danos financeiros que um ataque cibernético pode causar. Além disso, 73% dos participantes — representantes das áreas de tecnologia ou segurança da informação — estão preocupados com a baixa conscientização e o comportamento dos usuários.

Uma das razões para que o NotPetya se tornasse bem-sucedido foi o fato de que empresas no mundo todo ainda não lidam bem com ataques cibernéticos. A desatualização dos sistemas operacionais em uso é um exemplo desse descuido que escancarou a janela para ações maliciosas como este ataque. Uma correção para o Windows lançada pela Microsoft em março — dois meses antes do WannaCry — seria capaz de mitigar o risco de exploração da vulnerabilidade que serviu de porta de entrada.

Esse quadro tão preocupante pode ser comprovado na prática. Em um teste realizado recentemente em uma empresa brasileira com cerca de 2,5 mil colaboradores, 70% caíram na armadilha do phishing, ou o envio de e-mails mal-intencionados. O exercício simulou o disparo de mensagens que parecem verdadeiras, às vezes com remetentes conhecidos (apesar de falsos) e com informações reais sobre o destinatário. Mas, seu real objetivo é roubar informações por meio de um anexo ou link malicioso. É o que teria acontecido com a maioria dos participantes se o phishing fosse real.

Para reduzir essa vulnerabilidade assustadora, é importante que as empresas realizem exercícios e simulações didáticas junto aos colaboradores com uma finalidade educativa. Por exemplo: dicas para identificar se um e-mail é malicioso ou não. Sem exageros, isto se tornou tão importante quanto um treinamento de incêndio.

Por isso, a educação para os colaboradores deve ser o primeiro passo para fechar os acessos mais comuns para as ameaças cibernéticas. Também é a forma mais rápida e com melhor custo-benefício para começar a lidar com esse problema de forma efetiva. A prevenção sai muito mais barato, seja para grandes empresas ou PMEs.

Os cuidados não param por aí. É crucial estabelecer processos para que todos os colaboradores atuem em sintonia em favor da proteção dos dados. É importante reunir uma equipe multidisciplinar – indo além da TI – para desenhar esse processo a partir da identificação das principais vulnerabilidades da companhia e, numa segunda etapa, tornar mais assertiva a escolha da tecnologia mais adequada.

Ainda assim, não há solução definitiva. Passadas as etapas de homologação e teste e mesmo já em plena operação, o sistema aplicado para prevenir ameaças digitais depende da colaboração de todos os usuários, além do acompanhamento da equipe de especialistas. Uma proteção só se torna efetiva se apoiada por boas práticas que precisam entrar de vez no dia-a-dia das empresas – o que ainda está longe de ser realidade. Não adianta realizar grandes investimentos em infraestrutura se os administradores de sistemas corporativos não realizarem backup dos dados. E, como já falamos aqui, é fundamental manter o ambiente de tecnologia constantemente atualizado.

Em uma situação hipotética, se o epicentro dos recentes ataques cibernéticos tivesse sido o Brasil, o prejuízo em potencial seria muito maior, devido principalmente a uma questão cultural que abre brechas desnecessárias. Ao terem o celular roubado, por exemplo, muitos brasileiros não costumam acionar o bloqueio do aparelho antes de obter um novo, seja por desconhecimento ou negligência.

Não é difícil imaginar que isto também ocorre em maior escala, e com sistemas mais complexos, nas empresas nacionais. O estudo recente da EY ainda mostra que a vulnerabilidade das companhias brasileiras é grande. A maioria não possui um programa formal de inteligência contra ameaças (81%) e não dispõem de um centro de operações de segurança (63%) — sempre acima das médias globais, respectivamente de 64% e 44%. Quase metade das companhias nacionais teve um incidente cibernético em 2016 (45%), mas apenas 28% aumentaram seus orçamentos dedicados à área no último ano.

A pesquisa da EY mostra que as organizações melhoraram suas habilidades para resistir aos ataques, mas eles tomam formas diferentes e cada vez mais complexas a cada dia. Executar medidas de controle no escudo de defesa corporativo pode funcionar contra-ataques de negação de serviço (DDoS) ou ataques de vírus. Porém, não é eficiente contra-ataques sofisticados e persistentes. Por isso que 86% dos entrevistados em todo o mundo dizem que sua função de segurança cibernética não atende totalmente às necessidades de suas organizações.

No caso de ataques como o WannaCry e o NotPetya, algumas medidas podem ajudar a evitar a infecção. Bloqueie o acesso à porta SMB e ao RDP (Remote Desktop Protocol) de todos os computadores conectados à internet. Certifique-se de que todos os sistemas operacionais Windows e softwares Microsoft sejam atualizados. Por fim, oriente os colaboradores para que não abram anexos e e-mails desconhecidos. É importante acrescentar que não recomendamos o pagamento do resgate, inclusive por não haver qualquer garantia de que os dados serão resgatados.

E o que esperar daqui em diante? Analistas de inteligência sobre ameaças cibernéticas da EY preveem a deflagração de variações e cópias do NotPetya sem que novamente haja formas de prevenção desse malware. Os cibercriminosos poderão explorar vulnerabilidades e técnicas de propagação novas ou já existentes, inclusive as que dispensam interação humana. E não estão descartados novos vazamentos de grupos hackers como o Shadow Brokers.

Olhando para frente, e mesmo em um cenário econômico adverso, é certo que o investimento em prevenção e segurança jamais deixará de ser prioritário — começando pela educação, passando pela definição de processos até chegar à infraestrutura. O combate às atuais ameaças digitais se tornará cada vez mais duro, mas a conscientização continua sendo a primeira arma mais eficiente ao nosso alcance.

Fonte: http://bit.ly/2ttjEMi

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair /  Alterar )

Foto do Google

Você está comentando utilizando sua conta Google. Sair /  Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair /  Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair /  Alterar )

Conectando a %s