Photo by Stillness InMotion on UnsplashSão Paulo, Brasil – Os cibercriminosos se utilizam de diversas alternativas para realizar atividades maliciosas, desde aproveitar bases de dados mal configuradas, técnicas de engenharia social para enganar funcionários e obter informações de acesso, vulnerabilidades em tecnologias que a companhia ou o provedor utiliza, ou o uso de credenciais fracas e fáceis de decifrar. A ESET, empresa líder na detecção proativa de ameaças, afirma que, apesar do ransomware ser uma preocupação das empresas, não é a única forma de ameaça cibernética.
“Existem outros tipos de ameaças que também representam riscos importantes e que devem ser contempladas nas estratégias de prevenção que cada empresa conduz. Não podemos esquecer que, salvo os ataques que têm como objetivo realizar tarefas de espionagem, a principal motivação dos criminosos são os benefícios econômicos, já que buscam formas de monetizar seus ataques, seja por meio de extorsão, venda de dados no mercado clandestino da dark web ou outras formas”, comenta Camilo Gutiérrez Amaya, chefe do Laboratório de Investigação da ESET América Latina.
A ESET destaca as 5 ameaças corporativas de mais impacto, que não são ransomware:
1. Seleção ou exposição de dados: é a consequência do acesso indevido aos sistemas de uma organização. Uma vez que estão dentro da rede, alguns criminosos procuram se esquivar dos radares de detecção e realizar tarefas de reconhecimento, em busca de informações sensíveis para roubar, ou até mesmo escalar privilégios e acessar informações críticas e de maior valor. As formas de acesso inicial aos sistemas da vítima variam, já que os hackers podem usar vários vetores para sua missão.
Embora a seleção ou exposição de informação possa ser consequência de algumas ameaças, como ataques de phishing que realizam o download de um malware ou ataques de força bruta, as seleções também se dão por erros humanos, como configurações indevidas de bases de dados, ou devido ao acesso de um interno à organização que tinha permissões desnecessárias e que compartilhou informações confidenciais por engano ou deliberadamente. Também pode ocorrer com dispositivos móveis roubados, que contém informações sensíveis ou acessos. Por outro lado, o ataque a um provedor poderia provocar a exposição de dados da organização e esta segurança é algo que está além do controle da empresa, mas é um risco que deve ser considerado na hora de avaliar a segurança da empresa.
2. Ataques de força bruta: uma das formas mais comuns que os cibercriminosos usam para acessar os sistemas de uma empresa é por meio de ataques de força bruta. Esse tipo de invasão tem como objetivo decifrar credenciais fracas de serviços expostos na Internet para logar o acesso na rede da vítima e, assim, começar outro crime, como o roubo de informações ou espalhar malware. Existem vários tipos, como ataques de password spraying ou de credential stuffing, entre outros. Para estes, os cibercriminosos se utilizam de software, hardware e bases de dados (desde dicionários, senhas mais comuns, até credenciais encontradas em brechas passadas), que os permitem testar combinações de usuários e senhas de forma automática, até encontrar credenciais válidas para determinados serviços. É importante ter ciência que o uso de senhas fracas é uma prática comum e difícil de erradicar, os golpistas sabem e se aproveitam disso, de forma que tentam adivinhar primeiro senhas curtas, entre um e sete caracteres.
Por outro lado, com a adoção do trabalho remoto e híbrido, por conta da pandemia, os ataques de força bruta cresceram exponencialmente, principalmente por grupos de ransomware, mas também por golpistas que buscam implantar outros tipos de malware, inclusive backdoors, que permitem a comunicação remota do hacker com o sistema comprometido.
3. Ataques à cadeia de suprimentos: é necessário verificar se a cadeia de suprimento está suficientemente preparada para enfrentar as consequências de um ataque a um provedor cuja gestão de segurança está além do seu perímetro. A telemetria da ESET identificou este tipo de ataque na Ucrânia como um recurso utilizado para comprometer a infraestrutura de empresas locais, por exemplo. Muitas vezes, esses ataques aproveitam vulnerabilidades existentes em provedores de software para distribuir uma atualização maliciosa ou um app que compromete o uso do provedor pelos clientes. Isso permite que os cibercriminosos tenham um maior alcance, em comparação com um ataque dirigido a uma única organização, comprometendo, dessa forma, muitas companhias através da mesma campanha.
4. RAT, Trojans de acesso remoto: é um tipo de malware muito perigoso para as organizações, por sua capacidade de espionar e roubar informação. Por meio de comandos enviados remotamente, podem roubar credenciais armazenadas no navegador e em aplicativos de mensagens, executar keyloggers, que registram as vibrações do teclado, realizar capturas de tela, tirar fotos, gravar áudios, interceptar comunicações ou baixar outro malware no aparelho.
Existem vários RAT em atividade, alguns dos mais usados pelos cibercriminosos são Agent Tesla, njRAT, WSHRAT e Remcos. Geralmente, são distribuídos através de campanhas de phishing que incluem anexos de e-mail ou links maliciosos, mediante aplicativos falsos ou instaladores de programas.
5. Engenharia Social: as técnicas de engenharia social evoluíram e hoje podem ser observados ataques que utilizam bots de voz para roubar códigos de verificação, campanhas de vishing através de aplicativos de mensagem como o WhatsApp, para ligar para vítimas em potencial, mas também por meio de mensagens. O mesmo ocorre nas redes sociais, nas quais os criminosos, não só usam perfis falsos se passando por amigos, contatos profissionais ou organizações, mas também utilizam técnicas como o scraping de seguidores para captar determinados perfis de usuários.
Os golpes do tipo Business Email Compromise (BEC), que significa comprometimento de contas de e-mail de empresas, é um ataque que se utiliza da engenharia social, geralmente focado na área de administração e finanças de uma organização. Os golpistas se passam por um executivo, ou pelo próprio CEO da companhia e solicitam uma transferência urgente a um provedor, por exemplo. Os BEC representam mais perdas para as empresas do que quaisquer outros tipos de golpes. Nos Estados Unidos, por exemplo, foram registradas cerca de 20.000 denúncias de golpes BEC no último ano, que resultaram em 2,4 bilhões de lucro para os cibercriminosos.
Também começaram a reportar ataques de deepfake, nos quais os criminosos usam softwares que se apoiam na inteligência artificial para dar golpe por meio da imagem e/ou da voz de pessoas reais.
