Aqui estão algumas das causas mais comuns de uma violação de dados e, mais importante ainda, como as evitar.
Em 2021, foram violados 22 mil milhões de registos de dados. Esses registos incluíam credenciais de acesso, dados pessoais, informações confidenciais de empresas e informações financeiras. É provável que esses dados tenham acabado em mercados da dark web para serem vendidos à comunidade mais ampla de cibercriminosos.
Um hacker pode usar dados roubados para levar a cabo ciberataques, incluindo roubo de identidade, Business Email Compromise (BEC) e infeção por ransomware. Os dados são a pedra angular da onda gigantesca de cibercriminalidade a que o mundo está a assistir; sem acesso aos dados pessoais, os cibercriminosos ficariam privados da receita de 1,5 biliões de dólares que obtiveram em 2019.
Aqui estão algumas das causas mais comuns de uma violação de dados e, mais importante ainda, como as evitar.
As quatro causas mais comuns de uma fuga de dados
O Relatório de Investigações sobre Fugas de Dados (DBIR) é uma análise anual da situação atual no panorama da cibersegurança. O DBIR de 2022 identifica quatro formas principais através das quais os cibercriminosos «entram no teu imóvel»: credenciais, phishing, exploração de vulnerabilidades e botnets.
Credenciais
De acordo com o DBIR de 2022, houve um aumento de 30% no número de credenciais roubadas desde 2017. Se um cibercriminoso conseguir um conjunto de credenciais de acesso, por exemplo, nome de utilizador e palavra-passe, é como se lhes entregasses os dados da tua empresa e a tua conta bancária.
Mesmo as credenciais de início de sessão dos funcionários que não têm privilégios de acesso aos servidores e às áreas sensíveis da rede podem abrir a porta do teu castelo. Essas credenciais são usadas para aumentar os privilégios e conseguir acesso a áreas sensíveis da rede e a aplicações: isto é conhecido como «movimento lateral».
Comportamentos como partilhar palavras-passe e reutilizá-las em várias contas também colocam as credenciais de acesso em risco: um inquérito do Google revelou que 52% das pessoas reutilizam palavras-passe em várias contas.
O phishing é uma área de alto risco que leva ao roubo de credenciais e, em última análise, a uma violação de dados:
Phishing
A melhor forma de roubar dados pessoais é através do phishing. Em todas as suas formas, incluindo phishing por e-mail, spear-phishing, smishing e vishing, este mecanismo de engenharia social é a melhor forma de um cibercriminoso dar início ao processo que leva a uma violação de dados.
O DBIR de 2022 mostra que o phishing continua a ser a principal forma de engenharia social. Isto porque o phishing por e-mail é uma forma direta de entrar numa organização; se um e-mail de phishing chegar à caixa de entrada de um colaborador, a menos que ele saiba com o que está a lidar, o passo seguinte é o roubo de credenciais e/ou a infeção por malware. Até o ransomware, que antes servia exclusivamente para extorsão financeira, agora é usado para roubar dados. O que importa mesmo são os dados.
Além disso, o uso de múltiplos fatores de autenticação (MFA/2FA) também já não é uma proteção contra o roubo de credenciais e dados através do phishing. Os cibercriminosos, sempre criativos, estão agora a encontrar novas formas de contornar a autenticação de dois fatores.
Aproveitar vulnerabilidades
O phishing e o roubo de credenciais costumam aproveitar-se de vulnerabilidades que levam ao roubo de dados. As vulnerabilidades de software são comuns. O CVE Details mantém um registo e uma base de dados dessas vulnerabilidades: em 2021, o CVE Details registou mais de 20 000 vulnerabilidades; cada uma delas tem o potencial de permitir que um hacker explore a falha e assuma o controlo de uma aplicação. O objetivo é usar essa exploração para aceder a partes da rede que permitam ao hacker instalar malware ou extrair dados.
Botnets
A SpamHaus registou um aumento de 23% na atividade das botnets no 4.º trimestre de 2021. O termo «botnet» refere-se a um conjunto de dispositivos infetados com malware, utilizados em conjunto para lançar ataques. Um agente malicioso, chamado «Botherder», controla estes computadores/portáteis.
O Botherder usa estes dispositivos para lançar ciberataques contra um alvo, incluindo o envio de e-mails de phishing, malware e/ou a realização de um ataque de negação de serviço. Tudo isto pode fazer parte de um objetivo mais amplo de roubar dados.
Eis as melhores formas de evitar uma fuga de dados
Uma das principais conclusões do DBIR de 2022 é que 82% das violações envolvem o fator humano. Além disso, o relatório afirma que«as pessoas continuam a desempenhar um papel muito importante tanto nos incidentes como nas violações». Concentrar os teus esforços em mudar esta métrica é a melhor forma de combater as violações de dados.
Aqui estão algumas das melhores formas de o fazer:
Dá formação aos teus colaboradores sobre táticas de segurança da informação
A formação em sensibilização para a segurança continua a ser a melhor forma de prevenir um ciberataque que se baseia na manipulação do comportamento humano. No entanto, esta forma de formação dos colaboradores não se limita a ensiná-los sobre a vertente cibercriminosa das violações de dados.
A sensibilização para a segurança também tem a ver com melhorar comportamentos gerais de segurança, como partilhar e reutilizar palavras-passe. Os programas de formação eficazes vão incluir todos os aspetos relacionados com questões de segurança numa organização e formar os colaboradores regularmente para melhorar o seu comportamento geral em matéria de segurança.
Realizar simulações de phishing
As simulações de phishing são uma ótima forma de ajudar os colaboradores a perceberem como funciona o phishing. O uso de exercícios de simulação de phishing é essencial, já que os cibercriminosos recorrem cada vez mais a métodos sofisticados de phishing por e-mail e visam funções específicas dentro de uma organização.
Os fornecedores de simulações de phishing oferecem modelos para criares as tuas simulações de phishing com base no tipo de phishing por e-mail que coloca a tua empresa em risco. Além disso, as plataformas avançadas de simulação de phishing disponibilizam uma consola central para gerires a formação e fornecem métricas que ajudam a personalizar os exercícios.
Incentivar a comunicação de incidentes de violação de dados
Os colaboradores devem ser incentivados a comunicar incidentes de segurança. Ao fazê-lo, as organizações promovem uma cultura que dá prioridade à segurança e que facilita a colaboração no combate ao cibercrime. Uma cultura de segurança que valorize a comunicação aberta e que facilite a comunicação de incidentes permite que a tua equipa de TI ajude a evitar que um incidente se transforme num evento de segurança em grande escala.
Utiliza um gestor de senhas
O roubo de credenciais é comum porque as palavras-passe são frequentemente utilizadas para iniciar sessão em aplicações. Como as pessoas têm de se lembrar de tantas palavras-passe, acabam por usar sempre a mesma. A palavra-passe mais comum é 123456. Usar um gestor de palavras-passe é uma forma eficaz de ajudar a evitar a fadiga das palavras-passe e de incentivar bons hábitos na sua gestão.
Atualiza os teus sistemas
As vulnerabilidades só podem ser exploradas se existirem. Por isso, certifica-te de que atualizas e aplicas as correções de segurança assim que estiverem disponíveis. Se isto te parecer uma tarefa gigantesca, procura um mecanismo centralizado que possa automatizar a aplicação das correções.
Uma notícia positiva é que, em 2020, foram violados 37 mil milhões de registos de dados. Por isso, os 22 mil milhões de registos violados em 2021 mostram um progresso. É improvável que esta queda nos números se deva ao facto de os cibercriminosos terem tirado uns dias de folga. É mais provável que se deva ao facto de as organizações estarem a tomar nota e a implementar medidas para evitar violações.
Na verdade, o DBIR de 2022 voltou a frisar isto:«nenhuma organização está segura sem um plano para lidar com todas elas.» Uma empresa pode criar um ambiente mais seguro e evitar fugas de dados trabalhando em colaboração e apostando na formação em segurança.