O velho ditado «nada é certo, a não ser a morte e os impostos» devia ser alargado para incluir as mudanças no panorama da cibersegurança. Os profissionais de cibersegurança e os líderes empresariais podem ajudar a reduzir as ameaças contra as suas organizações se souberem o que se passa nesse panorama em constante mudança.
Como as ameaças cibernéticas continuam a pôr à prova até mesmo as empresas mais experientes, olhar para 2023 pode ajudar-nos a organizar bem as nossas coisas no que diz respeito à segurança cibernética.
Aqui tens um resumo de cinco tendências em cibersegurança à medida que 2023 avança.
Os seres humanos continuam a ser um alvo na cibersegurança
O fator humano na cibersegurança tem sido um desafio em todos os setores há muitos anos. Os seres humanos são o elo fraco numa cadeia complexa que leva a fugas de dados, infeções por ransomware e outros desastres. Os cibercriminosos aproveitam-se dos funcionários; esta tática tem tido um grande sucesso em esquemas fraudulentos e ciberataques devido à falibilidade do operador humano.
A pandemia da Covid-19 despertou o interesse dos cibercriminosos por ataques cibernéticos que se centram em táticas como burlas e phishing. Como prova disso, uma análise da ISACA revelou que metade de todas as violações de dados está ligada a ações dos funcionários. Atacar um colaborador é visto pelos cibercriminosos como um alvo fácil, pois isso pode servir de ponto de entrada para a rede corporativa mais ampla. Uma vez dentro da rede, podem ocorrer ciberataques, incluindo infeções por ransomware, Business Email Compromise (BEC) e outros ataques de malware.
Tendência em cibersegurança: o Relatório de Investigação de Violações de Dados (DBIR) da Verizon para 2021 e 2022 mostra que o erro humano esteve na origem de 85% e 82% das violações de dados, respetivamente. O fator humano num ciberataque deverá manter-se a este nível em 2023.
Como mitigar esta tendência de cibersegurança: ajudaa minimizar o risco humano no sistema cibernético, realizando simulações regulares de phishing e formação em sensibilização para a segurança.
Deepfakes e extorsão
A tecnologia deepfake é usada para muitos fins legítimos, como criar avatares para jogos ou dar aulas. No entanto, essa mesma tecnologia é uma ferramenta ideal para enganar as pessoas e levá-las a acreditar ou a fazer algo que beneficie um cibercriminoso. O problema é que os vídeos e áudios deepfake podem ser difíceis de distinguir dos verdadeiros. Numa sondagem da iProov, 43% dos inquiridos disseram que não conseguiam distinguir um vídeo real de um deepfake.
Tendência em cibersegurança: os deepfakes já foram usados em esquemas de BEC. O exemplo clássico é o do CEO que foi enganado e perdeu 243 000 dólares ( 210 000 libras) devido a um deepfake de voz (Deepfake Vishing). Outra área em que os deepfakes podem tornar-se um problema grave são os esquemas de extorsão.
Por exemplo, imagina um deepfake que envolva um vídeo convincente de um CEO ou de um membro do conselho de administração numa situação comprometedora ou a proferir discurso de ódio. Este cenário é destacado pela Europol, que prevê que a tecnologia deepfake venha a ser utilizada em ataques a executivos de alto nível, bem como para a falsificação de provas e a produção de pornografia sem consentimento.
Como mitigar esta tendência de cibersegurança: uma combinação de tecnologia e vigilância centrada nas pessoas pode ajudar a atenuar esta tendência crescente. Os colaboradores têm de ser sensibilizados para o problema iminente da extorsão com deepfakes. Os diretores executivos e o conselho de administração devem ser incluídos na sensibilização para a segurança em relação a esquemas de deepfakes. Além disso, introduziram mecanismos de controlo para transferências de dinheiro acima de um determinado montante. As soluções de cibersegurança baseadas em IA também podem ajudar na prevenção de deepfakes.
Fraude contínua com identidade falsa
O roubo de identidade é um problema cada vez maior em todo o mundo. Segundo um relatório da Experian de 2022, metade dos consumidores já foi vítima de fraude ou conhece alguém que foi afetado.
É provável que estas identidades fraudulentas venham a fazer parte das perdas por fraude no comércio eletrónico, estimadas em mais de 48 mil milhões de dólares para 2023: para criar uma identidade sintética, os fraudadores usam uma mistura de dados pessoais roubados e dados falsificados; cada vez mais, recorrem a «deep fakes» para complementar esses dados. Essas identidades sintéticas são depois usadas para criar contas bancárias, contas nas redes sociais e outras contas de identidade aparentemente legítimas.
Tendência em cibersegurança: as contas com identidade sintética precisam de dados. Esses dados são comprados em mercados da dark web ou roubados por encomenda a pessoas específicas. Uma conta com identidade sintética é usada para enganar as empresas e levá-las a conceder crédito ou a criar novas contas nos seus sistemas. O resultado é uma perda de confiança dos consumidores nas empresas e uma quebra de receitas. Embora a identidade sintética não seja um crime cibernético novo, é lucrativa, pelo que se espera que continue a encontrar novas formas de lançar ataques.
Como mitigar esta tendência de cibersegurança: os dados roubados ou expostos são o ponto de partida para a fraude de identidade sintética. Reduz o risco de fugas de dados combatendo o phishing através de exercícios de simulação de phishing.
Aumento dos esquemas de fraude na cibersegurança devido à recessão global
Segundo o Banco Mundial,«o mundo pode estar a caminhar para uma recessão global em 2023 e para uma série de crises financeiras nos mercados emergentes e nas economias em desenvolvimento, o que lhes causaria danos duradouros». A história mostra-nos que as fraudes e os esquemas fraudulentos aumentam quando ocorrem acontecimentos adversos significativos.
Por exemplo, durante e após a crise bancária do final da década de 2000, um inquérito a especialistas em fraude revelou que 55% dos inquiridos se depararam com um nível de fraude ligeiro ou significativo. A pandemia da Covid-19 trouxe um aumento semelhante nos esquemas fraudulentos e nas fraudes; um relatório da TransUnion revelou um aumento de 149% nas tentativas de fraude no primeiro trimestre de 2021.
Tendência em cibersegurança: à medida que o mundo entra em recessão, espera-se que os burlões aumentem a pressão sobre a tua organização. Essa pressão vai manifestar-se através de um aumento dos ataques de phishing, esquemas de BEC, infeções por ransomware e outros ciberataques de natureza financeira.
Como lidar com esta tendência de cibersegurança: para combater o aumento dos golpes, é preciso uma abordagem em várias camadas. Cria uma estratégia de cibersegurança sólida que inclua medidas tanto tecnológicas como centradas nas pessoas.
Uma rede de malware
A guerra de desgaste entre os cibercriminosos e as organizações levou ao surgimento de táticas de evasão que dependem de ecossistemas complexos de malware. A cadeia de ataque costuma incluir vários pontos de ataque e métodos cada vez mais engenhosos para roubar credenciais de acesso.
Este ecossistema cada vez mais complexo, usado para facilitar um ciberataque, foi descrito numa publicação recente no blogue da Microsoft sobre o worm Raspberry Robin: a Microsoft suspeita que se recorra à engenharia social para incentivar os utilizadores a clicar num ficheiro .LNK ou a inserir uma pen USB infetada. Mas a história não fica por aqui. O Raspberry Robin faz parte, segundo os investigadores da Microsoft, de um enorme ecossistema de malware, sendo que este malware facilita a instalação de outro malware, incluindo ransomware.
A Microsoft conclui que «O malware usado pelos cibercriminosos é uma ameaça constante para a maioria das organizações hoje em dia, aproveitando-se das falhas comuns nas estratégias de segurança e recorrendo à engenharia social para enganar os utilizadores. Quase todas as organizações correm o risco de se deparar com estas ameaças.
Tendência de cibersegurança: o Raspberry Robin é um exemplo de como os cibercriminosos e os ecossistemas de táticas criam desafios graves na deteção de ciberataques. Espera-se que em 2023 esta tendência se mantenha, com ciberataques integrados e compostos por várias partes, que incluem múltiplas ameaças e colocam as pessoas no centro de uma teia de malware.
Como mitigar esta tendência de cibersegurança: uma estratégia de segurança robusta deve responder a este ecossistema de ciberataques em várias camadas com medidas igualmente multifacetadas. Essas medidas devem incluir medidas tecnológicas, como autenticação robusta, segurança «zero trust», encriptação e filtragem inteligente de conteúdos. No entanto, o fator humano vai continuar a abrir brechas que os cibercriminosos exploram, por isso as medidas tecnológicas têm de ser complementadas com formação em sensibilização para a segurança centrada nas pessoas.
Não há dúvida de que os cibercriminosos vão continuar a aproveitar-se dos nossos colaboradores ao longo de 2023 e nos anos seguintes. A única forma de mitigar ecossistemas complexos de ameaças que se baseiam na engenharia social é dar aos nossos colaboradores as ferramentas para se protegerem a si próprios e à empresa.
A formação em sensibilização para a segurança, complementada por exercícios simulados de phishing, deve fazer parte de uma abordagem abrangente à segurança. Com 2023 a aproximar-se, é urgente implementar estas medidas. No entanto, só um esforço coordenado vai garantir a proteção necessária para travar os cibercriminosos.