Relatório divulgado pela Verizon mostrou que a maioria das violações de dados, como ransomware e phishing, envolveu um elemento humano.
85% das violações de dados ocorridas em 2020 envolveram uma interação humana. Essa conclusão é do “2021 Data Breach Investigations Report” (DBIR) da Verizon, divulgado no último dia 13 de maio e que traz tendências e análises sobre o aumento dos crimes cibernéticos.
Na edição de 2021, o DBIR analisou mais de 79 mil incidentes em 88 países, nos quais mais de 29 mil foram de qualidade e mais de 5 mil foram brechas de segurança. Aqui vale um adendo sobre a diferença de incidente de qualidade e brecha de segurança, conceitos diferenciados pela Verizon.
FIQUE POR DENTRO: Por que sua empresa deve se preocupar com ataques à VPN?
Incidente de qualidade é um “evento de segurança que compromete a integridade, confidencialidade ou disponibilidade de um ativo de informação”. Enquanto a brecha de segurança é um “evento que resulta na divulgação não autorizada de dados”.
O relatório, mostra esta matéria do Dark Reading, indica que houve aumento em ataques em aplicações web, phishing e ramsonware no último ano. O motivo? A grande quantidade de pessoas que tiveram de mudar para o home office de uma hora para outra e o aumento da quantidade de horas passadas online.
Segundo a publicação, os ataques a aplicações web foram responsáveis por 39% de todos os incidentes de brecha de segurança, “destacando os desafios que as empresas enfrentam à medida que migram mais funções de negócios para a nuvem”.
Sobre o elemento humano, o relatório analisou que as violações de dados aconteceram após ataques de engenharia social: phishing, comprometimento de e-mail corporativo (BEC), credenciais perdidas ou roubadas, erro humano e malware que precisa ser clicado e baixado.
“Acho que é muito fácil em segurança esquecer que o que estamos protegendo não é o computador e sim a organização”, disse Gabe Bassett, coautor do DBIR deste ano, ao Dark Reading.
Os impactos financeiros das violações de dados
Apesar de algumas empresas afirmarem que, mesmo com incidentes e brechas de segurança, não tiveram perdas, outras sentiram no bolso as violações de dados. O relatório mostrou que:
- 95% dos ataques BEC custaram entre US$ 250 a US$ 985 mil às organizações.
- Já 95% as violações de dados de computadores variaram entre US$ 148 a US$ 1,6 milhão.
- Enquanto ransomware foi responsável por uma perda entre US$ 70 a US$ 1,2 milhão.
“Qualquer aumento de dois dígitos no relatório é grande”, disse Basset ao site especializado em cibersegurança. “É um aumento percentual em que os criminosos sempre irão procurar roubar de outro lugar [companhia]”. Por sinal, o crime organizado é a principal categoria de invasores a uma empresa.
Além disso, Basset informa que essas investidas tiveram, em sua maior parte, motivação financeira, mas que o primeiro alvo foi a cadeia de suprimentos das companhias. Ao ter acesso a ela, os criminosos conseguem lançar mais ataques à infraestrutura ou aos ativos da organização.
Aperte o play: Meio Digital relembra o ataque à Sony Pictures em 2014 e mostra porque a cibersegurança é um investimento necessário.
No que os cibercriminosos estão mirando
Apesar de ter tido uma redução de violações de dados a partir do abuso de privilégios (-5%), configuração incorreta (-2%), exploração de vulnerabilidade (-2%), manuseio incorreto de dados (-2%), os ataques de phishing e ransomware cresceram 11% e 6%, respectivamente.
Besset interpreta isso como uma tentativa dos hackers de buscarem meios mais eficientes de monetização. “Definitivamente, há uma mudança contínua para os invasores, em que as violações estão se afastando da complexidade, em direção à simplicidade”, disse.
O coautor associa os ataques de phishing com o uso de credenciais roubadas. O relatório mostrou que mais de 60% das violações envolveram dados de colaboradores, enquanto as tentativas mal-intencionadas de login variaram entre 637 e 3,3 bilhões nas organizações ouvidas.
Como Besset destaca, o roubo de credencial é uma realidade vivida pelas organizações, mas muitas não entendem como esse ataque se torna um vetor para outros, como a instalação de um malware capaz de criptografar os dados.
É possível construir uma cultura de segurança?
Não existe uma abordagem única para minimizar os riscos humanos que levam a violações de dados. Como destaca o relatório, as organizações enfrentam ataques semelhantes, mas têm abordagens diferentes para mitigá-los.
Ainda depende das companhias a capacidade de treinar e adaptar o comportamento de seus colaboradores para identificarem tentativas de roubo de credencial, engenharia social e outros tipos de ataques.
Outra crítica do relatório é que muitas empresas que promovem treinamento de segurança acabam não simulando situações reais e nem os comportamentos humanos que podem levar a um incidente.
Por fim, o DBIR aponta que é importante progredir do modelo tradicional de conscientização de segurança para um modelo cognitivo-comportamental para mudar os hábitos que levam a medidas preventivas a ataques.
Saiba mais como ter um comportamento proativo na sua empresa com esses artigos do Mundo + Tech.
- Golpes envolvendo e-mails corporativos custaram quase US$ 2 bilhões para as empresas
- Você sabe o que é uma técnica de web scraping?
- 3 dicas para ajudar seus colaboradores a evitarem malware por e-mail
- Quer detectar problemas de segurança em tempo real? Conheça o SIEM!
- Como combater ataques cibernéticos avançados, de acordo com especialista
Principais destaques desta matéria
- Fator humano foi responsável por 85% das violações de dados, aponta relatório.
- Ataques ransomware e phishing cresceram em 2020, indicando busca de hackers por mais dinheiro.
- Relatório destaca que empresas devem criar modelos de conscientização aos colaboradres.
