Ciberataques que exploram vulnerabilidades aumentam 180% em um ano

Segundo Relatório de Investigação de Violações de Dados (DBIR) de 2024 da Verizon, os ataques cibernéticos que exploram vulnerabilidades aumentaram impressionantes 180% em comparação com o ano anterior, 2022, visto que o relatório de 2024 é baseado em dados colhidos em 2023. Esse crescimento, impulsionado principalmente por ataques de ransomware e outras ameaças de extorsão, é algo para se estar atento. Os aplicativos da internet foram apontados como o principal ponto de entrada dos criminosos.

Para mensurar táticas e alvos no cenário cibernético, o DBIR, em sua 17ª edição, avalia incidentes recebendo contribuições de empresas de cibersegurança em todo o mundo, como a brasileira Apura Cyber Intelligence. Para essa análise, a Verizon avaliou 30.458 incidentes de segurança, dos quais 10.626 foram confirmados como violações de dados – uma quantidade recorde, quando comparada com os dados dos relatórios publicados nos anos anteriores.

“A evolução das ameaças cibernéticas representa um desafio cada vez mais complexo para as organizações. A rápida mutação e sofisticação dessas ameaças podem sobrecarregar até mesmo os sistemas de segurança mais robustos. Quando adicionamos à equação elementos como o fator humano, com suas fragilidades inerentes, e senhas mal protegidas, a situação se torna ainda mais crítica. Infelizmente, muitas empresas acabam sucumbindo a esses ataques devido à falta de preparo e conscientização de seus usuários”, como ressalta Anchises Moraes, especialista em cibersegurança da Apura. “Assim é fundamental adotar estratégias proativas e medidas preventivas eficazes para enfrentar esse cenário desafiador”, completa.

Moraes ressalta que, de acordo com o relatório, 68% das violações de dados têm um componente humano envolvido no processo. Esta edição considerou casos de erro acidental, sem intenção. “Se incluíssemos violações envolvendo mau uso e as pessoas internas maliciosas, o erro humano estaria presente em 76% dos casos”.

Nesta edição, foi introduzido um conceito expandido de violação envolvendo terceiros, que inclui a infraestrutura de parceiros sendo afetada e questões diretas ou indiretas na cadeia de fornecimento de software, incluindo quando uma organização é afetada por vulnerabilidades em softwares de terceiros. Em resumo, são violações que uma organização poderia potencialmente mitigar ou prevenir ao selecionar fornecedores com melhores históricos de segurança. Observamos que esse quesito está em 15% no ano analisado, um aumento de 68% em relação ao ano anterior, impulsionado principalmente pelo uso de exploits zero-day em ataques de ransomware e extorsão. “Essa mudança destaca a importância crescente de parcerias seguras e cuidadosas na cadeia de fornecimento de software para garantir a resiliência cibernética das organizações” reforça o expert da Apura.

O relatório revela que aproximadamente um terço de todas as violações envolveram ransomware ou alguma forma de extorsão, com os ataques de “extorsão pura” aumentando ao longo do último ano e representando 9% de todas as violações. Enquanto isso, os ataques de “ransomware tradicionais” registraram uma leve queda, totalizando 23% das violações. No entanto, quando combinados com as novas técnicas, esses ataques totalizam 32% das violações. Moraes destaca que, nas indústrias, principais alvos dos cibercriminosos que usam ransomware como tática de ataque, especialmente devido ao potencial de ganhos com o resgate de informações, o número foi impressionante, atingindo 92% dos ataques direcionados a esse setor.

O estudo revela, também, que dois terços dos ciberataques nos últimos 3 anos tiveram motivação financeira, variando de 59% e 66%, dependendo do período de análise ou dos critérios específicos. Nos últimos dois anos, um quarto desses ataques envolveram a técnica de pretexting, variando entre 24% e 25%. “Pretexting é uma categoria de ataques de engenharia social em que os invasores criam uma falsa situação ou pretexto para obter informações confidenciais das vítimas. A maioria foi identificada como casos de Business Email Compromise (BEC), que é uma forma comum de fraude em que os criminosos conseguem acesso a contas de e-mail corporativas para solicitar transferências fraudulentas de fundos ou obter informações confidenciais”, explica Anchises Moraes.

Segundo ele, as ameaças cibernéticas motivadas financeiramente geralmente adotam técnicas de ataque que garantam a elas o maior retorno sobre o investimento. De acordo com dados de reclamações de ransomware do Centro de Reclamações de Crimes na Internet (IC3) do FBI, a perda média associada a essa combinação de ransomware e outras violações de extorsão foi de US$ 46 mil, com variações entre US$ 3 e US$ 1.141.467 para 95% dos casos. Já o Comprometimento de E-mail Empresarial (BEC) representou um quarto dos ataques financeiramente motivados nos últimos dois anos, com uma transação média de BEC em torno de US$ 50 mil.

O DBIR apontou, ainda, que o índice geral de relatos de phishing aumentou nos últimos anos. Trata-se de técnicas de engenharia social que visam obter senhas e demais dados por meio de mensagens fraudulentas. Apesar de ser uma tendência, um dado pode servir de alerta para interromper os criminosos: o tempo médio levado para se clicar em um link malicioso após abrir o e-mail é de 21 segundos, e o tempo para os dados pessoais serem inseridos é cerca de 28 segundos, e portanto o tempo médio para os usuários caírem em esquemas de phishing é inferior a 60 segundos.

“Esses números destacam a importância do conhecimento do cenário de ameaças, da preparação das empresas em se antecipar aos ciberataques e da educação contínua em segurança cibernética e práticas seguras na internet. Com as armadilhas online se tornando cada vez mais sofisticadas, é fundamental que todos estejam bem informados e preparados para proteger suas informações, incluindo o corpo executivo e demais funcionários da organização. Investir em serviços de Inteligência em Ameaças, além de programas de treinamento, tecnologia e conscientização pode ajudar a garantir que possamos navegar na internet com mais segurança e confiança”, conclui Anchises Moraes.

De acordo com o relatório 2024 Data Breach Investigations Report da Verizon, aproximadamente um terço de todas as violações (32%) envolveu ataques de ransomware ou alguma outra técnica de extorsão. Os ataques de pura extorsão aumentaram no ano passado e agora representam 9% de todas as violações. Esses números reforçam o que tem se observado nos últimos três anos: a combinação de ransomware e outras violações de extorsão foi responsável por quase dois terços dos ciberataques com motivação financeira, oscilando entre 59% e 66% nesse período.

Da mesma forma, nos últimos dois anos, um quarto dos ataques com motivação financeira (variando entre 24% e 25%) envolveu a técnica de pretexting, uma categoria de ataques de engenharia social, quando uma narrativa falsa ou um pretexto convincente é criado para persuadir a vítima a revelar dados pessoais ou sensíveis, sendo que a maioria delas representou casos de Business Email Compromise (BEC), que envolvem o envio de mensagens falsas de e-mail em nome da empresa.

“Os ataques de ransomware têm um impacto devastador nas corporações, tanto financeiramente quanto tecnicamente, além de danificar gravemente a imagem das empresas. Embora as consequências sejam grandiosas, esses ataques muitas vezes começam com incidentes de execução simples, como uma credencial vazada ou uma técnica de engenharia social. Estes métodos iniciais, muitas vezes ignorados pelas corporações, podem abrir as portas para invasões cibernéticas que resultam em prejuízos multimilionários e na perda de confiança dos clientes”, explica Maurício Paranhos, CCO da brasileira Apura Cyber Intelligence, que colaborou com o relatório da Verizon.

A intrusão de sistemas continua a ser o principal padrão das violações, em oposição aos incidentes, onde os ataques de negação de serviço (DoS) ainda reinam. Tanto os padrões de Engenharia Social como os de Erros Diversos aumentaram sensivelmente desde o ano passado. Por outro lado, o padrão Basic Web Application Attacks caiu drasticamente de sua posição no DBIR de 2023. O relatório DBIR também apresenta as técnicas mais relevantes do MITRE ATT&CK e os respectivos controles críticos de segurança do Centro de Segurança da Internet (CIS) que podem ser adotados para mitigar diversos desses padrões: intrusão de sistemas, engenharia social, ataques básicos em aplicações web, erros diversos, DoS, roubo ou perda de ativos, abuso de privilégios.

Leia também: