Desde que a Pandemia começou que o número de ataques virtuais aumentou consideravelmente.
A Pandemia acelerou o processo de digitalização dos negócios, alterou rotinas de trabalho, criando novos desafios na segurança das redes. Isto traduziu-se em falta de preparação e, consequentemente, em falta de segurança, tornando os ataques virtuais, num dos maiores fatores de risco para as empresas.
2020, mas principalmente 2021, foi um ano marcado por ataques massivos a sites e organizações. O maior oleoduto dos Estados Unidos, a Colonial Pipeline, sofreu um ciberataque, levando o país a pagar milhões aos criminosos. Alguns dias mais tarde, o serviço de saúde irlandês teve de desligar os sistemas informáticos a fim de evitar que os hackers roubassem dados sigilosos. Já em Portugal, como partilhado pela ActiveSys, o Grupo Impresa foi vítima de um ataque, deixando os sites do grupo inacessíveis.
A cibersegurança é um tema também falado na Casa Branca, já que o conselheiro de segurança nacional, Jake Sullivan, enviou uma carta a empresas de software e a developers reconhecidos internacionalmente, a fim de discutir formas de melhorar a segurança da instituição, já que os Estados Unidos, como já referenciado, em 2021 foram alvo de vários ciberaraques que expuseram dados não só de empresas, como de agências governamentais.
Dados provenientes do site Techjury, revelam que, em termos globais, são hackeados, diariamente, cerca de 30 mil sites e, no mínimo, 64% das empresas em todo o mundo já sofreram pelo menos um tipo de ataque virtual. Também o Identity Theft Resource Center (ITRC) se pronunciou, afirmando que nos primeiros nove meses de 2021, 281,5 milhões de pessoas foram afetadas por violações, exposições e fugas de dados, mais de 90% do total de 2020.
Segundo a ITChannel, em 2021, as organizações portuguesas foram atacadas, em média, 881 vezes por semana. Isto representa um aumento de 81% face a 2020. O nosso parceiro CheckPoint revelou, numa análise, as estatísticas globais e nacionais, gerais e de indústrias, relativas ao aumento do número de ciberataques que têm como principal alvo as redes corporativas, demonstrando os setores que mais sofreram (imagens abaixo).
A seguradora AON, no relatório 2021 Cyber Security Risk Report, aponta, ainda, as empresas de media e de telecomunicações, “grandes agregadores de dados”, como alvos comuns, precisamente pela dimensão de dados que possuem.
Um dos fatores que contribuiu para este aumento prende-se com a adoção das diferentes modalidades de trabalho, o trabalho remoto e o híbrido, exigidas pela Pandemia, que criaram vulnerabilidades e portas de entrada perfeitas para os hackers, estes que se estão a tornar cada vez mais complexos, sendo por isso mais difícil de garantir a segurança corporativa.
“Os hackers continuam a inovar. Novas técnicas de penetração nos sistemas e métodos de evasão fizeram com que fosse muito mais fácil para os hackers levar a cabo as suas intenções maliciosas”, comenta Omer Dembinsky, Data Research Manager, da Check Point Software.
Os hackers estão a tirar proveito da existência de novas variantes da Covid-19, tema que tem sido, desde o início da Pandemia, o “isco” favorito dos piratas informáticos para perpetrar ataques. No entanto, as novas variantes descobertas estão a ser aproveitadas para roubar credenciais ou dados sigilosos, com o objetivo de os usarem em lucrativos ataques virtuais, dados retirados do mais recente relatório da Agência da União Europeia para a Cibersegurança (ENISA).
“Durante a pandemia, os cibercriminosos têm explorado o interesse, a preocupação, a curiosidade e o medo das pessoas, usando iscos de phishing relacionados com a covid-19 para obter ganhos financeiros”, explica o relatório.
Ainda, as atividades cibercriminais são também orientadas para a exploração da curiosidade sobre os testes, localização de novos casos e, igualmente, para a vacinação. Para além destes focos, os ataques são, de igual forma, direcionados a indivíduos em teletrabalho, recorrendo a ameaças personalizadas. Por sua vez, a HP destaca a compra e ligação de novos dispositivos que não são controlados pelas equipas técnicas de IT, o denominado Shadow IT.
Estes ataques informáticos são levados a cabo por agentes criminosos altamente especializados em cada área de ação, ou seja, existem equipas especialistas no acesso inicial às organizações, à obtenção de acessos à administração, à exfiltração de dados sigilosos e, ainda, equipas experts em negociação com finalidade de extorsão. As táticas utilizadas são agressivas e de grande impacto, tornando todo o processo de recuperação bastante complexo e financeiramente custoso.
No que diz respeito aos dados exfiltrados das organizações, para além de dados empresariais, estão muitas vezes em causa dados pessoais que são cobertos pela lei de RGPD. Em consequência disto, alguns destes ataques de ransomware culminam em investigações por parte da Comissão Nacional de Proteção de Dados.
Um estudo realizado pela HP demonstrou que 74% das equipas de IT reportaram aumentos no número de colaboradores que abriram ligações ou anexos que continham phishing em emails. Por sua vez, 40% dos inquiridos afirmaram ter clicado num email malicioso e 49% destes, diz que o fez mais frequentemente desde o começo do teletrabalho. Por outro lado, dos trabalhadores no escritório que clicaram ou quase o fizeram, 70% não reportaram à equipa de IT, onde 24% não consideraram importante, 20% pensavam estar a incomodar e 12% tinham medo da punição.
“As pessoas muitas vezes não sabem se clicaram em algo malicioso, por isso os números reais são provavelmente muito mais altos”, comenta Ian Pratt, Chefe Global de Segurança para Sistemas Pessoais, HP Inc.
Face a este panorama, a Associação Portuguesa de Seguradores (APS) afirma que os seguros contra ataques informáticos têm uma “procura crescente”, assegurando que, em Portugal, se vá assistir a um crescimento, em linha com o que se tem verificado no resto da Europa. “São já várias as empresas de seguros que, em Portugal, dispõem de produtos padronizados neste domínio, disponibilizando coberturas, regra geral, em três domínios”, sendo eles o do aconselhamento, que se baseia na parceria com especialistas em segurança informática, como é o caso da ActiveSys, o domínio do apoio jurídico, e o domínio do ressarcimento de alguns tipos de danos resultantes dos ataques cibernéticos.
De todas as ameaças assistidas, está incluída a pornografia infantil online, fraude online, sites que promovem o destilamento de ódio, impedimento de acesso a serviços, infeção de vírus, receção de mensagens e emails fraudulentos e perda de acesso a contas. Para além do já referido ransomware, os ataques virtuais com maior relevância em 2021 foram as burlas, o phishing, o smishing, CEO Fraude e a divulgação de dados privados e fotografias.
Ainda se destaca os incidentes relacionados com passwords, dados provenientes do boletim do Centro Nacional de Cibersegurança, que alerta para o facto de os portugueses revelarem ter menos cuidado com a utilização de passwords, quando comparado com a média europeia, dado que, apesar do futuro das palavras-passe não estar assegurado, a palavra-passe é “um dos instrumentos de segurança mais críticos para a cibersegurança, na medida em que é a última barreira de segurança para aceder a dados pessoais e/ou sensíveis. Contudo, é também uma das funcionalidades de segurança mais frágeis, visto o seu nível de segurança depender muito da forma como é utilizada, ficando suscetível às dinâmicas do fator humano e às tendências do cibercrime”.
A já referida seguradora AON, apontava para que, apenas duas em cinco organizações, estariam preparadas para enfrentar ameaças ao nível da cibersegurança. Depreende-se, então, que as empresas devem delinear planos de atuação neste sentido, fazendo um “levantamento documentado dos seus ativos de risco e uma análise de risco bem definida, por forma a definirem um plano de recuperação tecnológico para agirem de maneira concertada em caso de incidente“, aconselha o gestor da Focus2Comply.
O vice-presidente da Cipher acrescenta que “os principais desafios serão proteger as organizações nas suas estratégias de transformação digital, principalmente na sua evolução para a cloud , o aumento do teletrabalho e a obsolescência de alguns dos seus ambientes. Além disso, o fator humano continua a ser um dos mais importantes desafios a enfrentar e é prioritário estabelecer planos de sensibilização adequados. De acordo com as estatísticas, o fator humano é o ponto mais vulnerável nas questões relacionadas com a Segurança da Informação“.
O Chief Risk Officer do Grupo Ageas Portugal, refere que não só o risco de ciberataques está a aumentar, assim como o âmbito dos seus alvos está a ser alargado “Se, no passado, estes ataques se centravam principalmente nas grandes empresas, uma vez que atraem maior interesse, vemos agora que as PME também não estão seguras”, sublinha.
Estes ataques aos ambientes organizacionais podem tornar as empresas inoperacionais, destruir a confiança que os clientes e fornecedores têm na empresa, podendo resultar em perdas monetárias incalculáveis, e em danos reputacionais que podem ser irreversíveis, visto que os dados de clientes, parceiros, fornecedores e colaboradores ficam comprometidos. Ricardo Negrão, responsável pela área de análise ao risco cibernético da seguradora AON, estimava, em Portugal, no mês de novembro de 2021, que os ciberataques pudessem custar às grandes organizações, até 10 milhões de euros. Este cálculo, baseado apenas em ataques de ransomware, o ataque mais comum, demonstra que Portugal é visto, cada vez mais, como um mercado atrativo.
No entanto, Portugal apresenta uma falha significativa neste processo. O Centro Nacional de Cibersegurança (CNCS) revelou uma “divergência significativa” entre a intenção de reportar os crimes informáticos e reportá-los, efetivamente. De acordo com estes dados, em causa está um “elevado grau de desconhecimento” sobre as formas de como o fazer. A este respeito, o CNCS defende que é fundamental que as empresas estejam informadas sobre as formas de fazer o reporte e quais os canais a utilizar para o efeito. Um dos serviços disponíveis é a Linha Internet Segura, um serviço de denúncia de conteúdos ilegais online, operacionalizada pela Associação Portuguesa de Apoio à Vítima (APAV).
Conclui-se, então, através dos dados expostos, que também as empresas precisam de realizar check-ups tecnológicos, completos e recorrentes, no âmbito da cibersegurança, para que os ataques virtuais sejam evitados. Também as equipas internas técnicas precisam de ajuda neste sentido, pelo que recorrer à ActiveSys é a melhor solução.
O Cibercrime é real e o risco de ciberataques é permanente. Conte com a ActiveSys para se proteger.