Por Michael Sentonas, executivo viewpoint CrowdStrike
Qual o saldo dos ataques cibernéticos em 2021? O questionamento é importante quando suas respostas podem trazer informações relevantes sobre o futuro da cibersegurança e de seus desafios para conter a ação dos e-criminosos em todo o mundo.
Em sua quarta edição, a Pesquisa Global de Atitude de Segurança da CrowdStrike, divulgado em dezembro, revelou que o saldo crescente no número de ataques em 2021 (com novos recordes) foi muito maior do que o valor pago para os cibercriminosos. E olha que a quantia por si só já é bastante expressiva.
Em 2021, o pagamento médio do resgate foi de US＄ 1,79 milhão, valor 63% maior do que em 2020. Isso sem falar que o ataque muitas vezes não parou quando a vítima pagou o primeiro resgate. Isso porque 96% das organizações foram extorquidas em montantes adicionais, custando às empresas, em média, US＄ 792.493 como “extra” para evitar a publicação dos dados exfiltrados em “sites de vazamento dedicados” (DLSs) voltados ao público ou mesmo à divulgação do próprio ataque.
E o que pode ser pior do que este cenário? A pesquisa da CrowdStrike, conduzida pela empresa independente Vanson Bourne, após ouvir 2.200 gerentes de TI e segurança em empresas de médio e grande porte em todo o mundo, revelou que quase dois terços (63%) dos entrevistados estão perdendo a confiança nos principais fornecedores de software, incluindo gigantes como a Microsoft.
A justificativa é a de que muitos incidentes de segurança estão relacionados a produtos e serviços desses fornecedores. Ou seja: impossível não considerar para o futuro questões ligadas à chamada “ameaça interna”, que vai além de culpar as empresas (e suas próprias equipes) pela razão de sofrerem tantos ataques.
Toda a cadeia de suprimentos precisa ser responsabilizada, como visto nos recentes incidentes da Sunburst e Kaseya, com violações originadas de código comprometido ou vulnerável em fontes que as organizações historicamente confiaram, como aplicativos de software, componentes, infraestrutura e suporte seguros, e nas quais dependem para as operações atuais.
Portanto, estamos direcionando a questão para a crise de confiança envolvendo fornecedores, o que certamente é algo difícil de mensurar em números. De acordo com a pesquisa, 84% dos profissionais de TI e segurança avaliam que os ataques à cadeia de suprimentos serão uma de suas ameaças de segurança cibernética mais significativas nos próximos três anos.
Esse comportamento reforça claramente a necessidade das organizações revisarem seus procedimentos de verificação, bem como estratégias de recuperação e avaliações mais rigorosas de seus fornecedores e parceiros de trabalho, não importando a longevidade ou reputação dos mesmos.
Ataques
Segundo a pesquisa, quase metade (45%) dos entrevistados já experimentou um ataque à cadeia de abastecimento nos últimos 12 meses, contra 32% em 2018 - um salto de 40% nesse período.
Isso mostra que, junto a essa escalada e a complexidade e frequência de ataques que a acompanham, as organizações infelizmente perderam terreno em seus esforços para combater ataques dentro de restrições de tempo efetivas, ficando vulneráveis a mais ameaças em potencial.
Um dado é que dois terços (66%) das organizações dos entrevistados sofreram pelo menos um ataque de ransomware nos últimos 12 meses - significativamente mais alto do que os 56% que relatam ter sido atacados, no mesmo período em 2020.
É claro que as organizações precisam fazer muito mais para proteger seus ativos, mas a maioria está terrivelmente despreparada. Em termos de ataques de ransomware, 57% das organizações afirmam não ter uma estratégia abrangente em vigor para proteção contra ataques de ransomware.
O ambiente ainda novo de funcionamento híbrido fornece alguma explicação para este cenário, além de expandir a discussão para tempos de detecção e resposta. A pesquisa revelou que, em média, os entrevistados estimaram que sua organização levaria 146 horas para detectar uma incursão de segurança cibernética. Este é um aumento acentuado em relação às médias relatadas em 2020 e 2019, que eram de 117 horas e 120 horas, respectivamente.
Reduzir esse tempo é prioridade. E também tema para outro artigo.
Quer saber mais sobre a pesquisa, clique aqui
