3 lições a serem aprendidas com a perda de US$ 100 milhões sofrida pelo Facebook e pelo Google em um ataque de spear phishing
A BBC noticiou recentemente que o Facebook e o Google transferiram, separadamente, mais de US$ 100 milhões para um único hacker na Lituânia. Embora se trate de gigantes corporativos globais, há lições a serem aprendidas por todos sobre segurança cibernética em 2017.
- Um único hacker pode causar um grande prejuízo financeiro
- Por mais sofisticada que seja sua defesa de segurança cibernética, você corre risco
- O spear phishing e a engenharia social contornam a segurança da rede e dos terminais
Criminosos cibernéticos que se passam por fornecedores
O Facebook e o Google não são, na verdade, tão excepcionais assim por terem caído nesse tipo de golpe. Não faz muito tempo, a Ubiquiti Networks foi vítima de um golpe de US$ 47 milhões por meio de um ataque de engenharia social semelhante. A BBC detalhou a estratégia que levou à queda do Facebook e do Google.
“E-mails fraudulentos de phishing foram enviados a funcionários e agentes das empresas vítimas, que realizavam regularmente transações multimilionárias com a empresa [asiática]”, afirmou o (DOJ) informou em março.
Esses e-mails fingiam ter sido enviados por funcionários da empresa sediada na Ásia, alegou o Departamento de Justiça, e foram enviados a partir de contas de e-mail criadas para parecer que provinham da empresa, mas que, na verdade, não eram dela.
É isso aí. Um caso clássico de spear phishing (as definições de phishing, spear phishing, engenharia social e whaling podem ser encontradas aqui). Funcionários específicos foram alvo de e-mails fraudulentos. O autor da fraude falsificou documentos para que parecessem ter sido emitidos por um fornecedor chinês legítimo. Duas empresas transferiram US$ 100 milhões para um único hacker. O que chama a atenção nessa história é que o hacker foi pego e parte dos fundos foi recuperada. Se fosse uma quadrilha sofisticada, como a que realizou os ataques às transferências Swift do Banco de Bangladesh, envolvendo US$ 81 milhões, pode ter certeza de que todos os fundos já teriam desaparecido há muito tempo e não estariam disponíveis para recuperação.
O que há de errado aqui? Os seres humanos são facilmente enganados.
Havia uma citação de um “especialista em segurança” no artigo que explica muito bem por que esses ataques continuarão ocorrendo. Ele disse: “Mas as pessoas fazem parte da melhor segurança que você pode ter — é por isso que é preciso treiná-las.” Os leitores do blog da Kaseya sabem que defendemos o treinamento para ajudar os funcionários a identificar ataques de phishing e spear phishing. No entanto, os leitores também sabem que os funcionários treinados para detectar phishing ainda abrem 30% dos e-mails fraudulentos. Provavelmente é por isso que 65% das empresas relataram ter sido vítimas de ataques bem-sucedidos de engenharia social no ano passado.
A ideia de que é possível confiar nas pessoas para servir de barreira contra golpes cibernéticos sofisticados é uma ilusão ultrapassada. Vá em frente e ofereça algum treinamento. Isso pode ajudar. Mas é preciso reconhecer que as pessoas são facilmente enganadas. Seus funcionários precisam da ajuda da automação.
As defesas cibernéticas atuais não impedem os ataques de spear phishing.
Assim como o treinamento, a segurança de rede e a proteção de terminais também são defesas necessárias. O problema é que táticas de engenharia social, como o spear phishing, contornam essas defesas porque são os próprios funcionários que concedem acesso a elas. O funcionário é induzido a agir em nome do hacker que se faz passar por um parceiro de negócios ou é levado a revelar credenciais que proporcionam acesso direto aos seus sistemas.
Um estudo da PhishMe realizado em 2016 revelou que 91% dos ataques cibernéticos tiveram início com um ataque de phishing. O renomado relatório DBIR da Verizon, de 2015, constatou que 90% dos incidentes de segurança foram atribuíveis a falhas humanas. Proteja suas redes e terminais, mas esteja ciente de que o que o FBI denomina “Business Email Compromise” (BEC) é um vetor de ataque cibernético amplamente utilizado. Simplesmente não dá para confiar que as pessoas identifiquem corretamente todos os ataques à segurança cibernética. Os ciberataques fazem suas pesquisas e têm uma alta taxa de sucesso.
O que você está fazendo para proteger seus funcionários contra o spear phishing?
Existem duas abordagens automatizadas que estão sendo utilizadas atualmente para proteger os funcionários contra o spear phishing: o DMARC e o Trust Graph™. O DMARC ajuda a proteger as organizações contra um tipo de ataque de spear phishing. É melhor do que nada. No entanto, o Trust Graph, desenvolvido pela Kaseya 365 User, protege as organizações contra todos os quatro tipos de ataques de spear phishing.
O Trust Graph utiliza a teoria dos grafos e o aprendizado de máquina para analisar rapidamente as relações entre o remetente externo do e-mail e o funcionário destinatário, além de comparar outros indicadores com fontes de inteligência contra ameaças geradas tanto externamente quanto internamente. Ao longo de um período de testes beta de 15 meses com 10 empresas de médio porte, o Trust Graph do Kaseya 365 User identificou com sucesso ataques de spear phishing e de engenharia social. Você pode ativar o Kaseya 365 User em apenas um minuto e testá-lo gratuitamente para ver como funciona.
