Quando o tema é segurança de sistemas e cybersecurity, há uma série de cuidados que as empresas devem ter. Isso porque cresce a cada dia o volume de ataques, especialmente os virtuais, colocando informações sensíveis em risco.
Neste artigo, trazemos uma série de exemplos reais. A ideia é que você consiga visualizar as consequências desastrosas de eventos e, consequentemente, trabalhar para evitá-los em seu negócio.
Acompanhe!
Vulnerabilidades de cybersecurity: as ameaças a que seu negócio está exposto
Vamos começar pelos quatro tipos de vulnerabilidades de cybersecurity que ameaçam a segurança de sistemas e aplicações. Veja quais são eles, a seguir.
1. Vulnerabilidades dos sistemas
Os cibercriminosos exploram essas vulnerabilidades para danificar dispositivos que executam sistemas através de acessos via internet. Este tipo de ataque pode chegar até mesmo no nível do sistema operacional.
Um exemplo comum inclui um ataque de negação de serviço (DoS) que envia solicitações falsas repetidamente para obstruir um sistema até que ele fique sobrecarregado. Software desatualizado, com testes insuficientes e sem patches podem levar a vulnerabilidades deste tipo.
2. Vulnerabilidades de rede
Esta categoria representa todos os pontos fracos de infraestrutura de hardware ou software que podem permitir que criminosos cibernéticos obtenham acesso não autorizado e causem danos. Exemplos comuns incluem acesso sem fio mal protegido e firewalls mal configurados.
3. Vulnerabilidades de processo (ou procedimentais)
Ocorrem quando os procedimentos colocados para atuar como medidas de segurança são insuficientes. Por exemplo, se a equipe de desenvolvimento não tem ferramentas adequadas para testar a segurança de sua codificação em todas as etapas do ciclo de desenvolvimento, vulnerabilidades deixam de ser detectadas e os dados da empresa ficam expostos. Outras vulnerabilidades de processos comuns incluem fraquezas na autenticação de acessos, como senhas fracas e autenticação “quebrada”, ou inadequada.
4. Vulnerabilidades humanas
Essa categoria inclui todos os erros do usuário que podem expor hardware, dados confidenciais e redes a cibercriminosos.
As vulnerabilidades humanas representam a ameaça mais crítica, especialmente devido ao aumento do trabalho remoto. Elas incluem abrir anexos de e-mail infectados com malware ou esquecer de instalar atualizações de software em dispositivos móveis.
→ Leia também: Como identificar vulnerabilidades na segurança cibernética da sua empresa.
Categorias de vulnerabilidades: o que olhar com mais critério a partir de agora
Confira agora algumas categorias de vulnerabilidades que devem ser conhecidas e tratadas de maneira preventiva. Primeiramente pelo time de TI, mas também por todos os usuários devidamente informados sobre a política de cybersecurity da empresa.
Injeção de comando
Nesta categoria, os cibercriminosos usam injeção de comando para explorar um aplicativo vulnerável para executar comandos arbitrários no sistema operacional do host. Esses ataques geralmente visam os privilégios de um aplicativo vulnerável.
Entidade externa XML (XXE)
Neste caso, os cibercriminosos usam XXE para atacar aplicativos que podem analisar a entrada XML. Este tipo de ataque explora analizadores XML mal configurados contendo código XML que pode fazer referência a entidades externas.
Autenticação quebrada
Aqui as credenciais de autenticação comprometidas permitem que os cibercriminosos sequestrem sessões de usuários e roubem identidades para se passarem por usuários legítimos.
SQLi
Os cibercriminosos usam injeções de SQL para obter acesso não autorizado ao conteúdo do banco de dados usando injeção de código malicioso.
Uma injeção de SQL bem-sucedida pode permitir que um cibercriminoso se envolva em várias atividades maliciosas, como falsificação de identidades e roubo de dados confidenciais.
Falsificação de solicitação do lado do servidor
Esses ataques permitem que os cibercriminosos façam solicitações a domínios usando um servidor vulnerável. Eles forçam o servidor a se conectar de volta a si mesmo, a um recurso ou serviço interno ou ao provedor de nuvem do servidor.
Configurações incorretas de segurança
Esta categoria de vulnerabilidade pode incluir qualquer componente de segurança que os cibercriminosos tenham oportunidade de explorar. Trata-se de erros de configuração que permitem que os cibercriminosos ignorem as medidas de segurança.
XSS
Essa técnica injeta código malicioso em um site para direcionar os usuários do site, colocando informações confidenciais do usuário em risco de roubo.
Falsificação de solicitações entre sites
Esses ataques tentam enganar os usuários autenticados para que executem uma ação em nome de um agente mal-intencionado.
Os cibercriminosos costumam usar CSRF com engenharia social para enganar os usuários a fornecer dados pessoais involuntariamente.
→ Leia também: As principais vulnerabilidades de ciberataques que merecem atenção.
5 exemplos de empresas que tiveram a segurança de sistemas violada
Entendidas as vulnerabilidades, veja agora cinco empresas que enfrentaram sérios problemas com a segurança de sistemas!
1. Microsoft
Em janeiro de 2020, a Microsofty admitiu que um banco de dados interno de suporte ao cliente que armazenava as análises de usuários anônimos da empresa foi exposto online acidentalmente.
Essa exposição acidental do servidor resultou de regras de segurança do Azure mal configuradas que a Microsoft implantou em 5 de dezembro de 2019.
Apesar da situação, a companhia expressou confiança de que os serviços comerciais de nuvem não foram expostos e seus engenheiros corrigiram a configuração rapidamente para impedir o acesso não autorizado ao banco de dados exposto.
Contudo, infelizmente a violação de dados expôs endereços IP, endereços de e-mail e outros dados armazenados no banco de dados de análise de casos de suporte.
2. Marriot
Em janeiro de 2020, cibercriminosos abusaram de um aplicativo de terceiros que a rede de hotéis Marriott usava para serviços aos hóspedes. Com isso, obtiveram acesso a 5,2 milhões de registros de clientes: de informações de contato a dados de passaporte, passando por detalhes da conta de fidelidade e até preferências pessoais.
No final de fevereiro de 2020, a equipe de segurança da Marriott notou a atividade suspeita e selou a violação. Apesar disso, agora se sabe que quase 339 milhões de hóspedes foram afetados.
E mais: como a empresa não cumpriu os requisitos do Regulamento Geral de Proteção de Dados (GDPR), teve que pagar uma multa de 18,4 milhões euros.
3. Ring home
Parte do grupo Amazon, a Ring é uma empresa de segurança doméstica e casa inteligente. Nos últimos anos, ela passou por dois incidentes de segurança:
- Acidentalmente revelou dados do usuário ao Google e ao Facebook por meio de rastreadores de terceiros incorporados ao aplicativo Android da empresa.
- Uma violação de segurança da Internet das Coisas (IoT) permitiu que os cibercriminosos invadissem com sucesso campainhas conectadas e sistemas de monitoramento doméstico de várias famílias.
Os cibercriminosos usaram credenciais fracas, padrão e recicladas durante a violação da IoT para acessar feeds ao vivo de câmeras nas casas dos clientes do Ring. Eles também podem usar os microfones e alto-falantes integrados dos dispositivos para se comunicar remotamente.
Mais de trinta pessoas em quinze famílias relataram que os cibercriminosos os assediavam verbalmente. O que abalou bastante a reputação da companhia.
4. SolarWinds
A SolarWinds fornece software de TI para cerca de 33.000 clientes, incluindo entidades governamentais e grandes corporações nos Estados Unidos.
Em 2022, os cibercriminosos injetaram código malicioso em um dos sistemas de software da companhia, transferindo o código para todos os clientes durante uma atualização regular do sistema.
Esse código malicioso permitiu que os hackers instalassem mais malware e espionassem organizações e agências governamentais, incluindo o Departamento do Tesouro e o Departamento de Segurança Interna dos EUA.
5. Cognyte
Em junho de 2021, a Cognyte, uma empresa de análise cibernética, não conseguiu proteger seu banco de dados. Com isso, expôs cinco bilhões de registros que revelaram incidentes de dados anteriores.
Esses registros foram postados online sem qualquer autenticação — incluindo senhas — durante quatro dias. Embora não esteja claro quantas senhas foram expostas, os registros continham nomes, endereços de e-mail e a fonte de dados.
→ Leia também: 4 falhas na gestão de vulnerabilidades que sua empresa deve evitar.
Conclusão
Conforme tudo o que vimos aqui, o planejamento de cybersecurity deve ser uma prioridade na sua empresa. Isso porque só agindo preventivamente é possível antever ameaças e responder com efetividade se elas se concretizarem.
Essa é a única maneira de evitar que a operação seja afetada e que a Lei Geral de Proteção de Dados (LGPD) não seja descumprida. Consequentemente, que os clientes não sejam expostos e o negócio não perca faturamento e reputação no mercado.
Na sua empresa, como o tema de cybersecurity tem sido tratado?
Aqui na Nova8, temos ajudado muitos clientes a melhorar sua segurança de sistemas. E estamos sempre prontos para entender as suas necessidades e propor a melhor solução. Conheça agora mesmo o que fazemos e como podemos te ajudar a fazer melhorias em cybersecurity!
→ Este texto foi escrito a partir de informações publicadas pela Bright.
