Todos nós podemos recordar algumas das maiores violações de dados da história recente. Os 100 milhões de registros roubados pelos agressores do T.J.Maxx em 2007 vem a nossa mente. E também os mais recentes ataques contra as lojas varejistas dos EUA, Home Depot (109 milhões) e a Target (110 milhões). E os 130 milhões de clientes afetados pela violação dos Sistemas de Pagamento Heartland em 2009, ou os 145 milhões de usuários do eBay atingidos por um grande comprometimento no ano passado?
O problema é que quando lemos sobre esses incidentes, o foco tende a a ser sobre as empresas, seus clientes e como poderiam ser afetados na sequência do ataque.
Embora não haja nada de errado com isso, por si só, pode ser útil dar uma olhada nos próprios dados: o que foi roubado, porque foi roubado e onde foi parar? Com essas respostas, as empresas podem começar a entender melhor e se defender contra os agressores.
O que está sendo roubado?
Este foi um dos principais focos do novo relatório da Trend Micro, Siga os Dados: Dissecando as Violações de Dados e Acabando com os Mitos. Nesse relatório, analisamos uma abundância de dados das violações publicamente divulgadas nos EUA, agrupadas pela organização sem fins lucrativos Privacy Rights Clearinghouse (PRC), da Califórnia, entre 2005 e 2015.
Apesar de variar por setor, descobrimos que em geral, as informações de identificação pessoal – nomes, endereços, números de seguro social, datas de nascimento, números de telefone, etc. – foram os tipos de dados mais populares roubados na última década. Mas, há duas ressalvas:
- Nós descobrimos, por exemplo, que se dados de identificação pessoal vazam, há 22 por cento de chance de que registros financeiros também sejam comprometidos e 23 por cento de chance de que registros médicos sejam roubados. Contrariamente, há apenas 8 por cento de chance de detalhes de cartões de pagamento sejam obtidos. Depende da situação e do objetivo do agressor.
- O valor dos dados de identificação pessoal no submundo cibercriminoso caiu bastante ultimamente porque a oferta superou a demanda. Em média, o preço caiu de $4 dólares por informação no ano passado para $1 dólar em 2015. Isso, apesar dos numerosos crimes para ganhar dinheiro que os hackers podem cometer usando esses dados, inclusive fraude de identidade, restituições fraudulentas de impostos, solicitações de financiamento ou cartões de crédito, registros de contas falsas, vendas para firmas de marketing e lançamento de ataques de spam e phishing.
Até mesmo os dados de cartão de crédito foram superados graças ao enorme volume de violações de dados do último ano. Isso significa que os vendedores não estão mais fazendo diferença de preço por marca de cartão.
Resumindo, o submundo do cibercrime é um ecossistema complexo e sempre em mutação, onde a dinâmica do mercado pode alterar rapidamente os tipos de dados que estão em demanda. Um bom exemplo disso são as contas do Uber, que ultimamente se tornaram incrivelmente populares dentro do mercado negro online, já que podem ser cobradas de maneira fraudulenta com viagens fantasmas feitas pelo hacker/’motorista’.
Alguns Controles de Segurança Críticos
Os números da última década nos deixaram com uma concreta conclusão – Não importa o tipo de dado de sua organização lida, ele está em risco de ser roubado por cibercriminosos. Como você irá reduzir o risco depende do tamanho de sua empresa, de seu orçamento e de quais medidas você já estabeleceu. Verifique no relatório a lista completa dos controles de segurança críticos das melhores práticas do setor.
Mas, um bom lugar para começar inclui:
- Medidas técnicas: Programas antimalware e antiphishing, filtro da web, controle de dispositivos, prevenção de perda de dados (DLP), gestão de patches, controles de aplicações, sistemas de detecção de violações, firewalls de hardware e software e criptografia de disco e dispositivo.
- Medidas não técnicas: Coisas simples como cuidar do bem-estar da equipe, e programas de conscientização e de segurança regulares, podem ajudar muito. Lembre-se de testar sua habilidade de resistir e responder aos ataques regularmente, por meio de testes de penetração, exercícios de resposta a incidentes ‘reais’ e exercícios Red Team.
Clique aqui para ler os dois relatórios da Trend Micro: Siga os Dados: Dissecando as Violações de Dados e Acabando com os Mitos e Siga os Dados: Analisando as Violações por Setor.
