Marca, negócios e fraude

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Phishing e fraude são mais frequentemente (e lamentavelmente) associados aos setores financeiro e bancário.

Fraude é apenas outra palavra para trapaça, enganação, logro e ardil. E são exatamente esses os meios pelos quais os invasores obtêm diariamente as credenciais de usuários corporativos. Por meio de phishing e de malware instalado em ativos corporativos pelo simples ato de navegar na internet. Ah, eu sei, você não permite que os usuários corporativos acessem esses tipos de site. Mas permite que eles acessem a BBC? A Newsweek? O The New York Times? E o MSN? Todos foram vítimas recentes de publicidade maliciosa, em que criminosos usam sites de primeira linha para distribuir anúncios on-line carregados de malware por meio de empresas de publicidade on-line. Ah, é claro que você tem um software antivírus em execução. Mas apenas 25% dos malwares encontrados no mundo real são detectados por antivírus, de acordo com Cinco hábitos de malwares altamente bem-sucedidos. Sem dúvida, você já realizou várias sessões de “conscientização sobre segurança” com seus funcionários, ensinando-os a reconhecer os sinais de uma tentativa de phishing. Mesmo assim, quase 50% das vítimas abrem esse e-mail e clicam no link na primeira hora após recebê-lo.

Agora, não podemos esquecer que as pessoas acessam suas instituições financeiras a partir do local de trabalho, onde os criminosos recorrem intensamente a phishing e malware. Uma pesquisa da IDC indica que de 30% a 40% do tempo de acesso à Internet no local de trabalho é gasto em atividades não relacionadas ao trabalho. Talvez seja por isso que nosso SOC da F5 constatou que as tentativas de phishing eram significativamente mais frequentes durante a semana do que nos fins de semana, sendo a segunda-feira um dia muito popular para esse tipo de golpe. Se um funcionário estiver realizando alguma operação bancária na manhã de segunda-feira e for vítima de um ataque de phishing destinado a roubar suas credenciais financeiras, é bem provável que os criminosos também obtenham as credenciais corporativas. Afinal, os antivírus não detectam tudo, e as pessoas continuam sendo vítimas de ataques de phishing. Essas credenciais corporativas são tão fáceis de vender no mercado aberto quanto quaisquer outras — ou seja, muito fáceis.

Há também os funcionários que acessam ativos corporativos por meio de uma VPN SSL ou de outro portal “protegido” fora do ambiente corporativo. O malware que está no navegador deles neste exato momento não se importa muito se está capturando credenciais corporativas ou de consumidores. Todas elas têm algum valor para o invasor e, já que ele teve todo o trabalho de infectar o dispositivo, por que não capturar tudo o que puder?

A realidade é que a “fraude” não é exclusividade dos setores financeiro e bancário. É verdade que eles são os mais atingidos e sentem o impacto mais imediato, pois os criminosos estão atrás do dinheiro que essas instituições foram incumbidas de administrar para todos nós. Mas, se você se lembrar de algumas das “grandes” violações dos últimos anos, verá que a maioria delas remonta a uma única causa principal: credenciais roubadas.

Credenciais que podem ter sido roubadas diretamente por meio de phishing ou malware, ou por cavalos de Troia que conseguiram passar pelos sistemas tradicionais de detecção e deram aos criminosos uma porta de entrada fácil para a sua rede. A partir daí, na maioria das vezes, o alvo são os dados — tanto de clientes quanto da empresa. Quando você menos espera, pimba! Você está na capa da revista “Adivinhe quem não conseguiu proteger seus dados esta semana*”.

Os custos de lidar com essa violação vão muito além dos aspectos técnicos e operacionais.

Impactos na marca e nos negócios

É claro que há custos de recuperação e limpeza. Os recursos são realocados para eliminar todas as ocorrências de malware e backdoors decorrentes daquele único ataque de phishing bem-sucedido. Os computadores são formatados e os sistemas reinstalados para remover as ameaças que entraram por meio de downloads automáticos ou publicidade maliciosa. Isso resulta em uma perda significativa de produtividade nas equipes de TI e nas unidades de negócios, afetando seus resultados financeiros.

E então começam os danos à marca. O Twitter fervilha de comentários indignados. Sua marca, até então impecável, vira um meme de deboche que se espalha mais rápido do que o primeiro resfriado do inverno em uma escola de ensino fundamental.

Depois que os computadores estiverem limpos e proteções mais robustas forem implementadas, os efeitos de uma violação continuarão abalando a reputação da sua marca, e você terá que lidar com isso. De acordo com um estudo recente mais da metade (57%) das organizações admite que incidentes de segurança afetaram negativamente sua reputação, gerando custos superiores a US$ 8.000 para pequenas e médias empresas e a US$ 200.000 para grandes empresas. Parte desses custos decorre da contratação de agências externas para ajudar a gerenciar a enorme demanda por respostas, esclarecimentos e orientações sobre como proceder. Outra parte vem dos custos incorridos para atender às expectativas dos consumidores quanto ao fornecimento de proteção contra roubo de identidade (63%), serviços de monitoramento de crédito (58%) e indenização em dinheiro, produtos ou serviços (67%).

Parte disso decorre da perda de clientes, pois, ao que tudo indica, a marca é um fator importante nas decisões de compra dos consumidores. O preço costuma ser apontado como o principal fator, mas constata-se que as considerações sobre o preço são relativas à reputação da marca. Os consumidores pagarão mais por uma marca com boa reputação, o que torna imprescindível restaurar a imagem da sua marca o mais rápido possível após uma violação.

Mas os danos não se restringem aos consumidores, embora geralmente sejam o primeiro grupo que analisamos. O recrutamento também é afetado. Atrair os talentos certos custa dinheiro, e o relatório Employer Branding Global Trends observou que empresas com uma boa marca empregadora tiveram custos de recrutamento 22% menores. Isso supondo que você consiga despertar o interesse dos talentos. A mesma pesquisa constatou que 45% dos potenciais candidatos consideram “importante” a percepção de outras pessoas sobre a empresa para a qual trabalham ao escolher um novo emprego. A marca influencia a decisão das pessoas de trabalhar ou não para uma organização; portanto, violações podem prejudicar sua capacidade de atrair (e possivelmente reter) os talentos necessários para alcançar o sucesso hoje.

Como combater fraudes na web

A boa notícia é que existem ferramentas para combater as ameaças de phishing e malware. Muitas delas. A questão é que elas são geralmente classificadas como “antifraude” e mencionadas no contexto de finanças, serviços bancários e outros setores que lidam com dinheiro. Mas essas soluções não são exclusivas dos setores financeiro e bancário; não há nada de especial na forma como esses setores interagem com os clientes que torne as ferramentas antifraude aplicáveis apenas à proteção deles, pois, na verdade, elas se destinam a combater a fraude na web; ou seja, o uso de aplicativos e tecnologias da web para induzir, enganar e coagir pessoas a fornecer suas credenciais.

O que as soluções contra fraudes na web fazem é detectar e impedir o roubo de credenciais que, em última análise, ajudam os invasores a violar a segurança. Não importa se eles estão atrás de dinheiro ou dados; quando começam a coletar credenciais, coletam quaisquer credenciais, sejam elas corporativas ou de consumidores. Se os funcionários acessarem recursos corporativos usando uma máquina comprometida, os criminosos obterão as credenciais corporativas junto com todo o resto. E isso deve ser motivo de preocupação para empresas de qualquer setor.

* Não é uma publicação de verdade, mas, depois da série de violações ocorridas nos últimos anos, parece que há necessidade de uma, não é?

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie