A privacidade de dados exige proteção contra o preenchimento de credenciais

Jim Downey

Em 27 de junho de 2022, a Assembleia Global de Privacidade (GPA), uma associação que reúne mais de 130 autoridades reguladoras e fiscalizadoras de proteção de dados e privacidade, publicou as primeiras diretrizes intergovernamentais sobre preenchimento de credenciais afirmando que o preenchimento de credenciais representa um risco para os dados pessoais em escala global e que as leis de proteção de dados exigem que as organizações adotem medidas para se proteger contra essa prática.

A F5 se orgulha de ter participado da elaboração das diretrizes e agradece o reconhecimento da GPA. Há muito tempo, a F5 reconhece a ameaça do preenchimento de credenciais. Foi Sumit Agarwal, da F5, quem cunhou o termo preenchimento de credenciais quando atuava como subsecretário adjunto de Defesa no Pentágono, uma percepção que levou à fundação da Shape Security (agora parte da F5) em 2011 como fornecedora líder de soluções de gerenciamento de bots. Hoje, a F5 continua protegendo os maiores bancos, varejistas de comércio eletrônico, companhias aéreas, empresas do setor de hospitalidade e empresas de mídia social do mundo contra o preenchimento de credenciais e ameaças relacionadas.

As novas diretrizes, publicadas pelo Grupo de Trabalho de Cooperação Internacional em Fiscalização (IEWG), um grupo de trabalho permanente da GPA, documentam como o preenchimento de credenciais é realizado, explicam os fatores econômicos que levam os invasores a adotar essa prática em larga escala, destacam por que ela é uma preocupação global e precisa ser incorporada à legislação de privacidade de dados, além de descreverem vários métodos para mitigá-la.

As diretrizes da GPA se baseiam em vários alertas recentes emitidos por órgãos governamentais. Em 5 de janeiro de 2022, o Gabinete da Procuradora-Geral do Estado de Nova York publicou um Guia para Empresas sobre o aumento desenfreado do preenchimento de credenciais e a necessidade de as empresas adotarem medidas preventivas. Em 15 de setembro de 2020, a Comissão de Valores Mobiliários dos Estados Unidos emitiu um Alerta de Risco sobre o aumento expressivo de ataques de preenchimento de credenciais contra consultores de investimentos, corretores e distribuidoras registrados na SEC. Em 10 de setembro de 2020, o Federal Bureau of Investigation dos Estados Unidos emitiu uma Notificação ao Setor Privado alertando para uma onda de ataques de preenchimento de credenciais contra instituições financeiras dos EUA, que afetou mais de 50 mil contas e gerou às empresas um custo médio anual de US$ 6 milhões apenas com notificações e medidas corretivas. Esses incidentes continuam afetando os diretores de privacidade, como demonstra o recente artigo da CPO que documenta um ataque de preenchimento de credenciais em grande escala contra a General Motors.

O preenchimento de credenciais é um crime cibernético no qual criminosos testam credenciais roubadas em sites para assumir o controle de contas. Os criminosos realizam esses ataques em grande escala usando ferramentas automatizadas conhecidas como bots. Trata-se de um crime cibernético extremamente eficaz e com alto retorno sobre o investimento porque: 1) as credenciais roubadas estão amplamente disponíveis; 2) até 60% das pessoas reutilizam senhas em diferentes contas (de acordo com o FBI); e 3) muitas organizações recorrem a métodos de mitigação ineficazes, como CAPTCHA e listas de bloqueio de endereços IP.

O número de credenciais roubadas é impressionante. Somente em 2020, 1,86 bilhão de credenciais foram roubadas, de acordo com o F5 Labs 2021 Credential Stuffing Report. As diretrizes da GPA destacam que megavazamentos, como o vazamento do Yahoo em 2013, expuseram bilhões de credenciais. Os invasores podem explorar essas credenciais roubadas durante anos antes que os vazamentos sejam divulgados publicamente.

"...Pesquisas do setor privado identificaram 55 bilhões de ataques de preenchimento de credenciais no setor de jogos entre novembro de 2017 e março de 2019, o equivalente a mais de 3 bilhões de ataques por mês e mais de 107 milhões de ataques por dia. Outras pesquisas identificaram 193 bilhões de ataques de preenchimento de credenciais em todo o mundo durante 2020, o equivalente a mais de 16 bilhões de ataques por mês e mais de 500 milhões de ataques por dia."

As diretrizes da GPA também destacam que as vítimas dessas violações de privacidade podem sofrer danos que vão além das perdas financeiras, incluindo prejuízos à reputação causados por desinformação ou por declarações falsas sobre uma pessoa feitas por meio de sua conta comprometida. É fácil imaginar como essas violações de privacidade podem arruinar vidas.

Mais importante, as diretrizes concluem que as organizações devem considerar as proteções contra o preenchimento automatizado de credenciais como uma das medidas de segurança “adequadas” exigidas pelas leis de privacidade de dados, citando disposições específicas do GDPR da União Europeia e da Regra de Salvaguardas da Comissão Federal de Comércio dos Estados Unidos.

"Diante da evidente ameaça aos dados pessoais representada pelos ataques de preenchimento de credenciais (especialmente para organizações com contas de usuário que podem ser acessadas on-line) e do processamento/acesso não autorizado que pode resultar desses ataques, a implementação de medidas para proteger os dados pessoais contra ataques de preenchimento de credenciais será, em geral, exigida, ao menos implicitamente, pelas leis de proteção de dados e privacidade."

As diretrizes da GPA recomendam que as organizações considerem diversos métodos de mitigação para se protegerem contra o preenchimento de credenciais:

• Finalização da compra como convidado, que elimina o uso de credenciais
• Políticas de senhas fortes para minimizar o risco de reutilização
• Alternativas às senhas, como o Single Sign-On (SSO)
• Autenticação multifator (MFA)
• Senhas secundárias e PINs
• Impressão digital do dispositivo
• Nomes de usuário imprevisíveis
• Identificação de senhas vazadas
• Limitação de taxa
• Página e processos de login (login em várias etapas)
• Monitoramento/detecção de contas
• Verificações adicionais para redes de anonimato (como o TOR)
• CAPTCHAs
• WAFs
• Listas de bloqueio e de permissão de IPs
• Planos de resposta a incidentes e notificações aos usuários

Essas são, sem dúvida, técnicas válidas que têm contribuído para mitigar ataques de preenchimento de credenciais. Ao avaliar quais abordagens seriam mais adequadas para sua organização, a F5, que inova nesse segmento há muitos anos, recomenda considerar técnicas que mitiguem bots de forma eficaz e em tempo real, sem prejudicar a experiência do usuário nem exigir o redesenho da aplicação.

Embora senhas secundárias e PINs, nomes de usuário imprevisíveis e páginas de login com várias etapas aumentem a proteção, isso ocorre à custa de mais atrito para o usuário. As empresas que desejam aumentar as conversões de clientes e reduzir o abandono de carrinhos de compras devem evitar criar obstáculos entre o cliente e a compra. A finalização da compra como convidado também pode ajudar, mas impede que as organizações ofereçam uma experiência personalizada e direcionada. Embora seja eficaz, a autenticação multifator (MFA) também adiciona atrito à experiência do usuário e tem sido um dos principais alvos dos criminosos.

Da mesma forma, o CAPTCHA adiciona atrito e oferece uma defesa menos eficaz do que muitas pessoas imaginam. Os serviços de resolução de CAPTCHA, que usam aprendizado de máquina e fazendas de cliques, permitem que bots contornem o CAPTCHA a um baixo custo. (Leia sobre as aventuras de Dan Woods em Relatos de um solucionador humano de CAPTCHA.)

As organizações que trabalharam com a F5 descobriram que as listas de bloqueio de IPs e as regras estáticas de WAF são muito difíceis de manter. Os serviços de proxy permitem que bots utilizem milhões de endereços IP residenciais válidos. Enquanto isso, sempre que são bloqueados, os bots se adaptam em questão de horas. Essas abordagens obrigam as equipes de segurança a participar de um jogo interminável de gato e rato, no qual estão fadadas a perder.

Da mesma forma, o monitoramento e a detecção de atividades em contas, os planos de resposta a incidentes e as notificações aos usuários são importantes e precisam fazer parte de um programa de gerenciamento de bots, mas essas medidas de proteção são aplicadas somente após o ocorrido. Felizmente, existem técnicas para impedir que criminosos assumam o controle de contas.

A F5 trabalha com organizações determinadas a proteger a si mesmas e seus clientes contra abusos fraudulentos resultantes do preenchimento de credenciais, ao mesmo tempo que oferece excelentes experiências digitais que encantam os clientes e garantem o sucesso no competitivo mercado atual. A F5 conquistou a fidelidade dos clientes ao oferecer proteção contra bots com a mais alta eficácia disponível, sem causar atrito para o usuário. A tecnologia se baseia em anos de pesquisa e desenvolvimento de sinais nativos de JavaScript e dispositivos móveis, abrangendo ambientes de dispositivos e características comportamentais dos bots. Além da detecção em tempo real baseada nesses sinais, o F5 Distributed Cloud Bot Defense inclui um serviço de análise de machine learning que detecta e responde rapidamente à reformulação de bots. Para garantir a eficácia a longo prazo, o código de coleta de sinais passa por uma técnica avançada de ofuscação, que impede a engenharia reversa e a adulteração de sinais.

A F5 acredita em tornar a segurança cibernética uma questão pessoal, e os ataques de preenchimento de credenciais — que fraudam organizações e causam danos devastadores às pessoas — representam exatamente o tipo de problema que nos dedicamos a resolver. Como destaca Dan Woods, Diretor Global de Inteligência da F5, na Fast Company, esses ataques receberam pouca atenção até agora. Felizmente, a GPA e diversas agências de proteção à privacidade estão trazendo os riscos à privacidade individual para o centro das discussões.

"O ataque à Colonial evidenciou uma clara desconexão entre a percepção do público e a narrativa da mídia sobre segurança cibernética. Cause um pequeno transtorno a milhões de pessoas: manchetes internacionais. Arruíne milhares de famílias roubando as economias de uma vida inteira em golpes separados: silêncio absoluto."

Nesta era digital, em que grande parte da nossa vida é armazenada como dados on-line, dependemos de que as organizações tratem a privacidade de dados com a máxima seriedade — uma necessidade reforçada pelas leis de privacidade cada vez mais rigorosas promulgadas por governos em todo o mundo. Legislações de privacidade de dados, como o GDPR, exigem que as organizações adotem todas as medidas adequadas para proteger a privacidade. Diante do que sabemos hoje sobre o preenchimento de credenciais, estas diretrizes da GPA deixam claro que a proteção contra esse tipo de ataque deve fazer parte das medidas adequadas adotadas por qualquer organização.

Para obter mais informações sobre o ROI da proteção contra bots, consulte o Relatório de Impacto Econômico Total da Forrester. Saiba mais e agende uma conversa com um especialista em bots da F5 em f5.com/bot-defense.

Sobre o autor

Jim Downey

Mais publicações de Jim Downey