Proteção contra o cibercrime durante a Euro 2020

David WarburtonDiretor de Pesquisa de Ameaças | F5

A Eurocopa 2020, adiada anteriormente, finalmente começou, marcando o início de um dos maiores eventos esportivos realizados em mais de um ano.

E, como em qualquer evento desse porte, podemos esperar que os cibercriminosos estejam em plena forma e prontos para agir. Serviços de jogos online, apostas e comércio eletrônico, em particular, provavelmente serão alvos à medida que cresce a expectativa em torno do evento e aumenta a atividade online relacionada.

Veja algumas das ameaças às quais as empresas que oferecem serviços relacionados à Euro 2020 devem ficar atentas durante o torneio (e depois dele):

Proteção contra DDoS

Embora um ataque DDoS possa causar um enorme impacto em qualquer empresa, os sites de jogos on-line são especialmente vulneráveis. À medida que as partidas se aproximam, é de se esperar que aumente o número de pessoas apostando no resultado e que, com uma variedade quase infinita de opções ao alcance das mãos, elas continuem apostando durante todo o jogo. Os invasores sabem disso e muitas vezes ajustam o momento dos ataques de acordo com essa dinâmica.

A atividade de DDoS já está aumentando. Dados coletados pelo Centro de Operações de Segurança (SOC) F5 Silverline e pela Equipe de Resposta a Incidentes de Segurança (SIRT) da F5 revelaram recentemente que os ataques DDoS aumentaram 55% entre janeiro de 2020 e março de 2021. A maioria desses incidentes (54%) utilizou vários vetores de ataque, indicando que invasores cada vez mais determinados estão se tornando mais sofisticados.

Vale destacar que o maior ataque observado pelo SOC teve como alvo uma empresa que presta serviços de segurança da informação para organizações dos setores de jogos e apostas. Nesse caso, a empresa foi ameaçada com um ataque caso não efetuasse o pagamento. Diante da recusa, foi lançado um ataque multivetorial que durou mais de um mês.

Há vários motivos pelos quais os cibercriminosos escolhem atacar esse tipo de empresa. O mais óbvio é o ganho financeiro, usando a ameaça de um ataque DDoS para extorqui-las. Outras motivações podem incluir ataques realizados em nome de concorrentes, agentes de ameaças que buscam usar um ataque DDoS como distração ou simplesmente hackers que querem ganhar notoriedade.

A boa notícia é que há várias maneiras de reforçar suas defesas. Cada vez mais, isso envolve impedir que os ataques cheguem à rede corporativa por meio do uso de serviços gerenciados baseados em nuvem.

Uma solução como o F5 Silverline DDoS Protection é um bom exemplo. Fornecida por meio de uma plataforma baseada em nuvem, ela pode detectar e mitigar ameaças em tempo real, impedindo que até mesmo os maiores ataques DDoS volumétricos atinjam a rede. O serviço conta com acesso 24 horas por dia, 7 dias por semana, a uma equipe de especialistas do SOC, que ajuda a manter as empresas online durante ataques DDoS por meio de uma proteção abrangente, multicamada, das camadas L3 a L7.

Os seguintes controles técnicos/preventivos de segurança também são recomendados para proteção contra ataques DDoS:

• Use firewalls de rede e de aplicações web.
• Use um sistema de detecção de intrusão baseado em rede.
• Aplique as correções prontamente para evitar que seus sistemas sejam usados para lançar ataques.
• Bloqueie o tráfego com endereços IP de origem falsificados.
• Use a limitação de taxa para restringir o volume de tráfego de entrada.

Dando cartão vermelho ao formjacking

Outras táticas oportunistas de cibercriminosos que merecem atenção incluem o formjacking. Atualmente uma das táticas de ataque à web mais comuns, ela consiste em desviar dados do navegador de uma organização para um local controlado pelo invasor.

À medida que mais aplicações web se conectam a componentes essenciais, como carrinhos de compras, pagamentos com cartão, publicidade e ferramentas de análise, os fornecedores se tornam alvos especialmente atraentes. O código pode ser fornecido por uma grande variedade de fontes — quase todas fora do alcance dos controles de segurança corporativa convencionais, como proxies e firewalls de aplicações web. Como muitos sites utilizam os mesmos recursos de terceiros, os invasores sabem que basta comprometer um único componente para capturar dados de um enorme grupo de possíveis vítimas.

As medidas de segurança comuns que podem ajudar as organizações a se manterem protegidas incluem:

• Criar uma lista de ativos de aplicações web. Isso deve incluir uma auditoria completa do conteúdo de terceiros. O processo é dificultado pelo fato de terceiros geralmente incluírem links para ainda mais sites e pela tendência de adotarem controles de segurança inadequados.
• Aplicação de patches em seu ambiente. Embora a aplicação de patches não corrija necessariamente as falhas no conteúdo de terceiros, ela dificulta que um acesso inicial evolua para um comprometimento significativo. Como a injeção na Web é uma técnica muito versátil, aplicar patches aos aplicativos executados em seu próprio ambiente continua sendo essencial para evitar danos causados por um ativo de terceiros comprometido.
• Varredura de vulnerabilidades. Há anos, os CISOs reconhecem a importância de realizar varreduras externas para obter uma visão da situação sob a perspectiva de um hacker. Isso se torna ainda mais importante quando grandes quantidades de conteúdo são montadas no último momento no lado do cliente.
• Monitoramento de alterações no código. Independentemente de onde o código esteja hospedado, é importante obter um nível adicional de visibilidade, mesmo que não estejam surgindo novas vulnerabilidades. Isso significa monitorar o GitHub e os buckets do AWS S3, bem como os repositórios de código nativos.
• Autenticação multifator. Como a injeção é frequentemente usada para contornar a autenticação e acessar o código do servidor web, a autenticação multifator deve ser implementada em qualquer sistema conectado a ativos de alto impacto. Idealmente, a criptografia na camada de aplicação também pode complementar o TLS/SSL, criptografando credenciais e dados de cartões de pagamento à medida que o usuário os insere no navegador. Alguns produtos conhecidos de firewall de aplicações web (WAF) oferecem esse recurso. No entanto, um WAF avançado pode oferecer níveis aprimorados de visibilidade e controle na camada de aplicação para ajudar a mitigar os riscos de injeções distribuídas e polimórficas.
• Explore o potencial dos cabeçalhos de segurança de aplicações web. Por exemplo, é possível configurar uma Política de Segurança de Conteúdo (CSP) para bloquear injeções de código não autorizadas em um site ou aplicação. Além disso, os métodos web de Integridade de Sub-recursos (SRI) podem verificar se aplicações de terceiros não foram alteradas. Ambas as ferramentas exigem ajustes para se adequarem corretamente a uma aplicação web. É aí que entra um WAF robusto e flexível.
• Monitore domínios e certificados recém-registrados. Eles são frequentemente usados para hospedar scripts maliciosos, embora pareçam legítimos para os usuários finais.

Combatendo o flagelo do phishing

O phishing é outro favorito de sempre. Os invasores não precisam se preocupar em atravessar um firewall, encontrar uma vulnerabilidade de dia zero, decifrar uma criptografia ou descer de rapel pelo poço de um elevador com um conjunto de gazuas entre os dentes. É muito mais fácil enganar alguém para que entregue suas credenciais. A parte mais difícil é criar uma mensagem de e-mail convincente que leve as pessoas a clicar e um site falso para o qual direcioná-las. Espere uma enxurrada desses golpes durante todo o torneio.

De acordo com o relatório mais recente da F5 Labs sobre phishing e fraude, 52% dos sites de phishing usaram nomes e identidades de marcas conhecidas em seus endereços. Os responsáveis por phishing também intensificaram os esforços para fazer com que sites fraudulentos pareçam o mais autênticos possível: dados do F5 SOC citados no relatório revelaram que a maioria dos sites de phishing utilizava criptografia, sendo que 72% usavam certificados HTTPS válidos para enganar as vítimas. Isso significa que simplesmente procurar pelo cadeado (ou por um endereço que comece com https://) já não é suficiente. Na verdade, recomendar isso é extremamente perigoso, pois dá a entender que os sites são inerentemente confiáveis apenas por terem um certificado digital.

Toda organização será alvo de ataques de phishing em algum momento, sejam eles direcionados ou indiscriminados. Infelizmente, nem todas as organizações implementam estruturas robustas de gestão da segurança da informação.

As Cinco Funções do NIST oferecem uma maneira útil de analisar qualquer ameaça cibernética, mas, independentemente dos esforços que as empresas façam para proteger sua marca e seus clientes, os ataques de phishing continuarão sendo bem-sucedidos enquanto houver uma pessoa que possa ser manipulada psicologicamente de alguma forma. É por isso que tanto os controles de segurança quanto os navegadores da web precisam se tornar mais eficazes em alertar os usuários sobre sites fraudulentos. Pessoas e organizações também precisam receber treinamento contínuo sobre as técnicas mais recentes usadas por fraudadores, desde URLs enganosas até o uso indevido de certificados HTTPS.

Mantendo-se atento

As ameaças detalhadas acima não constituem uma lista completa. Há outras. Lembre-se de que os cibercriminosos são extremamente hábeis em tirar proveito das reviravoltas relacionadas a eventos como a Euro 2020. Mantenha-se alerta, busque as soluções de segurança adequadas e procure sempre acompanhar as mudanças na mentalidade e nas capacidades dos invasores.

Sobre o autor

David WarburtonDiretor de Pesquisa de Ameaças | F5

Mais publicações de David Warburton