Roubo de identidade: uma ameaça mais grave do que você imagina

Kuna Nallappan

O setor de serviços financeiros na Ásia é um dos mais regulamentados, e a conformidade costuma ser apontada como uma forma de garantia de segurança. No entanto, a conformidade é apenas um dos aspectos da segurança. Diversas regulamentações abrangem uma ampla gama de questões, mas simplesmente implementar soluções ou dispositivos para atender aos requisitos de conformidade não é suficiente.

A crescente disseminação dos dispositivos móveis na região Ásia-Pacífico e a consequente expansão dos serviços bancários pela internet resultaram em ameaças à segurança cibernética cada vez mais sofisticadas. No entanto, de acordo com o Estudo de Identidade Móvel da Telstra, 62% dos executivos do setor de serviços financeiros afirmaram não ter investido o suficiente em identidade e segurança. Além disso, menos da metade dos consumidores estava satisfeita com o desempenho de suas instituições financeiras em termos de segurança, já que mais de um terço sofreu roubo de identidade.

Com casos de roubo de identidade, como a violação de dados do JP Morgan e os bancos sul-coreanos atingidos por violações massivas de dados de cartões de crédito no ano passado, além de fraudes de identidade que resultaram no roubo de US$ 16 bilhões de vítimas em 2014, o roubo de identidade está rapidamente se tornando uma ameaça cada vez maior, embora ainda subestimada, para o setor de serviços financeiros.

Aumento da superfície de ataque e da sofisticação

O roubo de identidade tornou-se comum entre os cibercriminosos devido ao aumento da superfície de ataque e à sofisticação das ferramentas utilizadas. Atualmente, os ataques cibernéticos ocorrem por meio de uma variedade maior de vetores. Por exemplo, como muitas organizações de serviços financeiros permitem que os dispositivos pessoais dos funcionários acessem as redes corporativas, a prática de usar o próprio dispositivo (BYOD) possibilita que dispositivos móveis se tornem um canal para os cibercriminosos ocultarem, disseminarem e roubarem informações usando as credenciais de um funcionário da organização.

Outro vetor pode ser o uso de aplicações web públicas inseguras, que permitem o rápido roubo de identidades. Entre elas estão vulnerabilidades de dia zero que ganharam destaque no ano passado, como Shellshock e Heartbleed. Basta que uma organização demore para corrigir uma vulnerabilidade ou não disponha da tecnologia adequada para proteger suas aplicações web. Depois que os cibercriminosos assumem o controle, podem fazer o que quiserem — desde roubar dados até usar os servidores para lançar ataques de botnet.

Esse “campo de atuação” ampliado oferece aos cibercriminosos mais opções para roubar credenciais de login, sem que precisem mais depender de softwares de captura de teclas ou de violações de bancos de dados, bastando usar injeções na web.

Por exemplo, quando um usuário acessa sua conta bancária pela internet, os cibercriminosos podem inserir na página um campo adicional aparentemente legítimo, solicitando a senha do caixa eletrônico (número de identificação pessoal), para enganar tanto usuários experientes em tecnologia quanto os menos familiarizados com ela. Enquanto isso acontece, um malware pode executar em segundo plano um ataque do tipo “man-in-the-browser”, que permanece invisível para a aplicação web hospedeira.

Além de ampliar os vetores de ataque, malwares e cavalos de Troia atualmente são capazes de roubar credenciais de login por meio de aplicativos bancários móveis para acessar fundos em bancos e outras instituições de serviços financeiros. Os cibercriminosos podem simplesmente criar um aplicativo móvel semelhante a um aplicativo bancário e usar spear phishing para roubar credenciais de login. Alguns malwares, como Dyre ou Dyreza, têm como alvo direto contas bancárias corporativas e já conseguiram roubar mais de um milhão de dólares de empresas desavisadas.

Enfrente as ameaças com defesa em camadas, proatividade e políticas robustas para dispositivos móveis

Como as ameaças internas foram responsáveis pela maioria das violações no primeiro semestre de 2015, é mais importante do que nunca que as organizações acompanhem o ritmo acelerado dos cibercriminosos atuais. As empresas devem implementar as medidas necessárias para proteger seus aplicativos voltados para a Internet. Isso deve estar no topo da lista de prioridades, pois esse é um canal natural para os cibercriminosos, que estão sempre em busca de oportunidades para se infiltrar em uma rede. Além disso, o jailbreak de dispositivos também deve ser desencorajado, pois geralmente oferece outra forma de acesso às redes para os cibercriminosos.

Em primeiro lugar, é imprescindível adotar uma estratégia de defesa em profundidade com o uso das tecnologias adequadas. Um equívoco comum é acreditar que o uso de uma tecnologia como um firewall seja suficiente para proteger as redes de uma organização, mas isso já não é verdade. As organizações devem considerar outras tecnologias, como firewalls de aplicações web. Os ataques a aplicações web costumam ser ajustados e desenvolvidos para uma aplicação específica e não são detectados pelas medidas de segurança tradicionais.

Embora a remediação — corrigir problemas após uma violação — tenha sua importância, vale ainda mais a pena adotar uma postura proativa na proteção de suas redes. Um cenário de remediação é, por natureza, reativo: a equipe forense rastreia a causa da violação, elabora um relatório e realiza as correções após o incidente. Por outro lado, proteger sua organização de forma proativa talvez não impeça 100% dos ataques, mas conseguir reduzir esse índice já deve ser considerado uma vitória.

Por fim, também é preciso combater a complacência e abandonar a atitude de que “isso não vai acontecer comigo”, em que as pessoas veem seus vizinhos sendo atacados, mas ainda esperam continuar tendo sorte.

As organizações devem estabelecer políticas de segurança para dispositivos móveis que definam diretrizes, princípios e práticas para o uso desses dispositivos, independentemente de serem fornecidos pela empresa ou de propriedade dos usuários. Essas políticas devem abranger áreas como funções e responsabilidades, segurança da infraestrutura, segurança dos dispositivos e avaliações de segurança.

Ao estabelecer políticas de segurança, as organizações podem criar uma estrutura para implementar práticas, ferramentas e treinamentos que ajudem a reforçar a segurança das redes sem fio. Treinar os funcionários sobre as políticas de segurança para dispositivos móveis também pode ajudar as organizações a garantir que esses dispositivos sejam configurados, operados e utilizados de forma segura e adequada.

Sobre o autor

Kuna Nallappan

Mais publicações de Kuna Nallappan