Quantificando a ameaça à identidade: um quinto das solicitações de autenticação é malicioso

Pesquisa da F5 Labs revela que 19,4% das solicitações de autenticação provavelmente são motivadas por ataques de preenchimento de credenciais;

As medidas de mitigação reduzem a prevalência em mais de dois terços, mas aumentam a sofisticação dos ataques subsequentes;

75% das credenciais roubadas vêm de origens desconhecidas.

SEATTLE – As identidades digitais se tornaram um campo de batalha da cibersegurança, e um quinto das solicitações de autenticação vem de sistemas automatizados maliciosos, segundo uma nova pesquisa da F5 Labs.

O Relatório de Ameaças à Identidade de 2023: Os Incorrigíveis analisou 320 bilhões de transações de dados ocorridas nos sistemas de 159 organizações entre março de 2022 e abril de 2023.

Quando não havia medidas de mitigação, a taxa média de automação — um forte indicador de preenchimento de credenciais — era de 19,4%. Essa taxa caiu mais de dois terços, chegando a 6%, quando o tráfego malicioso foi mitigado de forma proativa.

Os ataques de preenchimento de credenciais envolvem agentes mal-intencionados que usam nomes de usuário e senhas roubados de um sistema para invadir outros. As ferramentas automatizadas são fundamentais nesse tipo de ataque, permitindo que os invasores maximizem o número de tentativas realizadas.

“As identidades digitais há muito são uma prioridade para os invasores, e a ameaça está crescendo à medida que aumenta a prevalência de identidades não humanas”, afirmou Sander Vinberg, evangelista de pesquisa de ameaças da F5 Labs. “Nossa pesquisa mostra até que ponto as identidades digitais estão sob ataque e a importância de uma mitigação eficaz. Um dado significativo é que identificamos um padrão consistente no qual o uso de automação maliciosa caiu imediatamente para um nível mais baixo quando as proteções estavam implementadas, com os invasores tendendo a desistir em busca de alvos mais fáceis.”

Mitigação: antes e depois

Uma parte fundamental do estudo analisou o impacto das medidas de mitigação sobre os ataques de preenchimento de credenciais. Essas medidas tendiam a alterar o comportamento dos invasores e a reduzir o uso de automação maliciosa.

A F5 Labs constatou que, sem medidas de mitigação, os ataques eram mais frequentes contra endpoints móveis do que contra endpoints web. Após a implementação dessas medidas, a queda nos ataques a endpoints móveis foi maior, e uma parcela maior dos ataques subsequentes ocorreu por meio de endpoints web.

As medidas de mitigação também influenciaram o nível de sofisticação dos ataques.

Em endpoints de autenticação desprotegidos, 64,5% do tráfego malicioso consistia em ataques classificados como “básicos”, ou seja, sem qualquer tentativa de imitar o comportamento humano ou contornar a proteção contra bots. A proporção desses ataques caiu significativamente para 44% após a implementação de medidas de mitigação.

Em contrapartida, os ataques “intermediários” — que fazem algum esforço para burlar soluções antibot — aumentaram de 12% para 27% após a implementação das medidas de mitigação. Já os ataques avançados, que usam ferramentas capazes de simular com precisão a navegação de um usuário humano (incluindo movimentos do mouse, pressionamento de teclas e dimensões da tela), aumentaram de 20% para 23%.

“Nossa análise mostra que muitos invasores simplesmente partem para outro alvo quando as proteções são implementadas”, afirmou Vinberg. “Os invasores que continuam a atacar um sistema mesmo com medidas de mitigação em vigor são claramente mais determinados e sofisticados, recorrendo a ferramentas que lhes permitem reproduzir fielmente o comportamento humano ou se esforçando mais para ocultar suas atividades.

“Por exemplo, observamos um ataque que simulou 513.000 interações únicas de usuários em 516.000 solicitações, reutilizando características identificáveis em menos de 1% dos casos. Nos ataques mais sofisticados, às vezes é necessária uma observação manual para identificar comportamentos maliciosos e criar uma nova assinatura.”

Os desafios aumentam para os defensores

F5 Labs também examinou a cadeia de fornecimento de credenciais comprometidas. É preocupante que os responsáveis pela defesa pareçam ter muito menos visibilidade do que imaginavam. Até 75% das credenciais usadas durante os ataques não eram previamente conhecidas como comprometidas.

Além disso, as equipes de defesa precisam responder a ameaças à identidade projetadas para contornar as medidas de mitigação. Por exemplo, as organizações podem tentar monitorar ataques de preenchimento de credenciais procurando uma taxa anormalmente baixa de sucesso nas solicitações de autenticação. O estudo constatou que os invasores se adaptaram a isso usando contas “canário”. Essas contas podem ser acessadas continuamente para aumentar artificialmente a taxa geral de sucesso. Em um dos exemplos, uma campanha de preenchimento de credenciais acessou a mesma conta canário 37 milhões de vezes na mesma semana com essa finalidade.

No caso dos ataques de phishing, outra área importante de foco da análise da F5 Labs, mais uma vez houve evidências claras da intensificação dos esforços para contornar as contramedidas. Em especial, o aumento do uso da autenticação multifator está impulsionando o crescimento do phishing por proxy reverso, no qual os invasores criam páginas de login falsas que induzem os usuários a inserir suas credenciais.

Além disso, os invasores estão recorrendo cada vez mais a recursos para evitar a detecção, como o AntiRed. Trata-se de uma ferramenta JavaScript desenvolvida para contornar mecanismos de análise de phishing baseados em navegador, como o Google Safe Browsing (que exibe ao usuário uma mensagem de alerta vermelho ao detectar um site potencialmente inseguro).

Novas ameaças no horizonte

Em um cenário de ambientes em constante evolução, a F5 Labs também observou o surgimento de uma nova geração de ameaças.

Como exemplo, em agosto de 2022, foi observado um anúncio na Dark Web promovendo um sistema de phishing por voz que usaria inteligência artificial para automatizar chamadas de phishing. A crescente sofisticação e a redução dos custos da IA indicam que essas abordagens tendem a se tornar mais comuns e eficazes ao longo do tempo.

“Daqui para a frente, os provedores de identidade devem adotar uma solução antibot para mitigar automações maliciosas, como o preenchimento de credenciais. Mesmo soluções antibot simples podem neutralizar a maior parte das tentativas pouco sofisticadas de preenchimento de credenciais”, acrescentou Vinberg.

“As organizações podem reforçar ainda mais suas defesas por meio do uso de soluções de MFA baseadas em criptografia, como as que utilizam os protocolos WebAuthn ou FIDO2. Em última análise, não existe uma solução milagrosa para combater ataques baseados em identidade. Os responsáveis pela defesa devem monitorar e detectar ataques, quantificar a taxa de erro de suas detecções e se adaptar de acordo. Quanto mais estudarmos esses ataques e sua natureza em constante transformação, melhor poderemos gerenciar o risco de vulnerabilidades inerentes a qualquer sistema cujo acesso exija que os usuários comprovem sua identidade.”

Sobre a F5

A F5 é uma empresa de serviços de aplicações multinuvem e segurança comprometida em tornar realidade um mundo digital melhor. A F5 trabalha em parceria com as maiores e mais avançadas organizações do mundo para proteger e otimizar todos os aplicativos e APIs, onde quer que estejam — localmente, na nuvem ou na borda. A F5 permite que as organizações ofereçam experiências digitais excepcionais e seguras aos seus clientes e se mantenham continuamente à frente das ameaças. Para mais informações, acesse f5.com. (NASDAQ: FFIV)

Você também pode seguir @F5 no Twitter ou nos visitar no LinkedIn e no Facebook para obter mais informações sobre a F5, seus parceiros e suas tecnologias. F5 é uma marca comercial, marca de serviço ou nome comercial da F5, Inc., nos EUA e em outros países. Todos os demais nomes de produtos e empresas aqui mencionados podem ser marcas comerciais de seus respectivos proprietários.

###

Este comunicado à imprensa pode conter declarações prospectivas relacionadas a eventos futuros ou ao desempenho financeiro futuro que envolvem riscos e incertezas. Essas declarações podem ser identificadas por termos como "pode", "irá", "deveria", "espera", "planeja", "prevê", "acredita", "estima", "prediz", "potencial" ou "continuar", bem como pela forma negativa desses termos ou por termos semelhantes. Essas declarações são apenas previsões, e os resultados reais podem diferir substancialmente dos previstos nelas devido a diversos fatores, incluindo aqueles identificados nos documentos apresentados pela empresa à SEC.