O que é fraude de tomada de conta (ATO)?

A invasão de contas (ATO) é o ataque mais comum e dispendioso contra instituições financeiras, empresas de comércio eletrônico e outros serviços digitais on-line. Usando bots automatizados e outros métodos de cibercrime, criminosos utilizam credenciais roubadas para acessar e controlar contas de usuários com o objetivo de obter ganhos financeiros ou cometer fraudes. Os impactos das fraudes por invasão de contas são reais: de acordo com o Estudo sobre Fraude de Identidade de 2022 da Javelin, 22% dos adultos dos EUA já foram vítimas de ATO.

Como funciona: técnicas de fraude de tomada de conta

A fraude de tomada de conta é o resultado de uma série de atividades cibercriminosas, que geralmente começam com credenciais roubadas ou comprometidas, que levam a ataques de preenchimento de credenciais, o que pode resultar na tomada das contas online de um cliente. Depois de assumir o controle, o criminoso pode retirar todos os fundos da conta, monetizar o valor armazenado e usar a conta para cometer outras fraudes.

A forma mais básica de preenchimento de credenciais envolve ataques de força bruta realizados por bots, que enviam combinações aleatórias de caracteres a formulários de login até que os invasores encontrem uma combinação correspondente às credenciais de uma conta.

Como as credenciais são roubadas?

Ataques de preenchimento de credenciais mais avançados começam com pares válidos de nome de usuário e senha que foram roubados ou comprometidos durante violações de dados. Credenciais roubadas podem ser facilmente compradas em mercados da dark web (de acordo com o Cyber Security Hub, 22 bilhões de registros de dados foram expostos somente em 2022).

As credenciais também podem ser roubadas por meio de diversos ataques cibernéticos e outras técnicas de crimes cibernéticos, incluindo:

• Ataques de phishing, um tipo de golpe de engenharia social no qual criminosos usam e-mails, mensagens de texto ou mensagens em redes sociais para induzir as pessoas a revelar informações privadas, como credenciais de login, dados bancários, números de CPF ou outros dados confidenciais.
• Keylogging, Magecart, skimming e outras formas de malware do lado do cliente, em que agentes mal-intencionados roubam credenciais injetando scripts maliciosos em formulários de checkout online. À medida que a vítima digita as credenciais e os dados do cartão de crédito, o script transmite os dados ao invasor, que pode usar as informações para cometer fraudes ou vendê-las a outros criminosos.
• Ataques man-in-the-middle (MitM), nos quais os invasores interceptam mensagens ou transações de dados, posicionando-se como intermediários entre duas partes legítimas envolvidas na comunicação de dados. Isso permite que o invasor “espione” a transferência de informações e dados de ambas as partes e obtenha credenciais de login ou outras informações pessoais.

Depois que os cibercriminosos acumulam um conjunto de credenciais válidas, eles podem iniciar o processo de preenchimento de credenciais, muitas vezes em grande escala. Como cerca de dois terços dos consumidores reutilizam os mesmos nomes de usuário e senhas em vários sites, essas credenciais recicladas são facilmente exploradas por cibercriminosos e seus exércitos de bots automatizados: uma parcela significativa das credenciais comprometidas também permitirá o acesso a contas em outros sites. Depois que os invasores assumem o controle das contas, eles podem alterar as credenciais para impedir o acesso do legítimo titular, esvaziar os ativos e usar as contas para cometer outros atos de fraude.

Impactos da fraude de tomada de conta

Estima-se que as perdas com fraudes digitais decorrentes de ataques como a tomada de contas (ATO) ultrapassem US$ 343 bilhões em todo o mundo entre 2023 e 2027, segundo reportagens do American Banker.

A tomada de controle de contas também causa impactos que vão além do âmbito financeiro. A marca e a reputação de uma organização também podem ser prejudicadas, resultando em perda de negócios e publicidade negativa devido à percepção de fragilidade na segurança. Isso pode causar danos à marca a longo prazo, e pode levar anos para reconstruir uma reputação positiva.

As organizações também podem perder a confiança e a fidelidade dos clientes, levando ao encerramento de relações comerciais. É compreensível que os clientes fiquem insatisfeitos quando as medidas de segurança inadequadas de uma empresa resultam na invasão de contas e em atividades fraudulentas dispendiosas.

As organizações também podem enfrentar consequências jurídicas e relacionadas à conformidade caso não protejam os dados dos consumidores. Leis e normas como o Regulamento Geral sobre a Proteção de Dados (GDPR) da UE, a Lei de Privacidade do Consumidor da Califórnia (CCPA) e o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS) foram criadas para garantir a privacidade dos dados dos consumidores e impor multas elevadas em caso de violações de dados. Isso inclui ataques de tomada de conta (ATO) que expõem dados privados a bots.

Detecção de fraudes de tomada de conta

É importante monitorar as contas e atividades dos usuários para detectar sinais de tomada de conta (ATO).

• Fique atento a alterações inesperadas na atividade da conta. Essas alterações podem incluir transações novas ou não autorizadas, saques de grandes quantias, picos aleatórios e esporádicos de tráfego ou solicitações para alterar senhas, endereço ou beneficiário do pagamento. Essas atividades anômalas podem ser um sinal de que a conta está sob ataque. Nesses casos, verifique a conta para descobrir se algum dado do usuário, como a senha ou o número de telefone, também foi alterado, o que pode indicar que a conta foi sequestrada.
• Fique atento a tentativas de login não reconhecidas. Uma série de tentativas de login malsucedidas pode indicar que um agente mal-intencionado está tentando invadir uma conta usando métodos de preenchimento de credenciais. Redobre a atenção se as tentativas de login vierem de um local incomum ou ocorrerem em um horário em que a conta geralmente está inativa.
• Preste atenção a dispositivos novos ou não reconhecidos que acessam uma conta. A atividade de dispositivos novos ou desconhecidos pode indicar que uma conta foi comprometida ou que um fraudador está tentando fazer login com credenciais roubadas. Da mesma forma, o acesso de vários dispositivos a uma única conta também pode indicar que ela está sendo atacada por criminosos.
• E-mails ou mensagens de texto suspeitos. Um aumento no número de e-mails de phishing e outras mensagens pode indicar que os usuários estão sendo alvo de golpistas. Oriente os clientes a nunca clicar em anexos ou links ativos em mensagens digitais de remetentes desconhecidos e a nunca fornecer nomes de usuário, senhas ou informações pessoais ou financeiras a ninguém por telefone ou pela Internet. Empresas legítimas não solicitam informações de conta por e-mail ou mensagem de texto.

Prevenção a fraudes de tomada de conta

Uma abordagem proativa para prevenir a tomada de contas envolve vários níveis de proteção e estratégias. Isso inclui metodologias de boas práticas, foco na educação dos usuários, monitoramento da infraestrutura em tempo real e mecanismos robustos de autenticação.

Educação e conscientização dos usuários

Uma das maneiras mais eficazes de evitar a invasão de contas é por meio de programas educacionais que ensinem os usuários a identificar e evitar riscos. Os ataques de invasão de contas (ATO) geralmente começam com phishing, quando um agente mal-intencionado tenta induzir os usuários a revelar as credenciais de suas contas ou clicar em links maliciosos. E-mails e mensagens de texto de phishing podem ser muito convincentes, especialmente quando incluem dados pessoais que os criminosos podem coletar nas redes sociais. Certifique-se também de que os usuários entendam a importância de adotar boas práticas de segurança de senhas e exija o uso de protocolos de senha robustos.

Medidas de autenticação robustas

A autenticação forte exige que os usuários apresentem dois ou mais fatores de verificação, além de nome de usuário e senha, durante uma tentativa de login. Existem várias abordagens para a autenticação forte.

• Autenticação de dois fatores (2FA) é um método de segurança de gerenciamento de identidade e acesso que exige dois fatores de verificação para confirmar a identidade de uma pessoa e permitir o acesso a recursos e dados. Na prática, isso geralmente envolve inserir em um dispositivo conhecido, como um smartphone ou o navegador de um computador doméstico, um código de uso único recebido por e-mail ou mensagem de texto.
• Autenticação multifator (MFA)é semelhante à 2FA, com a diferença de que pelo menos três fatores de verificação devem ser fornecidos para que o login seja bem-sucedido. Na maioria dos casos, isso envolve receber um código de uso único em um dispositivo conhecido e fornecer uma forma de biometria, como leitura de impressão digital, escaneamento de retina ou reconhecimento de voz. Vale ressaltar que, embora a 2FA e a MFA continuem sendo ferramentas valiosas para aumentar a segurança das contas online, elas já não são suficientes como última linha de defesa contra ataques de tomada de conta (ATO), pois podem ser facilmente contornadas por ataques criminosos e prejudicar a experiência do usuário.
• Autenticação baseada em risco é um método de gerenciamento de acesso que ajusta os requisitos do processo de autenticação ao nível de risco apresentado pela tentativa de login. Por exemplo, um login apenas para consultar o saldo de uma conta exigiria um processo de autenticação menos restritivo do que um login para alterar senhas ou transferir fundos para uma nova conta. Em essência, à medida que o nível de risco aumenta, o processo de autenticação se torna mais rigoroso, exigindo fatores adicionais e maior supervisão.

Monitoramento e auditoria de contas

Tanto os consumidores quanto as empresas devem monitorar e auditar regularmente as contas em busca de atividades suspeitas. Para os consumidores, isso inclui acessar regularmente contas financeiras e outras contas com valores armazenados (incluindo programas de fidelidade e cartões-presente) para acompanhar os saldos e as movimentações.

Empresas e organizações podem empregar diversas tecnologias para automatizar o monitoramento e a auditoria contínuos de contas, incluindo sistemas de rastreamento de contas que utilizam aprendizado de máquina e detecção baseada em IA para ajudar a prevenir fraudes, identificando atividades anômalas que não correspondem ao comportamento habitual do usuário.

Firewall de aplicações web (WAF)

Um WAF protege aplicações web filtrando, monitorando e bloqueando qualquer tráfego HTTP/S malicioso direcionado à aplicação web, além de impedir que dados não autorizados saiam da aplicação. Para isso, ele segue um conjunto de políticas que ajudam a determinar qual tráfego é malicioso e qual é seguro. Um WAF atua como intermediário, protegendo o servidor da aplicação web contra clientes potencialmente mal-intencionados.

Embora não tenham sido criadas especificamente para detectar atividades de ATO, as políticas de WAF podem ser direcionadas para ajudar a identificar e bloquear ataques de tomada de conta. Os WAFs também podem ajudar a identificar atividades de bots mal-intencionados, que muitas vezes antecedem ataques de preenchimento de credenciais por força bruta.

Adicione detecção e mitigação de bots às redes

Exércitos de bots permitem que criminosos ampliem seus ataques, contornem os controles de MFA e cometam fraudes. Com a automação, os bots podem ser implantados em massa para executar a tarefa que lhes foi atribuída, seja o preenchimento de credenciais ou ataques de phishing. As soluções de detecção de bots oferecem visibilidade sobre atividades maliciosas, como a criação de contas falsas, o acúmulo de estoque, a raspagem de dados e a captura digital de credenciais. Elas também podem emitir alertas sobre ataques no lado do cliente, como formjacking, captura digital de dados, Magecart e outras vulnerabilidades de JavaScript em navegadores.

Como responder a fraudes de tomada de conta

Devido à grande quantidade de credenciais roubadas e comprometidas prontamente disponíveis na dark web, é cada vez mais provável que, mais cedo ou mais tarde, as organizações sofram um ataque cibernético. É fundamental que as organizações preparem antecipadamente respostas e processos robustos para lidar com o impacto de um ataque cibernético tanto na instituição quanto em seus clientes.

Plano de resposta a incidentes

Um plano de resposta a incidentes define as medidas a serem tomadas, os recursos disponíveis e as estratégias de comunicação que serão implementadas após a identificação de um evento de ameaça. O plano deve definir os protocolos de resposta ao evento e identificar uma equipe de resposta a incidentes que tenha sido treinada para colocá-lo em prática.

Notificação e suporte ao cliente

É fundamental que a equipe de resposta a incidentes notifique diretamente os clientes afetados e explique o que aconteceu, informe quais medidas estão sendo tomadas para protegê-los e recomende que alterem a senha comprometida caso ela seja usada em outras contas. Manter contato com os clientes afetados é importante para restabelecer a confiança.

Investigação e remediação

Após a detecção de um ataque, é fundamental avaliar e conter o incidente, bem como identificar sua natureza e abrangência e os sistemas afetados. Depois que o ponto de acesso for identificado, a organização deverá eliminar o acesso não autorizado do invasor às contas afetadas e corrigir as contas comprometidas para garantir que não possam mais ser usadas de forma mal-intencionada. Como parte da análise de recuperação após a fraude, avalie como evitar que um ataque desse tipo volte a ocorrer.

Comunicação e transparência

É importante comunicar violações e ataques de segurança com transparência, pois a omissão de informações pode ser interpretada por órgãos reguladores, pela mídia ou pelos consumidores como uma tentativa de encobrimento, além de poder agravar significativamente o impacto financeiro do ataque.

Resumo

Hoje, qualquer organização que emita ou aceite pagamentos digitais é alvo de ataques de tomada de conta (ATO), e essa ameaça continua crescendo. Isso coloca comerciantes on-line, instituições financeiras e prestadores de serviços diante de um paradoxo: Ao atenderem à preferência dos clientes por serviços e aplicativos on-line mais convenientes, essas organizações ficam mais expostas ao risco de fraude e a outras formas de crime cibernético. Quando uma conta é comprometida, um fraudador pode desviar fundos, roubar produtos ou serviços ou acessar informações de pagamento para usá-las em outros sites, afastando clientes e reduzindo a receita.

Os controles convencionais de autenticação de dois fatores (2FA) e autenticação multifator (MFA) já não são suficientes para deter cibercriminosos que realizam ataques de tomada de conta (ATO) cada vez mais sofisticados. A prevenção de ATO exige uma abordagem completa de segurança e prevenção a fraudes, que avalie a intenção, simplifique as experiências digitais e impeça a tomada de contas ao identificar padrões de fraude e transações de risco antes que ocorram.

Como a F5 pode ajudar

As soluções de segurança e prevenção contra fraudes da F5 oferecem a proteção mais abrangente do setor contra a tomada de contas em uma única plataforma. Usando tecnologias sofisticadas, como modelagem de inteligência de ameaças e aprendizado de máquina, para detectar as técnicas dos invasores, Distributed Cloud Bot Defense implementa contramedidas adequadas em tempo real para combater fraudes impulsionadas por bots e a tomada de contas com máxima eficácia. Distributed Cloud Authentication Intelligence reconhece usuários legítimos ao longo de toda a jornada do cliente, e Distributed Cloud Client-Side Defense fornece insights em tempo real sobre ataques de skimming digital no lado do cliente.

Aliada à rápida eliminação de fraudes após o login por meio do Distributed Cloud Account Protection, a plataforma de segurança e prevenção contra fraudes F5 Distributed Cloud oferece uma abordagem de ponta a ponta que avalia a intenção, simplifica as experiências digitais e impede tentativas de tomada de conta (ATO) que, de outra forma, resultariam em fraudes, perda de receita e redução da fidelidade dos clientes.