O (seu) ecossistema de e-mail está sob ataque

Os ciberataques, por motivos financeiros, geopolíticos, por dano (hackers, mas também, por exemplo, funcionários descontentes), e por motivos de espionagem industrial privada e soberana, são, obviamente, a ação que causa a reação – o investimento em cibersegurança motivado pelas empresas que estão muito mais informadas e, muitas delas, sofreram já com ataques bem sucedidos – implicando perda de dados privados, perdas económicas diretas, e indiretas – por dano de reputação e pelos custos da recuperação dos sistemas afetados.

De todos os tipos de ciberataques, o e-mail é um denominador muito comum, e em dois aspetos:

• A parte de fraude (recorrendo a engenharia social), onde se “enganam” as vítimas, simulando ser outra pessoa ou entidade, por forma a que a vítima tome determinada ação (por exemplo, fornecer informação, abrir um documento, clicar num link, fazer uma transferência bancária);
• A parte tecnológica, quase sempre associada a engenharia social, e que implica enviar o e-mail de modo a que este pareça legítimo na sua origem e intenção, podendo conter links, imagens, ou anexos maliciosos. O malware que posteriormente é despoletado cumpre outras funções – por exemplo ransomware e spyware, ou facilitar a entrada de outro malware.

A taxa de sucesso destes ataques varia do residual (atacantes pouco inspirados, que enviam spam massivamente) ao quase garantido, bastando que os atacantes (e existem equipas altamente proficientes no mundo) se dediquem a dirigir o ataque para determinada(s) pessoa(s) (aprendendo os seus hábitos, perfil social, e acessos) e / ou sistema(s) (descobrindo as vulnerabilidades do software e dos processos humanos). Seja como for, a atividade é lucrativa (estima-se um retorno médio de quase 1.500%) ou não estivesse a aumentar ano após ano (em 2020, os ataques de phishing terão aumentado 350%).

Cruzando a escalada de ataques que vivemos com a enorme dependência, agudizada pela pandemia, relativa aos sistemas tecnológicos de comunicação (com destaque para o e-mail) – não é incomum existirem empresas a investir fortemente na sua proteção. Este investimento assenta (ou deve assentar) em:

• Recursos Humanos Melhor formação de segurança (e contínua), melhor disciplina de trabalho, e uma postura de “Zero Trust” (tudo pode ser perigoso) face a comunicações externas, mas também internas (o número de Insider Threats continua a crescer!), evitando, por exemplo, divulgar informação institucional ou pessoal que pareça desnecessária, suspeitar de ações demasiado proveitosas ou rápidas, e tentar perceber o potencial de fraude em cada comunicação recebida – por exemplo marcações para chamadas de videoconferência com um anexo que afinal esconde malware (o Zoom foi mesmo a empresa mais “Brand Impersonated” de 2020).
• Processos Uma cultura empresarial que balanceie agilidade com o rigor da segurança (por exemplo: utilizar sempre VPNs ou autenticação multifator para acessos corporativos, não solicitar operações bancárias por e-mail ou IM sem outro tipo de confirmação, não partilhar credenciais, manter um DPO ativo).
• Tecnologia Assegurar que quaisquer sistemas possuem funcionalidades inerentes de segurança (por exemplo: auditing, controlo de acessos, encriptação de dados), e dotar a organização com múltiplos sistemas de segurança, complementares e, de preferência, redundantes em termos de fabricante, nações de origem e geografias – recentemente, diversos ataques a empresas tecnológicas (por exemplo, à Solarwinds, com acesso a dados de milhares dos seus clientes, incluindo empresas de cibersegurança) demonstram que nenhum sistema é autónomo na sua segurança. O maior exemplo de complementaridade de segurança vem do Exchange / O365 e do Google Workspace – ferramentas críticas de trabalho – com diversos componentes de segurança – mas que, dada a predominância no mundo empresarial, são os maiores alvos mundiais de ataques direcionados, explorando constantemente as suas vulnerabilidades e funcionalidades (nomeadamente as funcionalidades “cross-app”, como linkar e abrir ficheiros) – não é incomum as empresas mais sofisticadas criarem “camadas de segurança" sobre estes sistemas, ativando segurança de e-mail, VPNs, Firewalls, ou arquivos de dados, que possam em conjunto mitigar mais ameaças, afastando-se assim do oportunismo dos atacantes – que tendem a explorar os ecossistemas mais expostos e mais populares.

Conteúdo co-produzido pela MediaNext e pela AnubisNetworks