malware

A segurança móvel está no topo da lista de preocupações de todas as empresas nos dias atuais – e por um bom motivo: quase todos os funcionários agora acessam rotineiramente dados corporativos pelos smartphones, e isso significa que manter informações confidenciais fora das mãos erradas é um quebra-cabeças cada vez mais complexo. E as apostas são maiores do que nunca: o custo médio de uma violação de dados corporativos é de US$ 3,86 milhões, de acordo com um relatório de 2018, do Ponemon Institute. Isso é 6,4% a mais que o custo estimado apenas há um ano.

Embora seja fácil se concentrar no assunto incrível do malware, a verdade é que as infecções por malware móvel são incrivelmente incomuns no mundo real – com suas chances de ser infectado significativamente menores que as chances de ser atingido por um raio, de acordo com uma estimativa. Isso graças à natureza do malware de móvel e às proteções inerentes aos modernos sistemas operacionais móveis.

Os riscos de segurança móvel mais realistas encontram-se em algumas áreas facilmente negligenciadas, e espera-se que todas elas se tornem mais urgentes à medida que avançamos em 2019:

1. Vazamento de dados

Pode soar como um diagnóstico de um urologista robótico, mas o vazamento de dados é amplamente visto como uma das ameaças mais preocupantes para a segurança das empresas em 2019. Lembra-se daquelas chances quase inexistentes de ser infectado por malware? Bem, quando se trata de uma violação de dados, as empresas têm quase 28% de chance de sofrer pelo menos um incidente do tipo nos próximos dois anos, com base nas pesquisas mais recentes do Ponemon – em outras palavras, mais de uma em cada quatro.

O que torna a questão especialmente irritante é que muitas vezes ela não é nefasta por natureza; em vez disso, é uma questão de os usuários, inadvertidamente, tomarem decisões imprudentes sobre quais aplicativos podem ver e transferir suas informações.

“O principal desafio é como implementar um processo de verificação de aplicativos que não sobrecarregue o administrador e não frustre os usuários”, explica Dionisio Zumerle, diretor de pesquisa de segurança móvel do Gartner. Ele sugere a adoção de soluções de defesa contra ameaças móveis (MTD) – produtos como o Endpoint Protection Mobile da Symantec, o SandBlast Mobile da CheckPoint e o zIPS Protection da Zimperium. Esses utilitários analisam os aplicativos em busca de “comportamentos com vazamentos”, diz Zumerle, e podem automatizar o bloqueio de processos problemáticos.

Naturalmente, nem sempre isso acoberta vazamentos que ocorrem como resultado de um erro claro do usuário – algo tão simples quanto transferir arquivos da empresa para um serviço de armazenamento em nuvem pública, colar informações confidenciais no lugar errado ou encaminhar um email para um destinatário não intencional. Esse é um desafio que atualmente a indústria da saúde está lutando para superar: segundo a provedora especializada em seguros Beazley, “divulgação acidental” foi a principal causa de violação de dados relatada por organizações de saúde no terceiro trimestre de 2018. Essa categoria combinada com vazamentos internos foi responsável por quase metade de todas as violações relatadas durante o período.

Para esse tipo de vazamento, as ferramentas de prevenção de perda de dados (DLP) podem ser a forma mais eficaz de proteção. Esse software é projetado explicitamente para evitar a exposição de informações confidenciais, inclusive em cenários acidentais.

2. Engenharia social

O método de tática de fraude é tão problemática no mobile quanto no desktop. Apesar da facilidade com que alguém poderia pensar que os contras da engenharia social poderiam ser evitados, eles permanecem surpreendentemente eficazes.

Surpreendentemente, 91% dos crimes cibernéticos começam com o e-mail, de acordo com um relatório de 2018 da companhia de segurança FireEye. A empresa se refere a esses incidentes como “ataques sem malware”, uma vez que eles utilizam táticas como a representação para enganar as pessoas que clicam em links perigosos ou forneçam informações confidenciais. O phishing, especificamente, cresceu 65% ao longo de 2017, aponta a empresa, e os usuários móveis correm o maior risco de cair neste tipo de golpe devido à forma como muitos clientes de e-mail móveis exibem apenas o nome de um remetente – tornando especialmente fácil falsificar mensagens e enganar uma pessoa a pensar que um e-mail é de alguém que eles conhecem ou confiam.

Na verdade, os usuários têm três vezes mais probabilidade de responder a um ataque de phishing em um dispositivo móvel do que em um desktop, de acordo com um estudo da IBM – em parte, simplesmente porque um telefone é o local onde as pessoas mais provavelmente veem uma mensagem. Enquanto apenas 4% dos usuários clicam em links relacionados a phishing, de acordo com o Relatório de Investigações de Violações da Verizon de 2018, as pessoas mais ingênuas tendem a ser reincidentes: a empresa observa que quanto mais vezes alguém clica em um link de campanha de phishing, o mais provável é que eles façam isso novamente no futuro. A Verizon relatou anteriormente que 15% dos usuários que foram infectados com sucesso serão violados pelo menos mais uma vez no mesmo ano.

“Nós vemos um aumento geral na suscetibilidade a dispositivos móveis impulsionada pelo aumento da computação móvel e pelo crescimento contínuo dos ambientes de trabalho BYOD”, diz John “Lex” Robinson, estrategista de segurança da informação e anti-phishing da PhishMe – uma empresa que usa simulações do mundo real para treinar os funcionários no reconhecimento e resposta a tentativas de phishing.

Robinson observa que a linha entre o trabalho e a computação pessoal também continua a se confundir. Cada vez mais trabalhadores estão vendo várias caixas de entrada – conectadas a uma combinação de contas de trabalho e pessoais – juntas em um smartphone, observa ele, e quase todo mundo conduz algum tipo de negócio pessoal on-line durante a jornada de trabalho. Consequentemente, a noção de receber o que parece ser um e-mail pessoal ao lado de mensagens relacionadas ao trabalho, não parece de todo incomum à primeira vista, mesmo que de fato possa ser uma fraude.

3. Interferência Wi-Fi

Um dispositivo móvel é tão seguro quanto a rede pela qual transmite dados. Em uma época em que todos estamos constantemente nos conectando à redes Wi-Fi públicas, isso significa que nossas informações geralmente não são tão seguras quanto podemos supor.

Quão significativa é essa preocupação? De acordo com uma pesquisa da empresa de segurança corporativa Wandera, os dispositivos móveis corporativos usam o Wi-Fi quase três vezes mais do que os dados celulares. Quase um quarto dos dispositivos se conectou a redes Wi-Fi abertas e potencialmente inseguras, e 4% dos dispositivos encontraram um ataque man-in-the-middle – no qual alguém intercepta maliciosamente a comunicação entre duas partes – no mês mais recente. A McAfee, por sua vez, diz que o spoofing de rede aumentou “dramaticamente” nos últimos tempos, e ainda assim, menos da metade das pessoas se preocupam em garantir sua conexão enquanto viajam e dependem de redes públicas.

“Hoje em dia, não é difícil criptografar o tráfego”, diz Kevin Du, professor de ciência da computação da Syracuse University, especialista em segurança para smartphones. “Se você não tem uma VPN (rede privada virtual), você está deixando muitas portas abertas em seus perímetros.”

Selecionar a VPN de classe empresarial certa, no entanto, não é tão fácil. Como na maioria das considerações relacionadas à segurança, uma troca é quase sempre necessária. “A entrega de VPNs precisa ser mais inteligente com dispositivos móveis, já que minimizar o consumo de recursos – principalmente de baterias – é fundamental”, destaca Zumerle, do Gartner. Uma VPN eficiente deve saber ativar somente quando for absolutamente necessário, diz ele, e não quando um usuário acessa algo como um site de notícias ou trabalha em um aplicativo que é conhecido por ser seguro.

4. Dispositivos desatualizados

Smartphones, tablets e dispositivos menores conectados – comumente conhecidos como Internet das Coisas (IoT) – representam um novo risco para a segurança corporativa, pois, ao contrário dos dispositivos de trabalho tradicionais, geralmente não oferecem garantias de atualizações de software oportunas e contínuas. Isso é verdade principalmente em relação ao Android, em que a grande maioria dos fabricantes é constrangedoramente ineficaz em manter seus produtos atualizados – tanto com updates do sistema operacional (SO) quanto com as atualizações menores de segurança mensais entre eles – assim como com dispositivos IoT, muitos dos quais não são projetados para receber atualizações em primeiro lugar.

“Muitos deles nem sequer têm um mecanismo de atualização embutido, e isso está se tornando cada vez mais uma ameaça hoje em dia”, diz Du.

Aumentando a probabilidade de ataque à parte, um uso extensivo de plataformas móveis eleva o custo total de uma violação de dados, de acordo com o Ponemon, e uma abundância de produtos IoT conectados ao trabalho apenas faz com que esse número suba ainda mais. A Internet das Coisas é “uma porta aberta”, segundo a companhia de segurança cibernética Raytheon, que patrocinou pesquisas mostrando que 82% dos profissionais de TI previram que dispositivos IoT não seguros causariam uma violação de dados – provavelmente “catastrófica” – dentro de sua organização.

Mais uma vez, uma política forte percorre um longo caminho. Existem dispositivos Android que recebem atualizações contínuas oportunas e confiáveis. Até que o cenário da IoT se torne menos selvagem, cabe a uma empresa criar a sua própria rede de segurança em torno deles.

5. Ataques de Cryptojacking

O cryptojacking é um tipo de ataque em que alguém usa um dispositivo para minerar criptomoedas sem o conhecimento do proprietário, um acréscimo relativamente novo à lista de ameaças móveis relevantes. Se tudo isso soa como um monte de bobagens técnicas, apenas saiba disso: o processo de mineração criptográfica usa os dispositivos da sua empresa para os ganhos de outra pessoa. Ele se apoia fortemente em sua tecnologia para fazê-lo – o que significa que os telefones afetados provavelmente terão pouca vida útil da bateria e poderão sofrer danos devido a componentes superaquecidos.

Embora o cryptojacking tenha se originado no desktop, houve um surto nos aparelhos móveis entre o final de 2017 e o início de 2018. A indesejada mineração de criptomoedas representou um terço de todos os ataques no primeiro semestre de 2018, de acordo com uma análise da Skybox Security, com um aumento de 70% na proeminência durante esse período em comparação com o semestre anterior. E os ataques de cryptojacking específicos para dispositivos móveis explodiram completamente entre outubro e novembro de 2017, quando o número de aparelhos mobile afetados registrou um aumento de 287%, de acordo com um relatório da Wandera.

Desde então, as coisas esfriaram um pouco, especialmente no domínio móvel – uma medida auxiliada em grande parte pela proibição de aplicativos de mineração de criptomoeda da iOS App Store da Apple e da Google Play Store associada ao Android, em junho e julho, respectivamente. Ainda assim, as empresas de segurança observam que os ataques continuam tendo um determinado nível de sucesso por meio de sites móveis (ou mesmo de anúncios indesejados em sites para celular) e por meio de aplicativos baixados de lojas de terceiros não oficiais.

Os analistas também destacam a possibilidade de usar cryptojacking por meio de set-top boxes conectadas à Internet, que algumas empresas podem usar para streaming e transmissão de vídeo. De acordo com a companhia de segurança Rapid7, os hackers descobriram uma maneira de tirar proveito de uma brecha evidente que faz do Android Debug Bridge – uma ferramenta de linha de comando destinada apenas para o uso dos desenvolvedores – acessível e pronto para a violação sobre tais produtos.

Por enquanto, não há uma grande resposta – além de selecionar dispositivos com cuidado e seguir com uma política que exige que os usuários façam download de aplicativos apenas na loja oficial de uma plataforma, onde o potencial para código de roubo é reduzido drasticamente – e realisticamente, não há indicação de que a maioria das empresas estão sob qualquer ameaça significativa ou imediata, particularmente dadas as medidas preventivas tomadas em toda a indústria. Ainda assim, por conta da atividade flutuante e do crescente interesse nesta área nos últimos meses, é algo que vale a pena ficar de olho ao longo do ano.

6. Má higiene de senha

Você acha que já passamos desse ponto, mas, de alguma forma, os usuários ainda não estão protegendo suas contas corretamente – e quando carregam telefones que contêm contas de empresas e logins pessoais, isso pode ser particularmente problemático.

Uma nova pesquisa do Google e da Harris Poll descobriu que mais da metade dos norte-americanos reutiliza senhas em várias contas. Igualmente preocupante é o fato de que quase um terço deles não está usando autenticação de dois fatores (ou nem sabe se está usando – o que pode ser um pouco pior). E apenas um quarto das pessoas estão usando ativamente um gerenciador de senhas, o que sugere que a grande maioria das pessoas provavelmente não possui senhas particularmente fortes na maioria dos lugares, já que elas estão presumivelmente gerando e lembrando delas por conta própria.

As coisas só pioram a partir daí: de acordo com uma análise do LastPass de 2018, metade dos profissionais usam as mesmas senhas para contas pessoais e de trabalho. E se isso não for suficiente, um funcionário comum compartilha cerca de seis senhas com um colega de trabalho ao longo de seu emprego, segundo a análise.

Para que você não pense que tudo isso é muito difícil, em 2017, a Verizon descobriu que as senhas fracas ou roubadas eram responsáveis por mais de 80% das violações relacionadas a hackers nas empresas. A partir de um dispositivo móvel em particular – onde os funcionários desejam acessar rapidamente vários aplicativos, sites e serviços – pense no risco para os dados da sua organização, mesmo que apenas uma pessoa esteja digitando de forma desleixada a mesma senha que eles usam para uma conta da empresa em um prompt em um site de varejo aleatório, aplicativo de bate-papo ou fórum de mensagens. Agora, combine esse risco com o risco mencionado de interferência de Wi-Fi, multiplique-o pelo número total de funcionários em seu local de trabalho e pense nas camadas de pontos de exposição prováveis que estão se acumulando rapidamente.

Talvez o mais irritante de tudo seja que a maioria das pessoas pareça completamente inconsciente de seus descuidos nessa área. Na pesquisa do Google e Harris Poll, 69% dos entrevistados deram a si mesmos um “A” ou “B” em relação à proteção das suas contas on-line, apesar de as respostas subsequentes que indicaram o contrário. Claramente, você não pode confiar na avaliação do próprio usuário sobre o assunto.

7. Brechas em dispositivos físicos

Por último, mas não menos importante, algo que parece especialmente bobo, mas continua a ser uma ameaça perturbadoramente realista: um dispositivo perdido ou abandonado pode ser um grande risco de segurança, especialmente se não tiver um PIN ou senha forte e criptografia de dados completa.

Considere o seguinte: em um estudo do Ponemon de 2016, 35% dos profissionais indicaram que seus dispositivos de trabalho não tinham medidas obrigatórias para garantir dados corporativos acessíveis. Pior ainda, quase metade dos entrevistados disseram que não tinham senha, PIN ou segurança biométrica protegendo os seus dispositivos – e cerca de dois terços disseram que não usavam criptografia.E 68% dos entrevistados indicaram que, às vezes, compartilhavam senhas em contas pessoais e de trabalho acessadas por meio de seus dispositivos móveis.

A mensagem para levar para casa é simples: deixar a responsabilidade nas mãos dos usuários não é suficiente. Não faça suposições; faça políticas. Você vai agradecer a si mesmo depois.

Via CIO