Unidade 1: Aprendizagem Presencial – Ameaças no mundo cibernético
Introdução
Nos últimos anos, o rápido desenvolvimento do mundo e a crescente integração da Internet na vida das pessoas contribuíram para a expansão de um novo tipo de crime – o cibercrime, que aumentou com a digitalização da sociedade e de todas as suas esferas. As ciberameaças referem-se a qualquer tentativa ilegal de danificar ou perturbar um sistema de informação através do acesso não autorizado, da destruição, da divulgação e/ou da modificação de dados. Por conseguinte, as ciberameaças são um problema importante que os seres humanos enfrentam e têm de enfrentar.
História das ciberameaças
Na literatura, é possível encontrar várias informações sobre as origens das ciberameaças. De acordo com uma fonte, as ciberameaças surgiram pela primeira vez em 1834, quando o sistema telegráfico francês foi pirateado por um par de ladrões que roubaram informações sobre o mercado financeiro, realizando efetivamente o primeiro ciberataque do mundo. Desde então, a cibersegurança tornou-se uma prioridade máxima para a segurança nacional e assistimos a alguns dos maiores e mais destrutivos ciberataques da história.
A partir daí, registaram-se muitos incidentes cibernéticos (Forrester, 2021 & Morgan, 2019).
- 1995 – LA KIIS FM Porsche
- 2002 - Ataque à Internet
- 2008 - The Church of Scientology
- 2013 – Yahoo
- 2014 - JPMorgan Chase
- 2016 – Adult Friend Finder
- 2017 – Equifax
- 27 de Junho de 2018 – Exactis
- 2019 - Facebook - Informações pessoais (incluindo números de telefone, nomes de contas e IDs do Facebook) de mais de 530 milhões de utilizadores do Facebook foram expostas por um hacker desconhecido.
- 2020 - Sina Weibo - 538 milhões de informações pessoais de utilizadores foram roubadas da Sina Weibo, uma rede social que é o equivalente chinês do Twitter. As informações pessoais roubadas dos utilizadores também circularam na dark web.
- 2020 - SolarWinds - A FireEye, uma importante empresa de cibersegurança, anunciou ter sido vítima de um ataque de um Estado-nação. A equipa de segurança informou que o seu conjunto de ferramentas Red Team, que contém aplicações utilizadas por hackers éticos em testes de penetração, foi roubado. A FireEye descobriu um ataque à cadeia de abastecimento enquanto investigava o ataque de um Estado-nação ao seu próprio kit de ferramentas Red Team. Os investigadores depararam-se com provas que indicavam que os atacantes tinham introduzido uma backdoor no software SolarWinds, "trojanizing" as atualizações do software empresarial SolarWinds Orion para distribuir malware.
- 2021 - Colonial Pipeline - um ataque de ransomware forçou a Colonial Pipeline, uma empresa de energia dos EUA, a encerrar todo o seu gasoduto de distribuição de combustível - e, por conseguinte, ameaçou a distribuição de gasolina e combustível de avião em toda a costa leste dos EUA. A Colonial Pipeline pagou quase 5 milhões de dólares a hackers da Europa de Leste para ajudar a restaurar o maior gasoduto de combustível do país.
- 2021 - Accenture - O grupo de ransomware LockBit violou as redes da Accenture, encriptou ficheiros e exigiu 50 milhões de dólares para evitar que os seus ficheiros encriptados fossem vendidos na dark web.
Situação atual da cibersegurança
Em janeiro de 2022, o Parlamento Europeu abordou a questão da cibersegurança e o estado da sociedade digital e dos meios de comunicação social, através de uma infografia que incluía as principais ameaças emergentes em 2021 e o impacto da pandemia de Covid-19 nas mesmas.
Basicamente, o progresso da transformação digital conduziu inevitavelmente a novas ameaças à cibersegurança, à medida que os cibercriminosos tiram partido da pandemia Covid-19, visando organizações e empresas que trabalham remotamente. Por esta razão, o Parlamento aprovou a sua posição sobre uma nova diretiva da UE que reflete a evolução das ameaças à cibersegurança e introduz medidas harmonizadas em toda a UE, incluindo a proteção de sectores essenciais.
As ameaças à cibersegurança na União Europeia estão a afetar sectores que são vitais para a sociedade. Tal como observado pela Agência da União Europeia para a Cibersegurança (ENISA), entre abril de 2020 e julho de 2021, os cinco principais setores afetados foram a administração pública/governo (198 incidentes comunicados), os prestadores de serviços digitais (152), o público em geral (151), os cuidados de saúde/médicos (143) e o setor financeiro/bancário (97).
Durante a pandemia, as empresas tiveram de se adaptar rapidamente a novas condições de trabalho, abrindo assim novas portas e mais possibilidades para os cibercriminosos. De acordo com a Agência da União Europeia para a Cibersegurança (ENISA), existem nove grupos de ameaças principais: Ransomware – atacantes que encriptam os dados de uma organização e exigem um pagamento para restaurar o acesso; Cryptojacking – quando os cibercriminosos utilizam secretamente o poder de computação de uma vítima para gerar criptomoeda; Ameaças contra os dados – violações/violações de dados; Malware – um software que desencadeia um processo que afeta um sistema; Ameaças não-maliciosas – erros humanos e configurações erradas de um sistema; Ameaças contra a disponibilidade e a integridade – ataques que impedem os utilizadores de um sistema de aceder às suas informações; Ameaças relacionadas com o correio eletrónico – visam manipular as pessoas para que sejam vítimas de um ataque por correio eletrónico; Ameaças à cadeia de abastecimento – ataque, por exemplo, a um prestador de serviços, a fim de obter acesso aos dados de um cliente.
Atualmente, a ameaça mais preocupante é considerada o Ransomware. O Ransomware é um software malicioso, concebido para impedir um utilizador ou uma organização de aceder aos ficheiros no seu computador. Os atacantes exigem o pagamento de um resgate para restabelecer o acesso. (Parlamento Europeu, 2022).
Riscos digitais
De acordo com Kost (2022), o risco digital refere-se a todas as consequências inesperadas resultantes da transformação digital que perturbam a realização dos objetivos empresariais. Quando uma empresa cresce, a sua superfície de ataque expande-se, aumentando a sua exposição a ciberameaças, o que torna o risco digital um subproduto inevitável da transformação digital. Por este motivo, foram desenvolvidas muitas estratégias de proteção contra o risco digital para atenuar o risco digital, de modo a que as organizações possam continuar a expandir as suas operações com confiança.
Os riscos digitais estão divididos em 9 categorias principais. A complexidade provocadora do panorama dos riscos digitais pode ser simplificada através da divisão dos riscos nessas diferentes categorias, de modo a ajudar as organizações a identificar as áreas mais vulneráveis dos seus ecossistemas e a apoiar esforços de proteção contra os riscos altamente direcionados. Os tipos de riscos digitais são: tecnologia de computação em nuvem, cibersegurança, fugas de dados, conformidade, automatização de processos, resiliência, privacidade dos dados, riscos de terceiros e talentos da força de trabalho.
Como gerir eficazmente o(s) risco(s) digital(ais)?
Kost (2022) sublinha que os ciberataques têm o maior impacto em todas as categorias de risco digital. Ao concentrar os esforços de proteção digital nos riscos de cibersegurança e de fuga de dados, todas as outras categorias de risco digital podem ser atenuadas. Mais adiante, “a proteção do risco digital tem uma abordagem mais proactiva da cibersegurança, detetando ameaças antes de estas se tornarem violações de dados.
Os esforços de proteção contra riscos digitais monitorizam:
- Fugas de dados na dark web
- Comprometimento de marcas
- Tomadas de controlo de contas (imitações de contas)
- Campanhas de fraude
- Danos à reputação
- Ataques de engenharia social ou de phishing
De acordo com Cobb (2022), “uma avaliação do risco de cibersegurança exige que uma organização determine os seus principais objetivos comerciais e identifique os ativos de tecnologia da informação que são essenciais para a concretização desses objetivos”.
Informações sobre ameaças
A informação sobre ameaças (TI), ou a informação sobre ciberameaças (CTI), é a informação que uma organização utiliza para compreender as ameaças que já visaram, irão visar ou estão atualmente a visar a organização. Esta informação é utilizada para preparar, prevenir e identificar ciberameaças que procuram tirar partido de recursos valiosos.
Existem três subcategorias em que a informação sobre ameaças é frequentemente dividida: Estratégica – Tendências mais amplas, normalmente destinadas a um público não técnico; Tática – Esboços das táticas, técnicas e procedimentos dos agentes de ameaças para um público mais técnico; Operacional – Detalhes técnicos sobre ataques e campanhas específicos. Estes mecanismos podem ajudar as organizações a obter conhecimentos valiosos sobre estas ameaças, a criar mecanismos de defesa eficazes e a atenuar os riscos que podem prejudicar os seus resultados e a sua reputação, concentrando-se na prevenção e no planeamento das ameaças. Analisam continuamente o ecossistema em busca de vulnerabilidades e gerem os esforços de correção de todos os riscos descobertos. O objetivo final é reforçar as posturas de segurança tanto internamente como em toda a rede de fornecedores para melhorar a resistência às tentativas de ciberataque. (Forcepoint, n.d., Kost, 2022, & Recorded Future, n.d.)
Tipos de ameaças no mundo cibernético
Dado que as ciberameaças mudam a um ritmo acelerado e que as táticas e os métodos de ataque mudam e melhoram diariamente, a presente secção fornece informações sobre os tipos de ciberameaças a que uma instituição ou organização deve estar atenta.
- Fraude com cartões de crédito (CC Frauds)
Trata-se de uma forma de roubo de identidade em que os criminosos efetuam compras ou obtêm adiantamentos em dinheiro utilizando uma conta de cartão de crédito atribuída a outra pessoa. (Commonwealth of Massachusetts, n.d.)
- Spam
Inclui mensagens e e-mails não desejados, não solicitados ou indesejáveis. (Commonwealth of Massachusetts, n.d.)
- Fraudes/ameaças em meios sociais/digitais:
As burlas e ameaças nas redes sociais e digitais ocorrem quando as pessoas fornecem demasiadas informações pessoais nas suas plataformas de redes sociais. Os atacantes podem facilmente recolher esses dados e utilizá-los em seu benefício. Algumas ameaças nas redes sociais assumem a forma de esquemas de phishing. Isto significa que o atacante recolheu com sucesso informações pessoais através das redes sociais e utilizou esse conhecimento para enviar um e-mail à vítima. Mensagens como estas normalmente induzem a pessoa a clicar numa ligação anexa que pode enviar ao atacante informações sensíveis, que os atacantes podem posteriormente utilizar para chantagem. (FRAUDWATCH, n.d.)
- Likejacking/clickjacking
Likejacking/clickjacking refere-se a quando os utilizadores são enganados para clicarem em itens de uma página Web e/ou gostarem de algo (por exemplo, uma página do Facebook) sem o seu conhecimento (Commonwealth of Massachusetts, n.d.). Uma forma frequente de os utilizadores da Internet serem levados a fazer clickjacking é através da exploração de um vídeo e/ou imagem apelativos a que os utilizadores só podem aceder depois de seguirem a página ou clicarem no botão “gosto”. (Techopedia, 2022)
- Brindes falsos
Os brindes são muito populares e criam muita interação – mas podem ter um efeito negativo sob a forma de brindes falsos, criados especificamente com a intenção de enganar as pessoas para que forneçam informações preciosas. (Commonwealth of Massachusetts, n.d.)
- Malware
O malware (abreviatura de software malicioso) refere-se principalmente a ficheiros ou software intrusivos que pretendem danificar e/ou destruir sistemas informáticos. Exemplos comuns de malware são os vírus e o spyware (Cisco, 2022). Uma forma comum de aparecimento de malware é sob a forma de um vídeo com um título escandaloso. Os títulos variam entre acontecimentos mundiais recentes e chocantes e vídeos explícitos. A curiosidade mórbida entra em ação e as pessoas clicam na hiperligação, comprometendo a sua conta ou o seu computador, ou canalizando dinheiro para os burlões através de esquemas de afiliação. (Commonwealth of Massachusetts, n.d.)
- Emotet
De acordo com a Cybersecurity and Infrastructure Security Agency (CISA), o Emotet é um Trojan bancário avançado e modular que funciona principalmente como um descarregador ou dropper de outros Trojans bancários.
- Ataques de ransomware
O ataque de ransomware é um tipo de ataque de malware em que o atacante bloqueia e encripta os dados e ficheiros importantes da vítima, exigindo depois um pagamento para desbloquear e desencriptar os dados. Este tipo de ataque tira partido das vulnerabilidades humanas, do sistema, da rede e do software para infetar o dispositivo da vítima, que pode ser um computador, uma impressora, um smartphone, um wearable, um terminal de ponto de venda (POS) ou outro endpoint. (Imperva, n.d.)
- Fraudes de afiliados
As burlas de afiliados são programas de incentivo em que as empresas pagam para atrair tráfego ou novos subscritores para o seu site. (Norton, n.d.)
- Amigos ou seguidores falsos (Norton, n.d.)
Os pedidos de amizade falsos nas redes sociais podem representar um estratagema de burlões ou hackers que tentam obter mais acesso às suas informações pessoais ou que procuram descobrir informações pessoais sobre si que possam ser utilizadas num ataque de phishing. Também pode receber pedidos de amigos falsos que partilham links para, por exemplo, vídeos virais – estes podem alojar links maliciosos para malware ou sites de phishing que podem introduzir as suas informações pessoais nas suas bases de dados ou incorporar-se no seu feed de notícias do Facebook, atraindo os seus amigos e familiares a clicar e a ficar infetados.
Para detetar um pedido de amizade falso nas redes sociais, tenha em atenção o seguinte:
- se conhece pessoalmente a pessoa ou se tem amigos em comum
- a pessoa tem uma conta nova com muito pouca atividade
- o pedido vem de uma pessoa invulgarmente atraente
- a pessoa tem um número invulgarmente pequeno ou grande de amigos
- só existem vídeos e fotografias partilhados na sua linha cronológica
Se receber um pedido falso, denuncie-o ao Facebook, ao LinkedIn ou a outra plataforma social. É importante que os especialistas em segurança estejam informados sobre estas tentativas de pirataria informática, para que possam utilizar e implementar soluções proactivas de monitorização, anti-spam e anti-malware.
- Phishing
O phishing é uma forma de engenharia social, incluindo tentativas de obter informações sensíveis. As tentativas de phishing aparentam ser de uma pessoa ou empresa de confiança. Por outras palavras, acontece quando alguém envia uma mensagem fingindo ser uma empresa/contacto respeitável para levar a vítima a revelar informações pessoais, como palavras-passe ou números de cartões de crédito. Os ataques de phishing utilizam uma comunicação falsa, ou seja, uma mensagem de correio eletrónico, para enganar o destinatário, levando-o a abri-la e a seguir as instruções, fornecendo um número de cartão de crédito para roubar dados sensíveis e informações de início de sessão ou instalar malware no computador da vítima. (Commonwealth of Massachusetts, n.d.)
- Catfishing/dating scams
Quando uma pessoa cria um perfil pessoal falso num site de rede social para fins fraudulentos ou enganosos. (Commonwealth of Massachusetts, n.d.)
- Ciberbullying e abuso
Anonimato, comentários de ódio, comentários maldosos contra uma pessoa ou um grupo de pessoas. (Norton, n.d.)
- Roubo de identidade
Quando é partilhada demasiada informação nas plataformas das redes sociais, os hackers têm facilidade em roubar informações pessoais, decifrar palavras-passe e/ou roubar identidades. (Norton, n.d.)
- Ameaça das aplicações
Aplicações falsas carregadas com vírus ou aplicações reais que vendem os seus dados. (Norton, s.d.)
- Mensagens privadas com hiperligações duvidosas/worms (Norton, s.d.)
Os worms são um tipo de malware que se replica para se espalhar pelo maior número possível de computadores. (Norton, n.d.)
- Ataques Man-in-the-Middle (MitM)
Os ataques MitM ocorrem quando um criminoso se posiciona numa conversa entre um utilizador e uma aplicação – seja para escutar ou para se fazer passar por uma das partes, fazendo parecer que está a decorrer uma troca normal de informações, para roubar informações pessoais, como credenciais de início de sessão, detalhes de contas e números de cartões de crédito. (Imperva, n.d.)
- Ataque de negação de serviço (DOS)
O ataque DOS é uma forma de ciberataque destinada a desligar uma máquina ou rede, tornando-a inacessível aos utilizadores a que se destina. Os ataques DoS conseguem-no inundando o alvo com tráfego ou enviando-lhe informações que provocam uma falha. (Paloalto Networks, n.d.)
- Injeções de SQL
A injeção de SQL é uma técnica comum de hacking na Web e de injeção de código que resulta da inserção de código malicioso num servidor que utiliza SQL. Quando infetado, o servidor liberta informações que podem destruir uma base de dados. Normalmente, ocorre quando se pede a um utilizador que introduza dados, como o seu nome de utilizador, e, em vez de um nome/identificação, o utilizador fornece uma instrução SQL que, sem saber, será executada na sua base de dados. (W3Schools, n.d.)
- Exploração de dia zero
A exploração de dia zero é uma exploração desconhecida na Internet que expõe uma vulnerabilidade no software ou hardware e pode criar problemas complicados muito antes de alguém se aperceber que algo está errado. De facto, um exploit de dia zero não deixa qualquer oportunidade de ser detetado. (FIREEYE, n.d.)
- Ataque por palavra-passe
Os ataques às palavras-passe referem-se a qualquer um dos vários métodos utilizados para autenticar maliciosamente contas protegidas por palavra-passe, como a engenharia social, o acesso a uma base de dados de palavras-passe ou a adivinhação, a força bruta, os ataques de dicionário, a pulverização de palavras-passe e o enchimento de credenciais. Estes exemplos são considerados estratégias utilizadas pelos ciber-atacantes, que dependem da interação humana, e envolvem muitas vezes enganar as pessoas para que violem as práticas de segurança normais. São normalmente facilitados pela utilização de software que acelera a quebra ou a adivinhação de palavras-passe. Os métodos de ataque mais comuns incluem a força bruta, ataques de dicionário, pulverização de palavras-passe e enchimento de credenciais. (CIS, n.d.)
- Scripting entre sites
Os ataques de Cross-Site Scripting (XSS) são um tipo de injeção, em que scripts maliciosos são injetados em sítios web benignos e fiáveis. Os ataques XSS ocorrem quando um atacante utiliza uma aplicação Web para enviar código malicioso, geralmente sob a forma de um script do lado do browser, para um utilizador final diferente. (Kirsten, n.d.)
- Engenharia social
Engenharia social é um termo utilizado para uma vasta gama de atividades maliciosas realizadas através de interações humanas. Isto significa que se baseia no erro humano e não nas vulnerabilidades do software e dos sistemas operativos. Assim, a engenharia social utiliza a manipulação psicológica para enganar os utilizadores e levá-los a cometer erros de segurança ou a fornecer informações sensíveis.
