Em 2017, as perdas financeiras decorrentes do ataque utilizando o malware WannaCry foram estimadas em oito bilhões de dólares. Em 2018, a Marriott descobriu que uma violação do sistema de reserva de sua subsidiária Starwood havia exposto as informações pessoais e de cartão de crédito de 500 milhões de hóspedes.

​

Os hackers parecem ser cada vez mais eficazes, mas a experiência dos consultores e pesquisadores da empresa de segurança cibernética Archefact, Thomas Parenty e Jack Domet, em artigo publicado na Havard Business Review em abril de 2020, afirmam que o motivo principal de as empresas continuarem vulneráveis às ameaças dos hackers é que não compreendem nem conhecem os riscos cibernéticos críticos de suas áreas consideradas relevantes. Isso porque essas empresas estão focadas somente em vulnerabilidades tecnológicas.

​

Quando as iniciativas de segurança cibernética são abordadas apenas sob o prisma da tecnologia, os executivos ficam sem compreender o jargão técnico especializado – alienados, portanto, da busca de uma solução para o problema. A responsabilidade por lidar com os riscos é relegada à área de segurança cibernética, a cargo da equipe de TI, que foca sua atenção nos sistemas informáticos. Não há um Plano de Segurança Cibernética Baseado em Riscos – PSCBR.  

​

O resultado tende a ser uma longa lista de tarefas para cobrir uma enorme quantidade de vulnerabilidades, sem qualquer priorização.

​

O resultado é previsível: quem busca defender toda a frente de combate consegue apenas, no mais das vezes, tornar-se fraco sistemicamente, apesar de todo o esforço. As empresas não têm como dar proteção em toda a superfície de ataque cibernético.

 

Eu concordo com esta visão da falta de Gestão de Riscos em Segurança Cibernética no Brasil, principalmente em razão de os ataques cibernéticos, na sua grande maioria, ocorrerem explorando vulnerabilidades básicas, decorrentes de erros crassos praticados pelos usuários, sem qualquer orientação ou sensibilização.

​

As principais vulnerabilidades exploradas pelos hackers, segundo o relatório da Gat Infosec, de maio de 2021, são:

​

• Risco do fator humano, pela engenharia social ou técnica de indução. O fator humano é a vulnerabilidade número um e as empresas não elaboram programas estruturados abordando as referidas técnicas. As estratégias de conscientização tradicionais são ineficientes e os dirigentes das empresas não mudam seu modo de pensar. Não pensam fora da caixa para ministrar treinamentos contínuos e dinâmicos. Não adianta treinar uma ou duas vezes ao ano. Está provado que não funciona.  

​​

• A partir da engenharia social e das técnicas de indução, temos ataques por Phishing, que é indução ou engenharia social direcionada, em que os usuários são induzidos a clicar em links maliciosos e propiciam a entrada de malware do tipo Ransomware. Essa é a maior causa da fragilização de grandes, médias e pequenas empresas.

​​

• Outra vulnerabilidade é o gerenciamento precário de senhas e autenticações, no que tange ao controle das senhas vencidas e à utilização, por parte dos diretores e presidentes, de senhas de fácil identificação pelos hackers, pois são em sua maioria datas de aniversário de esposa, filhos, netos, apelidos, entre outros. E para piorar a situação, recusam-se a trocá-las periodicamente.

​​

• Temos também a falta de atualização dos aplicativos e dos sistemas, o que gera um grande número de vulnerabilidades para as empresas.

​​

• A segurança diante da ação de terceiros que acessam a rede das empresas para realizar a manutenção é outra vulnerabilidade, principalmente na área de TA ou TO, áreas “core” das empresas, pois com um ataque direcionado eles simplesmente podem paralisar todo o negócio. Assistimos neste ano ao que aconteceu com a Colonial PipeLine, com a JBS, com os Laboratórios Fleury, entre outros casos .

 

Um ponto que chama a atenção é o tempo tomado para corrigir as vulnerabilidades. Vejam a tabela abaixo: