Como Criminosos Cibernéticos Exploram Parceiros da Cadeia de Suprimentos para Lançar Ataques

Por sua própria natureza, uma cadeia de suprimentos requer parceria colaborativa entre pessoas e organizações. Embora isso possa ajudar a alcançar objetivo comum e fomentar crescimento, também pode representar uma série de problemas.

Através dessas relações simbióticas, empresas expuseram inadvertidamente aspectos sensíveis de seus negócios. No entanto, essa fraqueza negligenciada abriu oportunidades para criminosos cibernéticos estabelecerem ponto de apoio em suas organizações-alvo.

Prevalência dos Ataques

Ressaltando a prevalência de tais ataques, estudo do Opus e Ponemon Institute mostra que pelo menos 59% das organizações sofreram ciberataques através de empresas terceiras. Ainda mais perturbador é o fato de que apenas 16% das organizações no estudo alegaram mitigar efetivamente riscos de cibersegurança de terceiros.

Faz sentido que o primeiro passo para proteger sua empresa de tais riscos seja identificá-los. A seguir, algumas maneiras que atores maliciosos podem iniciar ataque através de parceiro da cadeia de suprimentos, ilustradas por exemplos reais.

Software e Hardware Externos

Quase toda organização faz uso de hardware e software externos. Poucos querem construir tecnologia do zero. Em vez disso, o boom no campo open-source levou a onda massiva de terceirização em quase todos os aspectos das operações de negócio.

Apesar de sua conveniência, essa oportunidade vem com risco considerável. O infame vazamento da Equifax em 2018 resultou de falha no software responsável por executar bancos de dados online. A Equifax também culpou link de download malicioso em seu site, que veio de outro fornecedor.

Como resultado dessas fraquezas em sua cadeia de suprimentos, criminosos obtiveram dados pessoais de pelo menos 143 milhões de pessoas.

Sistemas HVAC Conectados

Numerosas empresas usam sistemas de aquecimento, ventilação e ar condicionado (HVAC) conectados à internet mas sem medidas de segurança adequadas. Estes dão a hackers porta de entrada potencial para sistemas corporativos, como foi o caso do massivo vazamento da Target em 2014.

Hackers obtiveram credenciais de login pertencentes à empresa que fornecia sistema HVAC da Target. Entraram então e acessaram seus sistemas de pagamento, roubando informação de estimados 70 milhões de pessoas. Incluía nomes, endereços físicos, emails e números de telefone, entre outros dados sensíveis.

Provedores de Serviços em Nuvem

Outra forma de risco vem de provedores de serviços em nuvem que armazenam dados confidenciais de empresas. Com certeza, tais entidades investem significativamente na segurança de seus sistemas; suas reputações dependem disso.

Mas como quaisquer outros sistemas organizacionais, estes também são propensos a comprometimento. Foi o caso do infame vazamento dos Paradise Papers em 2018. Aproximadamente 13,4 milhões de arquivos sensíveis vazaram revelando negócios financeiros sensíveis de corporações globais e super-ricos de todo o mundo. Pelo menos metade desses arquivos, cerca de 6,8 milhões, veio da Appleby, provedora offshore de serviços jurídicos.

Um ataque similar ocorreu no verão de 2018, quando a Deep Root Analytics vazou dados pessoais de cerca de 200 milhões de eleitores. Deep Root é firma de marketing usada por ambos os partidos Republicano e Democrático. O vazamento resultou de a firma acidentalmente colocar os dados em servidor publicamente acessível.

Embora seja empresa relativamente pequena com apenas cerca de 50 funcionários, incidentes similares ocorreram em organizações maiores. No caso do vazamento da Verizon, a Nice Systems colocou 6 milhões de registros de clientes em servidor de armazenamento Amazon S3 público. Os registros consistiam em seis meses de logs de chamadas de atendimento ao cliente. Incluíam informação pessoal e de contas. A Nice tem mais de 3.500 funcionários.

A Deloitte, com mais de 250.000 funcionários, experimentou vazamento de dados similar. Em setembro de 2018, hackers obtiveram acesso a planos confidenciais e emails de alguns de seus clientes blue-chip. A brecha, neste caso, foram controles de acesso fracos em uma de suas contas administrativas.

Para grandes empresas, segurança pode ser internamente à prova d'água. No entanto, isso pode não ser verdade mesmo para sistemas de TI de fornecedores. Parece ser o que aconteceu na Domino's Pizza na Austrália no outono passado. Segundo relatos na época, o incidente resultou de sistemas fracos de cibersegurança de um ex-fornecedor. Como resultado, o sistema vazou nomes e emails de clientes. O vazamento só veio à tona quando clientes afetados começaram a receber emails de spam personalizados. Embora a Domino's insistisse que não houve hack malicioso de dados pessoais e que seus sistemas não estavam em falha, o dano já estava feito.

Dispositivos IoT como Vetor de Ataque

Outra brecha que criminosos cibernéticos podem explorar são sensores de internet das coisas (IoT). Muitos operadores de negócios estão alertas a riscos de segurança de computadores, telefones e redes. Mas frequentemente ignoram dispositivos IoT, que podem permitir atacantes saltarem para sistemas corporativos.

Esses dispositivos têm sensores que os conectam à internet para fins de comunicação. São comuns em cadeias de suprimentos, pois podem auxiliar em previsão de falha de máquina e gestão de estoque, entre outras áreas. Apesar de seu valor funcional, são vetor de ataque popular que pode dar atacantes acesso a dados sensíveis, e facilitar sabotagem e ataques de botnet.

Exemplo de tal ataque usou botnet conhecida como Mirai para comprometer a Dyn, empresa que fornece serviços de nome de domínio para Reddit, Netflix e Github, entre outros. Mirai é botnet específica para IoT projetada para perpetrar ataques distribuídos de negação de serviço (DDoS).

Responsabilidade e Due Diligence

Os exemplos acima dão credibilidade ao fato de que atacantes podem usar elo fraco em sua cadeia de suprimentos para acessar sistemas. Infelizmente, você não pode exercer controle direto sobre medidas de segurança que seus parceiros da cadeia de suprimentos implementam. Mas no fim do dia, clientes não se importam como você foi comprometido. Eles simplesmente querem saber que seus dados estão seguros. E isso coloca a responsabilidade de garantir segurança rigorosa em suas mãos.

Due diligence na avaliação de sistemas de segurança de terceiros e suas políticas de privacidade é essencial. Como vimos, organizações grandes e pequenas podem cair presa a essas táticas. Não importa o tamanho de seus parceiros, é essencial avaliar seu compromisso com segurança.

Torne objetivo principal avaliar onde estão suas fraquezas, e priorize fechar todas as brechas.

Olivia Scott é gerente de marketing na VPNpro.com.