Quatro Tipos de Ciberataques — Estratégias Comprovadas de Prevenção

Se 2020 nos ensinou alguma coisa, é que a mudança pode realmente acontecer da noite para o dia. Em poucos dias após os primeiros fechamentos por coronavírus, ordens de ficar em casa e fechamento de negócios físicos, os americanos foram forçados a mudar como compravam bens como papel higiênico e mantimentos.

Esses novos hábitos ficaram. Segundo dados do Census Bureau dos EUA, as vendas de e-commerce em 2020 totalizaram massivos US$ 791,7 bilhões, um aumento de 32,4% em relação a 2019. À medida que as vacinações contra a COVID-19 são lançadas pelo país, muitos permanecem hesitantes em retornar ao normal pré-pandemia. Estima-se que 40% dos consumidores dizem planejar comprar na loja a mesma quantidade ou menos após serem vacinados, segundo um estudo da First Insight.

Com mais pessoas comprando mercadorias online, hackers estão aproveitando o mar de informações pessoais compartilhadas nessas transações. No início da pandemia, o FBI relatou receber entre 3.000 a 4.000 reclamações de cibersegurança por dia, um aumento de 400% em relação aos números pré-pandemia. Os 1.572 comerciantes de e-commerce pesquisados pela Webscale para nosso Relatório Global de Segurança de E-commerce de 2021 relataram que ameaças de cibersegurança foram seu desafio de negócios número um durante eventos de pico de vendas — incluindo bots maliciosos, injeções SQL, ataques de cross-site scripting (XSS), ataques de negação de serviço distribuído (DDoS) e ataques Magecart. Para a grande maioria das empresas, o impacto financeiro desses incidentes de segurança é significativo, variando de US$ 100.000 a US$ 250.000 em média.

O ano passado nos ensinou que a cibersegurança deve ser prioridade para todos os negócios de e-commerce. Eles estão comprometidos com um aumento de 15% a 20% nos gastos com segurança nos próximos três anos. Para estar preparado para o caminho à frente, é importante entender as tendências que surgiram neste ano divisor de águas do e-commerce, e quais tecnologias podem ajudar as empresas a enfrentar essas ameaças agora e nos próximos anos.

Quatro tipos de ciberataques se destacaram no ano passado devido à sua frequência e impacto econômico dramático: ataques Magecart, ataques de carding, fraude de cartão de crédito e ransomware.

Ataques Magecart

Ataques do tipo Magecart foram a maior ameaça ao e-commerce em 2020 e além. É o termo guarda-chuva para 13 grupos diferentes de cibercriminosos que praticam skimming digital ou form jacking para hackear seu caminho até informações de identificação pessoal dos clientes, especialmente detalhes de cartão de crédito, e vendê-los na dark web. Um dos maiores ataques do tipo Magecart foi contra a British Airways em setembro de 2018, afetando até 380.000 clientes e custando à companhia aérea US$ 230 milhões em multas. Sites de varejo usam fornecedores terceirizados e bibliotecas de código aberto para entregar uma experiência rica ao cliente. Infelizmente, esses scripts introduzem riscos para a marca e o negócio.

Há algumas maneiras pelas quais as empresas podem detectar ou prevenir tais ataques. Políticas de segurança de conteúdo (CSP) em tempo real aumentam a confiança entre o navegador e o servidor de aplicação, validando domínios confiáveis e impedindo domínios bloqueados de executar scripts. Autenticação multifator (MFA) também é útil ao bloquear o admin apenas para usuários autorizados. Este é um primeiro passo crítico em segurança e impede que atores mal-intencionados obtenham acesso ao back-end.

Ataques de Carding

Estes são o assassino silencioso. Uma vez que a informação do cartão de crédito é roubada, cibercriminosos precisam validar os cartões para vendê-los na dark web ou usá-los para cometer fraude de cartão de crédito. Sites de e-commerce são usados para validar cartões tentando transações de baixo valor. Muitas chamadas de interface de programação de aplicativos (API) são feitas no processo. Se o site tem segurança rigorosa, esse tipo de tráfego nefasto pode ser identificado rapidamente, e limitação de taxa pode ser ativada no processo de checkout para se defender contra o ataque.

Fraude de Cartão de Crédito

Muitos comerciantes de e-commerce não assinaram um sistema de detecção de fraude de cartão de crédito. Sem ele, um site de e-commerce se torna um alvo principal. Uma solução inteligente de detecção e mitigação de fraude pode detectar anomalias em endereços de contato e envio, país de origem e IP, para sinalizar transações suspeitas.

Ransomware

Em 2020, ransomware se tornou um dos ciberataques mais comuns entre organizações. Ransomware é um tipo de software malicioso que infecta um sistema de computador e exige que uma quantia em dinheiro seja paga para mitigar o problema. O ataque de alto perfil mais recente contra o fabricante de PC Acer em março de 2021 é a maior demanda de resgate já vista — US$ 50 milhões pagos em criptomoeda Monero. Apesar do alto risco, há ações que as empresas podem tomar para minimizar danos de ataques de ransomware, incluindo:

• Mantenha backups offline. A disponibilidade de arquivos de backup pode ajudar uma empresa a se recuperar rapidamente de um ataque de ransomware.
• Implemente uma estratégia de prevenção de roubo de dados. Isso é crítico, pois as empresas hoje carregam grandes quantidades de dados para plataformas de armazenamento em nuvem que atores mal-intencionados podem usar indevidamente.
• Monitore o comportamento de contas de usuários. Monitore e analise o comportamento do usuário para identificar riscos potenciais de segurança. Se suspeitar de abuso, aja rapidamente.
• Implemente autenticação multifator em todos os pontos de acesso remoto a uma rede empresarial. Foque em proteger ou desabilitar o acesso ao protocolo de área de trabalho remota (RDP), um ponto de entrada vulnerável em uma rede para atacantes.
• Realize testes de penetração para identificar pontos fracos em redes empresariais e vulnerabilidades como CVE-2019-19781 que devem ser priorizadas para correção.

O ano de 2020 foi desafiador para o mundo. Foi também um ano de tremendo crescimento e oportunidade para o segmento de e-commerce — e, infelizmente, um dos melhores para o cibercrime. As redes de cibercriminosos de hoje são bem financiadas, organizadas e altamente capazes. Enquanto esses grupos escalam suas operações, a indústria de cibersegurança melhorou em prever ataques e desenvolver soluções que podem monitorar, identificar e defender contra uma miríade de ameaças cibernéticas. Negócios de e-commerce de todos os tamanhos devem seguir este plano de quatro passos para se adiantar às ameaças de cibercrime que surgiram em 2020 e continuarão em 2021 e além:

• Avalie as vulnerabilidades de segurança do seu negócio e o possível impacto econômico de uma violação de dados, como multas de conformidade ou litígios caros de clientes.
• Crie uma estratégia de ameaça cibernética que cubra seu ecossistema completo, incluindo clientes, parceiros, fornecedores e funcionários.
• Invista em serviços de cibersegurança automatizados e abrangentes que ofereçam visibilidade total em infraestrutura, tráfego e ativos, junto com uma equipe especializada (interna ou externa) que entenda a nuvem e o e-commerce.
• Imponha uma estratégia de confiança zero. Eduque funcionários sobre melhores práticas de cibersegurança, a política de dados da empresa e o custo da não conformidade.

Com um plano claro em vigor, e lições do ano passado em mente, negócios de e-commerce estarão preparados para outro ano bem-sucedido em 2021.

Sonal Puri é diretora executiva da Webscale.