Ransomware como Serviço: Como Cadeias de Suprimentos Baseadas na Nuvem São Facilmente Alvejadas

Com a nuvem se tornando o meio primário de acessar um número crescente de ofertas de software, parece que todo aplicativo está migrando para um modelo de entrega "como serviço" hoje em dia. Então não deve surpreender que ransomware tenha entrado no bandwagon da nuvem.

Conheça ransomware-como-serviço (RaaS), um meio pré-embalado e fácil de implantar de bloquear redes de dados e extorquir seus donos por pagamento — geralmente na forma de Bitcoin ou outro tipo de criptomoeda — para desbloqueá-las.

Como as formas mais populares de serviços gerenciados, RaaS pode incluir suporte técnico 24/7 e fóruns de usuários dedicados a extrair o máximo do aplicativo. Compradores podem adquirir a "solução" de várias formas, incluindo assinatura mensal, taxas de licença única ou compartilhamento de lucros com o provedor de software. Independentemente de como seja fornecido, RaaS tem um objetivo comum: infligir caos digital e obter lucros enormes no processo. É uma razão maior pela qual receitas de ransomware dispararam para estimados US$ 20 bilhões nos EUA no ano passado, segundo a Cybersecurity Ventures.

Relatadamente disponível na dark web desde por volta de 2016, RaaS aumentou rapidamente desde então como meio de propagar ransomware. A cadeia de suprimentos global, composta por múltiplos parceiros independentes de todos os tamanhos e graus de sofisticação tecnológica, é especialmente vulnerável a ataque. Grandes fabricantes, distribuidores e varejistas podem pensar-se seguros, tendo gasto milhões em medidas de segurança apertadas dentro de suas próprias casas, mas o menor e mais inconsequente fornecedor pode servir como porta de entrada para uma riqueza de dados sensíveis sobre clientes e operações. Segundo algumas estimativas, dois terços de todos os ciberataques atualmente vêm através da cadeia de suprimentos.

Dispositivos móveis, que explodiram em número e aplicações na última década, são vetores populares de infecção. "Digamos que um subcontratado de um desenvolvedor esteja vindo construir uma extensão de software baseada em API para um cliente", diz Padmini Ranganathan, vice-presidente global de estratégia de produto na SAP Procurement. "Como você sabe que o código deles é seguro? Ou que estão protegendo os dispositivos que estão usando?"

Redes precisam ser igualmente vigilantes na proteção de sistemas embarcados na nuvem, diz Ranganathan. E embora tecnologia de nuvem não seja ameaça automática de segurança, eleva níveis de risco com a proliferação de dispositivos ligados à internet das coisas. Empresas precisam responder realizando auditorias rigorosas de todos dispositivos e sistemas que têm acesso a seus dados, tanto externamente quanto internamente, diz ele.

Com RaaS tornando mais fácil para criminosos cibernéticos manter redes por resgate, pensaria que empresas privadas e agências governamentais estariam tomando cuidado especial para proteger seus dados. A erupção de ataques de ransomware nos últimos anos sugere que não é o caso. Só em 2021, vítimas incluíram um oleoduto, frigorífico, distribuidor químico, fabricante de automóveis, até um serviço de balsa em Martha's Vineyard. Não parece haver padrão sobre a entidade atingida — apenas que todas provaram vulneráveis a uma forma de ataque que se tornou alarmantemente fácil de encenar.

Fornecedores menores — ou grandes, para o caso — podem argumentar que carecem de recursos para investir em cibersegurança. Ranganathan sugere que não estão vendo o problema com a mentalidade adequada. Certo, medidas de segurança adequadas podem ser caras para adquirir, e servem como arrasto temporário no balanço. Mas qual o custo de recuperar de um ciberataque — especialmente uma demanda de resgate que pode correr em milhões de dólares? Ou a consequência de perder clientes furiosos porque seus dados pessoais sensíveis foram comprometidos por negligência de um varejista ou provedor de serviço? "Subestimamos o conceito de valor em risco", diz Ranganathan.

Um aspecto importante de cibersegurança não necessariamente custa mais. É conscientização e diligência por parte de funcionários sobre ameaça de violações através de qualquer número de sistemas e dispositivos. Nada deve ser confiado de início; frequentemente um ataque bem-sucedido pode ser creditado a descuido humano, não vulnerabilidades na tecnologia.

Técnicas de hackers, claro, continuam evoluindo. Ataque de ransomware de hoje provavelmente tomará forma totalmente nova nos anos vindouros. Tecnologia se esforçará para acompanhar a ameaça em constante mudança, mas vigilância constante por parte de designers de sistemas e até usuários mais casuais é chave.

Empresas precisam dar a mesma atenção à segurança de sistemas que dão ao mundo mais deslumbrante de vendas, marketing e desenvolvimento de novos produtos. Diz Ranganathan: "Não podemos tirar os olhos da higiene arquitetural em nome de inovação rápida."