Crescem ciberataques contra empresas de médio porte

Nos últimos dois anos, os ataques cibernéticos contra empresas de médio porte tiveram um crescimento de 150% e até triplicaram em alguns setores no mesmo período. No entanto, os esquemas de ciberdefesa dessas empresas contra as crescentes invasões não se armaram suficientemente. A combinação entre invasores em número maior e cada vez mais audaciosos e a estagnação de adoção de soluções de cibersegurança resultou em um prognóstico sombrio para empresas de tamanho mediano para 2022, segundo um estudo da Coro.

De acordo com a pesquisa, empresas em crescimento estão sendo bombardeadas por ciberataques com uma frequência semelhante à das invasões que têm como alvo grandes companhias. Antes da pandemia, foram vistos, em média, cerca de 6.300 ataques por empresa de porte mediano ao longo de 2019. Em 2020, esse número aumentou para aproximadamente 17.500 e para 31.000 em 2021. Esses saltos representaram um crescimento de 174% entre 2019 e 2020 e de 79% entre 2020 e 2021. Se o aumento percentual entre 2021 e 2022 se mantiver dentro desses intervalos, os ataques devem ficar entre 56.000 e 86.000 vezes por empresa ao longo de 2022.

Além disso, nenhum setor de atividade está escapando da atenção dos cibercriminosos; todos estão experimentando um grande aumento no volume de ataques, colocando empresas de todas as áreas em risco. Por exemplo, ataques contra instituições educacionais dobraram entre o primeiro trimestre de 2020 até o quarto trimestre de 2021. Já as invasões de empresas de serviços profissionais, manufatura e varejo tiveram um aumento de 2,5 vezes, e os ataques a negócios de saúde e transporte quase triplicaram no mesmo período. Ao final de 2021, hospitais e outras empresas da área de saúde surgiram como as instituições mais visadas, segundo o estudo.

São vários os fatores que contribuem para o crescimento dos ataques, mas uma das mudanças mais importantes apontadas pela Coro é a expansão dos vetores de ataque. Invasões que usam como isca phishing e malware agora contam com muito mais variantes do que antes da pandemia, o que abre novos caminhos para que atores mal-intencionados se infiltrem nas redes das empresas.  

Por exemplo, phishing por meio de aplicativos na nuvem e por WiFi aumentaram e passaram a induzir mais usuários desavisados a visitar sites falsos ou ingressar em redes fraudulentas. Em outras frentes, no início da pandemia, emergiram como um importante vetor de ameaça tipos de malware entregues via nuvem. Plataformas de compartilhamento de arquivos em nuvem, como Google Drive ou Dropbox, tornaram-se veículos de malware.

O estudo reporta que ataques de phishing e malware contra empresas de varejo aumentaram mais de 2,5 vezes desde o início de 2020 até o final de 2021.

Mais do que crescer em variedade, os ataques a empresas de médio porte também se sofisticaram significativamente. Antes da pandemia, predominavam ataques que poderiam ser classificados como ingênuos, que não mudam muito entre seus alvos. Podem assumir a forma de ondas de e-mails mal-intencionados que chegam a milhões de destinatários, esperando que apenas pequena fração se torne, de fato, vítima. Podem assumir também a forma de bots automatizados que geram credenciais aleatoriamente.

Durante a pandemia, no entanto, os ataques se tornaram mais complexos, usando produtos e serviços de malware de baixo custo e que se propagaram rapidamente. Isso abriu portas para o lançamento de ataques mais direcionados e personalizados contra empresas de médio porte. Assim, os chamados ataques ingênuos caíram 21%, enquanto os mais sofisticados, cresceram geometricamente em popularidade entre cibercriminosos cibernéticos.

Outros elementos que contribuíram para essa onda crescente de ataques foram as ferramentas de automação usadas nas investidas. Automação e comoditização criaram economia de escala que permitiram aos invasores pensar nas empresas de médio porte como possíveis vítimas de suas ações. Não é à toa que os ataques de bots mais que dobraram nos últimos dois anos. Além disso, surgiram iniciativas que oferecem ferramentas mal-intencionadas como serviço que permite a praticamente qualquer um disparar campanhas sofisticadas e automatizadas.

Além disso, processos de transformação digital acelerados pela pandemia da COVID-19 também levaram as empresas de médio porte a adotar modelos de trabalho remoto, a liberar o uso de equipamentos pessoas em atividades profissionais e a abraçar mais aplicações corporativas na nuvem, sem pensar muitas vezes que os procedimentos de cibersegurança precisariam ser reavaliados.

O preocupante é que a vasta maioria das empresas de médio porte pesquisadas ainda não conta com proteções adequadas contra os ataques em número ampliado e maior sofisticação. Das mais de 4.000 pesquisadas, muito poucas tinham soluções de segurança contra malware e phishing e muito menos para outros vetores de ameaças que surgiram nos últimos dois anos. Para agravar a situação, as poucas que usam algum tipo de sistema de cibersegurança não o configuram corretamente, resultando em uma falsa sensação de estarem protegidas.