O que é um ataque cibernético? Tipos, etapas e como se prevenir

Um ataque cibernético é uma tentativa deliberada de invadir sistemas de computador, redes ou dados, geralmente com o objetivo de roubar algo, causar interrupções ou extorquir dinheiro. Isso abrange uma ampla gama de situações: um e-mail fraudulento que induz um funcionário a transferir dinheiro é um ataque cibernético, assim como um software malicioso que paralisa um hospital inteiro. O que ambos têm em comum é a intenção. Quando algo quebra por acidente, trata-se de uma interrupção; quando alguém o danifica propositalmente, trata-se de um ataque.

A seguir, analisamos quem realiza esses ataques e o que eles buscam, os tipos de ataques que você tem mais chances de enfrentar, como um ataque geralmente se desenrola, o que fazer quando você estiver no meio de um deles e por que a prevenção mais eficaz tem menos a ver com tecnologia do que a maioria das pessoas imagina.

Quem ataca e por quê

A imagem do hacker solitário de moletom com capuz está ultrapassada há décadas. A esmagadora maioria dos ataques vem de grupos criminosos organizados que operam como empresas, com centrais de suporte, modelos de assinatura e afiliados que alugam suas ferramentas. O motivo deles é o dinheiro, e seus alvos são escolhidos da mesma forma que qualquer empresa escolhe seus clientes: pela facilidade da venda.

É por isso que a suposição de que “somos pequenos demais para sermos interessantes” tem um custo tão alto. As pequenas e médias organizações são atraentes justamente porque detêm dados valiosos e fluxos de pagamento, embora raramente contem com uma equipe de segurança dedicada. Os ataques contra elas geralmente não são pessoais; são automatizados, percorrendo listas de endereços e vulnerabilidades conhecidas até que algo responda. Analisamos essa dinâmica com mais detalhes em nosso artigo sobre por que as PMEs são tão vulneráveis a ataques cibernéticos.

Além da maioria dos criminosos, há outros motivos: concorrentes ou agentes do Estado em busca de propriedade intelectual, ativistas em busca de atenção e, ocasionalmente, alguém de dentro da empresa agindo por frustração. Motivos diferentes, mas, em grande parte, as mesmas técnicas, o que é conveniente: a defesa contra o caso mais comum abrange a maior parte dos demais.

Os tipos mais comuns de ataques cibernéticos

Novos nomes de ataques surgem constantemente, mas quase todos são variações de um punhado de mecanismos. Conhecer o mecanismo é mais útil do que memorizar o vocabulário.

• Phishing e suas variantes. Uma mensagem que se faz passar por alguém em quem você confia para obter credenciais, um pagamento ou um clique. Continua sendo, de longe, o ponto de entrada mais comum. Como isso funciona e quais são as diferenças entre as variantes por SMS e por voz são abordadas em nosso guia sobre phishing.
• Ransomware. Software malicioso que criptografa seus arquivos e exige pagamento em troca da chave, cada vez mais associado à ameaça de divulgação dos dados. Nosso artigo sobre ransomware explica como ocorre a propagação da infecção.
• Malware de maneira mais ampla. Keyloggers, trojans bancários, spyware e cryptominers se instalam discretamente e atuam em segundo plano. Confira nossa visão geral sobre malware.
• Engenharia social sem nenhum tipo de malware. Uma ligação convincente, um fornecedor falso que altera dados bancários, um pedido urgente de um diretor. Não há nenhum arquivo para ser verificado, e é isso que torna a engenharia social tão difícil de filtrar.
• Ataques às credenciais. Reutilização de senhas vazadas em outros lugares ou tentativa de adivinhar senhas fracas em grande escala. É barato para o invasor e é por isso que a autenticação multifatorial (MFA) é tão importante.
• Aproveitamento de software sem patch. Vulnerabilidades conhecidas em sistemas que não foram atualizados. Os scanners automatizados detectam essas vulnerabilidades poucas horas após elas se tornarem de conhecimento público.
• Negação de serviço. Inundar um serviço com tráfego para que ele fique inacessível. Raramente se trata de roubo; geralmente, o objetivo é causar perturbações ou extorsão.
• Ataques à cadeia de suprimentos. Comprometer um fornecedor, uma atualização de software ou um provedor de serviços para atingir todos que os utilizam. Sua própria segurança é apenas uma parte do quadro geral.

Observe quantos desses casos começam com uma pessoa, e não com uma máquina. O phishing, a engenharia social e a reutilização de credenciais exigem que alguém aja, e é exatamente nesse ponto que uma organização tem mais espaço para melhorar.

Como ocorre um ataque cibernético

Os ataques raramente são aquele único momento dramático que parecem ser nas notícias. Na prática, eles passam por fases reconhecíveis, e o intervalo entre o primeiro ponto de entrada e os danos visíveis costuma ser de semanas. Esse intervalo também representa uma oportunidade: um ataque detectado na primeira semana é um incidente; um ataque detectado na sexta semana é uma crise.

De maneira geral, a sequência vai desde o reconhecimento — em que o invasor coleta nomes, endereços e relações com fornecedores a partir de fontes públicas —, passando pela obtenção de acesso por meio de um clique ou de uma senha roubada, até a expansão discreta desse acesso e o ato final de criptografia, roubo ou fraude. Cada fase deixa rastros e oferece uma oportunidade de intervenção. Analisamos essa sequência passo a passo em nosso artigo sobre as etapas de um ataque cibernético.

O que fazer durante e após uma crise

A primeira hora é mais importante do que a tecnologia que você comprou no ano passado. O que as pessoas precisam não é de uma pasta grossa, mas de algumas etapas que consigam realmente lembrar mesmo sob pressão.

1. Notifique imediatamente, antes de tentar corrigir o problema. A rapidez com que a notificação é feita determina o espaço de manobra que o invasor terá. Ninguém deve hesitar por ainda não ter certeza.
2. Isolar, em vez de desligar. Desconectar uma máquina afetada da rede limita a propagação; desligar a alimentação pode destruir provas de que você precisará mais tarde.
3. Suponha que as credenciais tenham sido comprometidas. Redefina as senhas e as sessões das contas envolvidas e verifique se há dispositivos recém-adicionados, regras de encaminhamento de e-mail e endereços de recuperação alterados.
4. Guarde as provas. Registros, a mensagem original, capturas de tela. As seguradoras e os investigadores vão solicitar essas informações, assim como o órgão regulador, caso haja dados pessoais envolvidos.
5. Verifique suas obrigações de notificação. Uma violação de dados que envolva dados pessoais acarreta obrigações de notificação, e as organizações abrangidas pela NIS2 têm seus próprios prazos para notificação de incidentes. Envolva quem for responsável por isso desde o primeiro dia, e não no quinto.
6. Faça a análise depois, sem procurar um culpado. A pergunta importante é qual sinal passou despercebido e por quê, e não quem clicou. A atribuição de culpa garante que o próximo incidente permaneça oculto por mais tempo.

Por que a prevenção começa com as pessoas

As medidas técnicas são responsáveis pela maior parte do trabalho em termos de volume. A autenticação multifatorial, atualizações pontuais, backups testados e mantidos offline e a restrição de quem pode acessar o quê filtram a maioria das tentativas automatizadas. Nada disso é opcional, e já não é mais por aí que os ataques realmente conseguem ter sucesso.

O que passa pelos filtros é direcionado às pessoas, porque as pessoas podem ser persuadidas e os softwares, não. Um funcionário que reconhece uma solicitação de pagamento suspeita, verifica-a por meio de um segundo canal e a denuncia, impediu um ataque que nenhum scanner teria detectado. Isso é uma habilidade e, como qualquer habilidade, ela se perde sem prática; é por isso que uma única sessão de treinamento anual produz tão poucos resultados. Exercícios curtos e recorrentes, que acompanham o panorama atual de ameaças, funcionam consideravelmente melhor, e uma simulação de phishing mostra onde você realmente está, em vez de onde você supõe estar.

Como o Guardey ajuda você a reduzir o risco

O treinamento de conscientização em segurança da Guardey foi desenvolvido para acompanhar esse ritmo: desafios semanais de cerca de três minutos, gamificação com tabelas de classificação e sequências de dias consecutivos, além de conteúdo que acompanha as ameaças que realmente estão em circulação. Os funcionários realizam o treinamento pelo aplicativo móvel para iOS e Android ou pelo navegador, o que significa que os colegas que não têm uma mesa de trabalho também são incluídos.

Simulações integradas de phishing mostram se o reconhecimento se traduz em comportamento, e os relatórios prontos para auditoria transformam todo o programa em evidência para normas como a NIS2 e a ISO 27001. A configuração leva apenas alguns minutos, e mais de 500 organizações já trabalham dessa forma, incluindo o Parlamento Europeu.

Perguntas frequentes sobre ataques cibernéticos

Qual é a diferença entre um ataque cibernético e uma violação de dados?

Um ataque é a tentativa; uma violação de dados é um dos possíveis resultados. Um ataque que é bloqueado nunca se torna uma violação, e uma violação também pode ocorrer sem que haja qualquer ataque, por exemplo, quando alguém envia um arquivo por e-mail para o destinatário errado. Essa distinção é importante porque as obrigações de notificação se referem à violação, e não à tentativa.

Quanto tempo leva para perceber um ataque?

Por mais tempo do que a maioria das organizações imagina. Os invasores que conseguem entrar por meio de uma senha roubada costumam agir com cautela para evitar acionar alarmes, e os danos visíveis só aparecem no final, e não no início. É por isso que as denúncias dos funcionários são tão valiosas: muitas vezes, elas revelam algo suspeito bem antes que os sistemas de monitoramento o façam.

Uma organização pequena é realmente um alvo?

Sim, e geralmente não por escolha própria. A maioria das tentativas é automatizada e tem como alvo qualquer resposta; portanto, ser pequeno não oferece proteção, enquanto ter menos especialistas muitas vezes significa um tempo de resposta mais longo. Não ser interessante não é uma defesa contra um script.

O seguro cobre um ataque cibernético?

Existem apólices de segurança cibernética que podem cobrir os custos de recuperação, mas as seguradoras exigem cada vez mais que você comprove a adoção de medidas básicas, incluindo treinamento de funcionários, e solicitarão comprovantes após um incidente. Considere a apólice como uma proteção contra prejuízos financeiros, e não como um substituto para as próprias medidas.

A verdade incômoda sobre os ataques cibernéticos é que a maioria deles não é sofisticada. Eles se baseiam em uma senha reutilizada em vários sites, em um sistema que nunca recebeu atualizações de segurança ou em um colega com pressa numa tarde de sexta-feira. Essa também é a parte encorajadora: o mesmo punhado de hábitos bloqueia a grande maioria deles, e cada um desses hábitos é algo que uma equipe pode aprender.