O que é um ciberataque? Tipos, fases e como prevenir um

Um ciberataque é uma tentativa deliberada de invadir sistemas informáticos, redes ou dados, normalmente para roubar algo, causar perturbações ou extorquir dinheiro. Isso abrange muitas situações: um e-mail fraudulento que leva um funcionário a transferir dinheiro é um ciberataque, tal como um software malicioso que bloqueia um hospital inteiro. O que têm em comum é a intenção. Quando algo avaria por acidente, é uma falha; quando alguém o avaria de propósito, é um ataque.

A seguir, vamos ver quem é que faz estes ataques e o que é que eles procuram, os tipos de ataques com que é mais provável que te depares, como é que um ataque normalmente se desenrola, o que fazer quando estiveres no meio de um e porque é que a prevenção mais eficaz tem menos a ver com tecnologia do que a maioria das pessoas pensa.

Quem é que ataca e porquê

A imagem do hacker solitário de capuz já está desatualizada há décadas. A esmagadora maioria dos ataques vem de grupos criminosos organizados que funcionam como empresas, com serviços de apoio, modelos de subscrição e afiliados que alugam as suas ferramentas. O que os motiva é o dinheiro, e os alvos são escolhidos da mesma forma que qualquer empresa escolhe os seus clientes: pela facilidade com que se consegue a venda.

É por isso que a ideia de que «somos demasiado pequenos para sermos interessantes» acaba por sair tão cara. As pequenas e médias empresas são atraentes precisamente porque têm dados valiosos e fluxos de pagamentos, mas raramente têm uma equipa de segurança dedicada. Os ataques a estas empresas não costumam ser pessoais; são automatizados, percorrem listas de endereços e vulnerabilidades conhecidas até encontrarem algo que responda. Analisámos essa dinâmica com mais pormenor no nosso artigo sobre o motivo pelo qual as PME são tão vulneráveis a ciberataques.

Além da maioria dos criminosos, há outros motivos: concorrentes ou entidades estatais que querem a propriedade intelectual, ativistas que querem chamar a atenção e, de vez em quando, alguém de dentro que age por frustração. Motivos diferentes, mas, em grande parte, as mesmas técnicas, o que é prático: defender-te contra o caso mais comum já cobre a maior parte do resto.

Os tipos mais comuns de ataques cibernéticos

Surgem constantemente novos nomes de ataques, mas quase todos são variações de um punhado de mecanismos. Conhecer o mecanismo é mais útil do que memorizar o vocabulário.

• Phishing e as suas variantes. Uma mensagem que se faz passar por alguém em quem confias para obter credenciais, um pagamento ou um clique. Continua a ser, de longe, o ponto de entrada mais comum. O nosso guia sobre phishing explica como funciona e em que é que as variantes por SMS e voz diferem.
• Ransomware. Software malicioso que encripta os teus ficheiros e exige o pagamento de uma quantia para obter a chave, cada vez mais acompanhado da ameaça de divulgar os dados. O nosso artigo sobre ransomware explica como é que a infeção se propaga.
• O malware em geral. Os keyloggers, os trojans bancários, o spyware e os cryptominers instalam-se todos discretamente e atuam em segundo plano. Vê a nossa visão geral sobre o malware.
• Engenharia social sem qualquer tipo de malware. Uma chamada convincente, um fornecedor falso que altera os dados bancários, um pedido urgente de um diretor. Não há nenhum ficheiro para analisar, e é isso que torna a engenharia social tão difícil de filtrar.
• Ataques às credenciais. Reutilizar palavras-passe que vazaram noutro sítio ou adivinhar palavras-passe fracas em grande escala. É barato para o atacante e é por isso que a autenticação multifator (MFA) é tão importante.
• Aproveitar-se de software sem patches. Pontos fracos conhecidos em sistemas que não foram atualizados. Os scanners automáticos detetam-nos poucas horas depois de uma vulnerabilidade se tornar pública.
• Ataque de negação de serviço. Inundar um serviço com tráfego para que fique inacessível. Raramente se trata de roubo, mas sim, muitas vezes, de perturbação ou extorsão.
• Ataques à cadeia de abastecimento. Comprometer um fornecedor, uma atualização de software ou um prestador de serviços para atingir toda a gente que os utiliza. A tua própria segurança é só uma parte do problema.

Repara em quantos destes casos começam com uma pessoa, em vez de uma máquina. O phishing, a engenharia social e a reutilização de credenciais requerem todos que alguém aja, e é precisamente aí que uma organização tem mais margem para melhorar.

Como se desenrola um ciberataque

Os ataques raramente são aquele momento dramático isolado que parecem ser nas notícias. Na prática, passam por fases reconhecíveis, e o intervalo entre a primeira penetração e os danos visíveis é muitas vezes de semanas. Esse intervalo é também a oportunidade: um ataque detetado na primeira semana é um incidente; um ataque detetado na sexta semana é uma crise.

Em linhas gerais, o processo vai desde o reconhecimento — em que o atacante recolhe nomes, moradas e relações com fornecedores a partir de fontes públicas —, passando pela obtenção de acesso através de um clique ou de uma palavra-passe roubada, até à expansão discreta desse acesso e ao ato final de encriptação, roubo ou fraude. Cada fase deixa vestígios e oferece uma oportunidade para intervir. Analisamos o processo passo a passo no nosso artigo sobre as fases de um ciberataque.

O que fazer durante e depois de um ataque

A primeira hora é mais importante do que a tecnologia que compraste no ano passado. O que as pessoas precisam não é de um dossier volumoso, mas sim de alguns passos que consigam realmente lembrar-se quando estiverem sob pressão.

1. Comunica imediatamente, antes de tentares resolver o problema. A rapidez com que comunicas determina o espaço de manobra que o atacante tem. Ninguém deve hesitar só porque ainda não tem a certeza.
2. Isola em vez de desligar. Desligar uma máquina afetada da rede limita a propagação; desligar a alimentação pode destruir provas de que vais precisar mais tarde.
3. Partem do princípio de que as credenciais foram comprometidas. Reiniciem as palavras-passe e as sessões das contas em causa e verifiquem se foram adicionados novos dispositivos, regras de reencaminhamento de e-mail ou se houve alterações nos endereços de recuperação.
4. Guarda as provas. Registos, a mensagem original, capturas de ecrã. As seguradoras e os investigadores vão perguntar, e a entidade reguladora também, caso estejam envolvidos dados pessoais.
5. Verifica as tuas obrigações de comunicação. Uma violação de dados que envolva dados pessoais implica obrigações de notificação, e as organizações abrangidas pela NIS2 têm os seus próprios prazos para comunicar incidentes. Envolve quem for responsável por isso logo no primeiro dia, e não no quinto.
6. Faz a análise depois, sem andares à procura de um culpado. O que importa saber é que sinal foi ignorado e porquê, e não quem clicou. Atribuir culpas só faz com que o próximo incidente fique escondido por mais tempo.

Porque é que a prevenção começa pelas pessoas

As medidas técnicas são que fazem o trabalho pesado em termos de volume. A autenticação multifatorial, as atualizações atempadas, as cópias de segurança testadas e mantidas offline e a limitação do acesso a determinados conteúdos vão filtrar a maioria das tentativas automatizadas. Nada disso é opcional e já não é por aí que os ataques conseguem realmente ter sucesso.

O que passa pelos filtros é dirigido às pessoas, porque as pessoas podem ser persuadidas e o software não. Um colaborador que reconheça um pedido de pagamento suspeito, o verifique através de um segundo canal e o comunique, impediu um ataque que nenhum scanner teria detetado. Isso é uma competência e, tal como qualquer competência, perde-se sem prática, e é por isso que uma única sessão de formação anual tem tão poucos resultados. Exercícios curtos e recorrentes, que acompanham o panorama atual das ameaças, funcionam consideravelmente melhor, e uma simulação de phishing mostra-te onde estás realmente, em vez de onde pensas que estás.

Como é que o Guardey te ajuda a reduzir o risco

A formação em sensibilização para a segurança da Guardey foi concebida a pensar nesse ritmo: desafios semanais de cerca de três minutos, gamificação com tabelas de classificação e séries de dias consecutivos, e conteúdos que acompanham as ameaças que realmente circulam. Os colaboradores fazem a formação na aplicação móvel para iOS e Android ou no navegador, o que significa que os colegas que não têm uma secretária também podem participar.

As simulações integradas de phishing mostram se o reconhecimento se traduz em comportamento, e os relatórios prontos para auditoria transformam todo o programa em prova válida para normas como a NIS2 e a ISO 27001. A configuração demora apenas alguns minutos, e mais de 500 organizações funcionam assim, incluindo o Parlamento Europeu.

Perguntas frequentes sobre ataques cibernéticos

Qual é a diferença entre um ataque cibernético e uma violação de dados?

Um ataque é a tentativa; uma violação de dados é um dos resultados possíveis. Um ataque que é bloqueado nunca se torna uma violação, e uma violação também pode acontecer sem que haja qualquer ataque, por exemplo, quando alguém envia um ficheiro por e-mail para o destinatário errado. Esta distinção é importante porque as obrigações de notificação dizem respeito à violação, e não à tentativa.

Quanto tempo demora a perceber que está a sofrer um ataque?

Mais tempo do que a maioria das organizações espera. Os atacantes que conseguem entrar através de uma palavra-passe roubada costumam agir com cautela para não dispararem alarmes, e os danos visíveis só aparecem no final, e não no início. É por isso que as denúncias dos funcionários são tão valiosas: muitas vezes, elas revelam algo de estranho bem antes de os sistemas de monitorização o fazerem.

Será que uma organização pequena é mesmo um alvo?

Sim, e normalmente não é por opção. A maioria das tentativas é automatizada e tem como alvo qualquer resposta, por isso, ser pequeno não oferece proteção, enquanto ter menos especialistas significa, muitas vezes, um tempo de resposta mais longo. Não ser interessante não é uma defesa contra um script.

O seguro cobre um ataque cibernético?

Existem apólices de segurança cibernética que podem cobrir os custos de recuperação, mas as seguradoras exigem cada vez mais que demonstre que tomaste medidas básicas, incluindo a formação do pessoal, e vão pedir provas depois de um incidente. Encarem a apólice como uma rede de segurança contra os prejuízos financeiros, e não como um substituto das próprias medidas.

A verdade incómoda sobre os ciberataques é que a maioria deles não é nada sofisticada. Baseiam-se numa palavra-passe reutilizada em vários sites, num sistema que nunca recebeu atualizações de segurança ou num colega com pressa numa sexta-feira à tarde. E é isso que é encorajador: basta um punhado de hábitos para bloquear a grande maioria deles, e cada um desses hábitos é algo que uma equipa pode aprender.