Por Vinicius Bortoloni
Os ataques à cadeia de suprimentos não são novos. Se os últimos dois anos ensinaram alguma coisa às empresas, isso claramente referiu-se ao impacto dos ataques cibernéticos na cadeia de suprimentos que agora é universal, como o mercado vivenciou desde as consequências da violação do ambiente de produção da SolarWinds, em dezembro 2020, até a vulnerabilidade exposta do Apache Log4j e da Kaseya no ano passado. Infelizmente, quando esses ataques à cadeia de suprimentos atingem empresas de menor porte que, geralmente, são fornecedores de empresas maiores, seu impacto é especialmente proibitivo.
Para as PMEs que já sentem o impacto prolongado da pandemia da Covid-19, a pressão adicional de lidar com ataques cibernéticos sofisticados e frequentes em tempo real é um fardo pesado, pois tentam proteger seus negócios contra danos financeiros, legais e de reputação, bem como a sua segurança de fornecedores próprios e principalmente de clientes de maior porte. Agora é mais importante do que nunca que as PMEs implementem uma rigorosa higiene de segurança e processos eficazes de proteção para garantir que seus negócios estejam preparados para o caso de ataques cibernéticos.
PMEs como uma via indireta de ciberataques
O “novo normal” abriu as portas para várias novas vulnerabilidades. De acordo com o relatório anual da Check Point Software, os ataques cibernéticos aumentaram globalmente 50% em média em 2021, em comparação com 2020. Já as estatísticas sobre o Brasil apontaram que, em média, as organizações no país foram atacadas 1.046 vezes semanalmente, um aumento de 77% comparando os períodos de 2020 a 2021.
Embora as violações de segurança estejam aumentando, as principais ameaças que afetam as PMEs permanecem as mesmas. Em outro relatório de segurança, específico sobre pequenas e médias empresas da Check Point Software de 2020/2021, foi revelado que phishing, malware, roubo de credenciais e ransomware são as quatro principais ameaças que afetam as PMEs. Então, o que isso significa para elas?
A realidade é que os atacantes aproveitaram não apenas o modelo de trabalho remoto agora enraizado para atingir as organizações, mas também os limites usuais que impedem as PMEs de aumentar suas defesas de segurança cibernética, principalmente a falta de orçamento e experiência. As pequenas e médias empresas geralmente não têm um departamento de TI ou de cibersegurança dedicado, o que significa que, sem conhecimento interno em segurança e com foco reduzido em aplicação de patches, essas empresas são mais fáceis de serem abordadas via técnicas de engenharia social para se infiltrar.
Também observamos que, em muitos casos, as PMEs têm funcionários desempenhando várias funções e, portanto, um acesso mais amplo a áreas valiosas da empresa e às informações que são fornecidas a elas que, se forem violadas, representará uma ameaça a diversas áreas da empresa. Há ainda a infraestrutura de TI de negócios que é frequentemente compartilhada para comunicação de uso pessoal, por exemplo as mídias sociais e os e-mails pessoais, permitindo acesso mais fácil a hackers, pois os dados regularmente não estão protegidos.
Os atacantes, em geral, visam as PMEs como alvos fáceis por seu papel vital nas cadeias de suprimentos. Isso ocorre especialmente porque esses ataques causam estragos não apenas em uma organização, mas em empresas inteiras dentro dessas cadeias. Ao alavancar táticas como phishing, os cibercriminosos obtêm acesso a uma organização para lançar um ataque de malware, roubar dados e credenciais ou instigar um ransomware.
Tomemos, por exemplo, o ataque contra a Target dos Estados Unidos, no qual os hackers usaram credenciais roubadas de um fornecedor do porte de uma PME que atendia aos sistemas HVAC nas lojas Target. Por meio dessas credenciais roubadas, os cibercriminosos conseguiram obter acesso à rede do varejista e depois se moverem lateralmente para os sistemas que mantinham as informações de pagamento do cliente. Como resultado, o varejista global foi invadido e teve 40 milhões de dados de cartões de crédito e débito roubados.
O fator-chave para evitar ataques cibernéticos é a prevenção de ameaças. Com tempo mínimo e falta de conhecimento ou de mão de obra em cibersegurança, as PMEs devem adotar uma mentalidade de prevenção para minimizar possíveis ataques e ameaças cibernéticas.
Por que a prontidão para a segurança cibernética é fundamental às PMEs
Além do impacto financeiro imediato e do golpe na reputação como um parceiro confiável, as PMEs também podem enfrentar repercussões legais ou regulatórias, interrupção operacional, custos de fluxo para correção do sistema e resposta a ataques cibernéticos, rotatividade de clientes e perda de vantagem competitiva que pode tornar ou quebrar um negócio. Na verdade, uma reputação manchada como uma via de ataque pode ser ainda mais prejudicial para uma organização PME, pois a perda de confiança em uma organização maior pode significar um prejuízo aos negócios e cancelamento de uma possível receita com eles ou de outros novos clientes em potencial .
Com isso em mente, as restrições orçamentárias para manter computadores e redes corporativas protegidos nunca devem servir como desculpa, pois manter dados confidenciais seguros trará muitos benefícios às empresas. Isso pode variar desde economia geral de custos, conformidade com as leis de proteção de dados, conquista da confiança de clientes e fornecedores até a proteção máxima de seus documentos e informações, evitando qualquer tipo de violação de dados.
Como as PMEs podem evitar ataques à cadeia de suprimentos
Ao aplicar defesas cibernéticas mais fortes, as PMEs estão em posição de fornecer às organizações de grande porte com as quais elas trabalham a garantia de que não serão comprometidas pelo parceiro PME ou fornecedor terceirizado. Embora existam vários meios para evitar esses ataques à cadeia de suprimentos, o primeiro passo é ter um bom software capaz de cobrir toda a empresa, protegendo os endpoints e dispositivos móveis, apoiados por backups regulares para que, em caso de um ataque cibernético, tenham a possibilidade de restaurar todos os dados.
Qualquer dispositivo que se conecte à rede pode se tornar uma violação de segurança, por isso é importante proteger todos os endpoints. É especialmente crítico para forças de trabalho remotas ou híbridas evitar violações de segurança e comprometimento de dados. Além disso, todos os funcionários devem ser treinados em segurança cibernética para que eles próprios se tornem a primeira barreira a qualquer tentativa de ataque, como identificar phishing via e-mail ou SMS. É preciso ter em mente que a prevenção é uma das melhores medidas de proteção disponíveis e acessíveis a qualquer porte de empresa.
Uma opção viável para PMEs é também considerar a contratação de um provedor de serviços de segurança gerenciado (MSSP) experiente, que terá os recursos qualificados, software de segurança atualizado e experiência para monitorar e analisar ameaças em nome da PME. Isso é especialmente útil para este porte de empresas as quais não têm tempo nem recursos para aplicar adequadamente a detecção e a resposta a ameaças.
Em última análise, as pequenas e médias empresas buscam uma solução plug-and-play simples com a melhor proteção contra ameaças da categoria, dada a falta de recursos financeiros e habilidades. Com uma estratégia de segurança cibernética eficaz, as PMEs estão melhor posicionadas para demonstrar sua credibilidade como parceiros seguros para organizações maiores, abrindo mais e novas oportunidades de negócios.
*Vinicius Bortoloni é engenheiro de segurança e gerente de contas na Check Point Software Brasil
