A WatchGuard anuncia suas previsões de cibersegurança para o ano de 2023. Para o próximo ano, a companhia prevê que os hackers tentarão contornar as defesas de segurança cibernética usando novas técnicas focadas em seus processos de negócios, identidade e inteligência artificial. Confira algumas das principais previsões para o ano que vem:
Processo de negócios: os hackers se tornam verticais em vez de segmentar fornecedores e parceiros
As seguradoras verticalizam seus requisitos de segurança já elevados
O seguro cibernético é um tópico importante ultimamente, pois os custos e as exigências de conformidade aumentaram nos últimos anos. As seguradoras sofreram grandes perdas desde que começaram a oferecer opções de extorsão cibernética, pois sua estratégia inicial de pagar resgates elevou seus custos. Como resultado, elas começaram a repassar esses custos elevados para seus clientes e aumentaram significativamente os requisitos técnicos de segurança que solicitam aos clientes antes de segurá-los.
Embora os clientes já estejam se recuperando dos novos requisitos significativos e das contas maiores necessárias para renovar suas apólices, acreditamos que algumas verticais terão mais dificuldades do que outras em 2023. As seguradoras percebem que certas verticais são alvos mais atraentes para os cibercriminosos e os forçarão aderir aos regulamentos de conformidade mais rígidos e arcar com os custos mais altos. As indústrias mais afetadas também são as manchetes devido aos ataques cibernéticos. Por exemplo, a WatchGuard suspeita que assistência médica, infraestrutura crítica, finanças e provedores de serviços gerenciados (MSPs) estarão sujeitos a requisitos de segurança cibernética mais severos das seguradoras.
A empresa também acredita que os fornecedores de segurança cibernética serão alvos de preços e requisitos mais altos. Algumas seguradoras até adotam “listas de fornecedores de segurança aprovados”, subscrevendo apenas apólices para empresas que usam soluções de segurança de determinados fornecedores.
Avaliação e validação de segurança cibernética se tornam um fator importante na seleção de fornecedores e parceiros
Os últimos dois anos foram repletos do que parece ser cinco anos de violações da cadeia de suprimentos digital. Uma violação da cadeia de suprimentos digital é aquela em que uma insegurança de software ou hardware com um de seus fornecedores, seja por meio de uma falha de produto ou uma violação de sua própria rede, introduz uma falha de segurança que abre uma brecha para uma violação. Exemplos comuns incluem os ataques da SolarWinds e Piriform – onde uma violação de suas redes resultou em ataques de produtos populares como Orion e CCleaner.
Com o aumento desses ataques à cadeia de suprimentos, as organizações estão cada vez mais preocupadas com a segurança dos parceiros e fornecedores com os quais fazem negócios. Depois de passar tanto tempo refinando suas próprias defesas, seria especialmente frustrante ser uma vítima devido aos erros de segurança de outra pessoa. Como resultado, as empresas estão tornando as práticas de segurança interna do próprio fornecedor uma parte fundamental da decisão de seleção do produto.
Na verdade, a validação do fornecedor e a análise de risco de terceiros tornaram-se uma nova indústria vertical, com produtos que ajudam a pesquisar e acompanhar os programas de segurança de seus fornecedores externos. Resumindo, durante 2023, a segurança interna dos fornecedores se tornará o principal fator de seleção para produtos e serviços de software e hardware – logo abaixo do preço e do desempenho.
Identidade – O Primeiro hack do Metaverso vs. Surto de Engenharia Social MFA
O primeiro grande hack do metaverso afeta um negócio por meio de novos casos de uso de produtividade
Quer você ame ou odeie a ideia, o metaverso tem feito manchetes ultimamente. Grandes empresas como a Meta (Facebook) e a controladora da TikTok, ByteDance, estão investindo bilhões na construção de mundos virtuais/mistos/aumentados conectados que eles acreditam que se tornarão uma parte dominante da sociedade em um futuro não muito distante.
Mas o metaverso da realidade virtual (VR) oferece um grande novo potencial para exploração e engenharia social. As pessoas já vazam muitos de seus dados privados on-line por meio de mouse e teclado – agora imagine um dispositivo com várias câmeras e infravermelho (IR) e sensores de profundidade que rastreiam também os movimentos de suas cabeças, mãos, dedos, rostos e olhos. Tudo isso acontece hoje se o usuário utilizar um headset moderno de VR ou realidade mista (MR) como o Meta Quest Pro. O que um hacker mal-intencionado poderia fazer com isso? Talvez crie um deepfake virtual do avatar online do usuário que também pode se mover e agir como ele.
Embora esses vetores de ameaças em potencial ainda possam estar a cinco ou dez anos de distância, isso não significa que o metaverso já não esteja sendo visado hoje. Em vez disso, a Watchguard acredita que o primeiro ataque do metaverso que afetará os negócios será de um conhecido vetor de ameaças reinventado para o futuro da RV. Perto do final de 2022, a Meta lançou o Meta Quest Pro como um headset VR/MR “empresarial” para casos de uso de produtividade e criatividade. Entre outras coisas, o Meta Quest Pro permite criar uma conexão remota com a área de trabalho do computador tradicional, permitindo que o usuário veja a tela do computador em um ambiente virtual e crie ainda muitos monitores virtuais e espaços de trabalho para o seu computador.
Ele ainda permite que um funcionário remoto inicie reuniões virtuais (vs. vídeo) que supostamente permitem interagir de uma maneira muito mais humana. Por mais sofisticado que pareça, ele basicamente aproveita as mesmas tecnologias de área de trabalho remota da Microsoft, ou Virtual Network Computing (VNC) – o mesmo tipo de tecnologia de área de trabalho remota que os cibercriminosos visaram e exploraram inúmeras vezes no passado.
É por isso que, em 2023, os especialistas da WatchGuard acreditam que o primeiro grande hack do metaverso que afeta um negócio será resultado de uma vulnerabilidade em novos recursos de produtividade empresarial, como área de trabalho remota, usada na última geração de headsets VR/MR voltados para casos de uso corporativo.
A adoção da MFA alimenta o aumento da engenharia social
Os agentes de ameaças terão como alvo agressivo os usuários de autenticação multifator (MFA) em 2023, pois o aumento da adoção de MFA exige que os invasores encontrem uma maneira de contornar essas soluções de validação de segurança. Confirmando o que os especialistas da WatchGuard previram anteriormente, a adoção da MFA aumentou seis pontos percentuais para 40% este ano, de acordo com uma pesquisa da Thales realizada pela 451 Research. Isso fará com que os invasores cibernéticos confiem mais em técnicas maliciosas de desvio de MFA em seus ataques direcionados de credenciais, caso contrário, eles perderão um certo calibre de vítima.
A WatchGuard espera que várias novas vulnerabilidades de MFA e técnicas de contorno apareçam em 2023. No entanto, a maneira mais comum dos cibercriminosos contornarem essas soluções é por meio de engenharia social inteligente. Por exemplo, o sucesso do push bombing não é uma falha do MFA; é causado por erro humano. Os invasores não precisam hackear a MFA se puderem enganar seus usuários ou simplesmente cansá-los com uma enxurrada de solicitações de aprovação que eventualmente os levam a clicar em um link malicioso. Os invasores também podem atualizar suas técnicas de AitM para incluir o processo MFA, capturando assim tokens de sessão de autenticação quando os usuários fazem login legitimamente.
Hacking AI Robotaxis vs. Proliferação de vulnerabilidades por meio de ferramentas de codificação de IA
Um novo hack de Robotaxi resultará em um carro de IA atordoado e confuso
Várias empresas de tecnologia como Cruise, Baidu e Waymo começaram a testar robotaxis em muitas cidades ao redor do mundo, incluindo São Francisco e Pequim, na China. Robotaxi são basicamente carros autônomos que oferecem uma experiência semelhante ao Uber, mas sem um motorista humano. Empresas como a Baidu afirmam que já concluíram com sucesso mais de um milhão dessas viagens autônomas para passageiros satisfeitos.
Dito isso, em junho, um dos robotaxis da Cruise se envolveu em um acidente que feriu seus três passageiros e o motorista do outro veículo. Embora a Cruise afirme que o veículo dirigido por humanos parecia estar com defeito, isso não ajuda as pessoas a confiar na inteligência artificial que esses carros usam para dirigir sozinhos. Pesquisas de segurança anteriores mostraram que carros conectados à Internet podem ser hackeados, e os humanos já provaram que é possível projetar socialmente IA.
Ao combinar essas duas coisas com um serviço baseado em telefone celular que qualquer pessoa pode usar, certamente veremos pelo menos um incidente de segurança cibernética em que os agentes de ameaças visam os robostaxis por diversão e lucro. Como esses serviços de veículos autônomos são tão novos e ainda estão em teste, os especialistas da WatchGuard acreditam que um hack resultará em um acidente perigoso em um futuro próximo. No entanto, em 2023, é previsto que alguns pesquisadores de segurança ou hackers grey hat possam perpetrar uma brincadeira técnica de robotaxi que faz com que um desses veículos fique preso sem saber o que fazer, potencialmente atrasando o tráfego.
As ferramentas de codificação de IA introduzem vulnerabilidades básicas nos projetos de novos desenvolvedores
Embora o machine learning (ML) e a inteligência artificial (IA) não tenham se tornado tão poderosos quanto afirmam alguns evangelistas de tecnologia, eles evoluíram significativamente para oferecer muitos novos recursos práticos. Além de gerar novas artes a partir de prompts escritos, as ferramentas AI/ML agora podem escrever código para desenvolvedores.
O Copilot do GitHub é uma dessas ferramentas de codificação automatizadas. O GitHub treina o Copilot usando o “big data” de bilhões de linhas de código encontradas em seus repositórios. No entanto, como acontece com qualquer algoritmo AI/ML, a qualidade de sua saída é tão boa quanto a qualidade dos dados de treinamento que vão para ele e os prompts que são dados para trabalhar. Dito de outra forma, se você alimentar um código ruim ou inseguro de IA, pode esperar que ele forneça o mesmo.
Estudos já mostraram que até 40% do código que o Copilot gera inclui vulnerabilidades de segurança exploráveis, e esse percentual aumenta quando o próprio código do desenvolvedor contém vulnerabilidades. Esse é um problema grande o suficiente para que o GitHub seja rápido em alertar: “Você é responsável por garantir a segurança e a qualidade do seu código [ao usar o Copilot]”.
Em 2023, é previsto que um desenvolvedor inexperiente que depende demais do Copilot ou de uma ferramenta de codificação de IA semelhante lançará um aplicativo que inclui uma vulnerabilidade crítica introduzida pelo código automatizado.
