Nos últimos anos, a cadeia de suprimentos é um dos principais alvos dos cibercriminosos. Embora esse aumento de ataques possa ter muitos fatores, um dos mais importantes é a pandemia cibernética. Está claro que a COVID-19 transformou os negócios modernos, empurrando muitos para o trabalho remoto e a adoção da nuvem sem que as empresas estivessem totalmente preparadas. Como resultado, as equipes de segurança – muitas vezes limitada devido à falta de profissionais de segurança cibernética – ficam sobrecarregadas e incapazes de acompanhar.
De fato, de acordo com a Check Point Software, em 2021, no mundo, as organizações sofreram 50% mais ataques cibernéticos por semana em redes corporativas em comparação com 2020. Já as estatísticas sobre o Brasil apontaram que, em média, as organizações no país foram atacadas 1.046 vezes semanalmente, um aumento de 77% comparando os períodos de 2020 a 2021.
Em dezembro de 2020, um grupo de cibercriminosos acessou o ambiente de produção da SolarWinds e incorporou um backdoor nas atualizações de seu produto de monitoramento de redes, o Orion. Seus clientes, executando a atualização maliciosa, sofreram roubo de dados e outros incidentes de segurança. O grupo de ransomware REvil aproveitou a Kaseya, uma empresa de software que fornece programas para provedores de serviços gerenciados (MSPs), para infectar mais de 1.000 clientes com ransomware. Os cibercriminosos chegaram a exigir um resgate de US＄ 70 milhões para fornecer chaves para decifrar os usuários afetados.
Outro exemplo claro aconteceu em novembro de 2021, quando a Check Point Research (CPR) descobriu uma série de vulnerabilidades que, combinadas, permitiam obter o controle de uma conta e vários aplicativos Atlassian conectados via SSO. A Codecov é uma organização de teste de software cujo script Bash uploader (usado para enviar relatórios de cobertura de código para a empresa) foi modificado por um atacante. Essa exploração da cadeia de suprimentos permitiu que os cibercriminosos redirecionassem informações confidenciais, como código-fonte, detalhes secretos, entre outros, dos clientes da CodeCov para seus próprios servidores.
Como funciona um ataque à cadeia de suprimentos
De violações de dados a um ataque de malware na cadeia de suprimentos, os cibercriminosos se aproveitam das relações de confiança entre diferentes organizações. É compreensível que todas as empresas têm um nível implícito de confiança com outras, pois instalam e usam seus softwares em suas redes ou trabalham com elas como fornecedores.
Esse tipo de ameaça tem como alvo o elo mais fraco de uma cadeia de confiança. Se uma organização tiver uma segurança cibernética forte, mas o seu provedor não, os cibercriminosos terão como alvo esse provedor. Com um ponto de apoio na rede desse provedor, os atacantes podem passar para a rede mais segura usando esse link.
Os cibercriminosos geralmente aproveitam as vulnerabilidades da cadeia de suprimentos para distribuir malware. Um tipo comum de ataque à cadeia de suprimentos são os provedores de serviços gerenciados (MSPs). Eles têm amplo acesso às redes de seus clientes, o que é muito valioso para um atacante. Depois de explorar o MSP, o cibercriminoso pode facilmente expandir para as redes de seus clientes. Ao explorar suas vulnerabilidades, esses atacantes têm um impacto maior e podem obter acesso a áreas que seriam muito mais difíceis de acessar diretamente.
Além disso, esses tipos de ataques fornecem ao cibercriminoso um novo método para violar a proteção de uma empresa. Na verdade, eles podem ser usados para realizar qualquer outro tipo de ataque cibernético:
• Violação de dados – Esta ameaça é comumente usada para realizar violações de dados. Por exemplo, a invasão da SolarWinds expôs os dados confidenciais de várias organizações do setor público e privado.
• Ataques de malware: os cibercriminosos geralmente aproveitam as vulnerabilidades da cadeia de suprimentos para distribuir malware para a empresa-alvo. A SolarWinds incluiu a entrega de um backdoor malicioso, e o ataque à Kaseya levou a um ransomware projetado para explorá-lo.
Melhores técnicas para identificar e mitigar ataques à cadeia de suprimentos
Apesar do perigo representado por esta ameaça, existem técnicas destinadas a proteger uma empresa:
1. Implementar uma política de privilégio mínimo: Muitas organizações atribuem acesso e permissões excessivos a seus funcionários, parceiros e software. Essas autorizações excessivas facilitam ataques na cadeia de suprimentos. Por isso, é essencial implementar uma política de privilégio mínimo e atribuir a todas as pessoas que compõem a empresa e ao próprio software apenas as permissões necessárias para realizar seu próprio trabalho.
2. Fazer a segmentação da rede: software de terceiros e organizações parceiras não precisam de acesso ilimitado a todos os cantos da rede corporativa. Para evitar qualquer tipo de risco, a segmentação deve ser usada para dividir em zonas com base nas diferentes funções do negócio. Dessa forma, se um ataque à cadeia de suprimentos comprometer parte da rede, o restante permanecerá protegido.
3. Aplicar práticas de DevSecOps: Ao integrar a segurança ao ciclo de vida de desenvolvimento, é possível detectar se softwares, como atualizações do Orion, foram modificados de forma maliciosa.
4. Prevenção automatizada de ameaças e busca de riscos: os analistas do Security Operations Center (SOC) devem se proteger contra os ataques em todos os ambientes organizacionais, incluindo endpoints, rede, nuvem e dispositivos móveis.
“O famoso ataque SolarWinds preparou o terreno para um frenesi de vários ataques sofisticados à cadeia de suprimentos, como Codecov em abril e Kaseya em julho, ambos em 2021, e o encerramento do ano com a vulnerabilidade Log4j exposta em dezembro. O impacto surpreendente alcançado por essa única vulnerabilidade em uma biblioteca de código aberto demonstra o imenso risco inerente às cadeias de suprimentos de software”, destaca Fernando de Falchi, gerente de Engenharia de Segurança da Check Point Software Brasil.
