Sophos - Comentário ao ataque Colonial Pipeline

No seguimento das notícias recentemente divulgadas sobre o ciberataque à empresa americana Colonial Pipeline, a empresa de cibersegurança Sophos (LSE:SOPH) tem estado a acompanhar o assunto de perto, divulgando algumas opiniões e conselhos por parte dos seus especialistas Dan Schiappa, Chief Product Officer e John Shier, Senior Security Advisor.

Dan Schiappa comenta: “Este é um cenário assustador com repercussões duradouras no mundo real. A verdade inconveniente é que hoje em dia as infraestruturas são tão vulneráveis que praticamente qualquer pessoa que queira entrar o pode fazer. As infraestruturas são um alvo fácil – e lucrativo – para os atacantes, por isso não deve ser uma surpresa que os criminosos, sem piedade, tentem acertar onde mais dói, apostando que receberão um grande pagamento.

Segundo o estudo da Sophos The State of Ransomware 2021, 64% das organizações com infraestruturas registaram um aumento dos ciberataques ao longo de 2020, e as organizações com infraestruturas têm mais probabilidades de pagar um resgate do que qualquer outra indústria, com 43% das vítimas a acatar os pedidos de resgate. 57% dos gestores de TI em infraestrutura dizem ainda que os ciberataques estão agora demasiado avançados para a sua organização ser capaz de os enfrentar sem ajuda externa.”

Por outro lado, John Shier deu resposta a algumas perguntas diretas sobre o ciberataque à empresa de refinaria Colonial Pipeline:

1. Em que custos incorreria a Colonial Pipeline se não pagasse o resgate apresentado pelos criminosos? Há sempre custos diretos e indiretos associados a qualquer ataque de ransomware. Dois grandes custos diretos de mitigação são os da resposta a incidentes, e o de atualizar a infraestrutura existente ou adicionar nova tecnologia para proteger contra ataques futuros. Os custos indiretos incluem tudo o que tem impacto na capacidade de as organizações fazerem negócios, incluindo custos operacionais e receitas perdidas. Neste caso específico, existem também efeitos a jusante a considerar. O combustível que normalmente era entregue através da conduta da Colonial Pipelina terá agora de ser transportado por petroleiros, o que pode levar a atrasos e potenciais problemas de abastecimento.
2. Qual é o elo mais fraco para a instalação de malware na rede da empresa? Não existe um elo mais fraco bem definido neste tipo de ataques manuais. O elo mais fraco é o que quer que não estivesse protegido. Os criminosos que se dedicam a este tipo de hacking com “as mãos na massa” vão aproveitar todas as oportunidades à sua disposição para infiltrarem o seu alvo. Isto pode ser tão simples como um email de phishing ou tão complexo como um exploit personalizado. Muitas vezes a culpa é de uma combinação de erros humanos, falta de visibilidade e falta de proteção. Num próximo relatório, vamos contar-vos que mais de metade dos ataques aconteceram, em parte, por falta de proteção.
3. Será que a encriptação de dados, o roubo de alguns deles e a falta de danos significativos na infraestrutura da Colonial Pipeline sugerem que estamos a lidar com criminosos aleatórios e não hackers especializados apoiados pelo governo? O alegado grupo por detrás deste ataque é altamente qualificado e tem motivações financeiras. Normalmente levam o seu tempo; focam-se em bens de alto valor, como servidores; extraem dados sensíveis e exigem resgates multimilionários. Embora haja sempre a possibilidade de alguns destes grupos estarem também alinhados com governos adversários, a maior força motriz é o dinheiro.
4. O que é que as empresas precisam de fazer para se protegerem destes ataques? A melhor maneira de se defenderem contra um ataque de ransomware é estarem preparadas. Isto significa investir em tecnologias de proteção e em estabelecer uma cultura de segurança. Devem preparar o seu ambiente de tal forma que eventos aparentemente sem importância e não relacionados sejam visíveis, seja malware bloqueado num servidor ou um email de phishing reportado por um utilizador. Finalmente, é necessário terem um plano para quando as coisas correm mal. O que fazer quando se recebe um alerta de que um software de roubo de credenciais foi encontrado e bloqueado num servidor? Ter um plano significa que as organizações podem conter o problema, investigar a causa e recuperar de um ataque muito mais rapidamente e com menos danos. Em suma: proteger, detetar e responder.