Toda organização é alvo de ransomware. Prepare-se com o controle de brechas.

Imagine que você está pescando e quer fisgar o seu jantar. Você não se importa com qual peixe vai pescar hoje à noite, contanto que pesque pelo menos um.  

Você está na beira de um lago imenso com sua vara de pesca na mão. Não faz diferença em que direção você lança a bola. Para a esquerda, para a direita ou em linha reta, o lago se estende em todas as direções, e qualquer anzol que cair na água garante o jantar.

Essa é a imagem que Jen Ellis, fundadora da NextJenSecurity, usou em um episódio recente do podcast The Segment para explicar como a maioria dos grupos de ransomware escolhe seus alvos.  

A escolha raramente é resultado de uma pesquisa cuidadosa sobre qual organização tem os maiores recursos financeiros ou os dados mais sensíveis. Na maioria das vezes, tudo se resume ao que é acessível, explorável e se enquadra em um conjunto flexível de limites que impedem o atacante de ter problemas com o próprio governo.

Durante anos, muitas organizações, especialmente as menores, mas também as de médio porte, trataram a ausência de um motivo óbvio como razão para investir pouco em segurança. Se o direcionamento realmente funcionar da maneira que Jen descreveu, essa lógica cai por terra.  

Quase todos que têm acesso à internet estão em algum lugar dentro do lago. A questão mais importante é o que acontece depois que um ransomware se aproxima de você, independentemente de quão provável você se considerasse um alvo.

Uma estratégia de segurança Zero Trust baseada na segmentação oferece uma resposta.

Como os atacantes visam o ransomware

Jen destacou que a maioria dos grupos de ransomware opera a partir de países que funcionam como refúgios seguros para criminosos. Isso ocorre porque a atividade representa uma parcela tão grande da economia local que torna inviável a sua punição, ou porque o país anfitrião a permite tacitamente, desde que certos limites não sejam ultrapassados.  

Essas linhas geralmente tratam de geografia e política. Não ataque organizações em seu país e não faça nada que possa desencadear uma resposta internacional séria.

Dentro desses limites, o resto do mundo é considerado território livre, e esses limites são amplos. Um atacante que explora sistemas vulneráveis em países desenvolvidos permanece dentro dos limites das normas vigentes em seu país anfitrião. Os atacantes precisam apenas escolher onde explorar a vulnerabilidade.

É isso que torna a analogia da pesca tão útil. Os peixes que acabam no prato do atacante são simplesmente aqueles que estavam naquele local quando o anzol atingiu a água. As organizações atingidas são aquelas que estavam acessíveis no momento do ataque.

A inteligência artificial coloca mais ataques de ransomware nas mãos de mais pessoas.

Com as ferramentas de IA atuais, a barreira para a implementação de ransomware está cada vez menor, e o número de pessoas capazes de implementá-lo está cada vez maior.  

Jen destacou que a IA provavelmente atuará como um fator de nivelamento para atacantes com poucos recursos. Isso é particularmente verdade em países que combinam alto acesso à infraestrutura técnica com alto índice de desemprego.  

Isso significa que o volume de ataques oportunistas, orientados ao alcance, tende a aumentar em todos os setores à medida que mais atacantes obtêm acesso às ferramentas de IA.  

A lógica por trás da ideia de que "provavelmente estamos bem porque ninguém se incomodaria conosco" piora a cada ano que essa tendência continua.

Por que “não somos um alvo” é a frase mais cara na área da segurança?

Jen contou uma história sobre uma fábrica de calçados familiar que estava sob pressão para fechar. Era o tipo de negócio que se passava de geração em geração e que empregava uma parcela significativa da população da cidade.  

Se um ataque de ransomware atingisse uma empresa desse tipo, o proprietário enfrentaria uma enorme pressão, com o futuro da empresa e os empregos que dela dependem em risco. Nesse momento, a tentação de pagar o resgate em silêncio e seguir em frente torna-se real, independentemente do que diga o debate político sobre o assunto.

O que mais chama a atenção nessa história é o impacto existencial que um ataque de ransomware pode ter para uma organização que ninguém consideraria um alvo em qualquer sentido relevante. A preparação determina a gravidade com que um incidente é percebido por quem está por dentro, muito mais do que o tamanho ou a visibilidade.

Uma grande empresa renomada, com um plano de resposta a incidentes testado e um ambiente segmentado, pode absorver um ataque de ransomware como se fosse uma semana difícil. Uma pequena empresa com uma rede enxuta e sem planejamento pode ter o mesmo evento levando ao seu fim.  

Essa diferença é definida muito antes do ataque acontecer, pelas escolhas que a organização fez em relação ao seu próprio ambiente.

A linha de pobreza de segurança agrava ainda mais a aposta errada.

Esse problema é maior do que qualquer empresa individual.  

Jen destacou que a economia do Reino Unido, como a maioria das economias desenvolvidas, é composta predominantemente por pequenas e médias empresas. As organizações que menos se consideram alvos e que menos têm orçamento para investimentos contínuos em segurança representam a maior parte da economia.

Jen descreveu esse problema como a linha da pobreza de segurança.  

E o que torna tudo ainda mais difícil é que os gastos com segurança não funcionam da mesma forma que outros investimentos em segurança. Instalar uma cerca ou uma rampa é um projeto pontual que você inclui no orçamento e conclui. O investimento em segurança continua a crescer ano após ano, à medida que as ameaças evoluem e a infraestrutura envelhece. Isso pode dificultar bastante a aceitação da proposta por parte da liderança, que já está sobrecarregada.

Ao juntar todos esses fatores com a facilidade dos ataques gerados por IA, o cenário fica preocupante.

A contenção é a única alavanca que toda organização controla.

Jen trouxe de volta um velho ditado da área de segurança: um defensor precisa estar certo a cada minuto de cada dia, enquanto um atacante só precisa ter sorte uma vez.  

Essa assimetria não vai desaparecer. E a IA não altera isso de forma fundamental, já que ambos os lados passam a ter acesso a ferramentas melhores.

O que a contenção de violações altera é o que, na prática, significa ter sorte uma vez para o atacante.  

Se uma vulnerabilidade for explorada em uma rede plana, esse momento de sorte pode se transformar em acesso a todo o ambiente. Mas se ele for implantado em um ambiente construído com base em controles de Confiança Zero, incluindo segmentação, cargas de trabalho, aplicativos e sistemas que se comunicam apenas com o que precisam.  

Isso significa que um momento de sorte para o atacante se transforma em um incidente contido em apenas uma parte da empresa.

Uma estratégia de segurança Zero Trust baseada na segmentação é uma ferramenta que toda organização possui, independentemente do tamanho, da visibilidade ou do quão interessante um invasor possa achá-la.  

O debate sobre o pagamento de resgates está abordando a questão errada.

Jen discutiu o debate sobre a proibição do pagamento de resgates e levantou um ponto que é fácil de passar despercebido em meio à discussão.  

Proibir pagamentos apenas altera o que uma organização está autorizada a fazer depois que um ataque já ocorreu. Isso não altera em nada a forma como os atacantes decidem quem atacar.

Jen usou essa comparação. Imagine dizer a alguém que entregar a carteira durante um assalto é contra a lei. O assalto ainda acontece, e a vítima que entrega a carteira mesmo assim acaba infringindo a lei além de ter sido roubada.

A contenção ocorre antes de qualquer decisão de pagamento no cronograma. Uma equipe que já limitou a movimentação lateral de um invasor não enfrenta a mesma escolha sob pressão entre pagar o resgate ou encerrar as operações.  

O debate sobre o pagamento define o que uma organização pode fazer após uma violação de segurança. O controle de acesso define o quanto da organização será afetado pela violação. Essa é a camada que realmente determina o resultado.

O risco de ransomware só tende a aumentar.

Todas as organizações conectadas à internet estão ao alcance de ransomware, e o número de atacantes capazes de explorar essa vulnerabilidade continua crescendo à medida que as ferramentas de IA se tornam mais acessíveis.

Nada disso muda com base em quão interessante sua organização pareça para os atacantes no papel.

A contenção é a única variável nesse cenário que toda organização de fato controla. As organizações que constroem uma estratégia de Confiança Zero com segmentação como infraestrutura central são as que conseguirão impedir que um ataque de ransomware paralise toda a sua operação.

As violações de segurança são inevitáveis, e isso sempre foi verdade para organizações de todos os portes. Manter essas brechas pequenas depende de incorporar mecanismos de contenção de brechas em sua arquitetura.

Ouça o episódio completo de The Segment: A Zero Trust Leadership Podcast em Podcasts da Apple, Spotify, ou nosso site.