Novo relatório da FinCEN sobre ransomware: Bancos devem conter o risco de materialidade.

Há boas notícias sobre ransomware? Aceitamos!

Segundo um novo relatório da Rede de Combate a Crimes Financeiros (FinCEN) do Departamento do Tesouro dos EUA, os bancos pagaram US$ 370 milhões em resgates em 2024. Isso representa uma queda significativa em relação aos US$ 1,1 bilhão do ano anterior.  

Essa queda reflete ações mais rigorosas das autoridades policiais contra quadrilhas de ransomware e uma crescente resiliência em todo o setor financeiro.

A notícia não tão boa: o relatório reconhece que a maioria dos incidentes de ransomware no setor bancário nunca são relatados. Por quê? As leis de divulgação de incidentes no setor bancário dependem da materialidade.

Neste setor, a materialidade — o impacto financeiro, e não a frequência com que os ataques ocorrem — é o que determina se uma violação de segurança deve ser divulgada, comunicada aos órgãos reguladores ou explicada ao conselho de administração.  

É uma métrica de risco e um alvo móvel. Embora limite o que é divulgado, também significa que basta uma única violação para desencadear uma reação pública negativa.

Por isso, a contenção de violações de segurança é essencial para o setor financeiro. É a forma mais confiável de garantir que um incidente cibernético permaneça pequeno e sem consequências significativas antes que se transforme em uma crise empresarial.

Este artigo analisa as últimas tendências de ransomware em serviços financeiros, como a materialidade influencia as obrigações de reporte e por que a contenção é a melhor defesa contra riscos regulatórios e danos à reputação.

Tendências de ransomware em serviços financeiros: principais conclusões do relatório mais recente

De acordo com o relatório mais recente da Rede de Combate a Crimes Financeiros (FinCEN) do Departamento do Tesouro dos EUA, intitulado "Tendências de Ransomware em Dados da Lei de Sigilo Bancário entre 2022 e 2024", o setor de serviços financeiros é o mais afetado por ransomware, juntamente com os setores de manufatura e saúde.

Entre janeiro de 2022 e dezembro de 2024, as instituições financeiras apresentaram 7.395 relatórios ao abrigo da Lei de Sigilo Bancário (BSA, na sigla em inglês) relacionados com 4.194 incidentes de ransomware. Eles relataram mais de 2,1 bilhões de dólares em pagamentos de resgate.  

Esses dados ressaltam o enorme risco que o setor financeiro acarreta. Com uma alta concentração de dados sensíveis, sistemas críticos e ativos valiosos, é um alvo óbvio e frequente para ataques de ransomware.

Há algumas notícias animadoras: os pagamentos de resgate estão diminuindo. O valor mediano da prestação caiu de US$ 175.000 em 2023 para US$ 155.257 em 2024.

Ainda assim, a FinCEN alerta que esses números provavelmente não representam o quadro completo. Muitos incidentes nunca chegam aos relatórios oficiais, o que significa que a verdadeira dimensão da atividade de ransomware é provavelmente muito maior.

Nem todas as organizações expõem publicamente seus problemas com ransomware.

A realidade é que muitos incidentes de segurança nunca são relatados, especialmente no setor de serviços financeiros. Muitas vezes não há obrigação de denunciá-los.

O FBI estima que apenas cerca de 15% de todos os crimes cibernéticos são relatados, incluindo ataques de ransomware.  

As regras de notificação são limitadas porque muitas leis só se aplicam quando dados sensíveis são expostos. Além disso, os limiares de materialidade são frequentemente vagos, o que deixa margem para interpretação e permite que muitos incidentes passem despercebidos.

Como a definição de materialidade da SEC afeta o que é divulgado

Segundo as normas da Comissão de Valores Mobiliários dos EUA (SEC), as instituições financeiras de capital aberto devem divulgar incidentes cibernéticos "relevantes" em até quatro dias úteis. "Material" significa que o incidente pode afetar os investidores ou a saúde financeira da empresa.

O desafio reside no fato de que a materialidade é subjetiva. Se os sistemas principais se recuperarem rapidamente ou se nenhum dado financeiro sensível for exposto, muitas empresas decidem que o incidente não é relevante e não precisa ser divulgado.

A maioria das leis de notificação de violação de dados no setor financeiro aplica-se apenas quando dados financeiros pessoais ou de clientes estão envolvidos.  

Se o ransomware criptografar sistemas, mas não afetar registros confidenciais, as regras de notificação podem não se aplicar. Em muitos desses casos, o incidente não é relatado.

Outras considerações para a comunicação de violações bancárias

Entretanto, bancos privados e instituições financeiras não públicas geralmente não são obrigados a reportar ataques cibernéticos.  

A menos que regras específicas se apliquem, eles podem escolher se divulgam ou não um incidente. Sem pressão legal, muitos ataques permanecem ocultos.

A decisão não se resume apenas a regras. Os bancos também se preocupam com os danos que uma violação pública de dados pode causar. Eles correm o risco de multas, processos judiciais e perda da confiança do cliente.

Para evitar isso, algumas empresas pagam o resgate discretamente. Outros dependem de backups para restaurar os sistemas rapidamente.  

Se as operações voltarem ao normal rapidamente, o incidente geralmente permanece privado, especialmente no setor bancário, onde a manutenção dos serviços é crucial.

Por que a materialidade é o verdadeiro risco no setor bancário?

Para as organizações financeiras, a materialidade é a única métrica que importa quando a pressão aumenta.  

Você já sabe como funciona: sempre que algo quebra, as equipes de segurança dos bancos perguntam:

• Isso afetará a liquidez?  
• Será que os reguladores vão entrar em contato?  
• Será que a diretoria vai querer respostas?

Com ransomware, uma única violação pode acionar o mecanismo de causalidade rapidamente. Isso pode levar de uma recuperação tranquila a um desastre total de relações públicas, exigindo a notificação obrigatória de violações de dados.  

A contenção é a melhor defesa do setor financeiro.

É útil entender a dimensão do problema dos ransomware no setor bancário, mas não é isso que preocupa o seu conselho administrativo. Eles não estão monitorando o volume global de ataques nem o valor médio dos pagamentos de resgate.

Eles só se preocupam com uma coisa: esse ataque vai se concretizar?

Materialidade significa impacto nos negócios. Se um ataque se tornar material, ele pode interromper sistemas essenciais, expor dados sensíveis, prejudicar a confiança e desencadear sanções regulatórias sob regras como a Lei de Operações Digitais e Resiliência (DORA) da UE e o Conselho Federal de Exame de Instituições Financeiras (FFIEC).

Por isso, o controle da violação é fundamental. Isso mantém os incidentes em pequena escala, bloqueia o movimento lateral, reduz o raio da explosão e mantém você abaixo do limite de materialidade.

O confinamento é a forma de evitar a divulgação pública. É assim que você evita os holofotes — e também o prazo de quatro dias para divulgação de informações pela SEC.

Prepare-se para ataques de ransomware com o Illumio.

Sua equipe de segurança protege sua rede como os linebackers protegem a zona final do jogo. A contenção é a melhor medida para evitar que um incidente cibernético se torne grave.

Com o sistema de contenção de invasões da Illumio, mesmo que os invasores consigam entrar, os danos permanecem pequenos. Eles não conseguem se mover pela sua rede, atingir sistemas críticos ou roubar dados confidenciais.

Eis o que o Illumio ajuda você a fazer:

• Reduza o raio da explosão. Bloquear vias de ataque comuns, como o protocolo de área de trabalho remota (RDP), o bloco de mensagens do servidor (SMB) e o PsExec, em sistemas bancários. ‍
• Pare com a dupla extorsão. Limitar o acesso a dados financeiros e registros de clientes. ‍
• Mantenha-se em conformidade. Cumpra as normas da FFIEC, DORA e SEC, mantendo as violações abaixo do limite de materialidade.

Você não pode controlar quando as leis mudam ou o que os atacantes tentam fazer, mas com o Illumio, você pode controlar o alcance de um ataque.

Quando os riscos são significativos, a contenção não é opcional.

A principal conclusão do último relatório da FinCEN sobre ransomware é sobre o que esses números não conseguem captar.

O ransomware não vai desaparecer e, no setor de serviços financeiros, basta uma única violação para ultrapassar o limiar da materialidade e desencadear todas as consequências que a acompanham: escrutínio regulatório, divulgação pública, danos à reputação e perdas financeiras.

A verdade é que os líderes de segurança nos setores bancário e de seguros não são avaliados pela quantidade de ataques que previnem, mas sim pela capacidade dos incidentes de se transformarem em eventos de negócios.  

Por isso, a contenção da violação deve ser a estratégia. É a diferença entre uma ameaça controlada e uma crise que vira notícia.

Tentar Illumio Insights grátis Obtenha hoje mesmo observabilidade com inteligência artificial e contenção com um clique para seu ambiente bancário híbrido em várias nuvens.