Previsões para Segurança da Informação em 2017
Estamos apenas no início do ano e já tivemos dois graves incidentes envolvendo divulgação indevida ou não autorizada de informações sensíveis.
São casos envolvendo a divulgação acidental das senhas das redes sociais do Planalto no Twitter, e recentemente também tivemos informações do estado de saúde da ex-primeira dama Marisa Letícia Lula da Silva divulgadas num grupo de Whatsapp sem autorização do hospital.
Dica: Temos uma recente postagem sobre a HIPAA, e ela trata exatamente sobre o assunto da privacidade de suas informações de saúde, vale a pena conferir.
Os dois incidentes se tomaram de conhecimento em escala nacional, pois foram também notícia em grandes canais de comunicação.
O fato é que quando este tipo de incidente acontece, não há muito o que ser feito. Entretanto, analisando 2016, existe uma tendência clara sobre alguns temas que são interessantes adotarmos como formas de prevenção contra possíveis ataques ou erros operacionais como vimos.
Abaixo você confere 6 previsões para área de Segurança da Informação em 2017:
Segurança biométrica
Em 2016 vimos Smartphones recebendo um Upgrade quase que obrigatório para fabricantes que querem manter seus melhores produtos competitivos no mercado. Vários deles receberam a autenticação biométrica de fábrica, uma solução que foi bem aceita pelos consumidores, em vista da eficiência e segurança que traz este tipo de tecnologia.
Porém, sabemos que apesar de ser algo novo para Smartphones, este tipo de autenticação existe a bastante tempo em Notebooks.
Também sabemos o quão simples é obter uma cópia de digitais, claro, tudo depende do nível de obsessão que um “atacante” pode ter, mas assim que obtida a digital, ela pode ser usada para acessar sistemas do proprietário que possuem ela como defesa.
“Viralização” de erros operacionais
No começo deste artigo tivemos um exemplo clássico deste tema, onde um erro operacional que, mesmo que corrigido rapidamente, não pôde ser contido. Um simples print de tela evidenciando este tipo de erro, é compartilhado rapidamente em redes sociais, grupos de chats, vídeos no youtube e a contenção desta divulgação se torna impossível.
A melhor forma de prevenção para este tipo de incidente é, primeiramente, o constante treinamento e conscientização dos profissionais com credenciais de acesso a informações críticas e privilegiadas da empresa, mas também é importante o uso de uma ferramenta para proteção das credenciais com este tipo de privilégio, pois além de erros operacionais, a divulgação não autorizada de informações em redes sociais podem ocorrer de forma maliciosa por funcionários insatisfeitos ou até mesmo por ex-funcionários de posse destas credenciais. Este tópico fica ainda mais crítico pois, independente dos controles existentes nos perímetros da empresa, a divulgação em uma plataforma virtual como Facebook, LinkedIn ou Twitter podem acontecer de qualquer lugar.
Para proteger a imagem da empresa em esfera global, é importante ter um controle de quem tem acesso a estas credenciais, a rastreabilidade de quem realizou um determinada divulgação (mesmo que utilizando de uma credencial “genérica”), e o mais importante, que as atualizações das redes sociais possam ser realizadas pela conta da empresa, mas que os profissionais não tenham conhecimento desta senha.
Sequestro de dados (Ransomware)
Existe um novo conceito de sequestro de dados, porém eles não somem de seu dispositivo, na verdade um tipo novo de Malware se encarrega de criptografar todos os dados em um formato específico (dependendo do tipo de malware), sendo possível descriptografar os arquivos apenas com a chave que o “atacante” possui.
Historicamente a chave é fornecida apenas mediante a um pagamento pelo resgate, mas existem casos onde, na impossibilidade do pagamento ser necessário servir de ponte para espalhar esse vírus em outros dispositivos.
Dica: Para ter idéia da dimensão que este tipo de Malware está tomando, faça uma pesquisa do termo “ransomware” no Google e clique em notícias.
Uso de Botnets para ataques DDoS
Em 2016 vimos sites de grandes empresas sofrerem queda devido a um ataque DDoS a servidores DNS da empresa Dyn com uso de botnets.
O mais preocupante é que isso pode se repetir com a ascensão da conhecida Internet das coisas, e talvez em 2017 ocorra um ataque ainda maior.
Se prevenir deste tipo de ataque requer uma análise e estrutura bem planejadas, um simples firewall não vai resolver o problema, portanto, não seria exagero já reunir especialistas da área de infraestrutura com analistas de segurança para planejar e executar melhorias no ambiente.
Se quiser saber mais sobre botnets, acesse a Wikipédia, existe um artigo sobre ele.
Aumento no uso da criptografia
No final de janeiro deste ano também houve o lançamento da versão 56 do Google Chrome, este por sua vez trouxe melhorias significativas de segurança que todo o consumidor deveria saber.
A mais interessante é que a partir de seu lançamento, qualquer site que for acessado com essa versão do navegador, que tenha um sistema de Login ou tenha transações financeiras com cartão de crédito, porém não tenha sua conexão criptografada (HTTPS), será identificado pelo navegador como um site “não seguro”. Veja mais aqui.
Anúncios de páginas falsas de varejo
Durante datas onde ocorrem grandes promoções de lojas do varejo, como a famosa Black Friday, os consumidores ficam horas na internet buscando produtos pelo menor preço possível.
Sabendo disso, em redes sociais, foram flagradas várias páginas falsas de lojas famosas (como Americanas, Submarino, e etc.) que traziam eletrônicos por preços atrativos até mesmo para quem não planejava comprar nada.
Porém ao observar a URL da página, era óbvio que aquele não era um site oficial da loja.
A melhor forma de se proteger deste tipo de fraude, é observar a URL da página ou acessar o site diretamente por um buscador de sua confiança (como o Google).