Após o ataque cibernético à MGM, especialistas enfatizam as defesas humanas
Após os ataques à cibersegurança no outono passado, os especialistas da convenção Black Hat USA afirmam que a indústria hoteleira deveria concentrar-se em reforçar as defesas humanas contra comportamentos suspeitos.
Após ataques de cibersegurança de alto nível na MGM Resorts International e na Caesars Entertainment no outono passado, os especialistas da convenção Black Hat USA dizem que a indústria hoteleira deveria concentrar-se em reforçar as defesas humanas contra comportamentos suspeitos.
Bob Barker, gerente de engenharia de vendas da empresa de segurança em nuvem Sysdig, disse que esses ataques cibernéticos em grande escala podem acontecer muito rapidamente. Para as empresas, isso significa que elas podem ter apenas alguns minutos para responder a uma ameaça. E para os consumidores, significa que devem ter o cuidado de partilhar demasiada informação online.
“Acredite ou não, é daí que vêm muitas dessas incursões”, disse Barker. “É alguém que conseguiu assumir a identidade de alguém que tinha mais direitos ou mais privilégios num ambiente.”
Foi esse o caso da violação de segurança da MGM que paralisou as operações da cadeia hoteleira durante 10 dias em Setembro do ano passado. Um adolescente britânico foi preso em 18 de julho por seu papel na violação. O grupo de hackers ALPHV e um afiliado Scattered Spider assumiram a responsabilidade pelo ataque, bem como um ataque semelhante na Caesars Entertainment no mês anterior.
No caso da MGM, os hackers usaram “engenharia social”, ou a prática de assumir uma identidade plausível de funcionário de uma empresa e depois comunicar-se com a equipe de TI da empresa para obter acesso.
Robert Grimes, educador de defesa baseado em dados da plataforma de treinamento de conscientização de segurança de funcionários KnowBe4, disse que 70 a 90 por cento dos ataques cibernéticos modernos são realizados por meio de engenharia social e software sem correção. Muitas empresas se preocuparão com suas proteções antivírus e outros tipos de rede, em vez de se concentrarem nos erros humanos que mais comumente levam a violações.
Um aspecto positivo da violação de dados da MGM foi a maior atenção sobre como um ataque em grande escala poderia ocorrer facilmente. Grimes disse que a empresa teve um grande crescimento nos negócios desde então.
“O evento da MGM foi certamente um alerta”, disse Grimes. “Esse foi um grande alerta que causou arrepios. Conseguimos não apenas mais clientes, mas também clientes existentes que queriam fazer o treinamento de conscientização corretamente.”
Eric O'Neill, consultor de segurança cibernética e ex-agente do FBI, disse que investir em mais segurança cibernética – e realmente empregá-la, em vez de contratar uma empresa para marcar uma caixa – é uma das maiores maneiras pelas quais as empresas podem combater ameaças pendentes.
As empresas também precisam se certificar de que estão ensinando técnicas de prevenção de ataques cibernéticos de uma forma compreensível. Ele disse que contar histórias pode ajudar as pessoas comuns a entender o que devem fazer para proteger a si mesmas e às suas empresas.
“Se você apenas ver as estatísticas – isto é quantos ataques de ransomware aconteceram e esta é a porcentagem de chance de você ser atingido por um spear phishing – seus olhos ficarão vidrados como se você estivesse apenas tentando clicar durante o treinamento”, disse O'Neill. “Quando falo para multidões, literalmente vejo todos pegando seus telefones. Não porque estejam entediados, é porque estão ativando a autenticação de dois fatores.”
Black Hat USA, uma conferência de segurança cibernética de seis dias, termina sexta-feira. Mas espere ver profissionais de segurança cibernética, funcionários do governo e líderes corporativos permanecerem na cidade para a DEF CON 32, uma conferência sobre hackers que começa quinta-feira no Centro de Convenções de Las Vegas.
