Por que o mundo está testemunhando um aumento nas violações de dados?

Embora o mundo da segurança cibernética sempre tenha sido bastante imprevisível, o que é certo é que as violações de dados estão aumentando. Mas o que está impulsionando essa tendência, por quanto tempo ela continuará e o que as organizações podem fazer sobre isso?

De acordo com o Relatório Anual de Violação de Dados de 2023 do Identity Theft Resource Center (ITRC), uma organização sem fins lucrativos, os comprometimentos de dados aumentaram nos últimos dois anos. Do recorde anterior de 1.860 em 2021, eles caíram ligeiramente para 1.801 em 2022, mas se recuperaram para atingir um novo recorde de 3.205 no ano passado. Isso é um aumento de 72 por cento em apenas dois anos.

O setor de saúde, com seus enormes volumes de informações pessoais e sensíveis, é um dos maiores alvos. O ITRC registrou 809 comprometimentos de dados em empresas de saúde em 2023, o que equivale a impressionantes 56 milhões de vítimas. Isso é quase o dobro da população do Texas.

Alguns cibercriminosos estão, sem dúvida, se tornando mais sofisticados. Mas, à medida que o setor de segurança cibernética elevou seu nível, os agentes de ameaças adaptaram suas táticas, técnicas e procedimentos (TTPs) em resposta. É efetivamente uma corrida para ver qual lado pode evoluir mais rápido para escapar ou capturar o outro.

Na última década, o crime cibernético cresceu e se tornou uma economia enorme. Os grupos criminosos mais avançados desenvolveram serviços e plataformas para alugar para os menos qualificados. Nos últimos dez anos, mais ou menos, vimos o advento do Ransomware-as-a-Service (RaaS) e de inúmeras ferramentas que permitem campanhas de phishing baseadas em bots. Junto com isso, também vimos um aumento acentuado na coleta de dados e dispositivos conectados à Internet.

Profissionais de segurança cibernética sabem muito bem que muitas organizações ainda não estão acertando muitos dos princípios básicos para proteger os dados, ativos, clientes, funcionários e suas reputações de danos. Mas, é claro, também há muitos casos de exploração de vulnerabilidades de dia zero.

Só nos últimos dois a três anos, vimos a natureza dos ataques de ransomware evoluir quase continuamente para incluir criptografia, táticas de multi-extorsão, incluindo vazamentos de dados e pressão colocada sobre as pessoas que possuem os dados roubados. Uma tendência recente tem sido que grupos criminosos abandonem a parte de criptografia de seus ataques e simplesmente ameacem vazar dados confidenciais online ou vendê-los na dark web.

No caso indiscutivelmente mais extremo e bizarro nos EUA, um agente de ameaça de ransomware até mesmo denunciou sua vítima à Security Exchange Commission (SEC). Por quê? Porque a organização vítima não denunciou o incidente. E nos EUA, se um denunciante informa sobre uma organização que é posteriormente multada como resultado, o denunciante tem direito a uma porcentagem da multa.

O crime de manter organizações como reféns não é novidade, é claro. Resgates humanos costumavam ser mais comuns do que são hoje. Na Europa, é muito mais aceitável pagar pelo retorno seguro de uma pessoa. Então, acho que a maneira como o ransomware é usado pode seguir, com gangues criminosas divulgando os dados roubados para pressionar a organização que tem mais a perder a pagá-los. Já vimos casos em que a pressão do grupo e a ameaça de litígio e danos à reputação forçaram com sucesso a mão da organização.

Falamos e escrevemos sobre dados como se fossem apenas bits e bytes, e as consequências são apenas um pouco inconvenientes. Mas o roubo de informações confidenciais e pessoais pode ser sério para o indivíduo envolvido. Quem quer que seus dados comerciais, de relacionamento ou médicos sejam compartilhados com o público ou partes que poderiam usá-los para obter uma vantagem comercial, chantagem ou simplesmente para arruinar a vida de alguém?

E recentemente o mundo testemunhou como uma grande interrupção pode ter um grande impacto em viagens nacionais e internacionais, varejo, serviços bancários, consultas médicas e muito mais. Adicione as reivindicações de seguro e o dano chegou a bilhões de dólares.

Em 2017, após o ataque cibernético NotPetya, a gigante farmacêutica Merck & Co. tentou recuperar suas perdas financeiras de sua seguradora. No entanto, como o ataque foi amplamente aceito como tendo sido conduzido pela Rússia, a seguradora o descartou como um “ato de guerra”.

A Merck & Co. levou sua seguradora ao tribunal, ganhou o caso original e uma apelação. Isso eventualmente concluiu com um acordo extrajudicial. Embora a quantia final não tenha sido divulgada, a reivindicação original da empresa farmacêutica era de uma indenização principesca de US$ 1,3 bilhão.

Crédito da imagem: Rawpixel/depositphotos.com

Mark Cunningham-Dickie é um Consultor Principal de Resposta a Incidentes na Quorum Cyber. Ele tem mais de 20 anos de experiência na indústria de tecnologia, incluindo mais de dez trabalhando em funções técnicas para autoridades policiais e outras organizações financiadas pelo governo. Mark tem um mestrado em Segurança Avançada e Forense Digital e um bacharelado (com honras) em Ciência da Computação.