O crime cibernético representa um desafio crescente para empresas de todos os portes e setores. Com a expansão da internet e da tecnologia em quase todos os aspectos da vida moderna, não é surpreendente que criminosos tenham se adaptado, buscando explorar essas ferramentas para fins ilícitos.
É imprescindível que as empresas estejam atentas aos diversos tipos de crimes cibernéticos e aos prejuízos potenciais que podem causar à organização, seus funcionários e clientes. Essa conscientização é fundamental para que possam implementar as medidas de proteção adequadas.
O que Define o Cibercrime?
Cibercrime abrange qualquer ação ilícita que se utilize de redes de computadores, incluindo a internet, como principal meio para a prática de delitos. Os cibercriminosos empregam softwares de hacking e outras ferramentas tecnológicas para furtar dados e dinheiro, cometer fraudes contra indivíduos e empresas, e interromper serviços. Esses crimes podem ocorrer quando computadores ou redes são usados como instrumentos para violar a lei. Geralmente, são praticados remotamente, dificultando sua detecção e rastreamento.
Impactos e Custos do Crime Cibernético
A revista Cybercrime Magazine projeta que os custos globais do cibercrime podem atingir US$ 10,5 trilhões anualmente até 2025, um aumento significativo em relação aos US$ 3 trilhões estimados em 2015. Isso o consolida como um dos tipos de crime mais onerosos em todo o mundo.
De acordo com um relatório do FBI sobre fraudes na internet em 2021, os golpes mais comuns incluem extorsão, roubo de identidade, violação de dados, inadimplência e o phishing (incluindo suas variações como vishing, smishing e pharming). Juntos, esses golpes representam mais da metade dos prejuízos causados.
Os golpes de comprometimento de e-mail comercial (BEC), também conhecidos como comprometimento de contas de e-mail (EAC), somaram US$ 2,3 bilhões dos US$ 6,9 bilhões. Nesses casos, o criminoso se passa por um executivo ou funcionário da empresa, com o objetivo de induzir alguém a transferir fundos ou informações confidenciais, como segredos comerciais, demonstrações financeiras e outras informações de caráter proprietário.
Além dos prejuízos financeiros, as empresas também enfrentam danos à sua reputação quando são vítimas de um ataque cibernético, pois a confiança do público em seus produtos ou serviços pode ser abalada. Informações pessoais de funcionários e clientes também correm o risco de serem comprometidas, o que pode gerar responsabilização para a empresa por negligência.
Tipos Comuns de Crimes Cibernéticos
Em um cenário digital em constante evolução, uma diversidade de ameaças cibernéticas pode acarretar sérias consequências para as empresas se não forem tratadas de maneira apropriada. De ataques de malware e ransomware até phishing e roubo de identidade, compreender os diversos tipos de crimes cibernéticos é crucial para proteger as empresas e seus dados contra as ações dos cibercriminosos.
Phishing
O phishing é uma tática bastante empregada por hackers e criminosos cibernéticos para furtar informações. Nesse tipo de golpe, os criminosos se disfarçam como empresas ou organizações legítimas para obter dados confidenciais das vítimas, tais como senhas e números de cartão de crédito.
E-mails de phishing são elaborados para parecer autênticos, simulando comunicações de instituições financeiras, órgãos governamentais ou outras entidades respeitáveis, com o propósito de enganar os usuários e induzi-los a fornecer seus dados pessoais.
Frequentemente, esses golpes envolvem o envio de e-mails ou a realização de ligações nas quais os destinatários são informados de que devem atualizar suas informações de conta imediatamente, sob o risco de terem seu acesso bloqueado. Essa modalidade de golpe se intensificou nos últimos anos, devido à sua facilidade de execução e à dificuldade de rastrear os autores. Segundo a empresa de segurança em TI Wandera, um novo site de phishing é criado a cada 20 segundos, o que equivale a três novos sites por minuto, representando uma ameaça potencial às empresas. A melhor forma de se proteger é educar os funcionários sobre os sinais de alerta de e-mails de phishing e estabelecer políticas sobre como agir caso suspeitem de um e-mail fraudulento.
Hacking
Hacking é o ato de obter acesso não autorizado a um sistema de computador com o objetivo de infectar os computadores das vítimas ou contornar as medidas de segurança. Hackers – indivíduos que utilizam seu conhecimento para explorar vulnerabilidades em um sistema de computador – podem causar diversos problemas para as empresas, desde invadir sistemas até acessar dados confidenciais.
Eles podem, inclusive, prejudicar a reputação da empresa divulgando informações privadas e ameaçando o negócio. Hackers com motivação política são frequentemente chamados de hacktivistas. Existem três categorias principais de hacking: hacking de chapéu branco (ético), hacking de chapéu preto e hacking de chapéu cinza.
- Os hackers de chapéu branco usam suas habilidades para identificar falhas em softwares antes que hackers mal-intencionados o façam, e relatam as falhas para que possam ser corrigidas.
- Os hackers de chapéu preto criam programas para invadir computadores de terceiros, roubar informações e vendê-las na dark web.
- Os hackers de chapéu cinza empregam técnicas que se situam entre os dois extremos; eles buscam identificar vulnerabilidades em um sistema, mas seus métodos podem violar leis ou padrões éticos.
Cryptojacking
Cryptojacking é um tipo de crime cibernético no qual hackers exploram ilegalmente computadores e redes para minerar criptomoedas. Dados da SonicWall mostram que o volume global de cryptojacking alcançou 66,7 milhões no primeiro semestre de 2022, um aumento de 30% em relação ao mesmo período de 2021. O setor financeiro foi o mais afetado, com um aumento de 269%.
Um grande problema do cryptojacking é a sobrecarga no uso da CPU, que pode levar à lentidão ou até mesmo ao travamento dos sistemas, antes mesmo que as empresas percebam o ataque. Para se protegerem, as organizações podem contratar um profissional de segurança de TI para monitorar o sistema periodicamente e detectar picos anormais no uso da CPU.
Spoofing
Este tipo de crime cibernético ocorre quando alguém disfarça sua identidade online para enganar ou fraudar outra pessoa. Isso pode incluir falsificação de e-mail, de telefone, criação de perfis falsos em mídias sociais e anúncios fraudulentos. Um exemplo comum é quando um indivíduo envia um e-mail que aparenta ser de um colega de trabalho, solicitando informações confidenciais em nome do CEO da empresa.
Spoofers também podem criar páginas da web que se parecem com as de sua empresa, mas que são projetadas para coletar informações pessoais. Para se proteger contra esses golpes, é fundamental verificar links antes de clicar neles e desconfiar de e-mails não solicitados que pedem senhas, números de contas financeiras ou outras informações confidenciais.
Ransomware
Ransomware é uma forma de malware que ataca sistemas de computador, bloqueia dados e exige um pagamento para desbloqueá-los. Após a infecção, o usuário geralmente é solicitado a pagar um resgate para obter a chave de descriptografia necessária para recuperar o acesso aos seus dados.
O custo médio de um ataque de ransomware ultrapassa US$ 4 milhões, enquanto um ataque destrutivo pode custar, em média, mais de US$ 5 milhões. Muitas infecções por ransomware podem ser evitadas seguindo práticas básicas de segurança, como manter o sistema operacional atualizado e evitar clicar em links ou anexos suspeitos de remetentes desconhecidos.
Script Entre Sites
O Cross-Site Scripting (XSS) é uma vulnerabilidade de segurança na web que ocorre quando um invasor injeta scripts maliciosos em um site ou aplicativo da web confiável. O XSS pode permitir que invasores assumam o controle da sessão de um usuário, roubem suas credenciais de login e coletem dados valiosos.
Por exemplo, invasores podem inserir códigos maliciosos em um site comprometido, que aguarda o login de um usuário desavisado para executar comandos que revelam informações da máquina da vítima. Essas vulnerabilidades podem permitir que invasores sequestrem uma sessão e se passem pela vítima.
Existem três tipos de XSS: XSS Armazenado, XSS Refletido e XSS baseado em DOM (Document Object Model).
- Um ataque XSS armazenado (persistente) se aproveita da falta de validação de entrada e de mecanismos de autenticação inadequados. Invasores utilizam esse tipo de exploração para fazer upload de malware ou roubar cookies com informações pessoais sensíveis, como senhas e números de cartão de crédito.
- Um ataque XSS refletido (não persistente) é acionado quando uma vítima clica em um link em um site de ataque que executa um script no navegador da vítima, o qual contém código malicioso. O navegador da vítima envia o script de volta para o servidor atacante.
- Um ataque XSS baseado em DOM explora vulnerabilidades dentro do DOM ou em como navegadores interpretam documentos HTML. Esse ataque visa forçar o navegador a fazer alterações que criem vulnerabilidades por meio da manipulação de objetos JavaScript, como instâncias XMLHttpRequest ou WebSocket.
Para se proteger contra todos os três tipos de cross-site scripting, as empresas precisam adotar práticas de codificação seguras e garantir a validação adequada dos valores de entrada.
Roubo de Identidade
O roubo de identidade ocorre quando uma pessoa usa informações pessoais de outra, como nome, CPF, número de conta bancária e informações de cartão de crédito, para cometer fraudes ou outros crimes. Isso pode prejudicar a reputação da vítima, danificar seu histórico de crédito e causar anos de recuperação para a vítima.
Ladrões de identidade coletam informações pessoais por meio de diversos métodos, como invasão de computadores, roubo de correspondências, uso de câmeras para capturar dados de telas de computador e criação de cópias falsas de documentos de identidade. Essas informações são utilizadas para se passar pelas vítimas e obter controle sobre suas finanças, acessando contas bancárias online, abrindo novas linhas de crédito e solicitando empréstimos em nome da vítima.
Para evitar o roubo de identidade, é crucial descartar documentos que contenham informações confidenciais de maneira adequada, rasgando documentos antes de jogá-los fora, e nunca se desfazer de extratos antigos sem verificar se eles contêm informações confidenciais.
Fraude em Contas a Pagar
Na fraude em contas a pagar, um golpista se passa por um fornecedor da empresa e solicita pagamento por bens ou serviços que nunca foram fornecidos. Esses golpes costumam ser bem-sucedidos porque a fatura fraudulenta é enviada a um departamento de contabilidade que não conhece o fornecedor pessoalmente.
As empresas geralmente são mais vulneráveis a fraudes em contas a pagar à medida que expandem suas operações e passam de pequenas empresas para médias ou grandes. O fraudador pode se passar por um funcionário solicitando fundos em nome da empresa ou pode até mesmo criar faturas fraudulentas que pareçam legítimas.
No que diz respeito a crimes cibernéticos, as empresas precisam estabelecer mecanismos de freios e contrapesos, contando com várias pessoas dentro da organização, como exigir múltiplas assinaturas para todos os pagamentos acima de um determinado valor.
Malware
Malware são programas ou softwares projetados para interromper as operações de um computador, coletar informações confidenciais ou obter controle remoto do sistema. O malware frequentemente não é detectado, é difícil de remover e pode causar sérios danos aos sistemas de computador, infectando arquivos, alterando dados e destruindo utilitários do sistema.
É importante notar que o malware pode se disfarçar de software legítimo para facilitar a instalação pelos usuários. Alguns exemplos de malware são vírus, worms, trojans, spyware e adware.
Engenharia Social
Engenharia Social é a arte de manipular pessoas para que forneçam informações confidenciais ou credenciais de acesso. Essa tática é empregada por meio da simulação de colegas de trabalho, de ligações, de envio de e-mails e pelo uso de serviços de mensagens instantâneas para ganhar a confiança da vítima.
O criminoso então solicita informações como senhas e números de identificação pessoal (PINs). Dados indicam que 98% de todos os crimes cibernéticos envolvem algum tipo de engenharia social.
Além de serem induzidas a fornecer informações, as vítimas podem também divulgar, sem saber, segredos comerciais e propriedade intelectual de sua empresa. Ter um plano de resposta a incidentes com todos os funcionários envolvidos pode ajudar na prevenção desse tipo de crime.
Golpes de Suporte Técnico
Nesses golpes, o fraudador se passa por um representante de uma empresa conhecida e entra em contato com possíveis vítimas alegando ter encontrado problemas em seus computadores. Esses problemas podem variar de malware a vírus, e são “resolvidos” mediante o pagamento de uma taxa. A vítima vê um assistente que se assemelha a erros e programas legítimos.
Em seguida, a vítima é enganada para fornecer acesso remoto ao seu sistema, permitindo que o golpista cobre mais dinheiro ou até mesmo roube informações pessoais. O FBI relatou que um casal no Maine perdeu US$ 1,1 milhão após receber um alerta pop-up avisando que seu computador havia sido invadido e que havia uma tentativa de comprometer suas informações bancárias.
Golpistas miram em pessoas em situações de alto estresse, que estão vulneráveis e dispostas a pagar qualquer valor para se proteger. As vítimas podem não perceber que foram enganadas até que seja tarde demais, pois receberam atualizações de software do golpista que as faz acreditar que estão protegidas. Os fraudadores convenceram o casal a transferir dinheiro de sua conta de aposentadoria para a Coinbase, antes de cortar toda a comunicação.
Hacking de Internet das Coisas (IoT)
O Hacking de IoT é uma das formas mais comuns de cibercrime e pode levar a danos físicos. Esse tipo de hacking ocorre quando um hacker usa um dispositivo conectado à internet, como um termostato inteligente ou uma geladeira. O hacker invade o dispositivo e o infecta com malware, que se espalha por toda a rede.
Em seguida, o hacker usa o sistema infectado para lançar um ataque contra outros sistemas na rede. Esses ataques geralmente resultam em roubo de dados desses dispositivos e podem conceder aos hackers acesso às informações confidenciais. O risco de hacking de IoT surge porque esses dispositivos são construídos com segurança limitada e têm baixo poder de processamento, memória e capacidade de armazenamento, o que os torna mais vulneráveis do que outros sistemas.
Pirataria de Software
A pirataria de software é o ato de copiar, distribuir ou usar software ilegalmente, sem propriedade ou permissão legal. Isso pode ocorrer por meio do download de programas de um site de software ilegal, da cópia de um programa de um computador para outro ou da venda de cópias de software.
O software pirateado afeta o lucro de uma empresa, impedindo-a de ganhar dinheiro com seus produtos. Um estudo da Software Alliance mostrou que 37% do software instalado em computadores pessoais não é licenciado ou é pirateado. Por ser um problema global tão difundido, é essencial que as empresas compreendam como podem ser afetadas e quais soluções existem para se protegerem.
Cavalos de Tróia
Cavalos de Tróia são vírus que se disfarçam de programas legítimos e se instalam em seu computador sem sua permissão. Uma vez executados, eles podem realizar ações como excluir arquivos, instalar outros malwares e roubar informações, como números de cartão de crédito.
A chave para evitar Cavalos de Tróia é baixar programas apenas de sites confiáveis, como o site da empresa ou de parceiros autorizados.
Eavesdropping
Eavesdropping é o ato de ouvir ou gravar conversas secretamente, sem o conhecimento ou consentimento de todas as partes envolvidas. Isso pode ocorrer por telefone, com câmeras escondidas ou até mesmo por acesso remoto.
A escuta ilegal é um crime e pode expô-lo a riscos de fraude e roubo de identidade. Para proteger sua empresa, limite o que os funcionários compartilham por e-mail e pessoalmente. A criptografia de conversas também ajuda, assim como o uso de software que impede que usuários não autorizados acessem recursos de rede remotamente.
Ataques DDoS
Um ataque de negação de serviço distribuída (DDoS) ataca um serviço ou sistema, inundando o alvo com mais requisições do que ele pode atender. Esses ataques têm como alvo o site de uma organização e tentam sobrecarregá-lo com múltiplas requisições simultâneas, o que força o desligamento dos servidores e interrompe o acesso dos usuários às informações.
Hackers utilizam ataques DDoS como forma de protesto contra sites e suas políticas, mas em alguns casos, esses ataques também podem ser usados para extorsão. Ataques DDoS podem também ser parte de campanhas de espionagem cibernética, que visam roubar dados de uma organização em vez de destruí-la.
Ameaças Persistentes Avançadas (APTs)
As Ameaças Persistentes Avançadas (APTs) são um tipo de ataque cibernético altamente direcionado, persistente, sofisticado e com bons recursos. APTs são normalmente usadas para roubar informações de uma organização para obter vantagens financeiras.
Ataques cibernéticos por APTs podem durar meses ou anos, nos quais os invasores se infiltram em redes, extraem dados e os exfiltram sem serem detectados. Alvos típicos incluem agências governamentais, universidades, empresas de manufatura, indústrias de alta tecnologia e fornecedores de defesa.
Black Hat SEO
Black Hat SEO é uma forma de spam na qual profissionais de marketing usam táticas antiéticas para alcançar uma classificação mais alta nos resultados dos mecanismos de pesquisa. Essas táticas podem incluir o preenchimento de palavras-chave, texto invisível e camuflagem, que enganam o algoritmo do mecanismo de pesquisa, fazendo-o pensar que a página é relevante quando não é.
Essas táticas de marketing são ilegais, pois violam os fundamentos da pesquisa do Google (anteriormente diretrizes para webmasters), ao fazer uso indevido do seu sistema de classificação. Como resultado, SEOs black hat podem receber penalidades ou ter seu site completamente removido da página de resultados do mecanismo de pesquisa (SERP).
Proteção Contra Crimes Cibernéticos
É crucial que sua empresa tenha uma política de segurança cibernética abrangente em vigor, que inclua orientações para funcionários sobre o comportamento adequado ao acessar os sistemas da empresa e as consequências de não segui-las. Essa política deve ser claramente comunicada a todos os funcionários e atualizada regularmente para garantir que esteja alinhada com as ameaças de segurança mais recentes.
Outras medidas importantes para se proteger contra crimes cibernéticos incluem:
- Trabalhar com um provedor de serviços profissional que esteja atualizado com as tecnologias e processos mais recentes.
- Fazer backup de todos os dados em um local externo.
- Atualizar os sistemas regularmente com as últimas correções e atualizações.
- Realizar uma auditoria anual de suas licenças de software.
- Usar um programa antivírus confiável que verifique programas maliciosos como vírus, spyware, worms, cavalos de Tróia e rootkits.
- Instalar um software de filtragem da web que impeça a entrada de qualquer conteúdo ilegal ou inadequado na rede.
- Criptografar todos os dispositivos que armazenam dados confidenciais para impedir o acesso não autorizado.
- Desenvolver um processo para monitorar logs do sistema automaticamente, para que seja possível identificar tentativas de violação.
- Solicitar auditorias de sistemas periodicamente para garantir que seus sistemas não sejam vulneráveis.
- Implementar tecnologia de prevenção contra perda de dados (DLP), que protege informações antes que elas saiam da rede, controlando o que os usuários podem copiar, colar e salvar em dispositivos externos.
Considerações Finais
Organizações podem se proteger contra crimes cibernéticos implementando políticas robustas de segurança cibernética e proteção de dados, realizando avaliações regulares de ameaças cibernéticas, atualizando softwares, utilizando softwares antivírus, investindo em educação e conscientização dos funcionários e usando ferramentas capazes de automatizar processos de segurança cibernética.
As empresas podem também trabalhar com provedores de serviços que ofereçam ambientes de computação em nuvem seguros e serviços de segurança gerenciados, que podem ajudar a se proteger contra ataques cibernéticos.