Como é que os gangues de ransomware alistam os infiltrados (e como os impedir)

O ransomware surgiu como uma forma particularmente devastadora de cibercrime, com o valor dos dados a servir agora de incentivo para os criminosos exigirem um pagamento em troca da sua libertação. A frequência destes ataques aumentou de forma alarmante, e houve casos em que os agentes maliciosos recorreram à ajuda de pessoal interno para facilitar os seus esquemas.

Para mitigar o risco de ransomware, as empresas devem agora contemplar não só as ameaças externas, mas também as que podem emanar das suas próprias fileiras.

Porque é que os gangues de ransomware querem os infiltrados?

Pode parecer contra-intuitivo que os gangues de ransomware procurem ajuda dentro de uma organização para levar a cabo os seus crimes, uma vez que isso poderia fazer disparar os alarmes. No entanto, esta abordagem pode ser altamente eficaz devido ao envolvimento de pessoas internas que possuem um conhecimento profundo dos sistemas e procedimentos da empresa. Como tal, são muitas vezes capazes de navegar através das medidas de segurança com relativa facilidade, aumentando assim a probabilidade de sucesso dos atacantes.

É amplamente reconhecido que as ameaças internas são muitas vezes mais formidáveis do que as ameaças externas, uma vez que possuem acesso privilegiado a dados sensíveis e as organizações tendem a prestar menos atenção às vulnerabilidades internas. Consequentemente, os funcionários desonestos podem colaborar com os cibercriminosos instalando software malicioso nos dispositivos da empresa através de simples anexos de correio eletrónico, explorando assim o seu acesso autorizado para comprometer o sistema.

A perspetiva de violar medidas robustas de cibersegurança pode tornar-se mais difícil, enquanto a suscetibilidade dos seres humanos à manipulação permanece inalterada. Consequentemente, a utilização de um informador de confiança pode facilitar significativamente a execução de uma operação de ransomware lucrativa, resultando normalmente em ganhos monetários substanciais.

Métodos de recrutamento de infiltrados

A prevenção de ataques de ransomware por colaboradores internos requer uma compreensão das tácticas utilizadas por estes perpetradores. Seguem-se algumas das abordagens habitualmente utilizadas:

Engenharia social

O phishing e outras formas de engenharia social são responsáveis por uma proporção significativa dos incidentes de ransomware, o que não é surpreendente. Convencer um indivíduo a ajudar involuntariamente num ato criminoso é muito mais simples do que confrontá-lo diretamente. Os cibercriminosos podem manipular os empregados para que instalem software malévolo nos seus dispositivos sem o seu conhecimento.

A infiltração através de meios de comunicação electrónicos, como e-mails e mensagens de texto, é comum nos ataques de ransomware.Estas mensagens têm frequentemente ligações ou anexos que parecem ser autênticos mas, ao clicar, é instalado software malicioso no dispositivo de trabalho da vítima. Este método de ataque fornece aos cibercriminosos acesso não autorizado à rede de uma organização, evitando a necessidade de coagir ou enganar os funcionários.

Contacto Direto

Os grupos de ransomware também se tornaram mais directos nos últimos anos. De acordo com a Bravura Security , um número chocante de 65% dos profissionais de TI afirmam que os criminosos os contactaram diretamente ou aos seus funcionários para os ajudarem num ataque de ransomware - o que representa um aumento de 17% em relação aos níveis de 2021.

Estes tipos de solicitações são frequentemente transmitidos por correio eletrónico, mas certas organizações cibercriminosas também podem comunicar através de meios telefónicos ou plataformas de redes sociais. Geralmente, o seu objetivo é coagir os empregados a ajudarem na instalação do ransomware, oferecendo-lhes a perspetiva de recompensas financeiras substanciais. Podem oferecer quantias que vão desde centenas de milhares de dólares em dinheiro, criptomoedas ou uma percentagem do resgate exigido, em troca do cumprimento da ordem.

Crowdsourcing

Tem-se observado que certos grupos de ransomware estão a recorrer ao crowdsourcing para os seus ataques, publicando pedidos em fóruns públicos ou plataformas de mensagens encriptadas como o Telegram. Estes cibercriminosos procuram indivíduos com acesso privilegiado e oferecem incentivos àqueles que possam fornecer informações sensíveis ou executar acções específicas num sistema designado. Em alguns casos, estes criminosos realizam mesmo inquéritos públicos para determinar os alvos a atacar ou os dados a divulgar.

Estas mensagens públicas chegam a um público mais vasto, aumentando potencialmente as hipóteses de obter ajuda interna. De acordo com Comparitech , um resgate médio é superior a 2 milhões de dólares, os gangs de ransomware ganharão mais do que o suficiente com um ataque bem sucedido para pagar também a vários colaboradores.

Exemplos de insiders que ajudam os atacantes de ransomware

Ataques como este tiveram como alvo algumas das empresas mais conhecidas do mundo. Em 2021, a AP News informou que um cibercriminoso ofereceu a um funcionário da Tesla 500 000 dólares para instalar ransomware nos computadores da empresa. Neste caso, o funcionário relatou o incidente em vez de aceitar o dinheiro, mas isso destaca a escala desses ataques.

Outras empresas tiveram menos sorte. Em 2019, um ex-funcionário descontente da empresa de apoio técnico Asurion recebeu 50 000 dólares por dia do seu antigo empregador depois de roubar dados sobre milhões de clientes (conforme Bitdefender ).A polícia conseguiu apanhar o antigo trabalhador, mas não depois de a empresa já ter gasto milhares de euros em pagamentos de resgate.

É importante notar que, embora estes ataques se tenham tornado mais comuns, também não são necessariamente novos. De acordo com o FBI , um engenheiro da Boeing roubou centenas de milhares de documentos entre o final da década de 1970 e o início da década de 2000 como recruta das agências de informação chinesas. Este caso é anterior ao ransomware, mas exemplifica como podem ser extremas as ameaças internas que trabalham para potências externas.

Como prevenir ameaças internas de ransomware

Prevenir a colaboração interna com os autores de ransomware requer uma abordagem multifacetada, que engloba a adoção de medidas de segurança robustas e programas de formação dos funcionários. As três principais acções que as organizações devem empreender a este respeito incluem a implementação da segmentação da rede para isolar sistemas críticos, a oferta de formação regular sobre as melhores práticas de cibersegurança aos funcionários e a monitorização da atividade dos utilizadores para detetar potenciais comportamentos maliciosos. Ao tomar estas medidas proactivas, as empresas podem minimizar a sua exposição ao impacto devastador dos ataques de ransomware e proteger-se contra a ameaça constante representada pelas ameaças internas.

Criar uma cultura positiva no local de trabalho

Uma das principais etapas na prevenção de ataques cibernéticos por erro humano é garantir que os funcionários tenham uma satisfação profissional favorável. Um trabalhador insatisfeito tem mais probabilidades de sucumbir à tentação de aceitar um suborno de um grupo de ransomware e trair a sua organização causando intencionalmente danos. A construção de um ambiente de trabalho positivo diminui significativamente este risco.

A remuneração competitiva é uma parte importante da satisfação dos funcionários, mas não é tudo. Um relatório da Gallup mostra que apenas 28% dos empregados citam a remuneração e os benefícios como a maior mudança que tornaria o seu local de trabalho ótimo, em comparação com 41% que citam questões de envolvimento e cultura. Trabalhar com os empregados para garantir que se sintam respeitados, seguros e acarinhados será um grande passo em frente.

Formar os funcionários

Um componente crítico na prevenção de ataques de ransomware de origem interna é a formação dos funcionários sobre como reconhecer e evitar tácticas de engenharia social, uma vez que muitos desses ataques resultam de cliques não intencionais em ligações de phishing. Uma formação eficaz pode dotar os funcionários dos conhecimentos necessários para identificarem potenciais ameaças e se protegerem contra elas.

O phishing é frequentemente indicado por erros ortográficos, um nível de urgência invulgarmente elevado e circunstâncias que parecem demasiado boas para serem verdadeiras.Regra geral, os funcionários devem abster-se de clicar ou responder a quaisquer comunicações não solicitadas e não devem divulgar dados sensíveis por correio eletrónico em circunstância alguma.

Implementar segurança de confiança zero

A implementação de um protocolo de segurança de confiança zero é uma medida crítica para mitigar o risco de ataques de ransomware internos. Esta abordagem pressupõe que todas as entidades não são fiáveis até serem verificadas e exige validação em todas as fases antes de conceder acesso aos recursos. Além disso, o acesso é restringido apenas àqueles que dele necessitam para as suas tarefas designadas, limitando assim o potencial para actividades não autorizadas.

Embora estes modelos avançados de segurança possam apresentar maiores desafios na sua implementação em comparação com as estratégias convencionais, continuam a ser o meio mais eficaz de combater as ameaças internas. Isto porque, mesmo com acesso autorizado, os insiders estão impedidos de aceder a uma vasta gama de recursos, tornando inviável para os adversários justificar o investimento na exploração de tais vulnerabilidades através de uma campanha de ransomware.

As ameaças de ransomware internas são geríveis

O fenómeno dos grupos de ransomware que recorrem à ajuda de pessoal interno não é um desenvolvimento totalmente novo, mas parece estar a aumentar em prevalência. Este aumento de atividade justifica apreensão, embora ainda possam ser tomadas medidas para mitigar os riscos associados a esta estratégia de ataque.

É imperativo ter cautela e manter um certo ceticismo quando se lida com ameaças internas, que sublinham a importância de limitar a confiança nas medidas de cibersegurança. A possibilidade de ataques provenientes de indivíduos considerados fiáveis exige uma abordagem proactiva para proteger informações sensíveis.