Panorama dos ataques cibernéticos causados por falha humana

O aumento do trabalho remoto e a consequente digitalização das rotinas empresariais, devido à pandemia da Covid-19, levou a um crescimento expressivo no número de ataques cibernéticos. Enquanto milhões de pessoas trocavam os escritórios corporativos pelo home office, cibercriminosos aproveitavam a oportunidade para aprimorar mecanismos de invasão a dispositivos móveis e computadores indefesos. Esses foram alguns dos principais fatores que levaram ao aumento de ciberataques no Brasil.

De acordo com a 1ª Pesquisa Nacional BugHunt de Segurança da Informação, realizada pela BugHunt, o panorama no país é alarmante:  26% das empresas brasileiras sofreram ataques cibernéticos nos últimos 12 meses. Phishing (28%), vírus (24%), ransomware (21%) e vishing (10%) foram as ocorrências mais reportadas no período.

Duas razões principais explicam a expansão dos crimes desse tipo. Segundo estimativas de uma empresa global da área de tecnologia, durante a quarentena, o tráfego mundial na internet subiu 20%, alcançando os níveis mais altos da história. Com o número crescente de usuários conectados, o campo de atuação dos cibercriminosos também aumentou. 

Já o segundo motivo está relacionado ao trabalho remoto. Grandes quantidades de dados comerciais sigilosos e sensíveis foram transferidas de computadores seguros para notebooks pessoais, muitas vezes desprotegidos, tornando mais fácil atacar os sistemas das empresas.

É notável que a implementação de segurança da informação nas corporações é um desafio que necessita da colaboração dos funcionários. Para ajudar você, acompanhe este artigo e descubra maneiras de conscientizar os funcionários quanto aos ciberataques. Boa leitura!

Desafios da implementação de segurança da informação nas empresas 

De acordo com a pesquisa da BugHunt, no Brasil o número de ataques praticamente dobrou entre 2020 e 2021, atingindo a alarmante marca de 92%. Segundo os números obtidos, entre as dificuldades de se implementar programas e ações de segurança da informação nas empresas, 24% dos respondentes afirmaram que estão no convencimento dos decisores. Ou seja, grande parte do descuido com os dados vem da própria cultura dos empreendimentos brasileiros, que precisam urgentemente ter um maior conhecimento sobre a área.

O fator humano pode representar um grande perigo para a segurança dos dados. Depois do malware, funcionários desinformados são uma das causas mais prováveis dos incidentes de segurança virtual. Esse cenário se deve ao descuido dos colaboradores, sendo uma das maiores brechas na blindagem da segurança virtual corporativa. Embora os cibercriminosos possam usar técnicas de alta tecnologia para planejar um roubo, é provável que comece explorando o ponto de entrada mais frágil: o ser humano.

Ainda de acordo com o estudo, o principal desafio para a adoção de medidas de segurança da informação é a adesão dos funcionários (40%). 79% das empresas investem em programas de conscientização interna sobre segurança da informação, oferecendo ações como campanhas corporativas de conscientização (40%), palestras sobre segurança da informação para colaboradores (36%) e execução de phishing direcionado e controlado (12%).

Como conscientizar os colaboradores quanto aos ataques cibernéticos

Como seres humanos, estamos propensos a cometer erros, mas quando se trata de segurança, um pequeno descuido pode levar a uma grande violação de dados. E, muitas vezes, os cibercriminosos aproveitam essas brechas e usam os funcionários como ponto de entrada para invadir a infraestrutura corporativa. E-mails de phishing, senhas fracas e chamadas falsas do suporte técnico são alguns dos artifícios utilizados pelos hackers. 

Um estudo da Kaspersky comprovou que 46% dos ciberataques e incidentes de segurança cibernética foram resultado de descuidos ou falta de treinamento. Um dado ainda mais significativo: em 40% das empresas no mundo, os funcionários admitiram não reportar um incidente de segurança quando ele acontece.

Essa omissão, em muitos casos, ocorre pelo simples fato de que eles não entendem a gravidade de uma ameaça cibernética e como ela pode impactar gravemente a empresa e, provavelmente, o emprego deles. 

Para minimizar esses problemas, é preciso que as corporações orientem os funcionários, seja por meio de reuniões para discutir a importância de estar atento, seja para explicar as possíveis repercussões de uma violação. A criação de um e-mail genérico ou uma linha telefônica onde possam relatar facilmente as atividades suspeitas, apesar de uma atitude simples, pode ser bastante eficaz. Além disso, os prejuízos financeiros resultantes dos ciberataques também precisam ser expostos para que haja mais conhecimento dos malefícios que um ciberataque pode causar.

Quando a equipe esconde os incidentes nos quais se envolveram, as consequências podem ser drásticas. Porém os funcionários preferem colocar a organização em risco do que informar um problema porque temem ser punidos ou ficam constrangidos por serem responsáveis por algo errado. 

Essas atitudes, em muitos casos, se devem às regras rígidas impostas por alguns empreendimentos, que impõem uma responsabilidade excessiva sobre os trabalhadores, em vez de simplesmente incentivá-los a ficar atentos e cooperar. Isso significa que a proteção virtual não está apenas no âmbito da tecnologia, mas também faz parte da cultura e do treinamento da organização. E, nesse ponto, o envolvimento da diretoria e do RH é fundamental.

Treinamento interno é a solução mais eficaz contra ataques cibernéticos

Nos últimos 6 anos, 57% dos incidentes cibernéticos foram causados por falhas técnicas ou erros humanos. E, com o tempo, as ameaças estão evoluindo, ficando ainda mais sofisticadas. Tanto que, em 2021, os ataques aumentaram mais de 200%. Além disso, 90% das falhas em cibersegurança foram cometidas em home office. 

E o que muitos consideram falta de cuidado pode, na verdade, ser uma ausência de treinamento em relação aos ciberataques, sendo essencial a capacitação para que os colaboradores fiquem alertas durante o dia de trabalho. Portanto, se eles souberem o básico, também poderão capturar a ameaça mais recente.

Em alguns casos, os funcionários talvez até saibam o que precisa ser feito, mas não como fazê-lo adequadamente. As principais ameaças e ações são:

• Senhas: instrua-os a utilizarem senhas que incorporem a mistura de letras, números e caracteres especiais, assim como adotarem a autenticação bifatorial, para que tenham uma camada extra de proteção não apenas nos computadores de trabalho, mas também nos dispositivos pessoais, especialmente se forem usados no ambiente de corporativo.

• Informe sobre os ataques de engenharia social: essa modalidade representa 98% de todas as penetrações de segurança cibernética. Os funcionários precisam ser avisados sobre essas ameaças comuns, ou então podem ser facilmente enganados e cair nelas. 

• Não utilize unidades USB desconhecidas: se encontrar um USB por perto, não use-a, mesmo se isso ocorrer dentro do escritório. Em vez disso, deve-se levar a unidade de USB ao RH. 

• Phishing: ocorre quando os hackers enviam e-mails fraudulentos que parecem ser de uma autoridade, como a Receita Federal ou mesmo de alguém do RH ou do CEO. Os funcionários de escritório recebem centenas de e-mails todos os dias, então pode ser fácil para alguém com pressa clicar acidentalmente em um link ou anexo malicioso na mensagem. Esse simples clique abre caminho para hackers roubarem dados corporativos.

Por mais que a educação e conscientização dos colaboradores contribuam, e muito, para a proteção, é importante lembrar que, sozinhas, não são suficientes para impedir ciberameaças. As empresas precisam de um programa de segurança cibernética abrangente, que permita identificar, prevenir, detectar, responder e se recuperar. 

E, para garantir a proteção e evitar riscos advindos de erros humanos, o Kaspersky ASAP é a solução ideal para elevar a segurança da informação na sua empresa. Trata-se de uma plataforma de conscientização de segurança automatizada, que permite criar um programa em conformidade com a Lei Geral de Proteção de Dados (LGPD), além de educar e transformar a cultura dos colaboradores.

Esse serviço da Kaspersky é focado em oferecer aos gestores o melhor meio de treinar e conscientizar os colaboradores de empresas públicas e privadas sobre as políticas de segurança para uso das redes corporativas, evitando os riscos de ameaças e ataques cibernéticos.  

A plataforma permite definir grupos de treinamento por área de atuação, nível de acesso aos dados da empresa e tipo de conhecimento desejado, de forma a definir os conteúdos gerados automaticamente pela ferramenta.Também apresenta simulações de ataques reais, testando o comportamento do colaborador diante de atividades suspeitas, como o phishing, e gerando alertas e lições a partir dos gatilhos. 

Ao gestor, são gerados relatórios de desempenho, temas e pontos que devem ser mais bem trabalhados com cada colaborador ou time. Com a ferramenta o aprendizado torna-se leve, sendo possível dedicar-se a cada módulo do KASAP por 20 minutos por semana.

E, para conhecer melhor a plataforma, a Microhard está disponibilizando um teste grátis da plataforma por 30 dias. Converse com um de nossos especialistas e esclareça as dúvidas sobre o processo de implementação e uso da KASAP.

A Microhard está há mais de 29 anos auxiliando empresas públicas e privadas, de todos os portes e abrangência nacional na prevenção  de ciberataques, como phishing e outras modalidades que afetam as operações. Além disso, dispomos de softwares de segurança da informação e serviços de assessoria, consultoria, treinamento, instalação e suporte, além das soluções para proteger o seu negócio de qualquer ameaça cibernética.