A Tendência de Ransomware por Logins Comprometidos Sinaliza uma Mudança nas Táticas dos Atacantes

Durante anos, o conselho habitual para evitar ransomware centrava-se numa coisa: corrija o software antes que os atacantes explorem a vulnerabilidade primeiro. Esse conselho ainda é importante, mas já não é toda a história. De acordo com uma nova investigação da Sophos, o phishing, os ataques de força bruta e outras ameaças baseadas na identidade ultrapassaram agora as vulnerabilidades de software como a principal forma de os grupos de ransomware obterem o seu ponto de apoio inicial numa rede.

Esta é uma mudança significativa. Significa que mesmo as organizações com um forte programa de correção de vulnerabilidades podem continuar vulneráveis se a palavra-passe de um funcionário for roubada, adivinhada ou reutilizada de uma violação de dados antiga. Para os utilizadores comuns da Internet, a conclusão é semelhante: as suas credenciais, e não apenas o software, estão agora na mira dos atacantes.

Porque É que os Ataques Baseados na Identidade Estão a Vencer

As vulnerabilidades de software exigem que os atacantes encontrem uma falha não corrigida, desenvolvam ou comprem um exploit e esperem que o alvo ainda não tenha atualizado. Isso leva tempo e exige conhecimentos técnicos. Os logins comprometidos, por outro lado, encontram-se muitas vezes em bases de dados divulgadas de violações não relacionadas, à espera de serem testados noutros serviços através de credential stuffing. Os e-mails de phishing continuam a ser baratos de enviar e apenas precisam de enganar uma pessoa. As ferramentas de força bruta podem adivinhar silenciosamente palavras-passe fracas ou reutilizadas 24 horas por dia.

O aviso da Sophos reflete uma tendência mais ampla no setor da segurança: os atacantes seguem o caminho de menor resistência e, neste momento, esse caminho passa pelas credenciais humanas em vez do código do servidor. Isto é especialmente importante para setores que já estão sob pressão. As instituições financeiras, por exemplo, têm visto os operadores de ransomware a visar cada vez mais os ecossistemas de fornecedores e as falhas de software de terceiros, e as intrusões baseadas na identidade acrescentam outra camada de risco a essa exposição. Uma vez que um atacante tem credenciais de login válidas, pode muitas vezes mover-se pela rede com o aspeto de um utilizador legítimo, o que torna a deteção muito mais difícil do que identificar uma tentativa óbvia de exploração.

A Palavra-passe Continua a Ser o Elo Mais Fraco

A verdade desconfortável é que muitos incidentes de ransomware não começam com um ataque informático sofisticado. Começam com uma palavra-passe que foi reutilizada em várias contas, um e-mail de phishing que parecia suficientemente convincente ou um login que não tinha um segundo fator de autenticação a protegê-lo. Os atacantes não precisam de quebrar a encriptação ou escrever malware personalizado se puderem simplesmente iniciar sessão.

É por isso que a higiene da identidade se tornou tão importante como as atualizações de software. Uma única palavra-passe comprometida, especialmente se for reutilizada em contas profissionais e pessoais, pode dar a um atacante um ponto de entrada com aparência legítima que contorna muitas ferramentas de segurança tradicionais concebidas para detetar malware ou tentativas de exploração.

O Que Isto Significa Para Si

Se é um utilizador individual, esta mudança nos pontos de entrada do ransomware é um lembrete de que os seus hábitos de segurança pessoal têm repercussões mais amplas. Palavras-passe fracas ou reutilizadas, especialmente as associadas a e-mails de trabalho ou contas na cloud, podem tornar-se a porta de entrada que um atacante precisa, quer o alvo seja você pessoalmente ou uma organização à qual está ligado.

A boa notícia é que as defesas contra ataques baseados na identidade são bem conhecidas e acessíveis a qualquer pessoa:

  • Utilize um gestor de palavras-passe para gerar e armazenar palavras-passe únicas e complexas para cada conta, eliminando o risco de reutilização de credenciais.
  • Ative a autenticação multifator (MFA) sempre que for oferecida. Mesmo que uma palavra-passe seja roubada, a MFA pode impedir que um atacante inicie sessão.
  • Verifique a exposição a violações utilizando serviços respeitáveis de monitorização de violações, para saber quando uma palavra-passe precisa de ser alterada imediatamente.
  • Desconfie de pedidos de início de sessão ou e-mails inesperados que lhe peçam para verificar as credenciais, uma caraterística típica das tentativas de phishing concebidas para recolher logins.
  • Considere a utilização de uma VPN em redes públicas ou não confiáveis, o que reduz o risco de o tráfego de início de sessão ser intercetado, especialmente em Wi-Fi não seguro, onde o roubo de credenciais é mais fácil.

Manter-se à Frente da Ameaça

Os grupos de ransomware adaptam-se rapidamente, e a mudança para ataques baseados na identidade mostra que estão a visar a fraqueza disponível mais fácil e não a mais impressionante do ponto de vista técnico. Essa fraqueza, em muitos casos, é uma palavra-passe que não é alterada há anos ou uma conta sem MFA ativada.

A mudança que a Sophos descreve não significa que a correção de software tenha deixado de ser importante. Continua a ser. Mas confirma que a segurança das credenciais merece igual atenção. Reforçar as palavras-passe, ativar a MFA e manter-se alerta contra tentativas de phishing já não são extras opcionais; são defesas essenciais contra a forma mais comum de o ransomware entrar atualmente.

Tomar estas medidas agora, antes que uma notificação de violação chegue à sua caixa de correio, é a forma mais eficaz de se manter à frente dos atacantes que apostam cada vez mais em logins roubados em vez de falhas de software.