Embora 2023 tenha sido um ano difícil para as equipes de segurança cibernética, 2024 provavelmente será pior. Apenas nos primeiros dois meses de 2024, a empresa de inteligência de ameaças Flashpoint registrou aumentos dramáticos em todos os principais indicadores de ameaças.
Pelos números da Flashpoint, houve 6.077 violações de dados registradas em 2023, com os invasores acessando mais de 17 bilhões de registros pessoais (um aumento de 34,5% em relação aos números de 2022). Nos primeiros dois meses de 2024, aumentou 429% em relação aos primeiros dois meses de 2023.
Os EUA sofreram mais de 60% de todas as violações em 2023 (3.804). Este foi um aumento de 19,8% em relação aos números de 2022. Os primeiros dois meses de 2024 registaram um novo aumento de 30% em relação ao mesmo período de 2023.
Os ataques de ransomware aumentaram 84% em 2023 em relação a 2022. Os primeiros dois meses de 2024 registaram um aumento adicional de 23% em relação aos primeiros dois meses de 2023.
Apesar do grande número envolvido, um ataque e um invasor se destacaram durante 2023: os ataques MOVEit (aproveitando o CVE 2023-34362) e o grupo de ransomware LockBit. Os ataques MOVEit representam 19,3% de todos os ataques relatados em 2.023. LockBit fez 1.049 vítimas, cerca de 20% de todos os ataques de ransomware conhecidos em 2023.
As operações da LockBit foram interrompidas em 20 de fevereiro de 2024, quando as autoridades internacionais apreenderam servidores e prenderam alguns indivíduos (Operação Cronus). LockBit rapidamente criou um novo blog Dark Web e afirmou que as operações continuariam normalmente. A Flashpoint não tem tanta certeza. O seu relatório (PDF) diz: “As indicações sugerem que a Operação Cronos teve um impacto mais significativo nas suas operações do que eles estão dispostos a admitir”. O tempo dirá se, de que forma e em que medida o LockBit pode ou não ressurgir durante 2024.
Esses números detalhados levantam uma questão importante: como a Flashpoint reúne sua inteligência? Incógnitas desconhecidas atormentam todas as estatísticas. A empresa reconhece esta realidade e sublinha que os seus números provêm de números registados publicamente. A realidade – se for diferente – só poderia ser pior, não melhor.
O vice-presidente de operações de inteligência da Flashpoint, Ian Gray, explicou a metodologia de coleta de dados da empresa. Equipes de analistas monitoram os sites de vazamento da Dark Web, blogs de ransomware, divulgações públicas e vulnerabilidades conhecidas do NVD (complementadas, acrescentou Gray, “com vulnerabilidades que coletamos por meio de outras fontes de dados, como mídias sociais”).
O relatório observa separadamente: “Um grande ponto cego ocorre quando as empresas dependem estritamente do banco de dados Common Vulnerabilities and Exposure (CVE), que não contém mais de 100.000 vulnerabilidades – quase um terço do risco de vulnerabilidade conhecido”. O esforço e os detalhes usados na coleta de ameaças conhecidas levam Gray a comentar: “Tudo isso nos dá um pouco de verdade” na coleta de inteligência e análise de ameaças da empresa.
Reforçando a afirmação da ‘verdade básica’ da Flashpoint e iluminando o ponto cego do CVE, está a afirmação do relatório: “Em fevereiro de 2024, os analistas da Flashpoint catalogaram 330 vulnerabilidades que foram descobertas sendo exploradas em estado selvagem, que ainda não têm um ID do CVE.” Essas vulnerabilidades se aplicam a empresas como Adobe, Apple, Google, Microsoft, Siemens e SolarWinds.
A combinação de registros CVE incompletos e a variabilidade das classificações de gravidade dependendo da versão do CVSS usada aumenta o problema que todas as empresas enfrentam: triagem de vulnerabilidades para aplicação de patches ou outras correções. A Flashpoint recomenda o uso de uma análise de diagrama de Venn para vulnerabilidades conhecidas de alta gravidade usando ‘explorável remotamente’, ‘exploração pública’ e ‘solução disponível’ como vetores.
Este processo isolaria cerca de 4.600 vulnerabilidades para priorizar de um total de 12.285 vulnerabilidades.
A ponto de venda exclusivo da Flashpoint é que nenhuma de suas informações é baseada em suposições. A empresa apenas recolhe dados que estão disponíveis publicamente – mas fá-lo de forma mais completa e inteligente do que as empresas individuais poderiam fazer por si próprias. “Isso faz parte da nossa proposta de valor. Tudo o que fornecemos está disponível e é de código aberto”, disse Gray. “Mas há muito disso, mesmo que você tenha tempo para encontrá-lo. Nossos métodos encontram isso e nossos analistas fornecem a curadoria e a verificação.”