5 falhas abrem brechas para ciberataques em empresas

Com um computador extremamente potente nas mãos, a maior parte das nossas atividades é realizada por meio do smartphone, desde compras, até parte da interação com nossos amigos e familiares. Porém, com tantas ações sendo feitas por meio da internet, a segurança digital se tornou algo primordial nas nossas vidas.

• Vulnerabilidades conhecidas ainda representam maior perigo para as empresas
• Vírus Emotet ganha novas capacidades e amplia em 10 vezes a taxa de disseminação

Em 2021, o Brasil foi o quinto país com maior número de ataques cibernéticos, segundo dados da consultoria de segurança digital Roland Berger. Um relatório da empresa apontou que apenas nos primeiros três meses do ano passado houve 9 milhões de ocorrências do tipo, número maior do que o ano de 2020 inteiro.

“A tecnologia avança a cada dia, e a segurança precisa acompanhar esse ritmo frenético. É de suma importância ter essa consciência quando se tem um ambiente de negócios digitais. Um grande passo já foi dado no país, com a LGPD [Lei Geral de Proteção de Dados]”, pontua o CEO da empresa de cibersegurança Diazero Security, Oscar Peso.

Para se prevenir das ameaças digitais, é importante conhecê-las, em primeiro lugar, por isso, listamos cinco vulnerabilidades que podem colocar as empresas em risco quando falamos sobre ataques cibernéticos e as melhores maneiras de lidar com elas.

Vulnerabilidades que podem ser exploradas por cibercriminosos em empresas

1. Risco de regra de negócio: essas vulnerabilidades estão ligadas com problemas que, em geral, permitem que invasores alterem a lógica de um aplicativo. Esses erros, conhecidos como falhas de regras de negócios, podem ser devastadores para um aplicativo e difíceis de encontrar automaticamente, por envolverem uso legítimo da funcionalidade.
   
   De acordo com Peso, uma forma de mitigar os riscos desse tipo de vulnerabilidade é avaliar vetores de entrada, correlacionando com as regras de negócio. Desta forma, é mais simples a identificação e o tratamento deste tipo de erro.
   
   
2. Ataque de força bruta: este tipo de ataque tem o objetivo de identificar a senha usada por um ou mais usuários de uma determinada aplicação. É realizado com auxílio da configuração de uma lista predefinida de senhas e de solicitações a um servidor usando os valores daquela lista. Por fim, é realizada uma análise do retorno da aplicação.
   
   Para evitar esse tipo de ataque, o recomendado é sempre criar senhas fortes, com pelo menos oito dígitos, sendo eles uma letra maiúscula, 1 minúscula e 1 caractere especial. É importante usar letras e números e evitar formar palavras contidas em dicionários online. Além disso, é importante mudar periodicamente de senha.
   
   
3. Enumeração de contas: algumas aplicações da web revelam a existência de um ou mais usuários no sistema, seja por erros de configuração, seja por decisões de UX (experiência do usuário, na sigla em inglês). Essas falhas costumam ser exploradas por meio do envio de credenciais de funcionalidades de uma aplicação.
   
   Essa falha resulta em uma mensagem de retorno, como que a senha fornecida pelo usuário está incorreta. Essas informações podem ser usadas por um invasor para obter uma lista de usuários do sistema, o que pode ser usado em ataques de força bruta, por exemplo.
   
   Uma medida que pode evitar esse tipo de ataque é sempre se certificar que o aplicativo emite mensagens de erro genéricas em relação a um nome de conta inválido, senhas ou outras credenciais de usuário inseridas durante o login. Com isso, um usuário não terá insumos para saber se um usuário existe ou não no sistema, por exemplo.
   
   
4. Falha de controle de autorização: Os controles de autorização são aplicações que concedem acesso aos conteúdos e funcionalidades a alguns usuários, enquanto negam a outros. Esse processo é realizado após a autenticação e controla o que cada usuário tem permissão para fazer dentro do sistema.
   
   Essa ferramenta pode ser muito importante para um sistema, já que ao visualizar conteúdo sensível pode permitir que um invasor possa acessar ferramentas até para assumir a administração do site.
   
   "Recomendamos fortemente o uso de uma matriz de controle de acesso para definir as regras de controle de acesso. Sem documentar a política de segurança, não há definição do que significa ser seguro para aquele site”, diz Oscar Peso sobre a prevenção contra este tipo de vulnerabilidade.
   
   
5. Requisitos fracos para senhas: a credencial é o controle inicial em relação a uma aplicação na web, porém, uma senha fraca facilita e muito outros tipos de ataque. Credenciais ruins podem diminuir substantivamente o tempo levado para o sucesso de um ataque de força bruta, por exemplo.
   
   Hoje, a senha mais comum ainda é 123456, portanto, para mitigar riscos de que usuários criem senhas fáceis de adivinhar, é necessário introduzir políticas de senhas fortes, em que credenciais simples não são aceitas. Outro método importante é introduzir a autenticação de dois fatores.