Por que o setor financeiro é alvo de ataques cibernéticos?
De acordo com o Banco de Compensações Internacionais, o setor financeiro é o mais visado pelos hackers, depois do setor de saúde. As empresas financeiras lidam e gerenciam grandes quantidades de dados financeiros, tornando-as os principais alvos dos cibercriminosos. De acordo com o Conselho de Estabilidade Financeira, um incidente cibernético grave pode desestabilizar os sistemas financeiros, impactando a infraestrutura crítica e a economia.
Os crimes cibernéticos no setor financeiro relacionados ao roubo de dinheiro e à modificação, corrupção ou restrição de dados financeiros, incluindo algoritmos financeiros, podem causar uma perda catastrófica de confiança e graves perturbações econômicas. Além disso, o comprometimento de informações financeiras confidenciais pode ser um problema significativo para indivíduos e empresas, expondo-os à engenharia social e a outros ataques cibernéticos,
Este post analisa as motivações para atacar o setor financeiro, quem pode realizar esses ataques cibernéticos e as melhores práticas que as empresas financeiras podem implementar para mitigar e remediar ameaças cibernéticas.
Descubra como o UpGuard ajuda as empresas financeiras a gerenciar suas superfícies de ataque e prevenir ataques cibernéticos >
Por que os cibercriminosos têm como alvo o setor financeiro?
O ganho monetário é uma das maiores razões pelas quais o setor financeiro é frequentemente visado, assim como a maioria dos ataques cibernéticos em todos os setores. Como os dados financeiros são o núcleo do setor financeiro, qualquer ataque ao sistema pode prejudicar qualquer negócio e fazer com que os clientes percam a confiança na empresa. Os invasores de ransomware também procuram empresas com maior probabilidade de pagar resgates para recuperar seus dados e procuram empresas que tenham os dados mais valiosos que podem vender na dark web ou no mercado negro.
Dinheiro
O dinheiro é a motivação número um para a maioria dos hackers. O setor financeiro, que inclui seguradoras, bancos e consultores financeiros, é um grande alvo para aqueles motivados principalmente por ganhar dinheiro.
Hackear organizações financeiras pode permitir que agentes de ameaças mal-intencionadas acessem contas ou informações pessoais que podem ajudar um criminoso a obter acesso não autorizado e fazer transações financeiras ou induzir outras pessoas a revelar mais informações e enviar dinheiro.
Informações confidenciais e pessoais
O setor financeiro inclui bancos, seguradoras, credores hipotecários, organizações de investimento e outras instituições financeiras que usam dados para fornecer melhores produtos e serviços aos clientes. Esses dados, no entanto, são frequentemente dados confidenciais ou pessoais, como informações de identificação pessoal (PII), atraindo a atenção de cibercriminosos.
As seguradoras, por exemplo, normalmente coletam e processam grandes quantidades de dados pessoais para entender as necessidades de seus clientes e fornecer produtos personalizados de acordo com seus estilos de vida, dados demográficos, riscos e outros fatores.
Esse tipo de dado pode ser valioso para os cibercriminosos, que podem usá-los para criar tentativas de phishing mais precisas, ameaçar destruir ou compartilhar os dados como parte de um ataque de ransomware ou vender os dados na dark web.
Disrupção de negócios
Um ataque à cadeia de suprimentos no setor de serviços financeiros pode causar grandes interrupções, pois constitui uma parte fundamental da infraestrutura crítica do país. Outros ataques, como um ataque distribuído de negação de serviço (DDoS) em uma grande organização do setor bancário, podem causar interrupções graves, afetando logística, manufatura, varejo e outros serviços diários.
Negar o acesso aos métodos de pagamento não apenas corrói a confiança do público, o que pode causar danos à reputação, mas também afeta organizações privadas e governamentais, tornando-as incapazes de operar normalmente.
Transformação Digital
A pandemia de COVID-19 acelerou significativamente a transformação digital. Durante esse período de confinamento social voluntário e obrigatório, a demanda por serviços financeiros online aumentou massivamente. Essa necessidade foi atendida por organizações que adotaram novos processos, fluxos de trabalho e tecnologias.
Novas tecnologias, como blockchain e disruptores que modernizaram sistemas de pagamento como Wise e Revolut, levaram a rápidas mudanças no setor. A mudança rápida frequentemente coincide com o aumento dos problemas de segurança cibernética à medida que as empresas avançam com soluções tecnológicas e não consideram as implicações de segurança de TI até muito mais tarde.
Com mais pessoas acessando suas informações financeiras online, hackers e outros cibercriminosos tiveram mais pessoas e empresas para atacar.
FinTech, criptomoedas e ransomware
De acordo com o FBI, as gangues de ransomware podem ter violado mais de 870 organizações de infraestrutura crítica em 2022. Organizações de todos os setores apresentaram mais de 2300 reclamações ao IC3, totalizando cerca de US$35 milhões em perdas ajustadas.
Além disso, as empresas de serviços financeiros estão entre os setores de infraestrutura mais visados pelo ransomware, atrás apenas de alguns líderes desse grupo - empresas de tecnologia, governo, manufatura crítica e saúde.
O FBI incentiva as vítimas de ransomware a não pagar o resgate porque isso motiva os malfeitores a continuar suas atividades e atrai novos cibercriminosos. Além disso, não há garantia de que as vítimas receberão seus dados de volta. E não há nada que diga que os hackers não manterão um backdoor em sistemas comprometidos.
Quem está visando o setor financeiro?
Os cibercriminosos geralmente são motivados por ganhos financeiros, vendo o setor financeiro como uma oportunidade de separar os clientes e proprietários de uma empresa financeira de seu dinheiro. Eles podem se concentrar em ataques, como phishing ou ransomware, para obter credenciais de acesso e usá-las para fazer transações não autorizadas.
Hacktivistas
Hacktivistas são hackers politicamente motivados. Eles podem ter como alvo o setor financeiro por razões ideológicas e ter como objetivo causar interrupções. Suas atividades podem envolver roubo, mas o objetivo subjacente é mais provável que seja a interrupção que o roubo causa.
Os ataques DDoS, por exemplo, são eficazes para causar interrupções nos negócios, especialmente quando programados para coincidir com um período particularmente movimentado, como a Black Friday.
Se os clientes bancários não puderem acessar seu dinheiro sob demanda, isso pode levar a uma perda significativa de confiança na organização financeira, marcando uma vitória para os hacktivistas que desejam minar certas instituições ou ideologias.
Um hacktivista também pode utilizar ataques cibernéticos para efetuar violações de dados para vazar informações confidenciais, prejudicar a reputação de uma organização e potencialmente revelar informações que a desacreditam aos olhos do público e de seus pares.
Ameaças internas
No caso de ameaça interna, o agente da ameaça tem conhecimento privilegiado de como a empresa opera e pode já ter as credenciais necessárias para acessar dados confidenciais. Isso torna mais fácil para eles roubar, vazar e modificar dados confidenciais ou de missão crítica.
A ameaça interna é particularmente significativa no setor financeiro. Todos os funcionários devem trabalhar de forma ética para garantir a segurança dos dados ao trabalhar com grandes somas de dinheiro e informações pessoais. Além disso, controles de segurança devem estar em vigor para monitorar e limitar o acesso aos dados mais valiosos.
Estados-nação e terrorismo
>Os ataques de estados-nação são tipicamente geopolíticos e ideológicos. Devido às suas motivações e recursos disponíveis, esses ataques podem ser sofisticados, persistentes e severamente prejudiciais, não apenas para as empresas individuais envolvidas, mas para o setor como um todo ou para a economia.
Grupos de hackers patrocinados por estados-nação podem ter como objetivo acessar redes financeiras e roubar ou corromper dados para obter ganhos financeiros, mas também para causar interrupções, danificar registros irrevogavelmente e espionagem.
O ciberterrorismo pode envolver o direcionamento de sistemas de pagamento para causar interrupções econômicas generalizadas. Por exemplo, esses ataques podem ser particularmente prejudiciais quando cronometrados durante uma temporada de férias movimentada ou em conjunto com a guerra física.
A Coreia do Norte tem sido associada ao roubo de bilhões de dólares nos últimos anos, grande parte disso em ativos virtuais e criptomoedas.
Melhores práticas de segurança cibernética para organizações de serviços financeiros
Embora todas as organizações difiram em estrutura, tamanho, clientela, apetite ao risco e outros fatores, os provedores de serviços financeiros tendem a ter problemas semelhantes de segurança cibernética devido às semelhanças de seu setor e daqueles que os visam.
Existem uma ou mais soluções para correção e mitigação de vulnerabilidades para todos os riscos cibernéticos. As organizações do setor de serviços financeiros podem proteger seus dados e os de seus clientes com as seguintes práticas recomendadas de segurança cibernética.
Engajamento de alto nível
As empresas com engajamento em segurança cibernética nos níveis de diretoria e C-suite provavelmente demonstrarão melhor desempenho de segurança cibernética. É provável que gastem menos na recuperação de violações de dados do que as empresas que não têm envolvimento de alto nível com questões de segurança cibernética.
Quando os acionistas entendem que são partes interessadas em segurança cibernética, é mais provável que as estruturas, processos e atitudes da empresa reflitam esses elementos essenciais.
Avaliação do risco
Compreender o cenário de ameaças cibernéticas e a postura de segurança de uma empresa é essencial para prepará-la para incidentes de segurança cibernética cada vez mais prováveis. O setor financeiro tem um equilíbrio único de riscos e ameaças. Portanto, vários fatores podem variar para a preparação e resposta de cada negócio.
Uma abordagem baseada em risco para a segurança cibernética garante que a empresa aprecie seus riscos inerentes e implemente as medidas de segurança necessárias para proteger informações confidenciais e pessoais.
Limitação de dados
Uma empresa pode reduzir sua superfície de ataque solicitando menos informações dos clientes, pois haveria menos informações pessoais para os hackers roubarem.
Esta não é uma solução para ser usada isoladamente, especialmente considerando a necessidade de informações profundas que permitem que empresas como empresas de investimento e seguradoras desenvolvam produtos personalizados para seus clientes.
No entanto, a limitação de dados é uma consideração importante que pode tornar a proteção de dados no setor financeiro mais gerenciável. Além de minimizar a quantidade de dados coletados, as empresas podem reduzir o tempo de armazenamento. A exclusão segura de dados no momento em que não são mais necessários minimiza a superfície de ataque e ajuda a proteger empresas e clientes contra ataques cibernéticos.
Treinamento em segurança cibernética
Apesar da vasta gama de soluções tecnológicas para a segurança cibernética, o erro humano continuará sendo um fator de perda e violação de dados. Os ataques de phishing são cada vez mais persistentes e persuasivos graças à cooperação dos cibercriminosos e ao uso cada vez mais sofisticado de dados roubados.
A força de trabalho de uma empresa corre o risco de baixar acidentalmente malware, o que pode comprometer os dados e dar aos hackers acesso às redes.
Este é um risco particular com forças de trabalho remotas, pois esses sistemas apresentam riscos, incluindo:
- Redes compartilhadas não seguras ou não verificadas
- Usar dispositivos pessoais desconhecidos e não verificados que possam conter malware, aplicativos legados ou outras vulnerabilidades
- O uso de tecnologias colaborativas, introduzindo riscos dos sistemas e práticas de fornecedores terceirizados
Com o treinamento em segurança cibernética, a equipe pode aprender a importância da proteção de dados, entender a natureza e a extensão dos riscos cibernéticos e desenvolver conhecimentos e práticas para mitigar esses riscos diariamente.
Desenvolvendo uma cultura de segurança cibernética
O desenvolvimento de uma cultura de cibersegurança vai além da formação em cibersegurança. Envolve a adesão do conselho e se espalha por toda a organização com a ajuda de coisas como incentivos de conscientização sobre segurança cibernética, penalidades internas por não conformidade e iniciativas positivas.
O desenvolvimento da cultura pode ser auxiliado por seminários e simulações de dramatização em que a equipe pode experimentar e, assim, se preparar para ataques, como tentativas de phishing, ataques distribuídos de negação de serviço (DDoS) ou ataques de ransomware.
Em uma empresa com uma cultura madura de segurança cibernética, a segurança cibernética é priorizada em reuniões regulares. A equipe então entende que todos são partes interessadas na segurança cibernética. Por sua vez, as pessoas são mais propensas a detectar atividades incomuns e - crucialmente - agir sobre elas, incluindo relatá-las prontamente às pessoas certas por meio dos canais apropriados.
Embora o desenvolvimento de uma cultura de segurança cibernética leve mais tempo do que o treinamento de segurança cibernética durante a integração ou instalação de um firewall de aplicativo da web, é uma excelente maneira de garantir a conscientização e o envolvimento contínuos com a segurança cibernética que ajudarão uma empresa a responder a ameaças emergentes.
Cibercriminosos e hackers buscam continuamente novas vulnerabilidades e encontram maneiras de lançar ataques cibernéticos mais eficazes. Uma empresa com uma cultura de cibersegurança madura é mais capaz de se adaptar a novos desafios, além de ser capaz de responder a vulnerabilidades conhecidas.
Colaboração
Como o setor de serviços financeiros é tão visado por hackers e cibercriminosos, vale a pena que essas empresas se protejam compartilhando seus conhecimentos.
A lista de vulnerabilidades e exposições comuns (CVE) pode ajudar as empresas de serviços financeiros a garantir que tenham os patches mais recentes e estejam cientes das ameaças emergentes relatadas por outras empresas. Além disso, as empresas de serviços financeiros podem se beneficiar dos relatórios de incidentes cibernéticos de seus pares. Isso pode fornecer uma visão comercial sobre novos ataques contra empresas como a deles.
Para isso, as empresas são incentivadas a denunciar ataques cibernéticos, mesmo que as tentativas não tenham sido bem-sucedidas, causando danos ou interrupções mínimas. Muitas empresas resistem ao compartilhamento de informações sobre incidentes cibernéticos, a menos que seja um requisito legal. Eles podem fazer isso para proteger sua reputação e valor de marca. Compartilhar e colaborar, no entanto, pode ajudar essas empresas a proteger seus dados e o ecossistema de negócios mais amplo.
A inteligência de ameaças cibernéticas também pode ajudar uma empresa a evitar uma violação de dados, corrigindo vulnerabilidades antes de um possível ataque, respondendo melhor a ameaças contínuas e ajudando a proteger toda a superfície de ataque estendida, o que inclui o gerenciamento de riscos de terceiros e quartos.
Todas as empresas em todos os setores devem perceber que não operam individualmente e que a segurança cibernética tem objetivos comuns. As empresas dependem e trabalham com outras, portanto, um ataque à cadeia de suprimentos afeta várias organizações.
Segmentação de rede
Com a segmentação de rede, um hacker que obtém acesso a uma rede só pode se mover muito antes de ser interrompido. As empresas podem proteger seus dados IP ou confidenciais mais valiosos dividindo uma rede maior em várias sub-redes, limitando o movimento lateral entre as redes.
Armazenar dados sensíveis e confidenciais em uma rede isolada dificulta a vida dos hackers. Mesmo que eles obtenham acesso a uma rede compartilhada por meio de conexões Wi-Fi não seguras, um endpoint infectado como um sistema POS ou uma configuração incorreta, ter dados pessoais em uma rede separada ajuda a protegê-los de agentes de ameaças mal-intencionados.
Gerenciamento de acesso privilegiado (PAM)
Os dados do cliente são mais seguros com empresas que implementam o PAM porque restringe o número de pessoas que acessam dados confidenciais. Nem todos os membros da equipe precisam de acesso às informações do cartão de crédito.
O PAM garante que apenas as pessoas que precisam de acesso a dados confidenciais o tenham. Além disso, as empresas podem usar o monitoramento para rastrear o acesso e o uso de dados confidenciais. Isso pode ajudar a destacar padrões incomuns e pode ser usado por equipes forenses para identificar a origem de uma violação.
Autenticação multifator (MFA)
A MFA exige que os usuários comprovem suas identidades de pelo menos duas maneiras. Isso significa que um cibercriminoso com uma senha roubada não pode acessar a conta ou rede associada sem pelo menos mais uma prova de identidade.
De acordo com a Microsoft, medidas básicas como MFA podem ser eficazes contra 98% dos ataques. Embora a MFA não seja infalível, ela torna o acesso não autorizado muito mais difícil, por isso é uma medida de segurança fundamental para empresas de serviços financeiros.
Arquitetura Zero-Trust (ZTA)
A implementação da arquitetura de confiança zero é uma excelente maneira de proteger a infraestrutura de TI contra hackers, cibercriminosos e perda acidental de dados. Em vez de estabelecer o ID uma vez e permitir que o usuário se mova livremente pela rede, a arquitetura de confiança zero requer autenticação para cada transação, tornando-a muito mais segura do que outros sistemas.
Criptografia de dados
Os dados nem sempre são roubados usando métodos tecnológicos sofisticados. Às vezes, discos rígidos e laptops são roubados fisicamente de carros e quartos de hotel destrancados durante as férias. A criptografia pode proteger os dados em trânsito e em repouso.
Além das medidas de segurança física, como trancar as portas e usar CFTV, garantir que os arquivos confidenciais sejam criptografados é uma medida de segurança de TI que torna muito mais difícil para os cibercriminosos usar as informações confidenciais de uma empresa financeira para seus fins.
Backups de dados
Para aqueles momentos em que as medidas preventivas não impedem com sucesso um ataque cibernético, os backups de dados podem ser inestimáveis.
Os backups de dados permitem que uma empresa volte a funcionar rapidamente se seus dados de missão crítica ou confidenciais forem criptografados por hackers que procuram extorquir dinheiro dos proprietários de empresas. Com procedimentos de backup adequados, as empresas podem mitigar o risco de extorsão.
Eles ainda devem tomar medidas de segurança apropriadas para proteger os dados, mas um sistema de backup robusto permite que as empresas voltem aos negócios rapidamente, configurando operações em uma nova localização geográfica, se necessário.
A manutenção de um sistema de backup requer cuidado e políticas de segurança da informação documentadas. Deve ser determinada com que frequência fazer backup de dados críticos. Quantos dados de clientes ou outras informações confidenciais uma empresa financeira pode perder? Para alguns, pode ser 24 horas de dados. Outros podem exigir backups contínuos.
Também é vital testar esses backups. Isso significa executar uma simulação periodicamente para ver se o sistema de backup funciona conforme planejado no caso de um ataque de ransomware. Após a auditoria do sistema de backup, é hora de fazer as melhorias sugeridas no sistema.
Planos de resposta a incidentes cibernéticos
Em média, as empresas com um plano de resposta a incidentes documentado gastam menos em correção após uma violação de dados. Um plano de resposta a incidentes cibernéticos informa a qualquer pessoa na organização o que fazer se houver um ataque cibernético ou incidente cibernético. Ele descreverá a equipe de resposta a incidentes e detalhará suas funções e responsabilidades durante um incidente cibernético. O plano deve então ter etapas claras a serem seguidas para vários incidentes, priorizados por probabilidade e impacto potencial de acordo com um processo de gerenciamento de risco.