Quando falamos de vazamento de dados e seu custo, as pessoas normalmente falam sobre os aspectos monetários. Mas, na maioria das vezes, o preço do vazamento de dados é muito maior do que uma multa ou perda direta de receita.
Quando seu site é vazado, as suas informações sensíveis (e as informações sobre seus clientes) são comprometidas. Ter essa informação a mostra para todos, comprarem e usarem pode causar um impacto devastador na sua organização.
Por exemplo, em julho de 2015, o site da Ashley Madison teve dados vazados e no mesmo ano em agosto, mais de 60GB de dados dos usuários foram vazados incluindo dados pessoais.
Um site sendo hackeado e os usuários tendo seus dados roubados não é algo novo e em diversos casos resultará em multa para os donos do site. O caso da Ashley Madison foi um pouco diferente pois era um serviço de encontros online e rede de serviços sociais voltadas a pessoas que são casadas ou estão em relacionamentos com o lema de “A vida é curta, tenha um amante”.
Então, se um site como esse é hackeado e os dados pessoais de usuários, incluindo nomes, endereços e números de telefone são expostos, você pode assumir que a multa não será baixa.
Nesse caso, a matriz da Ashley Madison teve de pagar 11,2 milhões de dólares.
Quando falamos de um site sendo hackeado, precisamos pensar nas consequências. Um vazamento de dados pode custar mais a empresa do que apenas dinheiro.
Primeiramente, vamos ver como os site estão expostos a vazamentos de dados.
Relacionado: Ransomware no STJ: Como as soluções da AIQON evitariam o ataque
DDoS
O objetivo do DDoS é interromper a organização alvo sobrecarregando suas aplicações web ou APIs com requisições de entrada, tornando-as indisponíveis para utilização normal. Se a vítima não pode filtrar o tráfego de ataque, a interrupção pode durar por quanto tempo o atacante quiser. Um ataque de DDoS pode causar perda de receita de venda e de confiança e reputação por parte dos clientes. Em casos extremos ou frequentes, pode ocorrer uma queda no motor de busca.
Relacionado: Ataque DDoS “Ioiô”: Como derrotá-los
Injeção de SQL
A injeção de SQL um banco de dados executando comandos de SQL. O atacante pode então usar esses comandos para encontrar vulnerabilidades na aplicação ou para explorar o banco de dados. Há diversas formas de tomar vantagem da vulnerabilidade de SQLi.
Os atacantes de injeção de SQL são sérios e permitem que os atacantes enganem os procedimentos de identificação (spoofing), alterem dados existentes, causem dano financeiro como transações vazias, expõe dados sensíveis no sistema, apaguem dados e tenham acesso privilegiado ao servidor.
Phishing
Um ataque de Phishing é em parte sorte e em parte planejamento. Como o nome sugere, os atacantes tentam “fisgar” um usuário que não suspeita de uma URL maliciosa ou de um arquivo baixado que permitirá que eles tomem o site do usuário. Diversos ataques de phishing são feitos em e-mails de empresa com o intuito de pegar os melhores alvos.
Quando se trata de phishing, a melhor pratica é que se algo parece suspeito, não abra. O único problema com isso é que alguns ataques de phishing são tão sofisticados que é difícil não ser enganado.
Saiba mais: Qual o impacto de vazamento de dados em pequenas e médias empresas
Credenciais/Força Bruta
As credenciais dos usuários são altamente cobiçadas na Dark Web. Os hackers descobrem credenciais enviando bots para realizarem ataques de força bruta. Assim eles tentam ganhar acesso na aplicação web tentando toda combinação possível de letras, senhas, números e símbolos para ver se alguma delas funciona. Ou então, eles roubam um conjunto de credenciais (dados de identificação pessoal, contas de login e senha, dados de contato, etc) em grandes vazamentos de dados. Contas usurpadas causam diversos problemas para a vítima e os clientes. Quando os dados vazados são descobertos, a vítima é alvo de críticas, perde reputação e confiança e pode receber multas e penalidades da indústria e das regulações de privacidade.
Relacionado: Ataque de credential stuffing em alta
O custo do vazamento de dados
Quando as pessoas falam do custo do vazamento de dados, normalmente se fala sobre dinheiro. Mas os vazamentos pode custar mais as organizações do que apenas dinheiros. Algumas vezes o custo é a reputação.
Se você for pego fazendo algo errado como excesso de velocidade, você paga a multa e esquece. O mesmo vale para o vazamento de dados. Organizações como a União Europeia, em uma tentativa de reduzir o número de vazamento de dados, criou a GDPR, uma regulação que, em partes, guia a companhia no que eles devem fazer para cumprir com as regulações de segurança cibernética. A GDPR também diz que as companhias podem estar sujeitas a multas em caso de vazamentos de dados. Por exemplo, a British Airways sofreu uma multe de 183 milhões de libras por conta de um vazamento que expos dadas dos usuários.
Relacionado: A LGPD chegou, e agora?
Mas é mais do que apenas multas. Com o vazamento de dados, você expõe as informações mais sensíveis dos seus usuários. Eles confiaram em você e se queimaram. Em casos como esse, a sua reputação está em jogo.
Há dois tipos de organização, as que informam os usuários das brechas de dados e os aconselham ficarem vigilantes e trocarem suas senhas, e a aquelas que tentam esconder ao máximo o vazamento.
No fim de 2016, a Uber pagou a um hacker US$100,000 depois de ele ter vazado o seu banco de dados. Em 2017 a Uber revelou que ela sofreu uma brecha e que o hacker baixou mais de 57 milhões de registros de dados dos usuários e informações dos motoristas. A Uber foi multada em US$148 milhões após a tentativa de esconder a brecha.
Agora, coloque-se no lugar de um usuário do Uber que foi notificado que não apenas a sua informação foi exposta, mas a companhia sabia do ocorrido e não te alertou em tempo hábil. Eu aposto que você pensaria 2x antes de usar o Uber de novo.
De acordo com uma pesquisa recente, um em cada quatro americanos não faz negócios com empresas com histórico de vazamento de dados.
O que fazer?
Como dono de um negócio, você precisa saber a triste verdade, você vai ser hackeado. O custo médio de um vazamento de dados é de US$3,92 milhões. Agora, você pode dizer que nunca acontecerá com você, mas aproximadamente um terço das empresas sofreram uma brecha de dados e o número cresce a cada ano.
Você precisa entender que o vazamento de dados é uma questão de tempo. Desde que você esteja preparado, você pode minimizar o custo e efeitos do vazamento de dados.
Aqui estão alguns exemplos dos passos que você pode seguir para proteger os seus dados:
- Consiga a proteção apropriada – Não há uma única solução que pode te proteger de todos os ataques cibernéticos. Mas você pode minimizar o número de soluções que você vai adquirir tendo uma solução holística para cada vetor de ameaça. Por exemplo, ao invés de ter uma solução que te proteja apenas contra o DDoS, pegue uma solução que te proteja de todos os ataques da web, incluindo o DDoS.
- Tenha certeza de aderir as regulações, seja LGPD ou GDPR, desde que você cumpra com os requisitos de conformidade, você já vai ter meio caminho andado. Não apenas elas te dizem o que você precisa fazer para proteger a sua organização, mas eles também te dizem o que fazer em caso de vazamento.
- Não tente esconder – Como explicamos anteriormente, as chances de você sofrer um vazamento no futuro são grandes. No caso de você se encontrar com uma brecha de dados, tente não esconder pois a verdade uma hora será dita e então você se encontrará em uma situação complicada.
- Procure ajuda profissional – Você é a melhor pessoa para fazer o que você precisa fazer. Especialistas de segurança são os melhores no seu trabalho. Contrate um profissional de segurança dedicado para manusear todos os elementos de segurança da sua organização. Então obtenha soluções de segurança apropriadas.
- Dica – Caso você não possa contratar um oficial de segurança ou não tenha tempo te manter a solução de segurança constantemente atualizada, alguns fabricantes oferecem soluções gerenciadas de segurança, o que significa que eles instalarão e executarão a solução de segurança para você. Dessa forma, eles irão gerenciar a sua segurança e irão responder imediatamente em caso de um vazamento. Voltando ao número 4, deixe a melhor pessoa fazer o trabalho. Ninguém conhece melhor o produto que as pessoas que inventaram.
Conclusão
Com uma rápida pesquisa na web, nós vemos que muitas organizações foram hackeadas. Você pode dizer que elas são grandes e a sua empresa atual é pequena ou média, quem iria querer te atacar?
Ao invés de se esconder da verdade, por que não se preparar para ela? Seguindo os passos mencionados acima você proteger o seu negócio antes, durante e depois de um ataque cibernético.
Para mais informações e ajuda com proteção para o seu negócio e completar a sua conformidade, sinta-se livre para nos contatar.
