Nota: O seguinte artigo irá ajudá-lo com: 2020 vê um grande aumento nos registros expostos em violações de dados
O número de violações pode ter caído, mas o número de registros expostos atingiu um nível não visto desde 2005, diz a Risk Based Security.
As violações de dados agora parecem ser uma história sem fim, pois ouvimos constantemente sobre uma empresa após a outra sendo comprometida. O verdadeiro dano dessas violações está na quantidade de informações privadas ou confidenciais expostas. Embora o número de violações relatadas possa ter diminuído no ano passado, o número de registros violados disparou, de acordo com um relatório divulgado na quinta-feira pela empresa de segurança Risk Based Security (RSB).
VEJO: Política de conscientização e treinamento de segurança (TechRepublic Premium)
Violações de dados em 2020
O volume de violações de dados divulgadas publicamente caiu 48% em 2020 em comparação com o ano anterior, levando a 3.932 no total. No entanto, o volume de registros comprometidos por essas violações saltou 141% para impressionantes 37 bilhões, o maior número visto pela RSB desde 2005. Além disso, ler nas entrelinhas revela ainda mais a história.
Nem todas as organizações que sofrem uma violação de dados a divulgam publicamente. Alguns podem esperar para denunciá-lo. Além disso, outros fatores podem afetar os números relatados.
“Não acreditamos que menos violações estejam acontecendo”, disse Inga Goddijn, vice-presidente executiva da Risk Based Security, em um comunicado à imprensa. “Interrupções em certas fontes governamentais, relatórios atrasados e cobertura de notícias em declínio contribuíram para que menos violações surgissem em 2020, mas isso é apenas uma parte da história. Ataques mais complexos e prejudiciais também contribuíram para investigações longas e complexas.”
Um incidente específico mostra como o impacto total de uma violação pode demorar meses. No ano passado, o provedor de nuvem Blackbaud foi atingido por um ataque de ransomware que aparentemente mitigou antes que qualquer dano grave ocorresse. No entanto, os invasores ainda conseguiram roubar dados suficientes para criar problemas para muitos dos clientes da empresa vários meses após o incidente.
Outro incidente mostra o impacto duradouro e generalizado de uma violação de dados. Em outubro passado, o grupo de hackers Shiny Hunters compartilhou publicamente um banco de dados roubado da empresa de entrega de alimentos Home Chef em um fórum de hackers. Nas semanas que se seguiram, o grupo compartilhou 16 outros bancos de dados no fórum. Todos os bancos de dados continham endereços de e-mail e alguns tipos de senhas ou tokens de autenticação, além de nomes, datas de nascimento e endereços residenciais. No período de apenas cinco semanas, mais de 129.400.000 registros de usuários confidenciais vazaram.
O ransomware também influencia como e onde as violações de dados são relatadas. Em 2020, ransomware e roubo de dados juntos provaram ser uma combinação volátil. O número de ataques de ransomware confirmados que resultaram em violações de dados dobrou para 676 no ano passado, de 337 em 2019, segundo a RSB.
“A ascensão do ransomware, juntamente com a prática particularmente perniciosa de vazamento de dados roubados durante o ataque, foi um dos principais temas do ano”, disse Goddijn. “Havia poucos sinais de que o ransomware explodiria em um método preferido para monetizar ataques e, embora a cobertura de eventos de violação tenha aumentado mais uma vez, a mudança de tática significa que menos informações sobre eventos estão sendo divulgadas.”
Uma métrica que revela ainda mais sobre violações de dados é a gravidade. Medido em uma escala de 0 a 10, a gravidade da violação é calculada com base em quantos registros foram roubados, como a violação ocorreu, o tipo de dados expostos e outros fatores. O primeiro trimestre começou com uma pontuação média de gravidade de 4,75 e depois subiu gradualmente para atingir uma pontuação de 5,71 por volta do terceiro trimestre.
Apesar do alto número de registros expostos e da gravidade das violações de dados do ano passado, o problema pode não ser generalizado como parece. Entre todos os registros expostos analisados para 2020 pela RSB, 30,4 bilhões, ou 82%, vieram de apenas cinco violações de dados. Todos os cinco foram causados por bancos de dados ou serviços mal configurados, enquanto em dois dos maiores (responsáveis por 18,2 bilhões dos registros expostos), os dados expostos incluíam uma variedade de arquivos de log. A esse respeito, os registros roubados provavelmente não serão usados para fins maliciosos, disse o relatório.
Recomendações
Com essa ameaça aos registros de clientes e outras informações confidenciais, como as organizações podem se proteger melhor contra violações de dados?
“Se há um fato que nossa pesquisa confirma repetidamente, é que nenhuma organização está imune a experimentar um evento de violação”, disse Goddijn. “Então, embora lutar por zero violações de dados seja uma meta admirável, provavelmente é inatingível. Em vez disso, focar na resiliência e ter um plano de resposta a incidentes bem desenvolvido pode ajudar bastante a reduzir o impacto negativo de uma violação.”
No caso de uma violação, como uma organização deve denunciá-la e divulgá-la com responsabilidade?
“Certamente, cumprir com os estatutos aplicáveis para relatar um evento de violação deve ser uma prioridade sempre que informações de identificação pessoal estiverem em risco”, disse Goddijn.
“Além disso, comunicações claras, consistentes e factuais realmente ajudam a manter relacionamentos”, acrescentou Goddijn. “As pessoas afetadas e os parceiros de negócios querem entender o que aconteceu, que tipos de informações foram expostas e o que isso significa para eles. Normalmente, isso inclui compartilhar atualizações regulares à medida que as informações se tornam disponíveis e centralizar as comunicações para que haja uma ‘fonte de verdade’ clara sobre o evento”.
