0
0
A Spirion divulgou um guia que fornece um olhar detalhado sobre violações de dados confidenciais em 2021 derivadas de análises realizadas contra o banco de dados itrc (Identity Theft Resource Center, centro de recursos de roubo de identidade) de violações de dados relatadas publicamente nos Estados Unidos.
O guia baseia-se na análise de mais de 1.500 incidentes de dados ocorridos nos Estados Unidos durante 2021 que envolveram especificamente dados confidenciais, incluindo informações pessoalmente identificáveis (PII). O relatório identifica as principais violações de dados confidenciais pelo número de indivíduos impactados, número de registros comprometidos, ator de ameaças, vetor de exposição e tipos de dados confidenciais expostos pelo setor da indústria.
2021 foi o ano mais prolífico já registrado para violações de dados, superando a alta de todos os tempos de 2017. No ano passado, um total de 1.862 compromissos de dados foram relatados por organizações dos EUA — um aumento de 68% em relação a 2020. Dados do ITRC revelaram que 83% dos incidentes do ano expuseram 889 milhões de registros de dados confidenciais que impactaram mais de 150 milhões de pessoas.
“Embora tenhamos visto um direcionamento significativo de dados confidenciais em anos anteriores, uma combinação do estado constante do trabalho remoto e do aumento da sofisticação nas metodologias de ataque fez com que ataques de dados sensíveis disparassem durante 2021”, disse Kevin Coppins, CEO da Spirion.
Os dados mais comuns direcionados durante violações de dados confidenciais no ano passado
- Número da previdência social: 65% de todos os incidentes de dados confidenciais envolveram a SSN
- Informações pessoais de saúde: 41% de todos os incidentes de dados confidenciais
- Informações sobre contas bancárias: 23% de todos os dados confidenciais
- Carteira de motorista: 23% de todos os dados confidenciais
- Detalhes do cartão de crédito/débito: 12% de todos os incidentes de dados confidenciais
- Credenciais de e-mail/senha: 10% de todos os incidentes de dados confidenciais
A maioria das violações de dados confidenciais foram executadas por atores externos, representando 93% do total de incidentes. Ataques cibernéticos direcionados foram a principal forma como os atores externos ganharam acesso não autorizado a dados pessoais em 2021. Atores externos realizaram mais de 1.440 ataques cibernéticos (89% de todos os incidentes de dados confidenciais), capturando as informações pessoais de 148 milhões de pessoas.
Principais vetores de ataque ciberataques aproveitados para acessar dados confidenciais
- Vulnerabilidades da cadeia de suprimentos/ terceiros: 25% dos incidentes de dados confidenciais impactaram 6,9 milhões de indivíduos
- Phishing/smishing/business email correspondence: 23% of sensitive data incidents impacted 4.8 million individuals
- Ransomware: 17% of sensitive data incidents impacted 14 million individuals
- Malware: 8% of sensitive data incidents impacted 2.5 million individuals
Meanwhile, internal actors were responsible for 7 percent of sensitive data compromises that placed 878,556 people’s PII at risk, largely through human error including email correspondence and misconfigured cloud security or firewalls.
In 2021 the average sensitive data breach had a lifecycle twice as long as non-sensitive data breaches. From initial detection to breach containment, the average sensitive data breach took 112 days to resolve, while a non-sensitive data breach only took 52 days. It also took twice as long to detect and contain internal errors as external cyberattacks. On average, the lifecycle of data exposure induced by human error took 207 days to detect and contain, whereas external attacks had an average lifecycle of 75 days.
Three industries were responsible for a majority of sensitive data breaches that impacted 84 percent of all individuals in 2021:
- Professional and business services: 157 incidents that impacted 52 million individuals (or 35% of total individuals)
- Telecommunications: 8 incidents that impacted 47.8 million individuals (or 32% of total individuals)
- Healthcare: 447 incidents that impacted 24.8 million individuals (or 17% of total individuals)
Interesting trends
Vetores de ataque em evolução: A cadeia de suprimentos e ataques de terceiros tornou-se um dos principais contribuintes para compromissos de dados sensíveis em 2021. Um total de 93 ataques de terceiros impactou 559 organizações, expondo mais de 1,1 bilhão de registros de dados. Desses incidentes, 83% continham dados confidenciais, revelando o PII para 7,2 milhões de pessoas. Notavelmente, o setor de saúde foi impactado em 53% de todos os ataques da cadeia de suprimentos em 2021.
Múltiplos ataques em um único ano: mais de duas dúzias de organizações sofreram múltiplas violações de dados no ano passado. Dos três incidentes de dados da Aetna ACE aos dois vazamentos maciços de dados do LinkedIn que afetaram 1,2 bilhão de pessoas, o surgimento dessa tendência inquietante é resultado dos níveis crescentes de trabalho remoto que está colocando em risco maiores quantidades de dados do que nunca.
Violações de dados de subnotificação: Apesar de mais organizações experimentarem compromissos de dados, no entanto, 34% das organizações e agências estaduais subnotificaram violações de dados no ano passado por não relatarem seus incidentes de dados em tempo hábil ou não incluirem detalhes relevantes. Embora os estados individuais exijam que as empresas notifiquem os clientes de uma violação, atualmente não há leis federais abrangentes dos EUA ditando que as empresas devem relatar todos os compromissos de dados.
FONTE: HELPNET SECURITY