0 
0 A engenharia social não é um conceito novo, mesmo no mundo da segurança cibernética. Só os golpes de phishing existem há quase 30 anos, com os invasores constantemente encontrando novas maneiras de atrair as vítimas a clicar em um link, baixar um arquivo ou fornecer informações confidenciais.
Os ataques de comprometimento de e-mail comercial (BEC) iteraram nesse conceito, fazendo com que o invasor obtivesse acesso a uma conta de e-mail legítima e se passasse por seu proprietário. Os invasores raciocinam que as vítimas não questionam um e-mail que vem de uma fonte confiável – e muitas vezes eles estão certos.
Mas o e-mail não é o único meio eficaz que os cibercriminosos usam para se envolver em ataques de engenharia social. As empresas modernas contam com uma variedade de aplicativos digitais, desde serviços em nuvem e VPNs até ferramentas de comunicação e serviços financeiros. Além disso, esses aplicativos são interconectados, de modo que um invasor que pode comprometer um pode comprometer outros também. As organizações não podem se concentrar exclusivamente em ataques de phishing e BEC — não quando o comprometimento de aplicativos de negócios (BAC) está em alta.
Segmentação de logon único
As empresas usam aplicativos digitais porque são úteis e convenientes. Na era do trabalho remoto, os funcionários precisam de acesso a ferramentas e recursos críticos de uma ampla variedade de locais e dispositivos. Os aplicativos podem agilizar os fluxos de trabalho, aumentar o acesso a informações críticas e facilitar o trabalho dos funcionários. Um departamento individual dentro de uma organização pode usar dezenas de aplicativos, enquanto a empresa média usa mais de 200 . Infelizmente, os departamentos de segurança e TI nem sempre conhecem – muito menos aprovam – esses aplicativos, tornando a supervisão um problema.
A autenticação é outro problema. Criar (e lembrar) combinações exclusivas de nome de usuário e senha pode ser um desafio para quem usa dezenas de aplicativos diferentes para fazer seu trabalho. Usar um gerenciador de senhas é uma solução, mas pode ser difícil para a TI aplicar. Em vez disso, muitas empresas simplificam seus processos de autenticação por meio de soluções de logon único (SSO) , que permitem que os funcionários entrem em uma conta aprovada uma vez para acessar todos os aplicativos e serviços conectados. Mas como os serviços de SSO oferecem aos usuários acesso fácil a dezenas (ou até centenas) de aplicativos de negócios, eles são alvos de alto valor para invasores. Os provedores de SSO têm recursos e recursos de segurança próprios, é claro, mas o erro humano continua sendo um problema difícil de resolver.
Engenharia Social, Evoluída
Muitos aplicativos – e certamente a maioria das soluções de SSO – possuem autenticação multifator (MFA). Isso torna mais difícil para os invasores comprometerem uma conta, mas certamente não é impossível. A MFA pode ser irritante para os usuários, que podem ter que usá-la para entrar em contas várias vezes ao dia – levando à impaciência e, às vezes, descuido.
Algumas soluções de MFA exigem que o usuário insira um código ou mostre sua impressão digital. Outros simplesmente perguntam: “É você?” O último, embora mais fácil para o usuário, dá aos invasores espaço para operar. Um invasor que já obteve um conjunto de credenciais de usuário pode tentar fazer login várias vezes, apesar de saber que a conta é protegida por MFA. Ao enviar spam ao telefone do usuário com solicitações de autenticação MFA, os invasores aumentam a fadiga de alerta da vítima. Muitas vítimas, ao receber uma enxurrada de solicitações, assumem que a TI está tentando acessar a conta ou clicam em “aprovar” simplesmente para interromper a enxurrada de notificações. As pessoas se irritam facilmente e os invasores estão usando isso a seu favor.
De muitas maneiras, isso torna o BAC mais fácil de realizar do que o BEC. Os adversários envolvidos no BAC só precisam incomodar suas vítimas para que tomem uma decisão ruim. E ao visar provedores de identidade e SSO, os invasores podem obter acesso a dezenas de aplicativos diferentes, incluindo serviços de RH e folha de pagamento. Aplicativos comumente usados, como o Workday, geralmente são acessados usando SSO, permitindo que os invasores se envolvam em atividades como depósito direto e fraude de folha de pagamento que podem canalizar fundos diretamente para suas próprias contas.
Esse tipo de atividade pode facilmente passar despercebido – e é por isso que é importante ter ferramentas de detecção na rede que possam identificar comportamentos suspeitos, mesmo de uma conta de usuário autorizada. Além disso, as empresas devem priorizar o uso de chaves de segurança Fast Identity Online (FIDO) resistentes a phishing ao usar a MFA. Se os fatores somente FIDO para MFA não forem realistas, a próxima melhor coisa é desabilitar e-mail, SMS, voz e senhas de uso único (TOTPs) baseadas em tempo em favor de notificações push e, em seguida, configurar políticas de MFA ou provedor de identidade para restringir o acesso para dispositivos gerenciados como uma camada adicional de segurança.
Priorizando a prevenção de CAS
Pesquisas recentes indicam que as táticas BEC ou BAC são usadas em 51% de todos os incidentes. Embora menos conhecido que o BEC, o BAC bem-sucedido concede aos invasores acesso a uma ampla variedade de aplicativos comerciais e pessoais associados à conta. A engenharia social continua sendo uma ferramenta de alto retorno para os invasores de hoje — uma que evoluiu junto com as tecnologias de segurança projetadas para detê-la.
As empresas modernas devem educar seus funcionários, ensinando-os a reconhecer os sinais de um possível golpe e onde denunciá-lo. Com as empresas usando mais aplicativos a cada ano, os funcionários devem trabalhar lado a lado com suas equipes de segurança para ajudar os sistemas a permanecerem protegidos contra invasores cada vez mais desonestos.
FONTE: DARK READING