Home / Artigo / A onda de ataques cibernéticos: as tendências e a eficácia do seguro cibernético.

A onda de ataques cibernéticos: as tendências e a eficácia do seguro cibernético.

Crimes cibernéticos têm se tornado comuns em um mundo cada vez mais digital. Conheça as novas tendências e a eficácia do seguro cibernético  

Conforme a intenção criminosa, um ataque cibernético pode ser aleatório ou direcionado. Os métodos desta violação buscam afastar a relação existente entre empresae sistema de defesa. O ataque via email – através de Phishing – se mantém como um espinho constante para a maioria das organizações. Infelizmente, a prática tem se tornado cada vez mais comum. Nos últimos dois anos, as violações de dados resultaram em grandes multas e taxas legais – para não mencionar dores de cabeça. A lista de empresas invadidas aumenta a cada dia. E agora? 

Variedade de ataque 

Analisando as tendências globais de ataques cibernéticos em malware geral, ransomware, malware móvel e na nuvem, destacamos as principais tendências de ataques: 

– Cadeia de suprimentos de software em ascensão 

Neste item, normalmente, o agente de ameaças instala um código malicioso em software legítimo, que modifica e infecta um dos componentes básicos dos quais o software se baseia. Os ataques à cadeia de suprimentos de software podem ser divididos em duas categorias principais. O primeiro inclui ataques direcionados, que objetivam comprometer alvos bem definidos. Depois de verificar a lista de fornecedores, atua em busca do link mais fraco. No ataque do ShadowHammer, os invasores implantaram códigos maliciosos no utilitário ASUS Live Update e permitiram a instalação posterior de backdoors em milhões de computadores remotos. Já na segunda categoria, as cadeias de suprimentos de software são usadas para comprometer o maior número possível de vítimas, localizando um elo fraco com um grande raio de distribuição.  

 – Ataques cibernéticos evasivos de phishing 

A técnica popular se mantém como uma das maiores ameaças à segurança cibernética. Técnicas avançadas de evasão com engenharia social estão ignorando as soluções de segurança de emails com maior frequência. Pesquisadores indicam um aumento nos golpes e no comprometimento do email comercial, o que ameaça as vítimas a efetuarem pagamentos por chantagem ou personificando outras pessoas, respectivamente. Ambos os golpes não contêm, necessariamente, anexos ou links maliciosos, o que dificulta a detecção.  

As fraudes evasivas por email incluem caixas codificadas, imagens da mensagem incorporadas no corpo, além de código subjacente complexo, que combina letras de texto sem formatação com entidades de caracteres HTML. As técnicas de engenharia social, além de variar e personalizar o conteúdo dos emails, são métodos adicionais que permitem que os golpistas voem” seguros sob o radar dos filtros AntiSpam e alcancem, enfim, a caixa de entrada do alvo. 

– Nuvens sob ataque 

A crescente popularidade dos ambientes em nuvem levou a um aumento de casos direcionados a recursos e dados confidenciais nessas plataformas. Seguindo a tendência dos últimos dois anos, práticas como configuração incorreta e gerenciamento inadequado dos recursos em nuvem continuaram sendo a ameaça mais proeminente para o ecossistema da nuvem atualmente. Como resultado, esses ativos foram submetidos uma ampla variedade de ataques. Neste ano, inclusive, a configuração incorreta dos ambientes em nuvem foi uma das principais causas de muitos incidentes e ataques de roubo de dados ocorridos por organizações em todo o mundo. 

– Dispositivos móveis 

Atores maliciosos têm adaptado técnicas e métodos do cenário geral de ameaças ao mundo móvel. Os malwares bancários se infiltraram na arena cibernética móvel com um aumento acentuado superior a 50% em relação ao último ano. Em relação ao uso crescente dos aplicativos móveis dos bancos, os malwares são capazes de roubar dados de pagamento, credenciais e fundos das contas bancárias das vítimas. 

Como se proteger? 

Apesar da prevalência de ataques cibernéticos, pesquisas apontem que 99% das empresas não estão efetivamente protegidas. A chave para a defesa cibernética é uma arquitetura de segurança cibernética de ponta a ponta, que é multicamada e abrange todas as redes, terminais e dispositivos móveis e nuvem. Com a arquitetura certa, você pode consolidar o gerenciamento de várias camadas de segurança para aumentar seu controle e efetividade. Isso permite correlacionar eventos em todos os ambientes de rede, serviços em nuvem e infraestruturas móvel. 

Uma violação de dados pode danificar mais do que apenas o sistema de computadores das empresas. Pode prejudicar sua reputação e colocar em risco clientes e/ou funcionários. Por isso, é preciso atuar na defesa e possuir um seguro cibernético. Essas medidas são importantes para gestão de risco de segurança cibernética de qualquer empresa. 

Seguro Cibernético 

O seguro cibernético cobre a responsabilidade da sua empresa por uma violação de dados que envolva informações confidenciais de cliente, como por exemplo: dados de cartão de crédito, contas, documentos e registros de saúde. 

Destacamos que Lei Geral de Proteção de Dados Pessoais (LGPDP) exige que as empresas notifiquem os clientes sobre uma violação de dados que envolva informações de identificação pessoal – um processo que pode ser muito caro.  

Você sabe como funciona o Seguro Cibernético 

O seguro cibernético é uma novidade no Brasil, e seu principal objetivo é proteger as empresas de responsabilidade potenciais decorrentes de vazamento de dados, além de cobrir perdas e despesas ocorridas pelo segurado

Em entrevista, Claudio Macedo, CEO da Clamapi Seguros, a primeira corretora especializada em Seguros Cibernético do Brasil, lista 10 dicas importantes para serem consideradas antes da contratação do seguro: 

1 – Devo aguardar a Lei Geral de Proteção de Dados Pessoais entrar em vigor para contratar o seguro cibernético?

 Não. Os ataques estão cada vez mais intensos e mais sofisticados. Assim, não importa quando a lei entrará em vigor. É preciso levar em conta que o Ministério Público vem aplicando sanções contra empresas que tiveram dados pessoais vazados, como multas, e obrigando a notificação aos titulares de dadosOutro fator é que esses titulares podem processar a empresa a qualquer momento, mesmo sem a LGPDP em vigor. O seguro oferece cobertura para as indenizações. Netshoes, Banco Inter e Vivo são exemplos de empresas que sofreram sanções antes mesmo da lei estar sancionada.

2 – As empresas com maturidade elevada em Segurança da Informação podem teruma taxa mais atrativa para contratação do seguro cibernético?

Sim, as seguradoras levam muito em conta o gerenciamento de risco cibernético realizado pelas empresas. Vale lembrar que o seguro é “venda do risco. Ou seja, quanto mais segura uma empresa, mais seguradoras do segmento terão interesse no seu risco. Assim, obtenha uma boa assessoria para a contratação do seguro e conseguirá melhores taxas e limites de contratação. Isso, porém, não é uma limitação para a contratação de seguro cibernético, já que as seguradoras possuem produto para todo porte de empresas, mesmo para aquelas que ainda não possuem gestão da Segurança da Informação.  

3 – Quais os serviços agregados oferecidos pelas seguradoras? 

Pensando no seguro cibernético, é importante não analisar somente pelo viés financeiro, pois as seguradoras disponibilizam especialistas nos casos de evento cibernético. Importante verificar quais são os serviços disponibilizados, as regras de reembolso e se desejam utilizar os seus próprios prestadores de serviços. Podemos destacar alguns serviços disponibilizados pelas seguradoras. Entre eles, consultor de extorsão, contabilidade forense, investigação forense, monitoramento de crédito dos titulares que tiveram seus dados vazados e relações públicas em gestão de crise. 

4 – As empresas não precisam contratar todas as coberturas ofertadas pelas seguradoras? 

Não. Atualmente, temos cerca de 20 coberturas disponíveis no mercado. Estas revisões farão com que a empresa tenha um prêmio mais justo para a sua apólice. Algumas coberturas são obrigatórias, mas a maioria é opcional.Recomendamos que sempre incluam no desenho da apólice as coberturas de despesas com notificação aos usuários, gerenciamento de crises, cobertura de defesa regulatória e de lucros cessantes/interrupção de negóciospois os impactos podem ser desastrosos para a empresa. 

5 – É necessário obter cobertura retroativa? 

O início de vigência da apólice de seguro cibernético será sempre a data de contratação da apólice, porém, um hacker pode ficar cerca de 200 dias no sistema sem que a empresa perceba. Isso significa que pode não haver cobertura para violações ocorridas antes do período da apólice, mesmo que a empresa não soubesse da violação no momento da contratação da apólice. Portanto, a empresa tem a opção de solicitar que a retroatividade seja anterior ao início de vigência da apólice. Trata-se de uma cobertura adicional aceita por algumas seguradoras. 

6 – É necessário se atentar às exclusões, perdas de direitos e obrigações do segurado?

Certamente. Não somente para seguro cibernético, mas para qualquer tipo de seguro. Isso evita frustrações na hora de um sinistro. Importante saber as suas obrigações enquanto segurado, o que pode fazer a empresa perder o direito à indenização e, principalmente, quais são as exclusões do contrato. No caso do risco cibernético, há exclusões que são comuns a todas as seguradoras e outras específicas de cada clausulado. Se uma seguradora não estiver disposta a remover uma exclusão ou limitação questionável da apólice, solicite ao seu corretor para obter ofertas de outras seguradoras. O mercado de seguros cibernéticos é competitivoÉ melhor investir tempo em analisar as cláusulas na contratação do que após um sinistro. 

7 – Quais os limites de responsabilidades?  

Uma das questões mais importantes na negociação de seguro cibernético é determinar os limites apropriados de responsabilidades. Os custos de reposta de uma violação podem ser substanciais, e quanto maiores os limites da apólice, menor o risco da apólice não ser suficiente na hora de um sinistro. Cote ao menos três opções de limites, pois quanto maior o limite menor será a taxa do seguro. A maioria das apólices cibernéticas impõe sublimites em algumas coberturas, como despesas de gerenciamento de crises, custos de notificação ou investigações regulatórias. Esses sublimites nem sempre são óbvios e podem ser inadequados.  

8 – É preciso alinhar o seguro cibernético com outros seguros?  

Algumas exclusões da apólice de seguro cibernético podem estar amparadas em outras apólices. Ações contra as pessoas físicas da empresa que não estão amparadas no seguro de Riscos Cibernéticos, por exemplo, estão amparadas no seguro de D&O (Directors & Officers), que é a Reponsabilidade Civil de Administradores, desde que não haja a exclusão de riscos cibernéticos. Portanto, é recomendável que todas as apólices de seguro existentes na empresa sejam analisadas. Assim, é possível identificar se há ou não exclusão de risco cibernético nas outras apólices de seguro, como, por exemplo, patrimonial, transporte, responsabilidade civil etc. 

9 – Como verificar a cobertura de vazamento de dados para empresas terceirizadas? 

Um vazamento de dados não necessariamente ocorrerá na sua empresa. O incidente pode ocorrer via empresas terceirizadas. Então, verifique o que a seguradora considera para este tipo de situação. Ressaltamos que havendo cobertura, a seguradora irá cobrir a sua parte, mas não a responsabilidade da empresa terceirizada e, inclusive, poderá entrar com uma ação de regresso contra a empresa terceira. Lembre-se que a LGPDP fala em responsabilidade solidária, ou seja, a empresa responderá também, mesmo que o vazamento tenha ocorrido num subcontratado.  

10 – Como escolher um corretor experiente e bons parceiros?  

Essa escolha é essencial para garantir que o seguro seja adequado para a sua organização. É importante comparar as diferentes ofertas de cada seguradora, ressaltando que cada uma possui. Existem muitas variáveis, as coberturas não têm os mesmos nomes, as exclusões não são as mesmas, prestadores de serviços, entre outros detalhes. Isto acaba dificultando o entendimento das condições de cada seguradora. Recomendamos um corretor com experiência em seguro cibernético. 

Ressaltamos que o risco de segurança cibernética existe para todas as empresas que possuem dados armazenados, seja na nuvem ou em servidores internos. Esses dados valem ouro para um hacker, assim como valem para a sua empresa. Por isso, protejaseus dados e tenham um seguro que possa mitigar suas perdas no caso de uma ataque cibernético ou vazamento de dados. 

Um ponto de atenção para porta de entrada dos ataques cibernéticos é o usuário, que muitas vezes deixa os sistemas vulneráveis a riscos. É muito importante criar uma cultura de segurança entre os colaboradores para evitar expor as empresas. 

Sofrer ataques cibernéticos pode causar muitos danos pessoais e empresariais. Então, esteja em dia com a segurançae conte com ações para evitar golpes internos ou externos. 

Sobre Aline Inácio

mm
Aline Inácio atua há mais de 17 anos nas áreas de Gestão de Riscos, Continuidade de Negócios e Administração de Seguros. Possui MBA Internacional em Gestão de Empresas e Negócios pela FGV, especialização em Governança Corporativa e Empreendedorismo na Babson Executive Education (Boston-EUA), especialização em Corporate Finance e Risk Management pela Columbia University (Nova Iorque –EUA), certificada pela AIRM - ALARYS International Risk Manager - e pelo DRI International. Atualmente, é business developer na Daryus Consultoria.

Confira tambem

Perícia Digital

Onde trabalhar com Perícia Digital?

Perícia Digital: a profissão moderna! A tecnologia não tem limite e já ultrapassou o ‘céu’, …

Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *