Colonial Pipeline: o que aprendemos um ano após o ataque cibernético?

Este mês de maio marca o período de um ano desde um dos ataques cibernéticos mais relevantes do nosso tempo, o sofrido pela companhia de oleodutos norte-americana Colonial Pipeline , que  fornece 45% do combustível da costa leste dos Estados Unidos.  

O evento perdurou nas operações da Colonial durante seis dias, em que não apenas sua infraestrutura de computadores e gasodutos foram afetados, mas também a distribuição e o transporte da gasolina. O fato causou pânico nos cidadãos, que formaram longas filas até esvaziar os postos de gasolina da região em questão e levaram o governo a declarar estado de emergência. 

• Veja também: Hackers movem US$ 7 milhões em Bitcoin ligados ao caso Colonial Pipeline

O custo do incidente, do tipo ransomware (sequestro de dados visando recompensas financeiras), foi milionário, não só pelo pagamento do resgate das informações e infraestrutura, uma quantia de 4,4 milhões de dólares exigida pelos cibercriminosos, mas também por conta da interrupção nas operações que o ataque implicou.

Segundo um recente estudo realizado pela Forrester, somente no Brasil, mais da metade (51%) dos ataques recebidos no último ano foram do tipo ransomware. É um momento crucial para que as organizações tenham visibilidade unificada de suas estruturas de tecnologia e possam reforçar sua segurança cibernética.

Ataques cibernéticos no Brasil

Por aqui, diversas empresas brasileiras também sofreram ataques cibernéticos nos últimos meses. A Localiza foi a primeira companhia a informar um incidente hacker neste ano. No ano passado, outras companhias do país foram afetadas por violações de segurança, como o grupo de medicina diagnóstica Fleury, a operadora de turismo CVC, a seguradora Porto Seguro e o data center da Atento.

Agora, mais do que nunca, estamos cientes que o ataque às  infraestruturas críticas é um perigo real e presente, tanto para as organizações atacadas quanto para a sociedade em geral.  Por outro lado, o relatório da Trellix menciona que 9% dos operadores críticos de infraestrutura não têm uma estratégia de cibersegurança definida, ou seja, eles simplesmente não têm a segurança cibernética como ponto em seu planejamento organizacional.

Como resultado, a maioria das empresas sofreu pelo menos um ataque cibernético que impactou seus negócios. Os cibercriminosos sabem sobre a pouca preparação em termos de cibersegurança da tecnologia operacional e ambientes orientados à produção e que essas organizações não podem arcar com qualquer tempo de inatividade, de modo que os ataques são focados neste tipo de infraestrutura.

Um ano depois do ataque à Colonial Pipeline, é quase obrigatório perguntarmos: aprendemos alguma coisa? Qual é o nível de segurança dessas organizações hoje?  O que devemos fazer? Algumas conclusões:

• O número de ataques está superando a taxa em que as organizações podem responder a eles. Os investimentos em novas tecnologias representam grandes oportunidades de eficiência, como a mudança para fábricas e cidades inteligentes, mas essas mudanças podem introduzir lacunas reais na segurança. O Relatório Threat Landscape Retrospective (TLR) 2021, da Tenable, mostra um aumento de 241% nas vulnerabilidades e exposições comuns (CVEs) entre 2016 e 2021. O mesmo estudo também menciona que  o ransomware representou cerca de 38% de todas as violações. 

• Grandes casos de ransomware  como este continuam mostrando que, em geral, não estamos preparados quando se trata da segurança geral de infraestruturas críticas.  As organizações normalmente se concentram na segurança cibernética de ambientes corporativos, mas ambientes orientados à produção e sua tecnologia operacional não receberam sua parcela de atenção e investimento ao longo dos anos. Historicamente, esses setores não têm pensado na interconectividade, acesso, complexidade e digitalização como risco cibernético estratégico e não foram regulados dessa forma. 

• O incidente do Gasoduto Colonial destaca a importância da higiene cibernética. Recursos como permitir  autenticação de vários fatores  ou desativar contas inativas são simples, mas eficazes e podem reduzir drasticamente o risco. Não adianta investir milhões de dólares em novas tecnologias e soluções se as barreiras defensivas existentes forem mal utilizadas.

Hoje, a chave é abordar esses tipos de ameaças com uma abordagem baseada em riscos. Você não pode corrigir o tempo todo, é preciso abordar os aspectos mais vulneráveis do seu negócio em primeiro lugar.  O ataque cibernético ocorrido há um ano no  oleoduto Colonial é uma oportunidade de aprendizado para todas as organizações protegerem melhor sua superfície de ataque e monitorar constantemente possíveis vulnerabilidades para evitar ataques cibernéticos.

Sem melhorias na segurança e resiliência, os provedores críticos de infraestrutura não estão preparados para lidar com ameaças cibernéticas. E, por extensão, o risco para as sociedades é alto.

***
Alejandro Dutto, diretor de Segurança em Tecnologia Operacional para Tenable América Latina e Caribe.