As redes varejistas britânicas The Co-Operative Group (Co-op), Marks & Spencer (M&S) e Harrods foram alvo de grandes ciberataques nos últimos dias. Embora os detalhes completos sobre o(s) hacker(s) ainda sejam desconhecidos, a proximidade dos ataques sugere que um único agente malicioso seja responsável pelos três , possivelmente o grupo de hackers Scattered Spider, que já foi associado ao ataque à M&S. Como varejistas, bancos e todos os demais devem reagir?
Táticas de hackers de varejo
Embora a rede varejista britânica Boots seja a mais recente a ser atingida por interrupções de TI, as vendas da Morrisons foram severamente afetadas no ano passado por um ataque cibernético, e a Currys e a JD Sports também sofreram ataques que comprometeram dados de clientes. Os varejistas estão claramente vulneráveis, e com a Marks & Spencer perdendo meio bilhão de libras devido à sua incapacidade de aceitar pagamentos sem contato, e as lojas Co-op ficando com prateleiras vazias, a importância desses ataques não pode ser subestimada.
O que está acontecendo? Será que os departamentos de TI foram infiltrados por trabalhadores remotos norte-coreanos que conseguiram empregos com credenciais falsas? Sabemos que esses criminosos já são bastante sofisticados. Um departamento de RH, que realizou quatro entrevistas em vídeo (que confirmaram que o candidato correspondia à foto aprimorada por IA em sua inscrição) e fez verificações de antecedentes adicionais, todas sem irregularidades (porque uma identidade americana roubada havia sido usada), acabou contratando um funcionário falso que imediatamente começou a baixar malware. Outra empresa descobriu que havia sido vítima de um esquema coordenado para garantir empregos remotos para norte-coreanos e que mais de um terço de toda a sua equipe de engenharia era composta por norte-coreanos!
Se não foram os programadores Python norte-coreanos, agentes de uma potência estrangeira acessaram um computador quântico até então desconhecido para quebrar códigos secretos e entrar em redes de varejo duplicando chaves privadas para derrotar a segurança da rede? Os insiders se voltaram contra os anfitriões e tentaram prejudicá-los em retaliação por uma mudança indesejada nos termos e condições? Os sistemas de TI fornecidos pelos principais fornecedores foram hackeados por invasores disfarçados que trabalham em nome de varejistas concorrentes?
Não, claro que não. Não se tratava de funcionários falsos ou hackers quebrando códigos; era o mesmo ataque de sempre, que acontece em todo lugar, o tempo todo. Hackers entraram em contato com o suporte técnico, fingindo ser funcionários que haviam perdido suas senhas. O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) afirmou, em relação a esses ataques, que as empresas deveriam reavaliar como seus serviços de suporte de TI " autenticam os funcionários " antes de redefinir senhas, especialmente as de funcionários de alto escalão com acesso a partes importantes da rede de TI. Bem, isso é óbvio. É o mesmo golpe de engenharia social de sempre.
Não precisa ser assim. No setor financeiro, um dos usos mais comuns da biometria é a recuperação de contas, e não vejo por que os varejistas não poderiam usar o mesmo tipo de tecnologia para corrigir a autenticação Conheça Seu Funcionário (KYE), assim como os bancos usam a autenticação Conheça Seu Cliente (KYC) para restaurar o acesso à conta.
(Veja o que empresas como Keyless e Anonybit estão fazendo, por exemplo.)
A M&S alertou em seu último relatório anual que a transição para o trabalho híbrido a tornou mais vulnerável a ataques cibernéticos. É importante notar que parte da resposta da empresa ao ataque incluiu instruir os funcionários a manterem suas câmeras ligadas durante reuniões remotas e a "verificarem a presença de todos". Um e-mail interno enviado a 70,000 funcionários também os instruiu a não gravar ou transcrever chamadas do Teams, sugerindo que hackers estavam participando de reuniões internas e mantendo transcrições para coletar informações para aprimorar ataques de engenharia social, além de potencialmente obter insights sobre sistemas internos para auxiliar em futuras invasões.
Novos crimes, novos criminosos.
Todos sabemos que a natureza do crime está mudando e que os cibercriminosos estão ficando mais espertos. Não tenho certeza se manter as câmeras ligadas, embora seja uma boa política por muitos motivos, fará muita diferença neste caso. A inteligência artificial já é capaz de criar vídeos de pessoas que podem enganar colegas de trabalho e tem sido usada para fins nefastos há anos: a Arup perdeu US$ 25 milhões para golpistas que usaram IA para se passar pelo diretor financeiro da empresa e instruir um subordinado a transferir fundos durante uma videochamada em grupo com várias pessoas que, segundo a polícia de Hong Kong, " acabou revelando que todos que [o subordinado] viu eram falsos ".
Deepfakes como esses estão se espalhando, e não apenas no setor bancário e de varejo. O dono de uma galeria de arte de Londres perdeu £ 30,000 depois de passar meses negociando uma exposição com um falso Pierce Brosnan. Em outro caso no Reino Unido, uma mulher foi presa após supostamente usar uma série de perucas e fantasias para passar em testes de cidadania em nome de pelo menos outras 14 pessoas, homens e mulheres, usando “documentos de identidade falsos” para evitar ser detectada. Um proprietário do AirBnB alugou sua propriedade para uma mulher que tinha uma identidade roubada e passou no relatório de referências com uma carteira de motorista falsa: ela então roubou os móveis e sublocou a casa como um local para festas!
Hacker de IA, defesas de IA? não.
O governador do Federal Reserve, Michael Barr, declarou recentemente que, diante do crescimento dos ataques de deepfake baseados em IA, os bancos deveriam "combater fogo com fogo" e investir mais em IA. Discordo. É possível que o reconhecimento facial, a análise de voz e a biometria comportamental sejam capazes de detectar falsificações com tecnologia de IA até que essas falsificações melhorem. Embora seja verdade que investimentos significativos em IA possam ajudar a defender os bancos contra uma enxurrada de fraudes com tecnologia de IA, isso pode ser um alívio temporário à medida que os fraudadores aprimoram seus métodos. Mas por que seguir esse caminho? Em vez de tentar enganar os invasores com IA, por que não usar uma tecnologia testada e comprovada que não pode ser falsificada: assinaturas digitais?
A competição entre IAs é uma corrida frenética e interminável. Em vez disso, deveríamos exigir que bancos, varejistas, empresas de mídia e todas as outras entidades aprimorassem o uso de infraestrutura de segurança comprovada para frustrar os hackers modernos armados com deepfakes. Como já escrevi anteriormente , você pode até conseguir criar um vídeo falso perfeitamente convincente de Brad Pitt, mas não consegue criar uma assinatura digital perfeitamente convincente de Brad Pitt. Em vez de pedir aos funcionários que adivinhem se estão realmente vendo o Diretor Adjunto de Bill Settlement (Região Nordeste) ou um robô, deveríamos fornecer a eles autenticação de dois fatores em vez de senhas, credenciais verificáveis com forte autenticação biométrica em vez de autorizações de ativação de câmera, cópias criptografadas e assinadas digitalmente e armazenamento à prova de adulteração das chaves de criptografia (por exemplo, em celulares). *Nota: As assinaturas digitais oferecem uma forte garantia de autenticidade e integridade dos dados, tornando-as uma ferramenta valiosa no combate à falsificação.*
Comentários estão fechados.