Por que os Ataques de Preenchimento de Credenciais Podem Ser a Próxima Dor de Cabeça da Sua Empresa

O Microsoft Office 365 continua sendo um alvo atraente para cibercriminosos, pois continua sendo usado por empresas em todo o mundo. O crescente sofisticação das ferramentas de IA encorajou atores mal-intencionados a repetir a história dos ataques de preenchimento de credenciais. Em 2019, a Microsoft revelou que mais de 1,5 milhão de e-mails maliciosos e de spam foram enviados de milhares de contas Office 365 comprometidas de seus clientes.

Em dezembro de 2022, os usuários do Norton foram colocados em alerta máximo devido a um ataque de preenchimento de credenciais. O aplicativo de segurança foi comprometido, levando ao bloqueio de aproximadamente 925.000 contas. Um aumento suspeito nas tentativas de login dos usuários do Norton Password Manager desencadeou o bloqueio. A investigação posterior revelou que cibercriminosos haviam invadido com sucesso "milhares de contas", colocando em risco as informações pessoais de muitos usuários. Então, o que precisamos nos preparar para em 2023 para proteger nossas contas desse tipo de cibercrime?

A mecânica dos ataques de preenchimento de credenciais

Os ataques de preenchimento de credenciais representam 34% de todas as tentativas de login, com atores mal-intencionados tentando sequestrar contas de usuários. Mas como esse processo funciona e quais medidas podem combater essas campanhas?

O preenchimento de credenciais é um método de ciberataque prevalente no qual atores de ameaças empregam software automatizado para testar rapidamente credenciais de login roubadas em várias contas online. O processo envolve:

1. Comprar ou baixar uma lista de nomes de usuário e senhas da dark web, geralmente disponível após uma violação de dados.

2. Configurar bots automatizados para tentar logins em várias contas de usuários, muitas vezes evitando a detecção mascarando seus endereços IP.

3. Obter acesso às contas quando os bots encontram uma correspondência permite que os atacantes roubem informações pessoais, como números de cartão de crédito ou números de seguridade social.

4. Monitorar os bots enquanto eles tentam combinações de senhas bem-sucedidas em outras contas. Como 65% das pessoas usam a mesma senha para várias contas, há uma alta probabilidade de violar várias contas com o mesmo par de senha.

Preenchimento de credenciais vs. ataques de força bruta

O preenchimento de credenciais e os ataques de força bruta são dois métodos distintos de ciberataques. No preenchimento de credenciais, os atacantes usam dados de senha vazados ou roubados de contas reais para tentar logins. Por outro lado, os ataques de força bruta envolvem adivinhar senhas comumente usadas e dicionários de frases de senha comuns.

Os atores de ameaças de preenchimento de credenciais sabem que possuem credenciais genuínas e apenas precisam encontrar uma conta correspondente. Em contraste, aqueles que tentam ataques de força bruta não têm contexto sobre as credenciais corretas de seus alvos, tornando esses ataques dependentes de sorte cega ou senhas fáceis de adivinhar. Apesar disso, sendo um jogo de números, o preenchimento de credenciais pode ser altamente lucrativo com a automação.

O impacto do preenchimento de credenciais

As vítimas de ataques de preenchimento de credenciais enfrentam o risco de roubo de dados sensíveis, danos à reputação financeira e possível roubo de identidade. As consequências desses ataques incluem:

1. Contas comprometidas: Os atores de ameaças podem instalar spyware, roubar ou destruir dados, ou se passar pelo titular da conta para enviar spam ou lançar ataques de phishing em outros alvos.

2. Vazamentos de dados: Os atacantes muitas vezes visam instituições financeiras ou alvos governamentais de alto valor, vendendo os dados roubados em mercados online ilícitos para ladrões de identidade e gangues motivadas politicamente.

3. Bloqueios de conta: Tentativas excessivas de login falhadas podem acionar o sistema de segurança da sua conta para bloqueá-lo, potencialmente interrompendo seus negócios ou limitando o acesso a contas cruciais, como e-mail ou banco.

4. Demandas de ransomware: Grupos de hacking patrocinados pelo Estado podem assumir o controle de uma instalação de infraestrutura crítica ou grande empresa para exigir um pagamento de resgate.

5. Aumento dos riscos de cibersegurança: As credenciais de usuário roubadas podem ser usadas para ataques futuros, colocando as vítimas e quaisquer partes estreitamente relacionadas em maior risco após a violação inicial.

6. Impacto negativo na reputação do negócio: Uma violação de uma empresa pode minar significativamente a confiança do consumidor. Quando milhares ou milhões de usuários percebem uma ameaça aos seus dados privados, isso pode custar uma empresa no mercado de ações. O custo médio de uma violação de dados em 2022 foi de US$ 4,35 milhões.

Exemplos recentes de preenchimento de credenciais

• Grande Empresa de Vestuário ao Ar Livre, julho de 2022: Cibercriminosos usaram preenchimento de credenciais para atingir esta empresa de vestuário de recreação ao ar livre, comprometendo quase 200.000 contas de clientes e expondo detalhes como nomes, números de telefone, gênero, histórico de compras, endereços de cobrança e pontos de fidelidade.

• Grande Empresa de Processamento de Pagamentos, dezembro de 2022: Este ataque impactou quase 35.000 contas de usuários, expondo nomes, números de seguridade social e números de identificação fiscal, embora nenhuma transação não autorizada tenha sido relatada.

• Rede Proeminente de Fast Food, janeiro de 2023: ** A rede de fast-food confirmou uma violação que acessou mais de 71.000 contas de clientes. Os atores de ameaças realizaram um ataque de preenchimento de credenciais por vários meses, obtendo acesso aos saldos de recompensa dos clientes, potencialmente endereços físicos e os últimos quatro dígitos dos cartões de crédito dos clientes.

Contramedidas contra ataques de preenchimento de credenciais

O setor financeiro viu um aumento significativo nos ataques de preenchimento de credenciais, com um crescimento ano a ano de 45% relatado em 2022. À medida que as empresas se expandem e atraem uma base de usuários maior, elas se tornam alvos cada vez mais atraentes para cibercriminosos. Para combater essa ameaça crescente, as equipes de segurança podem implementar várias contramedidas.

A implementação da autenticação multifator (MFA) pode fornecer uma camada adicional de segurança, tornando mais difícil para os atores de ameaças obter acesso não autorizado às contas. Apesar das violações recentes experimentadas por alguns gerenciadores de senhas populares, essas ferramentas continuam sendo um pilar da segurança digital moderna e devem ser utilizadas.

Promover melhores práticas de senha é crucial. As equipes de segurança devem adotar uma postura proativa na eliminação da reutilização de senhas, desencorajar o compartilhamento de códigos e aconselhar contra a escrita de informações de login em papel. Essas medidas podem reduzir significativamente a probabilidade de ataques internos.

Atores mal-intencionados podem construir um exército de bots automatizados

Pesquisadores de segurança da Microsoft descobriram uma campanha de phishing em larga escala que usa técnicas de proxy HTTPS para sequestrar contas do Office 365. O ataque é capaz de contornar a autenticação multifator (MFA) e atingiu mais de 10.000 organizações desde setembro de 2021.

O monitoramento consistente das tentativas de login pode ajudar a identificar e frustrar atividades fraudulentas. Se um pico repentino nas tentativas de login ou padrões incomuns for detectado, a equipe de segurança pode bloquear o endereço IP associado e alertar os usuários legítimos sobre a tentativa de hackeamento.

Outro mecanismo de defesa eficaz é a limitação de taxa (rate-limiting). Essa estratégia impede que bots maliciosos façam tentativas excessivas de login rapidamente, efetivamente estagnando o progresso dos ataques automatizados.

Monitorar a dark web pode manter as equipes de segurança um passo à frente das ameaças cibernéticas emergentes. Ao manter um olho nas coleções de nomes de usuário e senhas disponíveis na dark web, as vulnerabilidades podem ser reforçadas antes que um ataque ocorra.

As equipes de segurança têm a responsabilidade de proteger e educar os usuários. Atores mal-intencionados podem construir um exército de bots automatizados que executam milhares ou milhões de solicitações de login fraudulentas diariamente. Para combater essa ameaça crescente, os usuários devem ser incentivados a adotar boas práticas de senha e usar gerenciadores de senhas confiáveis. No entanto, a principal responsabilidade pela proteção de dados recai sobre as equipes de segurança de sites e provedores de aplicativos. Uma abordagem multifacetada combina controle de acesso robusto, monitoramento de ameaças e salvaguardas de limitação de taxa para interromper o ciclo de ataque e manter os atores de ameaças afastados. Em última análise, a defesa mais potente é construída sobre a educação e o fomento de uma cultura de segurança.

A Microsoft recomenda que as organizações configurem políticas para monitorar regras de caixa de entrada que possam ter propósitos suspeitos ou para acionar alertas para quantidades incomuns de eventos de acesso a e-mails por endereços IP ou dispositivos não confiáveis.