A Austrália registrou, nos últimos 12 meses, uma queda de 18% nos incidentes de crimes cibernéticos direcionados a grandes corporações, segundo dados divulgados pelo Australian Cyber Security Centre (ACSC). A melhora foi atribuída a um conjunto de medidas institucionais – desde a adoção de frameworks de segurança baseados em NIST até a implementação de leis mais rigorosas, como o Security Legislation Amendment (Critical Infrastructure) Act. Contudo, a mesma análise aponta que as pequenas e médias empresas (PMEs) do país passaram a ser o principal alvo dos criminosos, que buscam vulnerabilidades menos custosas de explorar.

O relatório da DarkReading, publicado em junho de 2024, destaca que o foco dos atacantes mudou de setores altamente regulados, como finanças e saúde, para negócios com menos recursos de segurança. Entre 2023 e 2024, 62% dos ataques relatados contra PMEs envolveram ransomware, enquanto 48% foram tentativas de phishing sofisticado. O aumento de 27% no número de incidentes reportados por empresas com menos de 200 funcionários sinaliza que a pressão sobre esse segmento está crescendo rapidamente.

Para o Brasil, a situação tem implicações diretas. Assim como na Austrália, o país tem avançado na consolidação de normas de segurança, especialmente após a Lei Geral de Proteção de Dados (LGPD) e a recente aprovação da Estratégia Nacional de Cibersegurança (ENCS). No entanto, a maioria das PMEs brasileiras ainda não dispõe de políticas formais de segurança da informação, nem de equipes dedicadas. Dados da Associação Brasileira das Empresas de Software (ABES) indicam que apenas 22% das micro e pequenas empresas adotam soluções de proteção avançada, como EDR (Endpoint Detection and Response) ou firewalls de próxima geração. O risco de que essas organizações se tornem o ponto de entrada para ataques a cadeias de suprimentos – assim como ocorreu em incidentes recentes envolvendo fornecedores de serviços de TI – aumenta consideravelmente, expondo dados de consumidores e parceiros comerciais a violações que podem gerar multas sob a LGPD.

A mudança de foco dos cibercriminosos para as PMEs também tem repercussões econômicas. No Brasil, o custo médio de um ataque de ransomware para uma pequena empresa chegou a R$ 450 mil em 2023, segundo pesquisa da Kaspersky. Esse valor inclui o pagamento do resgate, interrupção de atividades e custos de recuperação. Quando combinados com possíveis sanções da Autoridade Nacional de Proteção de Dados (ANPD) por falhas na proteção de dados pessoais, os impactos financeiros podem ser devastadores, levando muitas empresas ao fechamento.

Do ponto de vista técnico, a estratégia adotada pela Austrália baseia-se em três pilares: (1) consolidação de normas de segurança obrigatórias para infraestruturas críticas, (2) incentivos fiscais e subsídios para que empresas de grande porte invistam em tecnologias de detecção avançada, e (3) compartilhamento de inteligência de ameaças entre agências governamentais e o setor privado. O ACSC criou um portal de Threat Intelligence que distribui indicadores de comprometimento (IOCs) em tempo real, permitindo que as organizações atualizem suas regras de bloqueio de forma automatizada. Além disso, a exigência de relatórios de incidentes dentro de 24 horas aumentou a capacidade de resposta coordenada.

Para as PMEs, a falta desses recursos significa que elas dependem mais de soluções de segurança de terceiros e de boas práticas internas. Muitos ataques exploram falhas simples, como credenciais fracas, ausência de patches em sistemas operacionais ou uso de softwares desatualizados. Phishing ainda é o vetor mais eficaz, pois os e‑mails maliciosos conseguem enganar usuários que não recebem treinamento adequado. Quando o ataque evolui para ransomware, os invasores costumam usar ferramentas de criptografia de código aberto, como o Cerberus, que são fáceis de obter e configuram-se rapidamente em ambientes vulneráveis.

A análise técnica do cenário revela que a migração de ataques para PMEs não é aleatória. Criminosos utilizam plataformas de Crime-as-a-Service (CaaS) que oferecem kits de ransomware por assinatura, permitindo que operadores com pouca experiência técnica lancem campanhas em massa. Essas plataformas também disponibilizam serviços de “phishing‑as‑a‑service”, com modelos de e‑mail já otimizados para contornar filtros de spam. A automação desses processos reduz o custo operacional dos criminosos, tornando o ataque a pequenas empresas tão lucrativo quanto a grandes corporações.

Diante desse panorama, a recomendação imediata para empresas brasileiras de pequeno e médio porte é adotar um programa básico de segurança em três frentes: (1) implementar autenticação multifator (MFA) em todos os acessos críticos, (2) manter um ciclo rígido de atualização de patches – incluindo sistemas operacionais, aplicativos de escritório e softwares de gestão – e (3) contratar um serviço de monitoramento de segurança gerenciado (MSSP) que ofereça detecção de ameaças em tempo real e resposta a incidentes. Essas medidas, embora simples, reduzem significativamente a superfície de ataque e aumentam a velocidade de contenção caso um incidente ocorra.

Nos próximos dias, espera‑se que a Autoridade Nacional de Proteção de Dados (ANPD) publique diretrizes específicas para a proteção de PMEs, alinhadas ao modelo australiano de compartilhamento de inteligência. Além disso, especialistas preveem o surgimento de novos programas de incentivo fiscal para a aquisição de soluções de EDR por pequenas empresas, visando equilibrar o campo de batalha cibernético. Enquanto isso, a comunidade de segurança brasileira deve intensificar a troca de informações sobre indicadores de comprometimento e boas práticas, para que o risco de “deslocamento” de ataques não se torne uma realidade ainda maior.

Fonte: DarkReading