Segurança

A ameaça do e-mail à segurança em TI nas empresas

Do conjunto de ameaças digitais que as empresas têm que lidar, uma tem tirado muitas noites de sono do pessoal de TI – o serviço de e-mail!

A razão é simples. Esse indispensável instrumento para os negócios, é responsável por parcela considerável dos problemas que ameaçam a segurança cibernética!

Entender os porquês, é passo importante na busca por soluções e é sobre isso que vamos conversar hoje.

Por que o e-mail ameaça a segurança cibernética?

O e-mail ainda é uma ferramenta extremamente presente no quotidiano das empresas, especialmente nas maiores, mas é também uma das principais portas de entrada para as ameaças digitais.

Ano a ano, cresce o volume de mensagens de e-mail enviadas e recebidas, como também cresce o uso de phishing associado a esse serviço, como instrumento para o cometimento dos mais variados delitos digitais.

Os dados estatísticos relacionadas ao phishing, no ano de 2024, revelam números preocupantes:

57% das empresas enfrentam golpes de phishing, semanal ou diariamente;
O principal método para iniciar um golpe online, é o phishing, respondendo por 41% dos incidentes;
80% dos mais variados problemas de segurança digital, são atribuídos ao phishing;
Segundo a Cloudflare, os links maliciosos são o principal método usado, representando 36% das ameaças;
O e-mail spoofing, que é quando se fazem passar por empresas conhecidas (Microsoft, Google e Amazon), constitui 51,7% das mensagens fraudadas;
35% dos ataques de ransomware, originaram-se pelo envio de e-mails de phishing;
As instituições financeiras são o principal alvo de 23% e 22,3% são destinados às redes sociais e diferentes serviços Web;
O roubo de dados de autenticação (usuário / senha), é o objetivo mais comum dos ataques de phishing;
No terceiro trimestre de 2023, foram identificados 493,2 milhões de ataques de phishing, um aumento de 173% em relação ao segundo trimestre do mesmo ano;
O nome mais usado em links maliciosos em 2023, foi do Facebook;
89% das mensagens maliciosas, não foram barradas pelos métodos de segurança SPF, DKIM e DMARC;
Cliques em links maliciosos, representam 35,6% dos ataques de phishing, tornando-os o principal método de entrega;
Anexos como PDFs ou QR Code, que são mais difíceis de detectar, constam em 50% dos e-mails de phishing;
6,5% dos usuários foram enganados por simulações de vishing (phishing por voz), indicando a necessidade de treinamento e conscientização do usuário em cibersegurança;

Por que o e-mail phishing é tão eficiente?

Quem não conhece muito sobre o assunto, costuma perguntar qual a razão desse tipo de fraude digital ser tão eficiente.

Não há só uma razão, mas alguns fatores que faz o phishing ser tão eficiente.

1. Fator humano

Costuma-se dizer que a força de uma corrente é determinada pelo seu elo mais fraco.

Se imaginarmos que o papel da cibersegurança nas empresas, é assegurar de modo equilibrado o cumprimento das políticas de segurança em TI, a eficiência dos softwares responsáveis pela segurança de outros sistemas (ex: firewall, antivírus, VPN, etc), os respectivos dados, a infraestrutura (rede de computadores, dispositivos, etc), bem como os usuários, o ele mais frágil é o usuário e que frequentemente é explorado pelos crackers (hackers do mal).

Para tanto, o criminoso virtual emprega engenharia social, explorando características humanas, como as esferas de relacionamentos, as afinidades entre as pessoas, o senso de colaboração, o desconhecimento de determinados assuntos, a curiosidade, a ambição ou a vaidade, entre outros, para enganar o usuário.

2. Inteligência artificial

Os ataques de phishing baseados em inteligência artificial, são cada vez mais comuns, graças ao grande número de modelos de IA generativa.

Essas IAs têm sido usadas, seja para elaborar o software malicioso (malware) que geralmente é distribuído, seja para refinar o conteúdo das mensagens.

Se antes eram comuns erros grosseiros na gramática e até na semântica, com o apoio de modelos que se apoiam no processamento de linguagem natural, os conteúdos agora parecem legítimos e mais difíceis de serem identificados como suspeitos.

Do ponto de vista do desenvolvimento, também ficou mais fácil, porque é possível criar diferentes malwares e assim, dificultar a ação dos sistemas de proteção mais eficientes, que em poucas horas são capazes de criar “vacinas”.

3. Ação global

Os criminosos estão distribuídos globalmente, o que significa que as ameaças podem vir de todos os lados.

Soma-se a isso, o fato de que se um grupo é identificado e preso, outros continuam atuando.

Por fim, mas não menos importante, não há uma legislação internacional e única de combate ao crime cibernético, nem cooperação entre países, impedindo que as autoridades alcancem os criminosos em outros países.

Por que ainda usar o e-mail?

Nesse ponto, alguns podem perguntar: “Por que ainda usar o e-mail, quando há outras alternativas?”.

Sim, de fato, há diferentes alternativas de comunicação digital, como por exemplo, o WhatsApp e o Telegram, para citar apenas as mais populares. Mas apesar do surgimento e popularização de uma série de serviços que poderiam substituir o correio eletrônico, nenhuma alternativa conseguiu superar ou mesmo, equiparar algumas das vantagens de um dos serviços mais antigos da Internet.

Há características e vantagens do e-mail para as exigências corporativas, que as demais ferramentas não atendem tão bem:

Protocolos comerciais – há muitas situações e convenções nas quais o uso do e-mail é necessário, como no caso de documentação de mensagens sensíveis / importantes. Além disso, não é razoável imaginar o envio de uma proposta comercial para uma grande empresa, usando o “Zap”;
Administração – os clientes de e-mail favorecem uma melhor administração das mensagens enviadas e recebidas, em vários aspectos, como a criação de pastas, a localização, os filtros de e-mail que automatizam ações, recursos que as alternativas não oferecem;
Backup – o backup regular das mensagens das contas de e-mail, é fundamental no ambiente corporativo, algo que é simples no caso do e-mail, mas nem sempre no caso das alternativas, principalmente por conta do próximo fator;
Autonomia – diferentemente da maioria dos serviços alternativos, o e-mail associado ao seu domínio personalizado não é dependente de um serviço de terceiros, nem tampouco das suas políticas e termos de uso. A empresa tem total acesso às mensagens em qualquer momento e pode ter o serviço rodando até em um servidor local e, portanto, sujeito às suas próprias políticas;
Portabilidade – a empresa pode decidir onde hospedar as contas de e-mail profissionais e as respectivas mensagens, inclusive dentro da sua empresa, desde que disponha do know-how e infraestrutura necessários;
Auditável – graças a aspectos técnicos (como os logs) e algumas ferramentas, é possível submeter a troca de mensagens a auditorias sem depender de um terceiro;
Continuidade – no caso dos serviços alternativos, a continuidade depende das decisões comerciais do fornecedor e até da sua sobrevivência. Muitos serviços do passado, foram descontinuados e empresas foram vendidas ou fechadas;
Transparência – ao não estar sujeito a um serviço de terceiro, não se tem que confiar e ficar restrito às políticas de segurança e privacidade do mesmo.

Como tornar o e-mail corporativo mais seguro?

Por mais que pareça que não, esse aparente impasse, tem sim solução!

Antes porém, é importante fazermos uma importante ressalva: dispor de um ambiente digital 100% seguro, é utopia. O trabalho consiste em reduzir tanto quanto possível os riscos e as ameaças.

Com isso em mente, vamos ao que pode e deve ser feito para tornar o e-mail corporativo mais seguro:

Informação – educar o usuário, que como vimos, é o elo mais fraco da corrente, por meio de treinamentos, cursos, capacitação. É crucial que a informação seja tão clara e objetiva quanto for possível;
Política de segurança – instituir, aprimorar continuamente e fazer saber, uma política de segurança em TI, a qual precisa ser cumprida por todos;
POPs – os procedimentos operacionais padrão, são parte integrante de boas políticas e garantem o que precisa ser feito pelos usuários nas mais diversas situações de uso;
Suporte de TI – contar com profissionais experientes em TI para suporte, é essencial tanto para reagir rapidamente a eventuais incidentes, como para dar suporte aos usuários;
Sistemas de prevenção – embora o usuário conste como o elo mais sensível, há falhas nos sistemas de prevenção (ex: antimalware, firewall, filtros de e-mail, filtros de DNS, etc). É preciso adotar tantos quanto forem possíveis;
Inteligência artificial – os provedores de soluções de segurança, precisam fortalecer seus sistemas com IA de ponta, para aumentar o grau e a velocidade da detecção;
Pentest – as empresas precisam compreender a importância dos pentests na identificação de vulnerabilidades;
Zero trust – adoção de modelos de segurança Zero Trust (Confiança Zero);
ZKP – instituir provas de conhecimento zero (Zero Knowledge Proof ou ZKP) para fortalecer a privacidade e por consequência, a segurança dos sistemas;
ISPs – os melhores fornecedores de serviços de Internet (ISPs), agregam ferramentas de segurança ao serviço, como SpamAssassin, ACLs (Access Control Lists), Boxtrapper, etc, as quais podem reduzir sensivelmente o número de ameaças recebidas.

Conclusão

O e-mail, além ferramenta de comunicação corporativa, é também o maior vetor de ameaças digitais, sendo necessário adotar uma série de medidas preventivas.