Engenharia social vs. sistemas DLP: como proteger sua empresa de vazamentos de dados

Entendendo a engenharia social

O que é engenharia social? Primeiro, vamos analisar o termo com mais detalhe. 

É uma técnica de manipulação e pressão usada por cibercriminosos para enganar funcionários de empresas e obter informações confidenciais usadas em ataques posteriores contra o negócio. O mais comum são as tentativas de obter logins e senhas de acesso a sistemas corporativos. Diferentemente do hacking tradicional, que se baseia em vulnerabilidades técnicas, a engenharia social explora a psicologia humana ou, mais precisamente, a vulnerabilidade das pessoas à pressão, à manipulação, a ajustes emocionais e a outras ferramentas.

Vamos conhecer as táticas da engenharia social.

Phishing. São e-mails ou mensagens fraudulentos que se passam por outros usuários para roubar credenciais ou instalar malware.

Pretexting. É a estratégia de pressionar a vítima usando um cenário falso que a obriga a executar as ações necessárias para burlar a segurança da empresa.

Isca (baiting). Esquema de pressão psicológica que monta uma oferta tentadora, gratuita e exclusiva, disponível apenas para a vítima. Em geral é um software gratuito que acaba se revelando malicioso.

Entrada oportunista (tailgating). É um método de invasão física do perímetro de segurança da empresa em que o fraudador usa a conversa para entrar em uma área restrita logo atrás de um funcionário autorizado.

Vishing. É a pressão sobre funcionários da empresa por meio de ligações telefônicas, em que a conversa provoca a revelação de dados confidenciais.

Smishing. Envio de mensagens de texto fraudulentas para induzir os destinatários a clicar em um link malicioso.

É preciso uma abordagem abrangente de defesa, que inclua maior conscientização dos funcionários sobre as ameaças, treinamentos regulares, simulação de ataques e a criação de procedimentos de segurança rigorosos. É importante implementar políticas de autenticação multifator, de minimização de privilégios e de controle de acesso, além de testes periódicos de resistência a técnicas de engenharia social, como ataques de phishing e recursos de manipulação. 

Além das medidas técnicas e educativas, é possível reduzir significativamente a probabilidade de ataques de engenharia social bem-sucedidos com a ajuda de pacotes de software —  os sistemas DLP (Data Leak Prevention). Essa é uma das poucas soluções de software que efetivamente interrompe a saída de informações do perímetro da empresa.

O papel dos sistemas DLP no combate a ataques de engenharia social

Os sistemas DLP foram criados para impedir o acesso, a transmissão ou o vazamento não autorizados de dados confidenciais da empresa. É uma ferramenta eficaz quando a empresa quer preservar informações confidenciais e reduzir os riscos de sua disseminação em diferentes cenários. A maior parte das táticas dos fraudadores que levarão a uma tentativa de disseminar informações confidenciais será bloqueada pelo sistema DLP.

Por que a ferramenta de Data Leak Prevention é relevante no combate à engenharia social?

1. Adaptabilidade. As políticas de segurança dos sistemas DLP são ajustadas à realidade única de cada empresa. Isso significa que as necessidades de segurança relevantes para aquele negócio específico serão cobertas.
2. Prevenção de riscos. Os sistemas DLP atuam como ferramenta eficaz para prevenir os riscos de disseminação das informações da empresa, inclusive quando a ameaça é provocada por pressão e manipulação externas.
3. Varredura social. Ao monitorar a atividade web dos funcionários com sistemas DLP, os profissionais de segurança da empresa conseguem reagir a contatos frequentes com pessoas de fora do perímetro de segurança, incluindo fraudadores que usam ferramentas de manipulação para obter acesso ou dados sensíveis.
4. Clima da equipe. Algumas políticas de segurança do DLP conseguem detectar um clima negativo na equipe, especialmente se esse clima é alimentado por truques psicológicos e pressão.
5. Análise morfológica. O sistema analisa todas as palavras e formas de palavras definidas nas informações que passam pela rede corporativa. Isso significa que o uso de palavras exclusivas, abreviações, sinônimos e vocabulário específico típico da linguagem coloquial não vai ajudar os fraudadores a burlar as políticas de segurança e enganar o sistema.
6. Mensagens de áudio e vídeo. O sistema analisa não apenas texto, mas também mensagens de áudio e vídeo, o que reduz os riscos do uso desses canais de comunicação.

Você pode saber mais sobre a funcionalidade dos sistemas DLP modernos no exemplo da Anexet, no site.

Ainda que as soluções DLP ofereçam proteção robusta contra vazamentos de dados internos e externos, elas não são sempre eficazes contra ataques de engenharia social. Se um funcionário entregar as credenciais a um atacante, o sistema DLP pode não conseguir impedir o acesso não autorizado.

Como proteger sua empresa de vazamentos de dados: proteção abrangente

Como mencionamos acima, no combate à engenharia social é importante garantir uma proteção abrangente da informação, com medidas de segurança que combinem soluções técnicas e ações voltadas a prevenir incidentes causados por erro humano. Vamos ver mais de perto as medidas, além dos sistemas DLP, que ajudam a reduzir os riscos de vazamento de informações.

Treinamento e conscientização dos funcionários sobre os riscos de divulgar informações na internet

É importante que os funcionários compreendam as ameaças que existem no ambiente online e que eles podem ser tanto vítima quanto fonte de malware. As principais formas de capacitar os funcionários são:

• treinamentos e seminários profissionais sobre como reconhecer e combater ataques às informações da empresa;
• requalificação e aperfeiçoamento profissional dos funcionários, especialmente dos responsáveis pela Segurança da Informação;
• mentoria, tanto pela troca de experiência entre funcionários quanto pela expertise de especialistas externos em cibersegurança;
• testes de conhecimento e correção das lacunas com base nos resultados dos testes, entre outros métodos.

Autenticação multifator (MFA)

O que é autenticação multifator? É uma solução específica que prevê várias etapas de verificação da legitimidade das ações, o que reduz significativamente o risco de acesso não autorizado, mesmo que as credenciais tenham sido comprometidas. Pode ser implementada por confirmação em e-mail, SMS, digitação de código PIN etc.

Controle de acesso e aplicação do modelo de segurança Zero Trust

A necessidade de controle de acesso na empresa deve ser dividida em dois tipos: controle de entrada física e controle de acesso às mídias. Fraudadores que usam a engenharia social como pretexto para entrar na empresa podem explorar qualquer um desses dois tipos de controle de entrada.

O modelo Zero Trust é a prática de minimizar o acesso dos usuários a informações sensíveis, tratando cada solicitação de acesso da mesma forma e concedendo permissões de acordo com o cargo e as responsabilidades corporativas.

Simulação de ataques de phishing

Recomenda-se realizar testes internos de phishing para verificar se o conhecimento dos funcionários sobre a Segurança da Informação da empresa está atualizado. Isso ajuda a identificar funcionários suscetíveis a ataques, que têm lacunas na compreensão da Segurança Corporativa, e a reforçar ainda mais a conscientização deles.

Otimização do uso dos sistemas DLP

Além de instalar e ativar o software de prevenção de vazamento de informações (sistemas DLP), é necessário aperfeiçoar e atualizar regularmente as configurações das políticas de segurança de acordo com a agenda atual da empresa. Isso aumenta a eficácia das políticas aplicadas na detecção de vazamentos de dados. Também será útil implementar respostas automatizadas às ameaças, capazes de reforçar as defesas. Isso inclui a notificação em tempo real dos funcionários responsáveis sobre incidentes por e-mail ou mensageiros, um sistema de resposta na forma de bloqueio da transferência de arquivos e outros recursos.

Plano de resposta a incidentes

Toda empresa deve ter um plano de ação claro e definido para o caso de vazamento de dados. Isso permite reagir rapidamente aos incidentes e minimizar os prejuízos potenciais decorrentes deles. Os funcionários devem saber com quem falar em uma situação assim e quais passos seguir se houver suspeita de vazamento.

Análise comportamental e detecção de anomalias

Quando possível, recomenda-se que as empresas usem algoritmos de IA para analisar o comportamento dos funcionários. Essa medida ajuda a identificar atividades suspeitas, como tentativas de acesso não autorizado ou desvios do comportamento normal de trabalho do funcionário.

Canais de comunicação seguros

Também se recomenda o uso de plataformas de mensagens criptografadas e de VPNs para proteger as comunicações corporativas internas de ataques do tipo man-in-the-middle.

Regras básicas de segurança para os funcionários não virarem vítimas de ataques de engenharia social

Os funcionários devem:

• ter cautela ao receber e-mails inesperados ou pedidos de dados sensíveis;

• confirmar a autenticidade das solicitações por canais oficiais antes de transmitir informações;

• comunicar atividades suspeitas à área de Segurança de TI;

• conhecer as diferentes formas de ataque de engenharia social e como combatê-las.