O roubo de credenciais, conhecido como 'account takeover' (ATO), tornou-se uma das ameaças cibernéticas mais insidiosas. Quando um invasor consegue comprometer uma conta de e-mail legítima, ele pode se passar por um indivíduo ou organização confiável sem disparar alertas de segurança tradicionais. Essa falha na segurança de e-mail permite que o cibercriminoso cause estragos, com objetivos que variam desde roubo de dinheiro e expropriação de dados sensíveis até a propagação de malware catastrófico, resultando em perdas financeiras significativas e danos à reputação corporativa.
O Novo Ciclo de Ataque: Stealth e IA
O ciclo típico de ATO começa com a obtenção de credenciais, geralmente por meio de phishing. A inteligência artificial generativa (GenAI) simplificou drasticamente a tarefa de enganar indivíduos para que revelem dados de login. Ataques podem simular colegas ou partes confiáveis, ou direcionar vítimas para páginas de login falsas. Contudo, o perfil do invasor moderno mudou. Em vez de agir imediatamente após o comprometimento, o atacante atual adota uma postura mais furtiva. "Convencionalmente, os atacantes assumiam uma conta e imediatamente começavam a disparar spam e phishing", observa Dave Baggett, SVP de Cibersegurança da Kaseya. "Agora, eles estão começando a ficar espertos. Eles obtêm acesso a uma conta e ficam quietos, observando todo o tráfego de e-mail e esperando o momento oportuno para se inserir na conversa."
Essa observação atenta permite que os criminosos compreendam os pontos fracos da organização e planejem um ataque mais direcionado. Uma vez que compreendem a dinâmica interna, eles começam a usar a conta comprometida para atingir outros funcionários e sistemas internos. Se o objetivo for financeiro, podem buscar acesso a bancos de dados de folha de pagamento ou faturamento. O alvo final, no entanto, pode ser ainda mais distante, envolvendo clientes e fornecedores, o que representa um pesadelo para a segurança da informação.
Ataques de Saída e a Vulnerabilidade de Terceiros
O chamado 'outbound phishing' (phishing de saída) oferece ao criminoso uma maneira de controlar uma nova gama de pontos finais sensíveis. Vítimas desse tipo de ataque são altamente vulneráveis a mensagens que parecem vir de um parceiro confiável. Embora uma organização possa proteger suas próprias contas de e-mail com controles robustos como autenticação multifator (MFA), ela não tem controle sobre as práticas de autenticação de terceiros. "Digamos que temos um cliente que estamos protegendo", explica Baggett. "Eles estão seguros, mas imagine que eles comecem a receber e-mails suspeitos de um terceiro. Nosso cliente não tem ideia do que protege ou não esse terceiro. E-mails vindos dessa fonte podem parecer de uma conta real, mas pode ser um hacker digitando-os."
A incapacidade de verificar as práticas de segurança de organizações terceirizadas exige soluções mais sofisticadas do que a segurança de e-mail regular. Idealmente, uma solução baseada em GenAI que utilize a compreensão de linguagem para examinar históricos de conversas em profundidade pode identificar anomalias. A situação se agrava quando o invasor assume a identidade de um executivo sênior, aproveitando a confiança e a reputação pré-existente. Sistemas de filtragem convencionais, muitas vezes configurados para permitir comunicação de pessoal sênior com menos atrito, podem inadvertidamente facilitar esses ataques, tornando os funcionários menos propensos a questionar mensagens de seus líderes, mesmo que as solicitações pareçam incomuns.
A IA como Ferramenta de Defesa e Integração
A pressão recai não apenas sobre os departamentos de TI, mas também sobre os Provedores de Serviços Gerenciados (MSPs) que protegem múltiplas organizações, muitas das quais com pouca ou nenhuma expertise interna em segurança. A Kaseya, por meio de sua ferramenta INKY, uma solução de análise de e-mail baseada em GenAI, busca combater essa ameaça. INKY vai além da segurança de e-mail tradicional, utilizando técnicas como perfilamento avançado de remetente, estilometria e aprendizado de máquina para detectar sinais sutis de infiltração. A ferramenta é capaz de identificar inconsistências entre os padrões de escrita de um funcionário legítimo e o tom ligeiramente desconhecido de uma mensagem falsa, detectando anomalias contextuais que expõem um e-mail forjado, mesmo que os cabeçalhos pareçam autênticos.
INKY é particularmente eficaz contra ATO de terceiros, construindo e mantendo perfis detalhados de remetentes confiáveis com base em características técnicas e comportamentais. Ao longo do tempo, a ferramenta aprende o que é "normal" e pode identificar quando um e-mail de terceiros não corresponde ao perfil estabelecido de um remetente. Em caso de um ataque bem-sucedido, a contenção do dano vai além de bloquear uma conta suspeita. Uma identidade comprometida pode já ter aberto brechas em aplicativos SaaS conectados, armazenamento em nuvem e ferramentas de colaboração, ampliando a zona de impacto. Ambientes de TI modernos, com múltiplos pontos de identidade e acesso, tornam-se um campo fértil para intrusos com credenciais legítimas. A GenAI permite que os invasores tratem esses ecossistemas impulsionados por SaaS como uma única superfície de ataque.
Unificando Defesas para um Ecossistema Complexo
Uma defesa que depende de um conjunto fragmentado de ferramentas individuais, cada uma focada em um desafio específico, torna-se insuficiente. É aqui que a integração entre INKY e Kaseya SaaS Alerts, uma plataforma de detecção e resposta baseada em nuvem, se torna crucial. Quando INKY detecta um e-mail sequestrado, ele isola o usuário e bloqueia o envio de e-mails de saída. Em seguida, envia um evento para SaaS Alerts, que pode bloquear o acesso do usuário em todo o restante da infraestrutura. Essa parceria automatiza a detecção de ameaças em tempo real em ecossistemas SaaS complexos, permitindo que ações corretivas sejam tomadas rapidamente. "Isso significa que, se virmos e-mails suspeitos saindo, podemos desativar a conta e tomar outras medidas corretivas", afirma Baggett. "Quanto mais você entende o significado do e-mail, mais você pode capturar."
A batalha contra o ATO é contínua, exigindo inovação constante. A IA, embora uma arma perigosa nas mãos de atacantes, também se mostra uma ferramenta poderosa para defensores. A chave está em utilizá-la de forma inteligente. Baggett sugere que a indústria de segurança está apenas começando a usar modelos de IA para prever vulnerabilidades e prevenir problemas antes que ocorram. Um passo preliminar essencial é garantir que os diversos componentes de segurança possam compartilhar informações em tempo real, como a integração entre INKY e SaaS Alerts. O próximo passo é um camada de dados unificada onde qualquer componente de segurança possa publicar eventos e qualquer outro componente possa se inscrever. "Continuaremos a fazer mais integrações desse tipo ao longo do tempo", promete Baggett. "Também estamos construindo uma capacidade centralizada para IA. Com tantos componentes diferentes tendo sua própria IA, você precisa de uma plataforma subjacente. Temos também um serviço de consultoria com especialistas em Machine Learning para criar modelos personalizados para diferentes tarefas. Não há tempo para dormir no trabalho. O volume de ataques claramente vai aumentar."
Com reportagem de Brazil Valley
Source · The Register
