O Mercado da Insegurança

*** artigo publicado na revista RTI edição de Agosto 2014 ***

Quando ouvimos que a rede Americana Target foi invadida e 40 milhões de cartões de pagamento roubados, ou que uma nova fraude para desviar pagamentos de boletos foi descoberta, com potencial de perdas de até 4 bilhões de dólares, estamos tratando de números e valores extremamente elevados porém bastante incertos. Estão corretos? Qual seria então o montante? Qual o tamanho do mercado negro do crime cibernético? Como ele é formado e estruturado? Conhecer e estimar seu tamanho é mais do que simples curiosidade, pois sabemos que os ganhos financeiros são o maior motivador dos grupos criminosos. Assim conhecer melhor esse motivador nos ajuda a entender melhor nossos inimigos e seu potencial. Há anos empresas e institutos especializados em segurança tentam quantificar os prejuízos, mas infelizmente os diversos relatórios apontam valores bem diferentes, e não apenas por questões de metodologia, trazendo ainda mais dúvida.
Um estudo da RAND Corporation publicado em Março desse ano - Markets for Cybercrime Tools and Stolen Data (Mercado para as ferramentas de crime cibernético e dados roubados) tenta por um pouco de ordem na discussão. Não tive o tempo ou mesmo os recursos para validá-lo, mas o relatório está muito bem organizado. Outro artigo bem interessante foi publicado no site da ZDNet com o título de Hackonomics: Cybercrime's cost to business (Hackonomics: o custo do crime cibernético para os negócios).  No artigo a autora comenta e analisa os valores conflitantes de vários relatórios, como o de 2009 do Center for Strategic and International Studies, o qual cita prejuízos globais de 1 trilhão de dólares, mais tarde contestado por relatório do mesmo instituto, publicado em 2013, com valores que chegam até 400 milhões de dólares. Uma diferença significativa!
Como o estudo alerta, o uso da palavra “mercado” não é apenas por figura de linguagem. No seu inicio até meados da década passada a atividade hacker era simbolizada por um individuo jovem sentado em sua casa enquanto invadia sistemas pelo mundo. Esse modelo evoluiu para o que vemos hoje: grupos organizados no desenvolvimento e comercialização de ferramentas de invasão atuando como suporte a quadrilhas com funções definidas, um mercado negro estruturado na comercialização de kits de invasão e ferramentas, investimento constante em inovação e orçamentos superiores ao de muitas empresas em segurança de TI. É que se pode chamar de profissionalização da atividade. Esse mercado negro de produtos possui ainda características muito similares ao mercado legal de informática. Programas vendidos com planos de manutenção e suporte técnico, versões, soluções completas com funções disponíveis em nuvem, entre outros. Ainda de acordo com o relatório, 80% dos seus participantes fazem parte de algum grupo enquanto os 20% restantes são indivíduos, freelancers, como chamados no estudo.
A análise dos preços e modalidades de venda mostra o potencial desse mercado. É comum para leigos pensar que os hackers ainda invadem sites para usar o cartão de crédito de terceiros em beneficio próprio, porém as opções de faturamento também se multiplicaram. Há grupos que se especializaram em apenas vender ferramentas de ataque (exploits) e vulnerabilidades dia-zero, essas as mais valorizadas, com preços que ultrapassam os duzentos mil dólares, variando de acordo com plataformas afetadas e claro o impacto potencial. Outros se especializaram com o front, ou seja, executam a invasão visando o roubo de dados e posterior venda. Essa sofisticação do mercado é comprovada pela variedade de produtos e serviços vendidos, além dos kits de invasão, exploits ou vulnerabilidades dia-zero. Tomemos por exemplo alguém que queira realizar um ataque DDoS e precise alugar computadores zumbis de uma botnet. Esse serviço está disponível. Ou então um novato que conseguiu roubar determinada quantidade de cartões de crédito e quer vende-los. Há marketplaces especializados oferecendo também a lavagem do dinheiro. Tudo, claro, virtual. Não é a toa que essa é uma das atividades ilegais que mais cresce no mundo. Um dado impressionante no relatório da RAND é a taxa de inovação, ou seja, de lançamento de novos produtos, ou kits de invasão.  Em 2006 foi identificado apenas um kit de completo de invasão lançado, numero que aumentou para 33 em 2013, além de 44 atualizações de kits lançados nos anos anteriores.
Mas há ainda outros fatores que impulsionam esse crescimento. Há pelo menos duas décadas os negócios estão migrando continuamente para o mundo digital, usando ou não a Internet. O crime ao migrar está apenas seguindo o dinheiro, em uma atividade com muito mais vantagens que a do “mundo real”. Primeiro não há fronteiras, o que significa que uma quadrilha pode atuar em qualquer país do globo, não importando onde está baseada. Segundo, os riscos físicos são infinitamente menores. Ninguém levará um tiro pela Internet. Terceiro, o alcance é incomparável. Quantas pessoas um criminoso comum pode roubar em um dia? Por mais que roube um restaurante cheio não irá se equiparar a alguém que infiltrou um código malicioso em uma página web acessada por milhões de pessoas, e que certamente irá funcionar para alguns milhares. Outro fator é a maior facilidade e menor risco para ingressar nesse ramo de atividade ilegal. É sabido que grupos vendem kits completos de invasão via plataformas de comercio eletrônico, utilizando alguma forma de dinheiro virtual para pagamento, em um modelo não muito diferente de e-commerce que estamos acostumados.
Os pesquisadores chegaram a conclusão que o crime cibernético pode ser mais lucrativo que o das drogas ilegais.  É possível. A produção e o tráfico de drogas requerem uma estrutura física impressionante enquanto no mundo virtual tudo é mais simples. Mesmo que esses tipos de pesquisa não sejam conclusivos é importante para todos compreender mais com quem estamos lidando. Em segurança da informação há muita novidade disputando nossa atenção e é fácil perder o foco. É essencial voltar sempre a ele.

= atualização 06/04/2015 =
Na lista abaixo podemos ter alguma ideia de quanto se ganha por “produto”, em dólares americanos. A lista foi preparada pela RSA em parceria com o portal CBNC:
• Número de Seguro Social (seria o CPF em nosso caso): $1
• DDoS como serviço: ~$7/hora
• Registro médido: >$50
• Dados de cartão de crédito: $0,25 a $60
• Dados de contas bancarias: >$1000 dependendo do tipo e saldo da conta
• Malware para dispositivos móveis: $150
• Spam: $50 por 500 mil e-mails
• Desenvolvimento de Malware para venda: $2500
• Exploits: de $1000 a $300 mil
• Conta no Facebook: $1 para uma conta com 15 amigos

CEO perde o emprego por causa de invasão

O CEO da Target, rede de supermercados norte-americana, perdeu o emprego em virtude da invasão que a empresa sofreu. Veja em http://www.bostonglobe.com/business/2014/05/05/target-ceo-out-wake-big-security-breach/QZtybyZXH85dmrXOS2ePjK/story.html

Eu comentei a invasão em artigo aqui no blog: http://segdigital.blogspot.com.br/2014/04/a-invasao-na-target-e-o-que-podemos.html

A invasão na Target e o que podemos aprender com ela

*** artigo publicado na Revista RTI - Março/2014 ***

A cada desastre aéreo a industria aeronáutica investiga suas causas e eventuais erros para que eles nunca se repitam e causem novas tragédias, o que no final faz com que a segurança aérea esteja sempre se aperfeiçoando. Infelizmente o mesmo não acontece com a nossa indústria de TI. Nós, especialistas em segurança, teimamos em focar nossa atenção e nos deslumbrar com ataques hipotéticos e ataques antigos com nomes novos. Técnicas aperfeiçoadas de invasão – o que é absolutamente esperado em se tratando de tecnologia – são anunciadas e discutidas como se fossem um novo tipo de ataque para o qual nenhum dos produtos instalados e procedimentos adotados surtisse efeito. Assim ações básicas e simples são desprezadas, afinal “elas não servem de nada contra os novos ataques”. O resultado inevitável são brechas e prejuizos.

Mas nada melhor que um choque de realidade para ilustrar essa discussão. No fim de 2013 a rede de hipermercados Target nos Estados Unidos permitiu que cerca de 40 milhões de cartões de crédito e débito fossem roubados, em um prejuizo que por enquanto está sendo calculado em 400 milhões de dolares. Como  a vasta maioria dos ataques, conforme demonstrado por pesquisas sérias como a da Verizon no ano passado, esse também não foi sofisticado e provavelmente seus autores não estavam mirando na rede de supermercados quando iniciaram suas varreduras. A causa do ataque foi um erro banal de controle de acesso à rede e autenticação, confirmando um dos resultados da pesquisa que afirma que mesmo os ataques mais sofisticados se iniciam com um ataque de baixa complexidade, facilmente evitável. Mas nesse caso sabe-se que o malware usado pode ser comprado por dois mil dolares, e não é assim tão sofisticado.

Para o leitor que não acompanhou, em Novembro do ano passado invasores instalaram um malware na rede dos equipamentos POS (ponto de venda) que processam o pagamento via cartões de crédito e débito. Através do malware os dados dos cartões foram copiados e transferidos para servidores em outros países, incluindo o Brasil. O ataque ocorreu justamente antes do feriado de Thanksgiving e da famosa Black Friday quando milhões de pessoas correm aos estabelecimentos para se aproveitar das ofertas. O acesso à rede se deu via um provedor externo de manutenção de ar condicionado, supostamente com acesso a fim de monitorar a temperatura e funcionamento dos equipamentos de refrigeração. Os criminosos roubaram a senha da empresa, obtiveram livre acesso à rede da Target e implantaram um malware nos equipamentos de ponto de venda. Tiveram tempo suficiente para testar primeiro em alguns antes de instalar em todos os POS. Com certeza não esperavam da vítima nenhum tipo de monitoração. Como de praxe o problema foi detectado bem depois.

Como esse ataque poderia ser evitado é também uma boa discussão. Analisando o caso há claramente três erros. O primeiro deles foi não segmentar a rede isolando um pedaço crítico como o que abriga os equipamentos de ponto de venda. De maneira alguma eles poderiam compartilhar a mesma rede dos equipamentos de ar-condicionado. Segundo foi não utilizar autenticação de dois fatores, usando token por exemplo, para o acesso externo. Como é impossivel garantir que senhas sejam mantidas em sigilo todo o tempo, a autenticação de vários fatores aumenta em muito os níveis de segurança. E hoje até celulares se converteram em tokens, reduzindo consideravelmente os custos de implantação. Por fim, a transmissão FTP estava permitida de qualquer dispositivo da rede interna para qualquer servidor na Internet. A tranferencia de dados deve ser controlada em qualquer empresa, e a grande maioria dos usuários não requerem o uso de FTP, ainda mais equipamentos de ponto de venda. Dessa forma se a rede estivesse corretamente segmentada, se um sistema forte de autenticação estivesse implementado e se a transferencia de dados por FTP estivesse controlada a invasão não aconteceria ou ao menos seria muito mais complicada.

É claro que um sistema anti-malware poderia detectar detectar e anular o código malicioso, mas isso também é incerto, e tecnologias avançadas servem para aumentar o nível de segurança e não remendar falhas. Ter uma tecnologia dessas instalada não anula a necessidade dos cuidados básicos que listei acima. Uma vez que eles estejam implementados deve-se buscar produtos que reduzam ainda mais a janela de oportunidade dos invasores. Outra tecnologia que poderia ser muito útil é a de monitoração do comportamente de rede, que iria detectar a transferencia de dados como suspeita. Nesse caso por exemplo, os dados foram transferidos para servidores na Russia, leste europeu e Brasil. Mesmo a análise de logs dos firewalls ou roteadores já poderia indicar a transferencia suspeita para um país para o qual a empresa não possui conexões como parceiros, clientes ou fornecedores.

Não sou contrário à instalação de produtos de nova geração ou de novas tecnologias de segurança, nem acho que advanced persistent threads (APT) não existem. O que não concordo é a generalização de que todos os ataques hoje são extremamente sofisticados e portanto tudo o que temos não serve mais. Encontrei empresas que estão abrindo todas as conexões nos firewalls porque as camadas de seu firewall de próxima geração “irão detectar se algum ataque ocorrer”. Isso é um grande erro. O mundo real tem muito menos glamour do que gostariamos. Na vasta maioria das vezes nossas empresas não serão invadidas pela NSA ou por grupos altamente organizados manuseando seus próprios malware e vulnerabilidades dia-zero. Os ataques ainda acontecem por oportunidade, e os alvos ainda são escolhidos por seu nível de fragilidade. Os invasores ainda tentam usar primeiro técnicas simples como descobrir uma senha, enviar um email e usar engenharia social. Assim, segurança eficiente ainda se faz com trabalho árduo, atenção aos detalhes e respeito às boas práticas. Por fim, produtos de segurança e sistemas e aplicação ainda precisam ser bem instalados e administrados.