O cibercrime atinge níveis sem precedentes: 90 milhões de ataques por ano que custam 10,5 biliões de euros

E “todos os dias os bandidos são mais rápidos”, diz Almanzor. Isso é corroborado por Isabel Tristán, Diretora de Segurança da IBM:. “Os cibercriminosos evoluíram e são capazes de realizar ataques de ransomware [secuestro] em menos de três dias, enquanto o tempo médio para as empresas detectá-lo é de sete meses e dois meses para reagir”. A administração da IBM confia que a inteligência artificial aumentará as defesas e permitirá que o tempo médio de investigação seja reduzido para menos de 30 minutos, que agora é de dois dias.

Além de ágeis, os ataques cibernéticos são cada vez mais inovadores: os vetores e as estratégias são cada vez maiores, principalmente aquelas voltadas para o erro humano. caixabanco alertou recentemente de um SMS falso que se incorpora ao histórico de mensagens do banco como se fosse seu e que culmina numa chamada de um suposto gerente da entidade.

Qualquer um, em todos os níveis, é alvo de ataques. Sergio de los Santos, diretor da área de Inovação e Laboratório da Telefónica Tech, relembra casos como o do link enviado a um executivo da Uber, que não clicou em um link malicioso e recebeu uma ligação de alguém que se passava por segurança. que o fizesse porque era necessário. A atual presidente do Banco Central Europeu, Christine Lagarde, recebeu um SMS da ex-chanceler alemã Angela Merkel, a quem ligou a confirmar que era dela e descobriu que se tratava de uma porta falsa. “Provavelmente, para instalar spyware”, comenta, aludindo a ataques como os gerados pelo conhecido Pegasus, que infectou celulares de governos, políticos, jornalistas e empresários internacionais.

“Você tem que ser capaz de segui-los. É importante que os bons sejam igualmente rápidos e inovadores”, alerta Almanzor, que calcula um custo médio por empresa afetada por um programa malicioso em 105 mil euros. Este jogo de gato e rato é definido por Salom Clotet como uma “espiral ação-reação”.

Mas a tarefa não é fácil. Além do fato de que os ataques se intensificam e se tornam mais sofisticados, o conselho de administração da Telefónica adverte que não há “perímetro fixo”. “Não sabemos onde fica a fronteira. Eles não são físicos tangíveis, mas digitais e estão crescendo. O que temos não vale a pena para nós”, afirma em relação à ineficácia das soluções individuais. Hidalgo corrobora: “Avançamos muito, mas não é o suficiente.

Tristán também concorda, alertando que “a cibersegurança tradicional”, focada no fornecimento individual de tecnologias e sistemas, tornou-se obsoleta”. Nesse sentido, José Capote, responsável da Huawei nesta área, reconhece que, na era do 5G, “as fronteiras das redes estão esbatidas e são mais complexas de defender”.

Zero Trust não é um produto, é uma abordagem. Não confie nem no que está dentro

María Jesús Almanzor, CEO de Cibersegurança e Nuvem da Telefónica Tech

Almanzor defende “confiança zero”. “Não é um produto, é uma abordagem. Não confie nem em quem está dentro”, garante. E afirma-o porque, como aponta Pedro Álamo, da empresa de segurança Proofpoint, “97% das invasões de ataques são por correio eletrónico e, no entanto, apenas 10% do orçamento é dedicado à sua proteção”.

Desta forma, cada indivíduo é uma porta para o cibercrime. Segundo Álamo, “60% das ocorrências se devem a um acesso errôneo de um funcionário”. De los Santos também concorda, lembrando que, dos 10 vetores de ataque mais comuns, a grande maioria depende do usuário.

Por isso defende o envolvimento de cada indivíduo nas ameaças como medida fundamental, que afetará a todos, mais cedo ou mais tarde. Como afirma Almanzor, “existem apenas dois tipos de empresas: as que sofreram um ataque e as que não o sabem”. Nesse sentido, José Girón, inspetor da Polícia Científica de Sevilha, aponta a “arrogância” como uma das maiores dificuldades na prevenção: “Quem pensa que controla tudo, não. Tudo é tão mutável que em minutos algo que vigora em determinado momento não funciona mais”.

Quem pensa que controla tudo, não. Tudo é tão mutável que em minutos algo que vigora em determinado momento não serve mais

José Girón, inspetor da Polícia Científica de Sevilha

Mas para De los Santos, “conscientização sem treinamento é só medo”, por isso ele se empenha em educar todas as partes, em todas as esferas. “O usuário precisa entender”, alerta. Nesse sentido, Hidalgo identifica um padrão comum conhecido como “clicker feliz” (clicker feliz) e que se refere ao usuário que clica compulsivamente em cada link que chega. “Esses estão, e muito, nas camadas superiores de uma organização”, alerta.

Almanzor concorda com a falta de conhecimento a todos os níveis, salientando que “90% das empresas em geral não conhecem o seu estado atual de segurança”. “Eles não têm um plano de recuperação e ação diante de um ataque que vai acontecer. Eles não estão preparados”, alerta.

O cenário é muito semelhante em todos os setores, embora a maior dimensão e o risco potencial de um ataque de negação de serviço em entidades de abastecimento de água, saneamento ou energia, por exemplo, façam com que a percentagem de desproteção seja reduzida, embora não seja eliminada . Juan Miguel Pulpillo, coordenador do Centro de Cibersegurança Industrial (CCI), explica que, neste setor, “embora seja feita alguma avaliação de riscos e incidentes, entre 40% e 60% das empresas não têm medidas de segurança definidas”.

A Almanzor aposta na resiliência cibernética, o que implica verificações permanentes, antecipando, prevenindo, resistindo e recuperando. E pela colaboração, bem como pela incorporação de parceiros tecnológicos especializados.

Mas isso não será suficiente porque a atividade criminosa continuará e crescerá, como alerta Salom Clotet. No ano passado, apenas na Espanha, foram registrados 118.000 incidentes de cibersegurança. Portanto, resta mais uma frente que reside na persecução desses crimes. Gabriel González, promotor delegado para Crimes de Informática, destaca que “as inovações tecnológicas fazem com que certos crimes sejam incluídos no Código Penal no rescaldo da ocorrência do fato criminoso”. A legislação está aquém da realidade.

O coronel responsável pela Unidade de Coordenação de Cibersegurança da Guarda Civil salienta que mesmo os crimes que já estão incluídos são puníveis com penas que não ultrapassam dois anos de prisão na sua maioria, exceto a pedofilia, que pode ir até quatro anos . Salom sugere analisar se as penas são proporcionais aos recursos que consomem e aos prejuízos causados ​​pelos crimes online.

Você pode escrever para rlimon@elpais.es e seguir EL PAÍS Tecnologia em Facebook y Twitter ou cadastre-se aqui para receber nossos newsletter semanal.