O CERT.br recebeu 875.327 notificações de incidentes em 2019, ano em que os ataques de negação de serviço atingiram o maior número da série. No mesmo ano, uma falha no internet banking empresarial do Banco Inter expôs dados de clientes, e a Netshoes fechou acordo de R$ 500 mil com o MPDFT.
O CERT.br, grupo de resposta a incidentes de segurança da internet brasileira, recebeu 875.327 notificações de incidentes em 2019, segundo apresentação da entidade feita em 2020. Os ataques de negação de serviço (DDoS) chegaram ao maior número já registrado na série, e 96% das notificações de fraude envolviam páginas de phishing. No mesmo ano, casos envolvendo empresas digitais mostraram o risco de exposição de dados de clientes: em fevereiro, o Tecnoblog revelou uma falha no internet banking empresarial do Banco Inter, e a Netshoes fechou um termo de ajustamento de conduta de R$ 500 mil com o Ministério Público do Distrito Federal por um vazamento de 2018.
O que mostraram os dados do CERT.br?
Em apresentação de 30 de setembro de 2020, Cristine Hoepers, do CERT.br, apresentou os números de 2019 e as tendências observadas:
| Indicador | Dado do CERT.br |
|---|---|
| Incidentes notificados em 2019 | 875.327 |
| E-mails tratados relacionados aos incidentes | 4.086.406 |
| DDoS | Maior número da série histórica em 2019 |
| Fraudes | 96% eram páginas de phishing, muitas ligadas a equipamentos de usuários com DNS alterado |
| Varreduras | Tentativas de força bruta contra SSH, Telnet, serviços de e-mail e portas de gerenciamento de roteadores MikroTik |
Para comparação, em 2018 o CERT.br havia registrado 397.590 notificações de varreduras e 158.407 de computadores envolvidos em ataques de negação de serviço, segundo a TI Inside, com destaque para ataques contra roteadores domésticos.
O que foi a falha no Banco Inter revelada em 2019?
Segundo o Tecnoblog, em fevereiro de 2019 um pesquisador de segurança relatou que a página de transferências entre clientes do internet banking empresarial (Conta Digital PRO) preenchia automaticamente dados do destinatário. Isso permitia obter nome completo, CPF e e-mail de qualquer cliente, pessoa física ou jurídica, além de número da conta, banco e agência. O pesquisador estimou que cerca de 1,45 milhão de clientes poderiam ser afetados.
O problema existia desde pelo menos setembro de 2017. Ele havia sido corrigido no internet banking de pessoa física, mas ainda estava presente no de pessoa jurídica em fevereiro de 2019. Os números de conta eram sequenciais, e o dígito verificador seguia uma fórmula conhecida, o que facilitava a extração. A falha foi corrigida depois do contato do Tecnoblog. Em nota de 15 de fevereiro, o banco afirmou que não houve vazamento nem exposição de dados de clientes.
E o acordo da Netshoes?
Em fevereiro de 2019, segundo o Baguete, a Netshoes assinou com o MPDFT um termo de ajustamento de conduta de R$ 500 mil, destinados ao Fundo de Defesa de Direitos Difusos, pelo vazamento de 2018 que atingiu 1.999.704 contas. Foram expostos nome, CPF, e-mail, data de nascimento e histórico de compras, sem cartões ou senhas.
Que lições os casos deixaram?
Os dados do CERT.br e os casos de 2019 apontam riscos comuns em sistemas web e em infraestrutura:
- páginas que devolvem mais dados do que o necessário para a operação;
- identificadores sequenciais e previsíveis, que facilitam varreduras;
- falhas corrigidas em uma versão do sistema e esquecidas em outra;
- roteadores e equipamentos de rede com configuração vulnerável, usados em fraudes e ataques;
- serviços de acesso remoto expostos a ataques de força bruta.
Para empresas que contratam software, isso se traduz em exigências práticas:
- Revisão de segurança das telas e APIs que exibem dados pessoais.
- Testes de invasão periódicos, incluindo áreas menos usadas do sistema.
- Correção de vulnerabilidades em todas as versões e ambientes.
- Canal para receber relatos de pesquisadores de segurança.
O que isso significa hoje?
O ano de 2019 combinou volume recorde de ataques de negação de serviço com falhas de aplicação simples, mas com grande alcance. Ao contratar o desenvolvimento ou a manutenção de um sistema, pergunte como o fornecedor testa a exposição de dados, se faz pentest e como trata relatos externos de vulnerabilidades. A Citeo reúne empresas de cibersegurança para comparação.
Fontes
- CERT.br: Principais ataques na internet, dados do CERT.br (30/09/2020)
- Tecnoblog: Banco Inter deixa dados de clientes expostos por mais de um ano (fevereiro de 2019)
- Baguete: Netshoes paga indenização após vazamento (06/02/2019)
- TI Inside: Estatísticas do CERT.br apontam aumento de ataques contra roteadores domésticos (28/03/2019)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Quantos incidentes o CERT.br registrou em 2019?
Segundo apresentação do CERT.br de setembro de 2020, foram 875.327 incidentes notificados em 2019.
O que foi a falha do Banco Inter em 2019?
Uma página de transferências do internet banking empresarial permitia obter nome, CPF, e-mail e dados de conta de clientes, segundo o Tecnoblog. O banco corrigiu a falha e afirmou que não houve vazamento.
Por que os ataques de negação de serviço chamaram atenção em 2019?
Segundo a apresentação do CERT.br, as notificações de DDoS chegaram em 2019 ao maior número da série histórica. Em 2018, a entidade já havia apontado que mais de 70% dos casos de DoS usavam protocolos de amplificação.