Pequenas e médias empresas também devem se preocupar com cibersegurança

Acreditar que pequenas e médias empresas de maneira geral não são alvos de cibercriminosos é um mito. Desta forma o country manager da Kaspersky no Brasil, Roberto Rebouças, resume o modo como muitas PMEs encaram a segurança cibernética, mas ele lembra que toda empresa, por menor que seja, gira dinheiro suficiente para se tornar um alvo palatável.

“Além disso, as pequenas empresas geralmente não contam com proteção”, diz. A constatação é confirmada pelos resultados de uma pesquisa recente realizada pela Kaspersky, que aponta que as PMEs brasileiras estão enfrentando o crescimento de três tipos de golpes: roubo de senhas corporativas, ataques via internet e a invasão da rede que explora o trabalho remoto (veja o quadro).

Conduzido por um time de especialistas da companhia, o estudo analisou o período de janeiro a abril deste ano e mostrou um crescimento médio de 41% nos ataques em relação ao ano anterior. “Nossos pesquisadores verificaram que os bloqueios do Trojan-PSW (Password Stealing Ware) cresceram 143% no último ano no Brasil, que ficou em segundo lugar na América Latina, atrás apenas do México”, revela, lembrando que este tipo de ataque tem o objetivo de roubar senhas dos funcionários para garantir acesso à rede da empresa ou ao Internet Banking da organização.

Outra estratégia que vem sendo cada vez mais utilizada por cibercriminosos contra pequenas e médias empresas são os ataques pela internet. Neles, os criminosos infectam sites com muitos acessos (como portais de notícia, lojas de grandes redes) com um programa que irá contaminar os dispositivos de quem acessá-los, explorando vulnerabilidades em programas populares (como Java, Windows, pacote Office etc.). Ao ter sucesso na infecção, os criminosos passam a ter acesso ao dispositivo, às informações contidas nele e à rede da organização.

No Brasil, foram registrados mais de 2,6 milhões de bloqueios deste tipo de golpe, volume 72% maior do que o encontrado no Peru, segundo país da região. Outro esquema que se beneficiou do trabalho remoto foram os ataques de força bruta ao protocolo RDP (Remote Desktop Protocol). Essa tecnologia permite o acesso remoto do funcionário à rede da empresa — questão essencial para manter as operações durante a pandemia – porém a falta de cuidados de segurança permite que ela seja explorada por criminosos para realizar outros golpes, como o roubo e sequestro de informações via ransomware.

Enquanto o volume total deste tipo de bloqueio vem caindo em todo o mundo, o Brasil atingiu 20 milhões de tentativas de ataques, liderando com folga o ranking na América Latina, com um volume quase quatro vezes maior que a Colômbia, segunda classificada. “É preciso lembrar que qualquer empresa, mesmo as pequenas, transfere mais dinheiro do que uma pessoa comum e isso as transforma em alvos lucrativos. O crescimento dos ataques reforça a realidade de que os criminosos estão se voltando a essas organizações que normalmente não contam com um time de segurança”, contextualiza Rebouças.

Em busca de segurança

Rebouças reforça o fato de que as PMEs devem buscar aprimorar sua proteção e, para isso, recomenda soluções pré-configuradas com as melhores práticas de segurança e, de preferência, baseadas na nuvem. “Tocar uma empresa no Brasil não é tarefa fácil e o dono precisa focar no seu negócio – sem negligenciar o futuro do seu sonho. Por isso a otimização da segurança é a melhor saída. Há soluções que podem manter a proteção da empresa gastando apenas 15 minutos por semana de um profissional de TI por sua simplicidade. Se essa ferramenta estiver na nuvem, o profissional pode dar o suporte técnico para a empresa de onde estiver”, diz.

Rebouças diz que em muitos casos, as soluções disponíveis no mercado são únicas, exigindo que as empresas se adaptem a ela, e não o contrário. Este modelo mais tradicional também faz com que muitas destas empresas invistam altos valores nestas soluções, que também vão exigir um profissional dedicado ou recursos que, na grande maioria das vezes, elas não têm. É um risco, uma vez que se o produto não estiver customizado para suas necessidades, ele pode não servir para nada.

“Segurança é composta de produtos, pessoas e processos. Se não há estas três coisas, a empresa não tem segurança”, provoca. Por isso as pequenas empresas precisam apostar no conceito de segurança como produto, buscando soluções que foram desenvolvidas levando em contas suas características. O executivo lembra que muitas empresas brasileiras, por exemplo, têm dificuldade em gerenciar uma solução completa de EDR (Endpoint Detection and Response).

Para atender esta demanda, ele cita os três modelos de EDR oferecidos hoje pela Kaspersky ao mercado: para pequenas empresas, com o EDR light, que uma vez instalado já traz uma série de funcionalidades pré-configuradas; para empresas médias, com o EDR Optimun, que tem um passo adicional mas ainda é um produto que exige um grau de atenção menor; e para as grandes corporações, com o EDR Full.

Além da adoção de soluções que atendam às necessidades de acordo com o tamanho da companhia, Rebouças sugere ainda outras três ações:

• Mantenha as atualizações em dia – todos os programas, como Adobe, Microsoft Office e sistemas operacionais, como Windows, iOS, Android, devem estar atualizados em todos os dispositivos para evitar acessos não-autorizados. Essas práticas impedem que os ataques pela internet tenham sucesso.
• Tenha backup – o armazenamento adequado dos dados deve ser uma prioridade para as pequenas empresas, pois uma violação ou um sequestro podem inviabilizar o negócio – seja por uma alta multa da Lei Geral de Proteção de Dados, seja pelo dano à marca.
• Treine os funcionários – na cadeia de cibersegurança, o funcionário é o elo mais fraco e os cibercriminosos exploram essas falhas, como uma senha fraca, por exemplo. Para aumentar a segurança no fator humano, é necessário oferecer treinamentos que expliquem os conceitos básicos de segurança.

“O que as pequenas e médias precisam levar em conta na hora de decidir este tipo de investimento é: quando ela for atacada, vai sobreviver ou não? Não se trata de pensar se ela vai ser atacada”, afirma, reforçando que estas empresas são alvos, mas que existem soluções feitas para elas.