O assalto ao Banco de Bangladesh causou perdas de até 81 milhões de dólares. Diferente do golpe BEC, que depende de um erro humano, o assalto resultou de uma compreensão profunda de como grandes instituições processavam transações financeiras. Estamos chamando essa categoria de ataques “BPC”, de Business Process Compromise (Comprometimento de Processos Empresariais).
Prevemos que os golpes BPC irão além do departamento financeiro, apesar das transferências de fundos continuarem sendo o objetivo mais típico. Possíveis cenários incluem hackear um sistema de pedido de compra para que os cibercriminosos possam receber o pagamento do verdadeiro fornecedor. Hackear um sistema de envio de pagamento pode também levar a transferências não autorizadas de fundos. Os cibercriminosos podem hackear um centro de entrega e reencaminhar bens valiosos para um endereço diferente. Isso já aconteceu em um incidente isolado, em 2013, onde o sistema de envio de container Antwerp Seaport foi hackeado para contrabandear drogas.
Os cibercriminosos irão realizar ataques BPC para ir atrás de dinheiro, e não por motivos políticos ou coleta de informações. Mas os métodos e estratégias utilizadas em ataques direcionados serão similares.
Se compararmos o pagamento entre ataques de ransomware em redes empresariais (US$ 30.000, o maior pagamento relatado em 2016 até agora), o pagamento médio em ataques BEC (US$ 140.000) e o potencial ganho em ataques BPC (US$ 81 milhões), é fácil ver porque os cibercriminosos estarão mais do que dispostos a seguir esse caminho.
Grandes empresas têm uma visibilidade limitada dos riscos associados quando processos empresariais são atacados. O foco de segurança típico é garantir que os dispositivos não sejam hackeados. Os cibercriminosos aproveitarão essa demora de percepção. Tecnologias de segurança como controle de aplicação podem bloquear o acesso a terminais de missão crítica enquanto a proteção de endpoint tem que ser capaz de detectar movimento lateral malicioso. Políticas e práticas rigorosas em relação a engenharia social também devem fazer parte da cultura de uma empresa.
Fonte: Relatório Previsões de Segurança da Trend Micro para 2017
