A esmagadora maioria das empresas portuguesas é PME e nos últimos anos, sempre que a questão dos riscos cibernético é abordada, respondia maioritariamente algo como:
“Somos demasiado pequenos para nos preocuparmos.”
Atenção, preocupe-se mesmo, pois a realidade dos dias de hoje tem trazido evidências incontornáveis.
A AIG é uma das maiores seguradoras mundiais neste domínio, compilando importantes estatísticas de sinistros ciber, e alerta para o seguinte:
“Enquanto as empresas grandes continuam a melhorar os seus mecanismos de segurança, os ciber criminosos começaram a procurar alvos mais pequenos e mais fáceis: 75% dos ataques a bases de dados ocorreram em empresas com menos de 100 trabalhadores. Empresas mais pequenas poderão não ter os recursos para garantir a integridade efetiva das suas bases de dados e prevenir perdas e danos, ou mecanismos e estratégias para atenuar esses danos depois de um ataque”
Ao longo das próximas edições, propomo-nos ir trazendo aos nossos leitores insights atuais sobre esta realidade em constante dinâmica e que assola todo o planeta. No quadro do ranking dos riscos que mais afetam, ou poderão afetar a curto prazo, o mundo editado pelo World Economic Forum (ver no artigo grandes sinistros industriais nesta edição), os cibernéticos têm lugar no Top 10 quer dos mais prováveis, quer dos mais impactantes.
Resultou da retirada ilegal e não autorizada de uma sua conta bancária junto do BPI – Semanário Expresso| 27.11.20
Notícias como estas, envolvendo maior ou menor prejuízo, são presença quase diária nos tabloides de todo o mundo e Portugal tem estado na mira especial dos ciberatacantes:
Segundo os dados mais recentes do Gabinete de Cibercrime da Procuradoria Geral da República, só nos primeiros cinco meses deste ano já tinham sido registadas mais 139% de denúncias de crimes cibernéticos do que em todo o ano de 2019, o que colocou Portugal no Top 30 dos países que registam um maior número de ataques no mundo. Este aumento de ataques resultou de um aproveitamento do período de confinamento pandémico: as rápidas resoluções que foram precisas ser tomadas, dificultaram a correta sensibilização dos utilizadores para as medidas de segurança no trabalho remoto e, dessa forma, originaram-se abertura das portas de muitas organizações menos protegidas!
E muito do impacto poderá vir dentro de meses, pois muitas vezes os dados roubados seguem o circuito de venda na dark web e só mais tarde são fraudulentamente usados…
O nosso país tem estado no radar dos cibercriminosos
E de que tipos de ataques temos sido alvo em Portugal?
90% dos ataques têm sido predominantemente efetuados via campanhas de e-mail phishing* (roubo de dados).
A tipologia de ameaças de que as empresas portuguesas têm sido alvo ultrapassam, em muito, os valores ibéricos, europeus e mundiais, quer sejam ameaças mobile, ataques bancários, criptomineração, ou botnets, estando apenas alinhados com os valores mundiais a nível de roubo de dados (3,1%)!!
(Fonte: 16 mai2020_Link to Leaders|)
*nas próximas edições, explicaremos estes conceitos e os seus riscos.
Vejamos agora dois exemplos reais que afetaram empresas portuguesas
- Fonte Seguradora AIG: Em meados de abril uma pequena empresa recebeu um email proveniente de um domínio estrangeiro informando que o seu sistema de informático tinha sido atacado e infetado com vírus e que iria ser bloqueado, sendo que posteriormente a toda a base de dados iria ser destruída. Para impedir o bloqueio e destruição dos dados o hacker exigiu 10.000€ de resgaste.
A empresa acionou de imediato a sua apólice de seguro cyber (no caso da AIG). A seguradora disponibilizou os serviços dos seus especialistas e peritos forenses que detetaram que a “porta de entrada” do hacker, tinha sido o descarregar por parte de um colaborador de um ficheiro relacionado com o Covid-19 anexo a um email fraudulento. O segurado beneficiou, também e desde a primeira hora, de apoio jurídico. Volvidos 5 dias os especialistas da seguradora conseguiram repor o sistema operacional e recuperar os dados.
A seguradora suportou todos estes custos, que ascenderam a vários milhares de euros. Adicionalmente, e como a empresa esteve inativa e teve que suspender a sua atividade comercial, a seguradora pagou as perdas de lucros que esta sofreu. Não existiram reclamações de clientes decorrentes da falha na segurança da rede do segurado ou falha na proteção dos dados, todavia, se tal tivesse sucedido, estariam cobertas pela apólice subscrita.
- Fonte Seguradora Hiscox: Uma editora foi notificada por um especialista em segurança informática de que os nomes dos utilizadores e passwords dos seus clientes tinham sido intercetados.
A Hiscox colocou os seus Técnicos forenses a investigar o sucedido. Estes confirmaram o ataque e começaram a restaurar a falha de segurança. A Editora também recebeu aconselhamento jurídico sobre como contactar e explicar aos utilizadores lesados que os seus dados tinham sido comprometidos, conforme é de obrigação legal. Além disso, o serviço de monotorização de informação foi ativado para evitar o uso fraudulento da informação roubada.
Os Custos cobertos pela Hiscox ultrapassaram os 15.000 €.
Conforme se constata nestes exemplos, um seguro cyber competente oferece um leque muito alargado de serviços apoio e coberturas, a preços ainda reduzidos (o custo anual pode não chegar aos 1.000€).
A combinação “Gestão/proteção+ transferência do risco cyber” é hoje totalmente aconselhada e, num crescente número de casos, um fator de sobrevivência e continuidade.
Existem soluções para empresas e também para famílias.
Ficamos ao seu dispor para estudarmos a solução que mais se adeque ao seu caso.
Pela sua relevância e atualidade, prometemos abordar mais em detalhe este tema em próximas edições.
Ciber Riscos e os Seguros
