Fabio Assolini, da Kaspersky: Brasil se tornou exportador de ameaças

Na discussão sobre cibersegurança, não causa estranheza o fato do Brasil responder por grande parte dos ataques cibernéticos da América Latina. Com mais de 200 milhões de habitantes e dezenas de milhares de empresas, o país apresenta inúmeras oportunidades para criminosos digitais que buscam ganhos através da distribuição de malwares, trojans e outros ataques virtuais.

Durante o Cyber Security Week América Latina, que acontece em San José, na Costa Rica*, a Kaspersky apresentou dados que comprovam isso. De acordo com o mais recente Panorama de Ameaças da companhia, o Brasil lidera todas as métricas de ataques da região. Só em malwares, nos últimos 12 meses, o Brasil registrou 1.515 ataques por minuto – mais que o dobro do volume de ataques registrados por minuto no México, Colômbia, Peru, Argentina, Chile, Equador, Guatemala, Panamá, Costa Rica, República Dominicana e El Salvador juntos.

Leia também: Bancos brasileiros investem 10% do budget de tecnologia em cibersegurança

Mas o país não ocupa apenas a posição de alvo na região. Com diversos grupos de cibercriminosos ativos, o Brasil tem se tornado um “exportador” de ameaças para outros países, segundo Fábio Assolini, diretor da Equipe Global de Pesquisa e Análise da Kaspersky para a América Latina.

Um dos exemplos disso está nos ataques móveis do tipo ATS (Automated Transfer System) móveis. Essa modalidade de ataque pode ser distribuída em larga escala e permite que criminosos realizem transações fraudulentas de forma automatizada, sem interação direta com o dispositivo da vítima. ATSs como o ‘BRats‘ e ‘BrAngler‘ foram desenvolvidos no país e conseguem fraudar transferências via Pix, por exemplo.

O trojan bancário Guildma é outro exemplo. Utilizado para o roubo de dados, o ataque surgiu no Brasil em 2015. Em 2023, a Kaspersky descobriu uma nova variante, capaz de roubar senhas armazenadas em navegadores como Chrome, Edge ou Firefox. Seu alvo principal são falantes da língua espanhola, mas a ameaça está se internacionalizando e novos registros já foram encontrados em máquinas em inglês da Austrália.

Leia mais: Tentativas de ciberataque caem no 1º semestre no Brasil, mas estão mais complexas

Em conversa com o IT Forum durante o evento, Assolini falou sobre o papel do Brasil no cenário regional e mundial de ciberameaças, sobre a evolução dos ataques ransomware e deixou alertas para CIOs e outros executivos de tecnologias atuais. Confira:

IT Forum: O Brasil lidera não só no volume de ciberataques na América Latina, mas é também o país de origem de vários deles. Por que o país tem esse protagonismo no cibercrime da região?

Fábio Assolini: “O Brasil saiu de protagonista para se tornar exportador de ameaças. E se a gente puder escolher uma ameaça, ela é o trojan bancário. O brasileiro se especializou nisso ao ponto de manter liderança a nível global no desenvolvimento de certas técnicas. Para te dar exemplos: a ideia do ATS é 100% brasileira. O ATS começou no desktop, em 2009. Depois, o Zeus, que era uma família de trojan bancário global, adotou. Eles viram, gostaram da ideia e adotaram. Levar o ATS para o mobile também é uma ideia 100% brasileira. O pessoal de trojan bancário lá fora já tinha abandonado o ATS, estavam todos no ransomware. O brasileiro está bastante inventivo nessa área, criando tecnologias novas e exportando.”

ITF: Falando em exportação, vocês também deram o exemplo do Guildma, que já foi registrado em um país de língua inglesa, como a Austrália

FA: Sim, o Guildma já está no mercado desde 2015 e é uma metamorfose ambulante. Ele vai adotando novas técnicas para se manter ativo. Por exemplo, o Guildma foi a primeira família de malware brasileiro a adotar o fileless, que significa executar tudo na memória e deixar pouquíssima coisa no disco. Foi o primeiro a portar o código para o mobile, que foi o Guimob. Ele foi portado para Android e exportado. Encontramos Guimob até na África, em países que falam português. O Guildma foi a primeira família a falar ‘o Brasil é pequeno para mim, vou sair e atacar outro lugar’.

ITF: Tem algum papel da inteligência artificial na exportação dessas ferramentas?

FA: Não, o uso da inteligência artificial por esse pessoal – eu sei que é frustrante, mas é a verdade – é só para escrever um e-mail de phishing melhor. Para parecer que foi um nativo, sem erros. As famílias de trojan brasileiro começaram a atacar primeiro Portugal e Espanha, além da América Latina. Você identificava esses ataques porque o e-mail era terrivelmente escrito. Hoje, por causa do ChatGPT, é possível escrever como se fosse nativo. No passado, precisavam de um parceiro local que escrevesse. Nesse momento, as ferramentas de inteligência artificial não ajudam na exportação de malware. Pode mudar no futuro? Pode.

ITF: Vocês mostraram dados que apontam para uma queda nos ataques de ransomware do ano passado até aqui. O pior já passou?

FA: Ainda é um problema. Eu vejo a diminuição mais relacionada à uma decisão dos grupos do que a preparação de empresas. Eu sei que isso vai assustar, mas é a realidade: hoje o posicionamento das empresas e governos também não é ‘se’ vão ser atacados, mas ‘quando’. E quem vai se sair melhor? Quem tem um plano de ação. É muito difícil, quando há vulnerabilidades de zero day, os grupos vão explorar. Se você tem um software vulnerável, você vai ser atacado. O que vai definir se você vai ser comprometido ou não, são as defesas que você tem para segurar o ataque. O fato de estar diminuindo a nível global, inclusive América Latina e Brasil, é decisão dos grupos. Claro, as empresas se prepararam, mas é um negócio muito dinâmico e os golpistas conseguem se adaptar. Um exemplo concreto: as empresas com medo de ataques de ransomware começaram a comprar seguros. O que os grupos fizeram? Se atacassem uma empresa com seguro, qual seria a probabilidade delas pagarem o resgate? Altíssima, porque quem pagava era o seguro. Então atacaram as seguradoras, não para instalar ransomware, mas para acessar a lista de clientes. Isso aconteceu. Resultado: as seguradoras pararam de oferecer os seguros. Então há uma diminuição, mas o cenário não vai melhorar porque os grupos estão mais especializados. Os ataques serão menores em quantidade, porém mais bem planejados e mais bem executados. Aí virão casos que explodem, saem na imprensa e tudo mais. A perspectiva não é positiva, infelizmente.

ITF: Nesse contexto, quais são pontos de atenção para os quais CIOs, CTOs e outros líderes de TI devem estar atentos?

FA: Tem algumas coisas que eles não olham, não acham que é um problema, mas é. Primeiro, o phishing: é um problema antigo que não tem solução, mas é preciso investir em treinamento. Você tem que ter uma proteção melhor contra phishing. Número dois: você precisa ter um monitoramento do submundo. Se um funcionário seu é atacado e tem um cookie da máquina dele contendo uma senha, essa informação será vendida. Se você tiver um funcionário com credenciais comprometidas, você tem uma porta de entrada maior. Você só vai saber disso se tiver algum monitoramento do submundo que vai alertar, para você resetar a conta e alterar a senha. Isso te dá tempo. E terceiro, algo da realidade brasileira, é o celular como fator de dupla autenticação. Aí temos o problema do SIM swap, o problema de ter acesso aos OTPs via SMS, o problema da portabilidade fraudulenta, que está alastrado no Brasil. Esses são os três problemas que executivos precisam olhar.

*O jornalista viajou a convite da Kaspersky

Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!