O que o ano de 2023 nos ensinou sobre a segurança no comércio eletrónico

Existe um velho ditado no mundo dos negócios: "o que nos trouxe até aqui não nos levará mais longe". Para se manterem competitivas, as empresas têm de se adaptar e evoluir constantemente. O mesmo se aplica à cibersegurança. As ameaças cibernéticas são cada vez mais complexas e de maior escala, à medida que os atacantes procuram novas formas de comprometer dados valiosos.

Os cibercriminosos visam cada vez mais o setor do retalho

De acordo com uma análise aprofundada da revista Tech Radar, o setor do retalho é atualmente um dos alvos preferidos dos cibercriminosos. Uma análise dos ataques a empresas de retalho este ano evidenciou uma série de perigos fundamentais, entre os quais o roubo de dados, as contas comprometidas, os danos reputacionais e os períodos de inatividade.

Existem ameaças comuns, como o skimming digital e os bots maliciosos, enquanto outras, como os ataques de apropriação de contas (ATO) e o abuso da lógica de negócio, estão a aumentar em frequência. Que lições podemos retirar de 2023? E como podem os retalhistas responder a um panorama de ameaças em evolução?

Apropriação de Contas

Uma das maiores ameaças para todas as empresas de retalho este ano foram os ataques de apropriação de contas (ATO), nos quais os cibercriminosos utilizam bots automatizados para tentar comprometer contas online, testando palavras-passe e nomes de utilizador roubados. Para os clientes, um ataque ATO bem-sucedido pode ter graves implicações financeiras, ao passo que para as empresas pode implicar riscos reputacionais e perdas de receitas.

Os ataques ATO são uma ameaça durante todo o ano, representando quase 1 em cada 6 de todas as tentativas de início de sessão. A atividade maliciosa é particularmente intensa durante a época festiva. Este ano, o volume de tentativas de início de sessão maliciosas aumentou incríveis 85 % durante a Black Friday, superando inclusive o aumento de 66 % do ano passado. E não é apenas a Black Friday que constitui um problema: o número de ataques ATO aumentou 82 % entre outubro de 2023 e novembro de 2023. Estes números sublinham a importância de as plataformas de eCommerce e as empresas disporem de defesas para identificar e mitigar o tráfego automatizado malicioso que possa estar envolvido em ataques ATO.

Abuso da Lógica de Negócio

A lógica de negócio refere-se às regras ou aos algoritmos que determinam como uma aplicação ou um programa funciona e interage com uma base de dados. Pode ser entendida como o processo de decisão de uma aplicação ou API - os cenários de "se" e "então" concebidos para maximizar o ROI. Por exemplo, um retalhista pode decidir que "se" um cliente encomendar mais de 200 £ em mercadoria, "então" obtém um desconto de 20 %. Esta lógica condicional permite automatizar e tornar mais eficientes as decisões empresariais.

Nos últimos 12 meses de 2023, os ataques dirigidos à lógica de negócio dos sites de retalho quase duplicaram, passando de 26 % para 43 %. Os ataques à lógica de negócio podem ser utilizados para roubar dinheiro ou dados sensíveis, cometer fraudes ou simplesmente causar o caos, fazendo falhar uma aplicação crítica para o negócio. São cada vez mais populares entre os hackers porque não exploram uma falha técnica, mas abusam de uma funcionalidade existente da aplicação ou do sistema. Por conseguinte, muitas vezes não são identificados pelas ferramentas de segurança tradicionais.

Por exemplo, se um retalhista permitir que um cliente envie cartões-presente digitais a outro cliente, os hackers podem utilizar uma lógica defeituosa no sistema para "oferecerem" a si próprios milhares de euros em vales provenientes de outra conta. Um ataque deste tipo pode ter consequências graves tanto para o consumidor como para a empresa.

Lições Aprendidas

Enfrentar estes dois problemas - para não falar das muitas outras ameaças com que os retalhistas se deparam - exige o envolvimento de ambas as partes. Para os consumidores, é essencial praticar uma boa higiene de palavras-passe (como não reutilizar palavras-passe em sites diferentes) para reduzir as probabilidades de serem vítimas de um ataque ATO. Entretanto, as empresas necessitam de uma estratégia de defesa coordenada e abrangente, com um conjunto de capacidades que cubra todos os pontos de acesso, incluindo sites, aplicações móveis e API. Isto significa ir além de uma simples solução de gestão de bots, incluindo ferramentas como a análise de ataques, a proteção do lado do cliente (client-side) e a proteção de aplicações em tempo de execução (RASP).

Além disso, a responsabilidade pela segurança tem de ser mais partilhada no seio da organização. Combater o abuso da lógica de negócio exige que os programadores e os product owners mapeiem e incorporem medidas de segurança desde o início e em cada fase do processo, de modo a minimizar os potenciais riscos. Isto deve ser acompanhado de auditorias regulares e revisões do código para identificar eventuais problemas que possam não ter sido detetados inicialmente. Identificar as vulnerabilidades da lógica de negócio não é um processo "pontual" - as atualizações de software ocorrem continuamente e cada uma tem o potencial de introduzir uma nova fragilidade na lógica da aplicação.

O que nos reserva o panorama atual?

Devido ao panorama de ameaças em constante mudança, a cibersegurança exige uma adaptação contínua. Novas ameaças podem surgir de um dia para o outro e tornar-se problemas críticos para as empresas. Em 2023, os ataques ATO e o abuso da lógica de negócio foram duas das principais ameaças para os retalhistas. Com a adoção crescente da IA generativa, a tecnologia poderá ajudar os cibercriminosos a modificar os seus ataques. Por conseguinte, 2024 poderá registar um aumento surpreendente do volume de ataques, especialmente em torno da lógica de negócio, uma vez que os atacantes treinam sistemas de IA para detetar e explorar essas vulnerabilidades.