Um novo estudo sobre a exposição digital ao cibercrime no sector do retalho europeu, publicado pela empresa de cibersegurança Ethiack, mostra que muitas empresas do sector se encontram vulneráveis a ataques devido à sua superfície de ataque exposta na Internet e à existência de falhas básicas de segurança. O relatório analisou 1 722 domínios de empresas de retalho europeias, identificando 57 898 activos digitais expostos, como subdomínios, aplicações e serviços online que podem ser alvos de ciberataques.
Entre as principais conclusões do documento está a identificação de três lacunas críticas de segurança. Cerca de 16 % das ligações HTTPS utilizam certificados SSL inválidos ou desactualizados, criando oportunidades para ataques de interceptação de dados (man-in-the-middle). Além disso, 17 % dos servidores web expõem informações sensíveis sobre versões e software, facilitando o trabalho de reconhecimento por parte de criminosos, que podem identificar e explorar rapidamente vulnerabilidades conhecidas. Por fim, foram encontrados 1 208 activos críticos – como servidores de email, painéis de administração, VPNs e sistemas de pagamento – com posturas de segurança preocupantes, especialmente sistemas de webmail, dos quais 34 % apresentam configurações expostas e 10 % práticas deficientes de SSL.
O relatório alerta que uma visibilidade incompleta da superfície de ataque deixa as organizações incapacitadas para se defenderem eficazmente, algo que está em linha com outras investigações que mostram que 37 % das superfícies de ataque de grandes empresas são desconhecidas pelas próprias equipas de segurança. Com o aumento do número de divulgações de vulnerabilidades e um tempo médio de exploração de falhas que já pode ser negativo – significando que essas são exploradas antes de existirem correcções disponíveis -, métodos tradicionais de segurança como testes periódicos já não são suficientes.
Este cenário tem consequências reais e recentes: ataques cibernéticos a grandes retalhistas europeus, como o caso da Mark & Spencer, com perdas estimadas em £300 milhões, e uma violação de dados na Harrods que expôs meio milhão de registos de clientes, ilustram a dimensão do problema e os impactos financeiros e reputacionais associados a falhas de segurança.
Entre as recomendações do estudo estão a adopção de gestão contínua da superfície de ataque (ASM) para manter visibilidade em tempo real de todos os ativos expostos – incluindo fornecedores e terceiros -, a utilização de testes de penetração autónomos e baseados em inteligência artificial que acompanhem o ritmo de mudanças das infra-estruturas, e a correcção automática de práticas básicas de higiene de segurança, como certificados SSL desactualizados, que podem reduzir significativamente o risco com um investimento relativamente modesto.
O relatório de Ethiack chama a atenção para a urgência de as organizações de retalho modernizarem as suas abordagens de segurança, passando de avaliações pontuais para modelos contínuos de detecção e remediação de vulnerabilidades, de modo a evitar que mais empresas passem a fazer parte das manchetes sobre ciberataques no futuro.
