A edição 2024 do relatório ESET Security Report mostra que 30% das organizações instaladas na América Latina sofreram pelo menos um incidente de cibersegurança em 2023. O ransomware é a ameaça mais significativa para 96% das empresas, e 86% não estariam dispostas a negociar o pagamento de um resgate pelos dados sequestrados.

O documento também aponta que uma em cada cinco empresas que não relataram incidentes de segurança no ano passado afirmaram não possuir a tecnologia necessária para garantir a proteção contra tais ocorrências, sugerindo que muitas podem ter sido atacadas sem saber.

Líder em detecção proativa de ameaças, a ESET elaborou o relatório a partir de pesquisa com mais de dois mil executivos de organizações públicas e privadas que atuam na região, e cruzou estas informações com os dados de seu sistema de telemetria que acompanha fluxos de ataques em todo o mundo.

O relatório oferece uma visão regional sobre a segurança digital de empresas e aborda tópicos como as ameaças mais ativas durante o último ano, o status de ransomware na região, o grau de satisfação com o orçamento atribuído à segurança cibernética, a maioria das práticas de gestão adotadas, preocupações das empresas nesta área e as medidas de segurança mais adotadas.

“À medida que a digitalização aumenta e a tecnologia evolui, a gestão também fica mais complexa e requer inteligência e recursos em frentes distintas. O ESET Security Report 2024 busca analisar os principais desafios das organizações para aprimorar as práticas de gestão em cibersegurança e otimizar os investimentos e recursos. Esperamos contribuir para ampliar a conscientização sobre a importância da segurança cibernética para empresas da região, suportando seus planos de crescimento e sua atuação junto a seus diversos públicos”, diz Danielle Novais, Country Manager da ESET Brasil.

O mapeamento aponta que 81% dos ataques de exploração visaram a vulnerabilidades antigas do Office, que, embora corrigidas há sete anos, ainda estão sendo usadas para distribuir malware.

Daniel Barbosa, pesquisador em segurança da ESET Brasil, alerta para o perigo de empresas continuarem utilizando softwares antigos que já tiveram falhas corrigidas. “Essas explorações podem assumir o controle total do sistema, especialmente se o perfil do usuário tiver permissões de administrador”, afirma.

Os dados de telemetria da ESET indicam que também há detecção de vulnerabilidades mais recentes. “Isso mostra que a indústria do cibercrime é composta por um ecossistema heterogêneo de agentes maliciosos dispostos a procurar e explorar o amplo espectro de vulnerabilidades existentes em busca de tecnologias que sejam suscetíveis a elas. Com a utilização de softwares antigos, infelizmente os cibercriminosos tem a possibilidade de explorar vulnerabilidades que já são conhecidas há muito tempo”, comenta o pesquisador.

O relatório também revelou que 23% das empresas foram alvo de pelo menos uma tentativa de ransomware, com os setores de Petróleo/Gás/Mineração (36%), Telecomunicações (31%), Serviços Públicos (31%) e Varejo/Atacado (29%) sendo os mais visados. Apesar disso, apenas 23% das empresas contrataram seguro contra riscos cibernéticos.

“Embora 14% das empresas da América Latina tenham dito que estariam dispostas a pagar um resgate, é importante lembrar que isso não garante que a chave usada para descriptografar os arquivos será obtida, que os dados roubados não serão publicados ou comercializados ou que a reputação da organização não será afetada. Além de tudo, o pagamento a grupos de ransomware contribui para o negócio do crime cibernético e pode deixar a porta aberta para novas tentativas de ataque”, alerta Barbosa.

Contraste entre percepção de risco e ações efetivas

Para 62% das organizações, o orçamento destinado à segurança cibernética é insuficiente. Os setores que relataram os níveis mais baixos de orçamento foram Governo, Agricultura e Pecuária (79%), Varejo/Atacado (74%) e Petróleo, Gás e Mineração (69%). A percepção de risco é alta, com 28% das empresas considerando os incidentes cibernéticos como de maior preocupação e 42% como de alta preocupação.

Além disso, o firewall é a tecnologia de segurança mais amplamente adotada (88%), seguido por soluções de backup (85%) e VPN (80%). Contudo, apenas 52% das organizações implementam um plano de resposta a incidentes e 46% têm um plano de continuidade de negócios. Apesar desses números, a adoção de práticas de gerenciamento, como políticas de segurança, é alta (83%), mas os planos de treinamento têm baixa adesão, com apenas 27% das empresas realizando treinamentos regulares em segurança.

“Relatórios recentes indicam que a demanda por seguro cibernético cresceu globalmente nos anos de pandemia, à medida que os ataques cibernéticos aumentaram, as regulamentações ficaram mais rígidas e as economias digitais cresceram. No entanto, é importante ter em mente que a segurança de uma empresa deve se concentrar em tomar todas as precauções possíveis e tornar a organização cada vez mais segura”, indica o pesquisador.

O relatório mostra também que a maioria das organizações ainda opera com um modelo de trabalho híbrido (62%) e apenas 3% possui jornada totalmente remota. As entidades governamentais têm a maior porcentagem de trabalho presencial (54%), enquanto setores como Bancos/Finanças (73%) e TI/Tecnologia (73%) mantêm um esquema híbrido. Setores como Educação (45%) e Logística e Transporte (33%) são os que têm maior percepção de insegurança em relação ao trabalho remoto.

Mercados com mais medidas de segurança

O setor bancário e financeiro apresenta os melhores níveis de adoção de práticas de gerenciamento de segurança. Embora todos ainda tenham espaço para melhorias, é no nível de Governo e Serviços Públicos que há mais oportunidades de crescimento. Ambos são partes fundamentais das infraestruturas críticas, o que torna crucial garantir altos padrões de proteção.

As análises de risco são uma ótima ferramenta para conhecer o status de segurança da organização e saber como direcionar os recursos humanos e econômicos: 69% das empresas pesquisadas realizam essa prática de gerenciamento pelo menos uma vez por ano.

No entanto, apesar de 64% das empresas realizarem testes de penetração (pentesting) pelo menos uma vez ao ano, 25% das empresas nunca realizaram essa atividade, o que demonstra uma área de melhoria importante para fortalecer a segurança cibernética.