O intervalo entre a invasão inicial de um sistema e a movimentação do atacante para outros pontos da rede chegou a apenas 27 segundos no caso mais rápido observado pela CrowdStrike nos últimos 12 meses. O tempo médio foi de 29 minutos, segundo dados apresentados por Jeferson Propheta, vice-presidente da empresa para a América do Sul.

As informações foram divulgadas durante o evento TS Segurança Digital e Serviços Gerenciados, realizado em São Paulo. Propheta explicou que o indicador, chamado de breakout time, mede quanto tempo o invasor leva para sair do ativo inicialmente comprometido e começar a se movimentar lateralmente pelo ambiente.

A movimentação lateral amplia a complexidade da resposta porque a organização deixa de saber com precisão quais sistemas foram acessados. Nesse estágio, não basta isolar o equipamento que serviu como porta de entrada. A equipe de segurança precisa investigar identidades, dispositivos, servidores e recursos de nuvem para localizar o atacante e eventuais mecanismos de persistência.

“O tempo médio é de 29 minutos. O tempo mais rápido que a gente observou é de 27 segundos”, afirmou Propheta. “É menos tempo do que estou falando agora sobre esse tema. Um atacante explorou uma vulnerabilidade ou entrou com uma credencial válida e se moveu lateralmente.”

Na avaliação do executivo, a ocorrência registrada em 27 segundos indica o emprego de automação, uma vez que um operador humano dificilmente conseguiria analisar o ambiente e executar a movimentação nesse intervalo.

Máquinas iniciam 89% dos incidentes

Propheta afirmou que mais de 89% dos incidentes observados pela CrowdStrike nos últimos 12 meses foram iniciados por máquinas. O dado, ressaltou, não significa que todos os ataques sejam inteiramente autônomos ou desenvolvidos sem participação humana.

Em muitos casos, o criminoso posiciona ferramentas em uma infraestrutura de nuvem comprometida ou contratada para a operação. A máquina inicia o ataque, coleta informações e transfere os resultados ao responsável, que assume as etapas seguintes.

“A grande maioria dos incidentes que acontecem hoje tem máquina no meio e, na maioria das vezes, no começo”, disse. O uso de infraestrutura intermediária também reduz os rastros diretamente associados ao responsável pela ofensiva.

Para Propheta, a IA reduziu a distância técnica que antes separava especialistas de pessoas com pouco conhecimento em cibersegurança. Modelos sem mecanismos adequados de proteção podem auxiliar na preparação de ferramentas e acelerar ciclos de ataque, embora ainda exista participação humana na definição dos alvos e objetivos.

PMEs ainda reagem depois do ataque

A aceleração das ofensivas contrasta com o estágio de preparação de pequenas e médias empresas. Gabriel Pedroso, head de Cybersecurity Solutions da Selbetti Tecnologia, afirmou que parte dessas organizações ainda procura serviços de segurança somente depois de sofrer um incidente.

“É um convencimento que ainda tem que ser feito”, disse. “Quando a gente fala de pequenas e médias empresas, retirando uma camada de grandes empresas ou multinacionais que já têm uma postura regulatória diferente, elas acabam buscando essas soluções apenas quando ocorre um incidente de segurança.”

Pedroso também alertou para a tentativa de implantar estruturas de monitoramento contínuo com equipes insuficientes. Algumas empresas, relatou, procuram a Selbetti para instalar um SIEM ou criar um SOC, mas mantêm apenas uma pessoa dedicada à segurança.

“Não tem como uma pessoa operar uma estrutura que precisa funcionar 24 horas por dia, sete dias por semana”, afirmou. Para o executivo, a contratação deve considerar o tipo de negócio, os riscos existentes, o tamanho da equipe e a capacidade efetiva de operar as ferramentas.

O uso de IA pode automatizar tarefas e ampliar a produtividade dos analistas, mas não substitui processos, definição de responsabilidades e resposta humana. Pedroso afirmou que ainda não há evidências de que a maioria dos ataques seja executada integralmente por agentes autônomos. O impacto mais imediato está no desenvolvimento de ferramentas e na redução do tempo necessário para preparar e conduzir as ofensivas.

O post Ataques já avançam pela rede em apenas 27 segundos apareceu primeiro em TeleSíntese.