Vulnerabilidades em dispositivos móveis e proteção de dados dos membros da diretoria
À medida que surgiam detalhes sobre vulnerabilidades em uma plataforma popular de mídia social que permitia o comprometimento das comunicações de voz de milhares, os usuários do aplicativo e alguns profissionais de risco da empresa tomaram nota. Os destaques desta violação ilustram que está ficando cada vez mais difícil se comunicar em particular em telefones celulares usando segurança de nível de consumidor - especialmente se você é um indivíduo de alto nível.
Esse problema se torna ainda mais importante, pois as organizações se tornam mais dependentes do uso de dispositivos móveis devido à mudança para trabalhar em casa, como resultado do surto do Covid-19.
A segurança de dispositivos móveis, tanto para dispositivos gerenciados por empresas quanto para dispositivos pessoais em uso no trabalho, nunca foi tão crítica para o gerenciamento de riscos corporativos - e isso inclui o gerenciamento de riscos para membros de conselhos de administração e executivos corporativos.
Vulnerabilidades em dispositivos móveis
Relatórios mais recentes mostraram que, no centro do incidente de comprometimento de dados de voz, havia um spyware comercial que utilizava um bug no aplicativo de comunicação criptografado para se infiltrar completamente nos dispositivos das vítimas e melhorar todo o ponto do canal de criptografia amigável do aplicativo social.
O tipo de perfil de estado-nação ao qual alguns spywares comerciais estão vinculados pode parecer irrelevante para as situações corporativas cotidianas. Mas imagine, por um momento, como é o perfil de ameaça dos canais de comunicação comercial quando esses tipos de ferramentas são colocadas nas mãos de uma variedade maior de atacantes.
A verdade é que o spyware comercial é apenas a ponta do iceberg do que é possível quando se trata de subverter os canais de comunicação comercial hoje. Tecnologias como sniffers de rede celular e infinitas variedades de malware móvel estão ficando mais prolíficas e difundidas a cada dia. Isso significa que, eventualmente, qualquer pessoa poderá usar as ferramentas para explorar vulnerabilidades de dispositivos móveis e escutar ilegalmente as comunicações de rede celular, com barreiras muito baixas à entrada.
Isso cria uma situação em que novas classes de ataques cibernéticos são preparadas para sair do nicho do romance de espionagem e entrar no mundo dos negócios principais, incluindo:
Coleta em massa de dados corporativos para descobrir segredos da empresa, como planos de aquisição, negociações de contratos ou roteiros estratégicos
Desenvolvimento de perfis de inteligência de destinos de alto perfil para configurá-los para chantagem ou fraude e,
Representação do Deepfake para executar esquemas fraudulentos
Pense na ramificação desses tipos de ataques se eles forem usados para atingir alguns dos VIPs mais importantes de uma empresa, ou seja, membros do Conselho de Administração. Que tipo de inteligência os atacantes poderiam coletar dos membros do conselho interceptando as comunicações? Que tipo de ataques eles poderiam realizar? Quão prejudiciais esses ataques seriam para sua organização?
Os oficiais de risco corporativo que responderem a essas perguntas honestamente verão prontamente uma infinidade de oportunidades para todos, de bandidos mesquinhos a líderes da máfia e ditadores de lata para vitimar o conselho - e a organização como um todo. Com isso em mente, as empresas precisam pensar seriamente sobre como podem fortalecer os canais de comunicação que seus conselhos e executivos usam todos os dias. Fazer isso de forma eficaz permitirá que eles melhorem:
Mantenha a inteligência corporativa segura
As empresas devem adotar medidas extras para manter as comunicações entre os membros do conselho e outras partes interessadas cruciais em privado, para que não vejam segredos corporativos importantes vazados para o público e para os concorrentes. Os criminosos adorariam desenterrar informações dos membros do conselho sobre possíveis atividades de fusões e aquisições ou outras notícias que poderiam movimentar os mercados.
Proteger os membros da diretoria do compromisso
Combine a interceptação da comunicação de voz com a escalabilidade da nuvem e o poder das análises habilitadas para IA e, de repente, os atacantes têm uma maneira fácil de criar um banco de dados inteiro de material sobre indivíduos-alvo para criar um perfil de inteligência atraente. O bloqueio das comunicações garante que informações como essa nunca sejam coletadas e usadas para chantagem ou para estimular ataques convincentes de engenharia social.
Representação frustrada de membro do conselho
Esqueça os ataques de comprometimento do email comercial (BEC), os atacantes agora estão começando a combinar técnicas como falsificação de dispositivo ou troca de SIM com o uso de arquivos de áudio Deepfake para personificar executivos de maneira convincente . Com isso, é possível induzir as pessoas da organização a pensar que os superiores aprovaram grandes transferências bancárias ou outras manobras imprecisas que beneficiam os criminosos.
As empresas devem enfrentar essa ameaça com medidas para proteger os canais de voz e texto e garantir que as pessoas saibam com quem estão realmente conversando com soluções que possam validar a identidade com vários fatores. O primeiro fator é a confirmação de que um dispositivo aprovado ativamente está em uso validado pelas chaves de segurança e o segundo fator é autenticar a pessoa que está sendo comunicada usando dados biométricos. A falta de validação de identidade é uma vulnerabilidade acima e além das explorações técnicas ou do uso de spyware.
Garanta a privacidade do fórum 'Shop Talk'
Os membros do conselho precisam poder falar francamente entre si, sem a preocupação de que suas conversas sejam espionadas - seja por forças externas ou internas. As empresas precisam de um meio para garantir que nem o CIO ou a equipe de TI tenha acesso a chamadas entre os membros da diretoria.
Os membros do conselho são, obviamente, apenas uma classe vulnerável de usuários que as empresas devem procurar proteger contra a crescente ameaça de ataques de comunicação por voz. Outros dados demográficos de risco incluem executivos, viajantes internacionais frequentes, consultores jurídicos e trabalhadores remotos. No final do dia, é crucial que as equipes de gerenciamento de riscos pensem criticamente sobre o tipo de dano que os invasores podem causar em seu ambiente se forem capazes de subverter as chamadas de voz de certos indivíduos.
Aprendizado
Este não é um risco intransponível para mitigar. De fato, para um investimento que provavelmente é menor do que o custo de várias reuniões do conselho a cada ano, você pode proteger sua equipe executiva e as comunicações do conselho e retomar o controle da potência do telefone. Essas mesmas estratégias também servirão para proteger melhor sua força de trabalho remota expandida e garantir que seus esforços de continuidade de negócios para responder ao Covid-19 não arrisquem sua organização.
A BlackBerry está oferecendo um período de uso gratuito para um conjunto de ferramentas remotas de produtividade, segurança e comunicação para permitir que as organizações continuem suas operações enquanto tomam as medidas necessárias para responder à crise. Aprenda como obter licenças de produtos para sua empresa ou envie um e-mail para covid19help@blackberry.com para obter assistência.
