Varejo em risco: principais ameaças que os varejistas enfrentam nesta época de festas

Segurança Empresarial

Embora possa ser tarde demais para introduzir mudanças generalizadas em suas políticas de segurança, não custa nada dar uma nova olhada em onde estão as maiores ameaças e quais práticas recomendadas podem ajudar a neutralizá-las.

Phil Muncaster

28 2023 novembro  .  , 6 minutos. ler

A temporada de compras natalinas começou para valer. Embora os varejistas estejam focados em disputar cerca de US$ 1.5 trilhão em vendas este ano (e isso é apenas para os EUA), o seu trabalho árduo pode dar em nada se não for dada atenção suficiente à segurança cibernética. 

Por que? Porque este é o melhor e o pior dos tempos para as equipes de TI do varejo. A época do ano mais movimentada para os clientes também é uma ímã para cibercriminosos. E embora nesta fase possa ser demasiado tarde para introduzir mudanças generalizadas nas suas políticas de segurança, não custa nada analisar novamente onde estão as maiores ameaças e quais as melhores práticas que podem ajudar a neutralizá-las.

Por que varejo, por que agora?

Os varejistas há muito são alvo de tratamento especial por parte dos cibercriminosos. E o período de compras mais movimentado do ano sempre representou uma oportunidade de ouro para atacar. Mas por que?

• Os varejistas mantêm informações pessoais e financeiras altamente monetizáveis ​​sobre seus clientes. Pense em todos esses detalhes do cartão. Não é nenhuma surpresa que todas (100%) as violações de dados de varejo analisadas pela Verizon no ano passado foram impulsionados por motivos financeiros.
• A temporada de compras natalinas é a época mais importante do ano para os varejistas do ponto de vista das receitas. Mas isso significa que eles estão mais expostos a ameaças cibernéticas, como ransomware ou negação de serviço distribuída (DDoS), projetada para extorquir dinheiro negando serviço. Alternativamente, os concorrentes podem lançar ataques DDoS para negar aos seus rivais clientes e receitas vitais.
• Ser a época mais movimentada do ano significa que os funcionários, especialmente as equipes de TI sobrecarregadas, estão mais focados em apoiar os negócios e obter o máximo de receita possível do que em cuidar de ameaças cibernéticas. Eles podem até ajustar filtros internos contra fraudes para permitir que compras maiores sejam aprovadas sem escrutínio.
• Os retalhistas dependem cada vez mais de sistemas digitais para criar experiências de comércio omnicanal, incluindo software empresarial baseado na nuvem, dispositivos IoT nas lojas e aplicações móveis voltadas para o cliente. Ao fazê-lo, estão (muitas vezes involuntariamente) a expandir a superfície de ataque potencial.

Não esqueçamos que um dos as maiores violações de dados já registradas no mundo aconteceu e foi anunciado durante a temporada de férias de 2013, quando hackers roubaram 110 milhões de registros de clientes da varejista norte-americana Target.

Quais são as maiores ameaças cibernéticas aos varejistas nesta época de festas?

Os retalhistas não só têm de defender uma maior superfície de ataque, eles também devem enfrentar uma variedade cada vez maior de táticas, técnicas e procedimentos (TTPs) de um determinado conjunto de adversários. Os objetivos dos atacantes são roubar dados de clientes e funcionários, extorquir/perturbar seus negócios por meio de DDoS, cometer fraudes ou usar bots para obter vantagem competitiva. Aqui estão algumas das principais ameaças cibernéticas ao varejo:

• Violação de dados pode resultar de credenciais de funcionários roubadas/quebradas/phishing ou de exploração de vulnerabilidades, especialmente em aplicações web. O resultado são grandes danos financeiros e de reputação que podem inviabilizar os planos de crescimento e as receitas.
• Skimming digital (ou seja, ataques Magecart) ocorrem quando os agentes de ameaças exploram vulnerabilidades para inserir código de skimming diretamente em suas páginas de pagamento ou por meio de um fornecedor/widget de software terceirizado. Esses ataques costumam ser difíceis de detectar, o que significa que podem causar danos incalculáveis ​​à reputação. Eles representaram 18% das violações de dados de varejo no ano passado, de acordo com Verizon.  
• Ransomware é uma das principais ameaças para os varejistas e, durante esta temporada movimentada, os agentes de ameaças podem aumentar seus ataques na esperança de que mais empresas estejam preparadas para pagar para recuperar e descriptografar seus dados. As pequenas e médias empresas, em particular, estão na mira, uma vez que os seus controlos de segurança podem ser menos eficazes.
• DDoS continua a ser uma forma popular de extorquir e/ou perturbar os retalhistas. Ano passado, o setor estava recebendo de quase um quinto (17%) desses ataques – um aumento de 53% em relação ao ano anterior, com picos observados durante a Black Friday.
• Ataques à cadeia de abastecimento pode ser direcionado a um fornecedor digital como uma empresa de software ou até mesmo um repositório de código aberto. Ou podem destinar-se a negócios mais tradicionais de serviços profissionais ou mesmo de limpeza. A violação do alvo foi possível quando hackers roubaram credenciais de rede de um fornecedor de HVAC.
• Aquisições de contas (ATOs) normalmente são habilitados por credenciais roubadas, roubadas ou quebradas. Poderia ser o início de uma grande tentativa de violação de dados, ou poderia ser dirigida aos clientes, em preenchimento de credenciais ou outras campanhas de força bruta. Normalmente, bots maliciosos são usados ​​aqui.
• Outros ataques de bots ruins incluem scalping (onde os rivais compram produtos sob demanda para revenda a um preço mais alto), fraude em pagamentos/cartões-presente e redução de preços (permitindo que os concorrentes reduzam seus preços). Os bots maliciosos compreendem em torno de 30% de todo o tráfego da Internet hoje, com dois terços dos sites do Reino Unido incapaz de bloquear até mesmo ataques simples. Lá houve um aumento estimado de 50% no tráfego ruim de bots na temporada de férias de 2022.
• APIs (Application Programming Interface) estão no centro da transformação digital do varejo, permitindo experiências mais conectadas e integradas aos clientes. Mas vulnerabilidades e configurações incorretas também podem fornecer um rota fácil para hackers acessarem dados de clientes.

Como os varejistas podem se defender contra riscos cibernéticos

Em resposta, os retalhistas precisam de equilibrar a segurança com a produtividade dos funcionários e o crescimento dos negócios. Este cálculo nem sempre é fácil, especialmente tendo em conta que o elevado custo de vida exerce uma pressão cada vez maior sobre a procura de lucros. Mas isto pode ser feito. Aqui estão 10 práticas recomendadas a serem consideradas:

• Treinamento regular da equipe: Isso deve acontecer sem dizer. Garanta o seu os funcionários podem detectar até ataques de phishing sofisticados e você terá uma última linha de defesa útil.
• Auditoria de dados: Entenda o que você tem, onde está armazenado, para onde flui e como está protegido. Em qualquer caso, isso deve ser feito como parte da conformidade com o GDPR.
• Criptografia de dados forte: Depois de descobrir e classificar seus dados, aplique criptografia forte às informações mais confidenciais. Isto deve ser feito de forma contínua.
• Gerenciamento de patches baseado em risco: A importância da correção de software não pode ser subestimada. Mas o grande número de novas vulnerabilidades publicadas a cada ano pode ser esmagador. Os sistemas automatizados baseados em riscos devem ajudar a agilizar o processo e priorizar os sistemas e vulnerabilidades mais importantes.
• Segurança protetora em várias camadas: Considere antimalware e outros recursos em servidor, endpoint, rede de e-mail e camada de nuvem, como uma barreira preventiva contra ameaças cibernéticas.
• XDR: Para ameaças que conseguem contornar os controles preventivos, garanta que haja forte detecção e resposta estendida (XDR) trabalhando em várias camadas, inclusive para apoiar a caça a ameaças e a resposta a incidentes.
  
• Segurança da cadeia de suprimentos: Audite todos os fornecedores, incluindo parceiros digitais e fornecedores de software, para garantir que sua postura de segurança esteja alinhada com seu apetite ao risco.
• Controles de acesso fortes: Gerenciadores de senhas para senhas fortes e exclusivas e autenticação multifator são essenciais para todas as contas confidenciais. Juntamente com XDR, criptografia, segregação de rede e controles preventivos, eles formam a base de um Abordagem de segurança Zero Trust.
• Planejamento de recuperação de desastres/continuidade de negócios: A revisão dos planos ajudará a garantir que os processos de negócios e as ferramentas tecnológicas corretos estejam em vigor.
• Planejamento de resposta a incidentes: Certifique-se de que seus planos sejam confiáveis ​​e testados regularmente, para que todas as partes interessadas saibam o que fazer no pior cenário e não perca tempo respondendo e contendo uma ameaça.

Para a grande maioria, senão todos, dos varejistas, a conformidade com o PCI DSS também será um requisito essencial para os negócios. Considere isso uma oportunidade e não um fardo. Seus requisitos detalhados ajudarão você a construir uma postura de segurança mais madura e a minimizar a exposição ao risco. Tecnologias como a criptografia forte também podem ajudar a reduzir os custos e a carga administrativa da conformidade. Boas férias.