Custos médios de violação de dados sobem para US$ 4.4 milhões em 2022

Sessenta por cento das violações resultaram em empresas recuperando o custo de multas, limpeza e melhorias tecnológicas aumentando os preços, essencialmente fazendo com que os consumidores paguem pelas violações e pela falta de preparação das empresas, de acordo com um relatório anual publicado em 27 de julho.

O relatório “Cost of Data Breach Report 2022”, com base em uma pesquisa com executivos e profissionais de segurança em 550 empresas, diz que o custo médio de uma violação de dados continuou a aumentar em 2022, atingindo uma média de US$ 4.4 milhões globalmente (aumento de 13% desde 2020) e US$ 9.4 milhões nos Estados Unidos. Em média, as empresas precisaram de 277 dias para identificar e conter violações de dados, abaixo dos 287 dias em 2021, e 83% das empresas sofreram mais de uma violação.

“Está claro que os ataques cibernéticos estão evoluindo para estressores de mercado que estão provocando reações em cadeia, [e] vemos que essas violações estão contribuindo para essas pressões inflacionárias”, diz John Hendley, chefe de estratégia da equipe de pesquisa X-Force da IBM Security. “Temos que pensar nos eventos cibernéticos como fatores capazes de sobrecarregar a economia, semelhante ao COVID, a guerra na Ucrânia, os preços do gás, tudo isso.”

A relatório anual, com base em pesquisas realizadas pelo Ponemon Institute, não é a primeira tentativa de avaliar o impacto das violações nos balanços das empresas. No ano passado, uma pesquisa da empresa de operações de segurança IronNet descobriu que a maioria das empresas foi afetada pelo ataque da cadeia de suprimentos à empresa de gerenciamento de rede SolarWinds, com a empresa média vendo uma queda de 11% na receita devido a lidar com o incidente. 

No geral, os especialistas estimaram que o incidente custaria à própria SolarWinds cerca de cerca de US $ 18 milhões. Quanto às 18,000 empresas e agências governamentais afetadas (e as aproximadamente 100 organizações que foram finalmente comprometidas), elas enfrentaram até US$ 100 bilhões em custos de limpeza, de acordo com a análise.

Um “imposto cibernético” sobre os consumidores

Embora os especialistas em segurança cibernética tenham cada vez mais incentivado as empresas a contar com o comprometimento de seus sistemas, elas continuam tendo problemas para impedir os invasores e estão repassando os custos para os consumidores, observa Hendley. Isso sugere que violações de dados e ataques cibernéticos estão criando um imposto cibernético, argumenta ele, aumentando os custos para consumidores e clientes downstream.

“Quando você pensa no fato de que 83% das empresas foram violadas pelo menos uma vez na vida, acho que fica difícil dizer que precisamos aplicar danos punitivos para ajudar a evitar violações”, diz Hendley. “Sempre haverá uma maneira de entrar, então acho que o melhor investimento que podemos ter é tentar mudar a linha de proteção do perímetro para pensar como o atacante.”

Além da rotulagem de violações e multas como um imposto cibernético, o relatório destacou várias tendências entre os setores que lidam com ataques cibernéticos. As empresas que conseguiram reduzir a detecção geral de violações e o tempo de resposta para menos de 200 dias economizaram US$ 1.1 milhão, ou 23% do custo da violação média.

Os custos de violação de dados são os piores na área da saúde 

O custo de uma única violação de dados variou significativamente com base no tipo de setor afetado. O setor de saúde altamente regulamentado continuou a pagar a maior quantia por comprometimentos de dados, atingindo uma média de US$ 10 milhões por violação em 2022, em comparação com as empresas financeiras que pagaram uma média de US$ 6 milhões por violação, o segundo custo de violação mais caro. Empresas farmacêuticas e empresas de tecnologia empataram essencialmente em terceiro lugar, pagando cerca de US$ 5 milhões por cada violação.

O ransomware continuou a ter um impacto significativo nos negócios, apesar dos sinais de que – até agora este ano – os ataques de ransomware diminuíram um pouco. A pesquisa descobriu que as empresas que pagam resgates gastam menos em custos de limpeza, mas altos totais de resgate negam a maioria das economias. Além disso, 80% das empresas que pagam resgates são atacadas novamente, segundo o relatório “Ransomware: The True Cost to Business” publicado pela empresa de segurança Cybereason no ano passado.

Ransomware não é tão caro quanto ataques de phishing

Outra pesquisa destacou o impacto do ransomware em empresas que não se prepararam adequadamente para ataques destrutivos. Dois terços das empresas globais atingidas por ransomware sofreram uma perda significativa de receita, disseram eles, assim como 58% dos entrevistados especificamente em empresas americanas. Os ataques em geral levaram 31% das empresas globais a fechar parte de seus negócios.

“É interessante ver a diferença de custo entre as vítimas de ransomware que optaram por pagar e aquelas que optaram por não pagar”, Nicole Hoffman, analista sênior de inteligência de ameaças cibernéticas da Digital Shadows, uma empresa de proteção contra riscos digitais. “Aqueles que pagam são frequentemente alvejados novamente alguns meses após o ataque original, o que aumentaria significativamente as perdas financeiras. Esses fatores são importantes a serem considerados ao tomar a decisão de negócios desafiadora de pagar ou não.”

Dito isso, o vetor inicial do ataque também teve um impacto significativo no custo. O comprometimento de e-mail comercial (BEC) e os ataques de phishing levaram aos maiores custos médios de violação — cerca de US$ 4.9 milhões por incidente — com vulnerabilidades de terceiros e credenciais comprometidas representando danos de aproximadamente US$ 4.5 milhões por incidente.

O relatório IBM-Ponemon também destacou tecnologias que podem ter o maior impacto nos custos de violação de dados. As empresas que usam tecnologias de inteligência artificial e aprendizado de máquina (AI/ML), processos DevSecOps e formaram uma equipe de resposta a incidentes economizaram cerca de US$ 300,000, US$ 276,000 e US$ 253,000 por incidente, respectivamente. 

Por outro lado, as empresas que sofreram com a complexidade do sistema de segurança, estavam migrando os negócios para a nuvem e tiveram falhas de conformidade tiveram os maiores aumentos no custo por incidente.

O relatório é baseado em mais de 3,600 entrevistas com indivíduos de 550 empresas de vários tamanhos, com foco em violações que envolveram de 2,200 a 102,000 registros. As violações fora desse intervalo não foram incluídas.