Os maiores e mais notórios ataques cibernéticos da história

Os ataques cibernéticos são tentativas deliberadas de roubar, alterar ou destruir dados ou de interromper operações e danificar as partes digitais de uma infraestrutura crítica. Este post do blog explora os ataques cibernéticos mais destrutivos da história, detalhando os motivos subjacentes e o impacto, e em seguida oferece melhores práticas de prevenção e detecção.

Tipos de ataques cibernéticos

Os ataques cibernéticos ocorrem de várias formas, incluindo as seguintes:

• Malware — Este é o nome geral para softwares maliciosos que infiltram sistemas para causar danos ou roubar dados. Exemplos incluem vírus, worms e spyware.
• Ransomware — Ransomware é um tipo de malware que criptografa os arquivos ou sistemas de uma vítima, tornando-os inacessíveis. O atacante então exige um pagamento de resgate, frequentemente em criptomoeda, em troca da chave de descriptografia ou uma promessa de restaurar o acesso.
• Phishing — Agentes mal-intencionados tentam coletar informações sensíveis se passando por uma entidade legítima por meio de e-mails. Ataques relacionados usam mensagens de texto (smishing), chamadas de voz ou correios de voz (vishing), ou falsificação de códigos QR (quishing). Em essência, qualquer coisa que requeira interação do usuário é um vetor potencial para atacantes.
• Engenharia social — Os atacantes exploram características humanas como confiança, medo, curiosidade ou urgência para enganar indivíduos a revelar informações sensíveis, conceder acesso não autorizado ou realizar outras ações que comprometem a segurança.
• Ataques de negação de serviço (DoS) — Em um ataque DoS, adversários tentam inundar um sistema ou rede com um tráfego tão alto que se torna inacessível para usuários legítimos.
• Ataques Man-in-the-Middle (MITM) — Os atacantes interceptam a comunicação entre duas partes para roubar dados ou injetar código malicioso.
• Injeção de SQL — Os atacantes exploram vulnerabilidades em um site baseado em banco de dados para obter acesso não autorizado aos dados.
• Explorações de zero-day — Os adversários trabalham arduamente para descobrir e explorar vulnerabilidades de cibersegurança em software ou hardware antes que o fornecedor as encontre e emita uma correção.

É importante entender que um ataque cibernético quase sempre envolve uma combinação dos métodos de ataque listados acima usados ao longo do caminho do ataque. Pense em cenários como o seguinte: phishing e engenharia social são usados para coletar credenciais válidas de usuários desavisados para que os atacantes possam usá-las para infiltrar no sistema alvo. Para passar despercebidos enquanto avançam na rede, eles lançam um ataque DoS para distrair os defensores e, em uma manobra para se aprofundar ainda mais, tentarão usar vulnerabilidades conhecidas para conquistar sistemas críticos.

Motivos subjacentes

Os fatores motivacionais por trás de ataques cibernéticos incluem o seguinte:

• Ganho financeiro — Agentes mal-intencionados monetizam ataques de várias maneiras. Por exemplo, eles roubam informações pessoais, dados financeiros ou propriedade intelectual para vender no mercado negro; exigem resgates em ataques de ransomware; ou usam smishing ou vishing para convencer funcionários a transferir dinheiro para eles.
• Motivos políticos ou ideológicos — Às vezes, o motivo é interromper serviços ou danificar a reputação de uma organização devido a desacordos políticos ou ideológicos.
• Promovendo o interesse nacional — Países utilizam a guerra cibernética para mirar agências governamentais, sistemas de defesa e infraestrutura crítica para coletar inteligência ou interromper operações.
• Espionagem corporativa — Empresas podem se envolver em ataques cibernéticos para roubar segredos comerciais, pesquisas ou outras informações proprietárias de um concorrente.
• Ego — Alguns atacantes realizam ataques cibernéticos para demonstrar suas habilidades, construir uma reputação dentro dos círculos de hackers ou testar suas capacidades.

Impacto dos Ataques Cibernéticos

Os danos causados por ataques cibernéticos podem se estender muito além do alvo imediato, afetando comunidades, economias e relações internacionais. Em 2015, ao escrever um relatório para o Fórum Econômico Mundial, pesquisadores da McKinsey previam que o custo do cibercrime (ou perda em valor econômico) seria de $3 trilhões em 2020, enquanto em 2020 a perda prevista para 2025 subiu para $10,5 trilhões, e as atuais previsões para 2029 giram em torno de $15 trilhões.

Mas os danos financeiros não são o único resultado. Abaixo estão alguns dos outros impactos principais de ataques em infraestruturas críticas (como redes elétricas, agências de saúde e sistemas de tratamento de água), governos e corporações.

Impacto dos Ataques na Infraestrutura Crítica

• Riscos à segurança pública — Ataques cibernéticos podem causar interrupções de serviço que perturbam a vida cotidiana ou até mesmo colocam vidas em perigo.
• Erosão da confiança pública — Ataques frequentes ou graves à infraestrutura crítica podem minar a confiança do público na capacidade do governo de fornecer serviços seguros e confiáveis.

Impacto dos Ataques nos Governos

• Riscos à segurança nacional — O roubo de informações classificadas, como inteligência militar, ou danos aos sistemas de defesa e redes de comunicação podem enfraquecer a postura de defesa de um país.
• Riscos à segurança pública — Interrupções nas operações governamentais podem paralisar serviços essenciais, como sistemas de resposta a emergências e pagamentos a populações vulneráveis.
• Danos políticos — Ataques cibernéticos e campanhas de desinformação estão sendo cada vez mais utilizados para influenciar resultados eleitorais, manipular a opinião pública e criar instabilidade.

Impacto dos Ataques nas Corporações

• Dano à reputação e perda de receita — Um incidente pode corroer a confiança do cliente, resultando em perda de negócios. Também pode prejudicar as relações com parceiros e a cadeia de suprimentos.
• Perda de vantagem competitiva — O roubo de informações proprietárias, como segredos comerciais e pesquisas, pode enfraquecer a posição competitiva de uma empresa.
• Conformidade penalidades — Uma violação de dados regulamentados pode resultar em penalidades severas, maior fiscalização em auditorias futuras e até restrições em operações comerciais essenciais, como o recebimento de pagamentos com cartão de crédito.

O Caso Especial da Guerra Cibernética

A guerra cibernética exige uma discussão especial. Os Estados-nação empregam capacidades cibernéticas avançadas para perseguir objetivos estratégicos, políticos e econômicos em um palco global, com a intenção de minar adversários ou obter uma vantagem competitiva. De fato, a guerra cibernética escalou tensões geopolíticas e criou um ambiente onde capacidades cibernéticas defensivas e ofensivas robustas são uma parte essencial da estratégia de segurança nacional.

Aspectos-chave da guerra cibernética incluem:

• Espionagem — Muitos Estados-nação utilizam ataques cibernéticos para coletar informações sobre estratégias políticas, avanços tecnológicos, tendências econômicas e mais.
• Ataques à infraestrutura — Estados também visam infraestruturas críticas como redes de energia, sistemas de saúde e instituições financeiras para demonstrar seu poder ou desestabilizar oponentes.
• Desinformação — Outra tática de ciberguerra é espalhar desinformação através das redes sociais para influenciar a política de outros países, criando instabilidade social e política. Isso inclui esforços para influenciar a opinião pública ou manipular processos eleitorais.
• Sabotagem econômica — Estados-nação podem roubar propriedade intelectual ou minar operações corporativas e governamentais a fim de prejudicar a economia de um adversário e enfraquecer sua posição na economia global.
• Uso de atores intermediários — Estados-nação frequentemente patrocinam grupos de hackers, contratados privados e outras terceiras partes para realizar operações cibernéticas em seu nome. Essa abordagem ajuda a negar responsabilidade e evitar consequências.

Visão Histórica: Os Ataques Cibernéticos Mais Notórios da História

Evolução dos Ataques Cibernéticos

Ao longo dos anos, os ataques cibernéticos tornaram-se mais complexos, sofisticados e destrutivos. Aqui está um breve histórico:

• Primeiros anos (década de 1970–1980) — As primeiras ameaças cibernéticas eram vírus e worms básicos, criados principalmente para experimentos.
• O surgimento de malware (década de 1990) — À medida que os computadores pessoais se tornaram comuns, vírus, cavalos de Troia e worms de email começaram a aparecer, se espalhando através de anexos de email e disquetes.
• Ataques motivados financeiramente (anos 2000) — Este período testemunhou uma explosão em spyware, phishing, campanhas de engenharia social. Os adversários também começaram a criar redes de computadores infectados (botnets) para lançar ataques de negação de serviço distribuído (DDoS).
• Cibercrime organizado e APTs (década de 2010) — Em seguida, veio uma onda de ataques de ransomware como CryptoLocker e WannaCry. Nações e outros grupos começaram a usar ameaças persistentes avançadas (APTs) para infiltrar sistemas, permanecendo não detectados e roubando dados ao longo do tempo. Além disso, hackers exploraram vulnerabilidades em dispositivos IoT para obter acesso não autorizado ou controlar redes.
• Ameaças modernas (década de 2020) — Nos últimos anos, a barreira para o cibercrime foi reduzida. Por exemplo, ofertas de ransomware como serviço (RaaS) agora facilitam ataques com kits de ransomware e serviços, e ferramentas baseadas em IA permitem que amadores criem deepfakes para enganar ou manipular alvos. Outra tendência são os ataques à cadeia de suprimentos como o SolarWinds, onde fornecedores de software ou hardware são visados como uma porta de entrada para infiltrar os sistemas de seus clientes. Ataques diretos a infraestruturas críticas como sistemas de saúde também aumentaram.

Linha do Tempo dos Principais Ataques Cibernéticos

Três dos Maiores Ataques Cibernéticos de Todos os Tempos

Abaixo estão alguns dos maiores ataques cibernéticos da história.

WannaCry (2017)

O ataque WannaCry em maio de 2017 infectou usuários individuais e grandes organizações em todo o mundo com ransomware. Os EUA e o Reino Unido atribuíram o ataque ao Grupo Lazarus da Coreia do Norte.

• Contexto — Em abril, um grupo de hackers chamado Shadow Brokers vazou algumas ferramentas supostamente desenvolvidas pela Agência de Segurança Nacional dos EUA (NSA), incluindo o EternalBlue, o exploit usado no ataque WannaCry. A Microsoft já havia lançado uma atualização de segurança para corrigir a vulnerabilidade explorada pelo EternalBlue, mas muitas organizações não aplicaram prontamente esta atualização crítica.
• Metodologia — O ransomware se espalhou por meio de e-mails de phishing ou exploração direta da vulnerabilidade EternalBlue em sistemas não atualizados. Utilizou um mecanismo semelhante a um worm para se propagar pelas redes. Em seguida, criptografou arquivos e exigiu pagamento para fornecer as chaves de descriptografia. O valor inicial do resgate era de $300 em Bitcoin por dispositivo, que aumentava caso o pagamento não fosse efetuado dentro de um tempo especificado.
• Resposta — Um pesquisador de segurança rapidamente descobriu um interruptor de desativação no código do ransomware, interrompendo sua propagação ao registrar um domínio não registrado codificado no malware. No entanto, as organizações foram instadas a aplicar os patches da Microsoft e fortalecer suas defesas cibernéticas.
• Impacto — O ataque afetou mais de 200.000 dispositivos em 150 países, com os setores de saúde, transporte, bancário e de telecomunicações sendo fortemente atingidos. Por exemplo, muitos hospitais e clínicas sob o Serviço Nacional de Saúde do Reino Unido (NHS) foram paralisados, com milhares de consultas canceladas e procedimentos médicos atrasados. O prejuízo foi estimado entre 4 e 8 bilhões de dólares.
• Lições aprendidas — O incidente ressaltou a importância de backups regulares do sistema, proteção robusta de endpoint e treinamento de funcionários.

Yahoo (2014)

Um vazamento de dados em 2014 no Yahoo expôs os dados de mais de 500 milhões de usuários; no entanto, o vazamento não foi divulgado publicamente até dois anos depois. Os EUA atribuíram o crime a quatro indivíduos, incluindo dois hackers supostamente ligados ao Serviço Federal de Segurança da Rússia. Um vazamento anterior em 2013 havia comprometido todas as 3 bilhões de contas do Yahoo.

• Metodologia — Acredita-se que os atacantes utilizaram spear-phishing e possivelmente outras técnicas para infiltrar-se nos sistemas do Yahoo. Eles então conseguiram acesso aos dados de 500 milhões de usuários, incluindo seus nomes, endereços de e-mail, senhas criptografadas com um algoritmo fraco, datas de nascimento, números de telefone e perguntas e respostas de segurança.
• Resposta — Foi recomendado aos usuários que redefinam suas senhas, implementem autenticação multifator (MFA) e monitorem suas contas para detectar atividades suspeitas. O Yahoo teve que trabalhar na melhoria de suas práticas de cibersegurança, incluindo a atualização dos padrões de criptografia e a adoção de capacidades de detecção de intrusão mais robustas.
• Impacto — Juntos, os incidentes de 2013 e 2014 destacam-se como os maiores vazamentos de dados da história. Milhões de usuários enfrentaram um alto risco de roubo de identidade, phishing e outros crimes cibernéticos porque suas informações pessoais foram expostas. O vazamento corroeu a confiança dos usuários e prejudicou a reputação do Yahoo, pois a empresa enfrentou processos, fiscalização regulatória e acordos que totalizaram centenas de milhões de dólares. A Verizon adquiriu o Yahoo em 2017, com os vazamentos reduzindo o preço da aquisição em 350 milhões de dólares.
• Lições aprendidas — Yahoo enfrentou críticas por não divulgar o incidente até dois anos depois, o que levou a pedidos por leis de notificação de violação de dados mais rigorosas. Isso também destacou a necessidade de regulamentações abrangentes de proteção de dados, como o GDPR, para impor responsabilidade e proteger as informações dos usuários.

Rede Elétrica da Ucrânia (2015)

Um ataque em 2015 na Ucrânia foi o primeiro ataque cibernético a desligar o fornecimento de energia elétrica de uma nação. Acredita-se que o ataque tenha sido realizado pelo Sandworm, um grupo de hackers russo.

• Metodologia — Eles conseguiram acesso à rede por meio de e-mails de phishing contendo um malware chamado BlackEnergy 3. Em seguida, usaram o malware para realizar reconhecimento e mover-se lateralmente para identificar sistemas críticos e coletar credenciais para acessar os sistemas de Supervisory Control and Data Acquisition (SCADA). Usando as credenciais roubadas, eles emitiram comandos remotamente para abrir disjuntores, desconectando a energia das subestações.
• Impacto — Cerca de 230.000 residentes ficaram sem energia por até 6 horas. Serviços como hospitais e sistemas de transporte também foram temporariamente interrompidos.
• Resposta — Para retardar a resposta, os atacantes implantaram o malware KillDisk para sobrescrever o firmware e tornar os dispositivos inoperantes e lançaram um ataque de negação de serviço telefônico nas linhas de atendimento ao cliente para impedir que os usuários relatassem interrupções. As empresas de energia tiveram que depender de processos manuais por dias, e como os atacantes haviam desativado as capacidades remotas, as equipes de campo tiveram que operar manualmente os disjuntores para restaurar a energia. Os sistemas afetados foram reconstruídos ou restaurados a partir de backups.
• Lições aprendidas — As empresas de energia tomaram medidas para isolar sistemas críticos das redes públicas e aumentar a conscientização dos funcionários sobre phishing. De forma mais ampla, o incidente demonstrou quão vulnerável a infraestrutura crítica pode ser a APTs e os crescentes riscos da guerra cibernética.

Ataques Cibernéticos Importantes Recentes

Alguns dos maiores ataques cibernéticos nos últimos cinco anos são discutidos a seguir.

MOVEit (2023)

Em 2023, um grupo cibercriminoso de língua russa chamado Clop explorou uma vulnerabilidade no software MOVEit Transfer para roubar grandes quantidades de dados.

• Metodologia — Ao explorar uma vulnerabilidade de software (CVE-2023-34362) e implantar um web shell chamado LEMURLOOT, o grupo conseguiu executar comandos SQL não autorizados e exfiltrar dados. Eles ameaçaram publicar os dados roubados a menos que um resgate fosse pago.
• Resposta — A Progress Software lançou patches para corrigir a vulnerabilidade imediatamente após sua descoberta. As organizações foram aconselhadas a aplicar os patches de software, verificar os sistemas em busca de indicadores de comprometimento (IOCs) e atualizar as configurações de segurança.
• Impacto — Mais de 2.500 organizações foram afetadas, incluindo Amazon, BBC, British Airways, Shell e o Departamento de Educação da Cidade de Nova York. O incidente expôs os dados sensíveis de cerca de 60 milhões de indivíduos, incluindo informações pessoais identificáveis (PII), dados financeiros e comunicações internas.

Colonial Pipeline (2021)

Em 7 de maio de 2021, a Colonial Pipeline sofreu um ataque de ransomware que interrompeu o fornecimento de combustível em toda a Costa Leste. DarkSide, um grupo cibercriminoso acredita-se ser baseado no Leste Europeu, perpetrou o ataque.

• Metodologia — Os atacantes obtiveram acesso inicial usando uma senha comprometida para uma conta VPN que não tinha MFA ativado, o que os investigadores acreditam ter sido obtida de um banco de dados na dark web. Em seguida, eles roubaram 100 gigabytes de dados e implantaram ransomware para criptografar os sistemas de rede empresarial da Colonial Pipeline.
• Response — While the operational technology (OT) systems were not directly affected, the company shut down operations as a precaution. Then it paid the ransomware operators a ransom of about 75 Bitcoin, or nearly $5 million. However, the decryption tool provided by the attackers was reportedly slow and inefficient, and the company had to work with cybersecurity experts to restore operations. In June 2021, the Department of Justice (DOJ) recovered $2.3 million of the ransom payment by tracking the Bitcoin wallet.
• Impacto — A Colonial Pipeline fornece quase 45% do combustível da Costa Leste, incluindo gasolina, diesel e combustível de aviação. As operações foram interrompidas por vários dias como resultado do ataque, o que causou escassez generalizada de combustível e pânico no sudeste dos Estados Unidos. O governo dos EUA declarou estado de emergência para mitigar o impacto da falta de combustível.

SolarWinds (2020)

Em dezembro de 2020, foi revelado que a empresa de gestão de TI SolarWinds foi comprometida em um ataque à cadeia de suprimentos. Hackers infiltraram-se nos sistemas da SolarWinds e inseriram código malicioso nas atualizações para a sua plataforma de software Orion, amplamente utilizada para monitoramento e gestão de TI. Mais de 18.000 clientes da SolarWinds baixaram a atualização de software comprometida, dando aos atacantes uma potencial porta dos fundos em seus sistemas para cometer espionagem. O ataque é atribuído a um grupo de ameaças frequentemente ligado ao Serviço de Inteligência Estrangeira da Rússia (SVR).

• Metodologia —Os atacantes exploraram falhas nos produtos, serviços e infraestrutura de distribuição de software da Microsoft. Por exemplo, eles abusaram da vulnerabilidade Zerologon para acessar credenciais nas redes que violaram, o que por sua vez permitiu que eles comprometessem contas de email do Office 365. Outra falha de software pode ter permitido que eles contornassem o MFA.
• Resposta — A comunidade de segurança forneceu ferramentas para determinar quais clientes foram violados, um interruptor de desativação para o malware usado no ataque, contramedidas para o possível abuso de software roubado dos clientes e mais.
• Impacto — Este ataque à cadeia de suprimentos afetou várias agências governamentais dos EUA, incluindo o Department of Homeland Security (DHS), o Department of the Treasury e o Department of Commerce. Também afetou milhares de organizações privadas globalmente, incluindo a Microsoft. Investidores da SolarWinds entraram com uma ação coletiva relacionada às falhas de segurança e à subsequente queda no preço das ações.

Piores ataques cibernéticos nos setores governamental e de defesa

Abaixo estão os piores ataques cibernéticos da história relacionados aos setores governamental e de defesa.

SQL Slammer (2003)

O worm SQL Slammer foi um dos ataques de malware que se espalharam mais rapidamente na história. Explorando uma vulnerabilidade conhecida no Microsoft SQL Server, o worm infectou sistemas vulneráveis em minutos e se espalhou exponencialmente sem necessitar de interação do usuário. Sua propagação rápida causou interrupções generalizadas, incluindo falhas em caixas eletrônicos, sistemas de companhias aéreas e serviços de resposta a emergências.

Embora não tenha roubado dados, o worm gerou enormes quantidades de tráfego de rede, efetivamente iniciando um ataque de negação de serviço. O episódio levou organizações em todo o mundo a priorizar a gestão de patches e destacou a importância crítica das atualizações de software em tempo hábil para proteger contra vulnerabilidades conhecidas.

Guerra Cibernética Rússia-Ucrânia (2022 e posterior)

O conflito Rússia-Ucrânia foi marcado por uma ciberguerra significativa. Antes e durante a sua invasão da Ucrânia, a Rússia lançou múltiplos ataques cibernéticos visando a infraestrutura ucraniana, alguns dos quais o Tribunal Penal Internacional (ICC) está investigando como possíveis crimes de guerra. Por exemplo, um ataque cibernético em 2022 comprometeu mais de 70 sites do governo ucraniano, e operações adicionais visaram tanto o governo quanto sites bancários ucranianos, levando a interrupções significativas. A Rússia também tentou perturbar a rede elétrica da Ucrânia por meios cibernéticos, com o objetivo de criar apagões generalizados e caos.

A Ucrânia respondeu com estratégias cibernéticas ofensivas e defensivas. Em particular, um ciber voluntário começou a atacar sites do governo da Rússia e instituições financeiras, e nações aliadas forneceram inteligência e suporte técnico para reforçar as defesas cibernéticas.

Estes eventos sublinham o papel crítico da guerra cibernética em conflitos modernos e destacam a necessidade de medidas robustas de cibersegurança e cooperação internacional.

Escritório de Gestão de Pessoal dos EUA (OPM) (2014)

O OPM dos EUA sofreu uma das mais extensas violações de dados governamentais na história dos EUA. Os atacantes usaram credenciais roubadas de um subcontratado para obter acesso aos sistemas do OPM. Mais tarde, veio à tona que eles mantiveram acesso aos sistemas do OPM por quase um ano.

Cerca de 22,1 milhões de indivíduos, incluindo funcionários federais e contratados, foram afetados. Os dados violados incluíam nomes, números de Segurança Social e dados biométricos, bem como informações de autorização de segurança, como dados sobre familiares, colegas de quarto, contatos estrangeiros e informações psicológicas.

A OPM ofereceu serviços de monitoramento de crédito e proteção contra roubo de identidade aos afetados, e o Diretor e o Diretor de Informática da OPM tiveram que renunciar.

O Impacto dos Ataques Cibernéticos nas Corporações

Marriott (2018)

Em novembro de 2018, a Marriott International divulgou uma grande violação de dados que começou em 2014 na Starwood, uma empresa que a Marriott adquiriu em 2016, mas ainda não havia migrado para seu próprio sistema de reservas. Especialistas em cibersegurança acreditam que atores patrocinados pelo estado, possivelmente da China, foram responsáveis pela violação, em parte porque os dados comprometidos seriam úteis para agências de inteligência estrangeiras.

• Metodologia — Investigações revelaram que os atacantes instalaram malware, incluindo Trojans de Acesso Remoto (RATs) e ferramentas como mimikatz, para obter acesso e exfiltrar dados.
• Impacto — Os invasores obtiveram acesso a centenas de milhões de registros de clientes no banco de dados de reservas de hóspedes da Starwood. Os dados incluíam não apenas nomes, mas também informações altamente sensíveis, como números de passaporte e números de cartões de pagamento com suas datas de validade. A Marriott ofereceu aos hóspedes um ano gratuito de serviços de monitoramento de identidade. Em 2024, a empresa concordou em pagar uma multa de 52 milhões de dólares por este incidente e por outras duas violações de dados, além de se comprometer a melhorar seus processos de manuseio e proteção de dados sensíveis.

Sony’s PlayStation Network (PSN) (2011)

A PlayStation Network da Sony, uma das maiores plataformas de jogos e entretenimento digital, sofreu um ataque em 2011.

• Metodologia — Hackers exploraram vulnerabilidades na infraestrutura da PSN, segurança fraca do servidor e armazenamento de dados sem a devida criptografia.
• Resposta — Quando a Sony detectou acesso não autorizado, desligou a PlayStation Network para investigar a violação. A restauração completa dos serviços levou várias semanas.
• Impacto — O incidente comprometeu os dados pessoais de quase 77 milhões de contas PSN, incluindo nomes, endereços, endereços de e-mail, datas de nascimento e credenciais de login. A Sony estimou o custo do incidente em US$ 171 milhões. A empresa foi obrigada a implementar novos protocolos de criptografia, firewalls e sistemas de monitoramento para fortalecer a segurança da rede. Como um incentivo, lançou um programa “Welcome Back” oferecendo aos usuários afetados jogos gratuitos, filmes e uma assinatura do PlayStation Plus de um mês.

Equifax (2017)

A Equifax, uma das maiores agências de relatórios de crédito dos EUA, sofreu um dos maiores vazamentos de dados sensíveis até hoje. Em fevereiro de 2020, o governo dos EUA indiciou membros do Exército de Libertação do Povo da China pelo incidente.

• Metodologia — Para obter acesso à rede corporativa da Equifax, os atacantes exploraram uma vulnerabilidade em uma estrutura de aplicação web de código aberto chamada Apache Struts. Em seguida, comprometeram as credenciais de funcionários da Equifax, o que lhes permitiu acessar os bancos de dados de monitoramento de crédito. Para evitar detecção, os hackers exfiltraram cuidadosamente os dados, peça por peça, de 51 bancos de dados.
• Resposta — O incidente permaneceu sem detecção por 76 dias. Após ser descoberto, a Equifax recusou assistência do Department of Homeland Security e, em vez disso, contratou uma empresa privada de cibersegurança para ajudar na resposta ao incidente. A análise revelou que uma correção já estava disponível para a falha no Apache Struts muito antes do incidente, mas a Equifax ainda não a tinha aplicado. (De fato, uma auditoria interna de 2015 já havia identificado problemas sistêmicos com o processo de aplicação de correções da empresa, mas a maioria deles não foi resolvida antes do incidente de 2017.) Além disso, alguns sistemas careciam de criptografia adequada e protocolos de segurança.
• Impacto — O incidente expôs as informações sensíveis de cerca de 147,9 milhões de residentes dos EUA (quase metade da população do país) e milhões de cidadãos britânicos e canadenses. A Equifax teve um custo de $1,4 bilhão, incluindo monitoramento de crédito gratuito e proteção contra roubo de identidade para os indivíduos afetados e melhorias em cibersegurança como criptografia mais forte, MFA e monitoramento de ameaças em tempo real. A Equifax também enfrentou várias ações judiciais e investigações por parte de reguladores e entidades privadas. O incidente provocou audiências no congresso e apelos por leis de proteção de dados mais rigorosas.

Ataques Cibernéticos Notáveis de Espionagem

Google (2009)

Um ataque sofisticado ao Google em 2009 teve como objetivo coletar informações sobre ativistas dos direitos humanos e dissidentes políticos críticos ao governo chinês. Provavelmente, também fazia parte de um esforço mais amplo para roubar propriedade intelectual e segredos corporativos.

• Metodologia — Atacantes exploraram uma vulnerabilidade zero-day no Microsoft Internet Explorer que lhes permitiu executar remotamente um código malicioso chamado Aurora, para estabelecer um ponto de apoio e exfiltrar dados. Eles também usaram e-mails de spear-phishing para mirar em funcionários e obter acesso ao sistema.
• Resposta — O ataque teve como alvo a infraestrutura do Google na China, mas mais de 20 outras organizações foram vítimas, incluindo Adobe Systems, Yahoo, Juniper Networks e Northrop Grumman.
• Impacto — Este incidente de espionagem cibernética teve implicações de longo alcance. O Google anunciou que não mais censuraria os resultados de pesquisa na China conforme exigido pela lei chinesa; em vez disso, começou a redirecionar os usuários chineses para o seu site de Hong Kong não censurado. O ataque também tensionou as relações entre EUA e China. Embora o Google não tenha acusado diretamente o governo chinês, especialistas em cibersegurança e oficiais dos EUA apontaram para hackers patrocinados pelo estado chinês como os prováveis culpados.

Programa Nuclear do Irã (2010)

O ataque cibernético Stuxnet de 2010 foi uma operação pioneira e altamente sofisticada que teve como alvo o programa de enriquecimento nuclear do Irã. Utilizou um worm de computador para danificar fisicamente equipamentos industriais, marcando uma nova era na guerra cibernética.

• Contexto — No início dos anos 2000, o Irã estava enriquecendo urânio, causando preocupação entre as nações ocidentais de que poderia adquirir armas nucleares e desestabilizar ainda mais a região. Esforços diplomáticos e sanções econômicas não conseguiram interromper o progresso do Irã.
• Metodologia — O ataque cibernético baseou-se no Stuxnet, um worm de computador sofisticado, acreditado ter sido desenvolvido conjuntamente pelos Estados Unidos e Israel em uma operação secreta. Para infiltrar-se nos sistemas de controle industrial das plantas de enriquecimento de urânio do Irã, que não possuíam conexão com a internet, o worm se espalhou por meio de pen drives infectados e explorou vulnerabilidades de dia zero em sistemas Windows. Uma vez dentro, o Stuxnet alterava os parâmetros operacionais das centrífugas, fazendo com que girassem em velocidades acima de sua tolerância, o que levava a falhas mecânicas. Ao mesmo tempo, enviava informações falsas aos sistemas de monitoramento, fazendo parecer que as operações estavam ocorrendo normalmente.
• Impacto — Stuxnet teria destruído cerca de 1.000 centrífugas, um revés significativo para o objetivo do Irã de obter urânio enriquecido para armas. O ataque acelerou a corrida armamentista cibernética global, com mais nações investindo em capacidades cibernéticas ofensivas e defensivas. Em particular, o Irã começou a lançar ataques cibernéticos a instituições financeiras e infraestruturas dos EUA. O uso de Stuxnet também levantou debates sobre a legalidade de ataques cibernéticos sob a lei internacional.

Melhorando a Prevenção e Resposta a Ataques Cibernéticos

Os ataques cibernéticos detalhados acima destacam a necessidade de todas as organizações aprimorarem suas medidas de segurança cibernética e planejamento de resiliência, bem como a cooperação internacional no combate a ameaças em evolução.

Construindo uma Estratégia de Resposta a Incidentes

Organizações que buscam criar um plano de resposta a incidentes eficaz devem considerar incluir as seguintes estratégias:

Contenção e Mitigação Imediatas

• Desconecte os sistemas afetados da rede para impedir que o ataque se espalhe.
• Ative equipes de cibersegurança internas ou externas para avaliar e neutralizar o ataque.
• Utilize backups limpos para restaurar dados e sistemas se estiverem comprometidos.
• Priorize dados críticos e infraestrutura.
• Envolver agências de aplicação da lei para investigar e rastrear atacantes.

Comunicação

• Notifique todos os funcionários sobre a violação e forneça diretrizes.
• Se os dados dos clientes forem comprometidos, siga os requisitos legais e as políticas internas sobre a notificação das partes afetadas.
• Emita comunicados de imprensa para manter a transparência e controlar a narrativa.

Investigação

• Investigue a natureza do ataque, o vetor de entrada e a identidade dos atacantes.
• Realize uma análise de causa raiz para identificar e corrigir vulnerabilidades a fim de prevenir recorrências.

Conformidade Legal e Regulatória

• Report the attack to relevant authorities, such as data protection agencies.
• Se o incidente foi resultado de negligência por parte de um fornecedor terceirizado, considere ação legal.

Fortalecer as Defesas

• Aplique patches para atualizar softwares e fechar vulnerabilidades.
• Implemente firewalls, sistemas de detecção de intrusão e ferramentas de Endpoint Management para melhorar a segurança.
• Eduque os funcionários sobre como reconhecer phishing e outras ameaças.

Opções de Resposta do Governo

Além de abordar diretamente as violações usando as estratégias de resposta acima, os governos podem ter opções adicionais disponíveis, como as seguintes:

Medidas Diplomáticas

• Identifique publicamente a parte responsável.
• Imponha sanções econômicas ou políticas a entidades que realizem ou patrocinem ataques.
• Colabore com parceiros e alianças internacionais como a OTAN ou a ONU para fortalecer as defesas coletivas de cibersegurança.

Ações Legais e Políticas

• Fortaleça a legislação sobre cibercrime para aplicar as leis adequadas e processar os atacantes.
• Estabeleça requisitos de relatórios para empresas para melhorar a transparência.
• Promover a cooperação multinacional e internacional entre agências de aplicação da lei encarregadas de combater o cibercrime

Capacitação

• Desenvolver estruturas para gestão de riscos e prevenção.
• Colabore com empresas privadas para proteger infraestruturas críticas.
• Lance campanhas de conscientização para educar o público sobre higiene cibernética.

Retaliação

A retaliação pode ser dividida em duas variantes: hackbacks e contra-ataques.

• Em um cenário de contra-ataque cibernético, o estado atacado tenta contra-atacar o ciberataque hackeando de volta o perpetrador. Contra-ataques são controversos, e a maioria dos pesquisadores não os vê como uma opção válida.
• A outra variante, ainda mais extrema, na qual os países podem considerar o lançamento de contra-ataques físicos, é discutida em fóruns de políticas. Até agora, uma resposta militar nunca foi usada em ataques cibernéticos como retaliação direta por um ataque cibernético.

Melhores práticas de cibersegurança para empresas e governos

Para aumentar a resiliência contra ameaças cibernéticas, organizações de qualquer setor podem adotar as seguintes medidas:

Threat Prevention

• Cumpra rigorosamente o princípio do menor privilégio e limite os direitos de acesso de cada usuário ao que é necessário para o seu papel.
• Implemente MFA inteligente.
• Atualize e aplique patches nos sistemas regularmente.
• Realize avaliações regulares de risk assessments para identificar vulnerabilidades.
• Realize testes de penetração periódicos para avaliar a eficácia das defesas atuais contra ataques cibernéticos simulados.
• Implemente uma política de Zero Trust para acesso à rede.
• Realize treinamentos de conscientização de segurança para todos os usuários, certificando-se de abordar phishing, engenharia social e outros vetores de ataque comuns e forneça uma maneira fácil de relatar atividades suspeitas. Utilize cenários simulados de ameaças, como campanhas falsas de phishing, para testar a resposta e a conscientização dos funcionários.

Threat Detection and Response

• Melhore a detecção de ameaças implementando detecção e resposta de endpoint (EDR) e sistemas de detecção de intrusão (IDS).
• Monitore atividades e use análises avançadas para detectar comportamentos suspeitos.
• Inscreva-se em feeds de inteligência de ameaças para se manter informado sobre novos exploits.
• Faça parceria com empresas de cibersegurança, forças policiais e agências governamentais para compartilhar inteligência de ameaças e outros recursos.

Recuperação de Incidentes

• Crie um plano de resposta a incidentes abrangente que defina papéis, responsabilidades e etapas para conter e se recuperar de incidentes cibernéticos.
• Faça backup de dados e sistemas essenciais como Active Directory regularmente e teste os backups minuciosamente. Armazene todos os backups de forma segura usando armazenamento imutável e fora do local.

Como a Netwrix pode ajudar

A Netwrix oferece um conjunto de soluções para ajudar as organizações a fortalecerem suas defesas contra ataques cibernéticos, detectar ameaças precocemente e mitigar danos potenciais. Elas incluem:

• Netwrix Auditor oferece visibilidade abrangente em ambientes de TI ao auditar mudanças, configurações e permissões de acesso. Ele permite que organizações detectem atividades suspeitas, investiguem incidentes e abordem vulnerabilidades para reduzir o risco de ataques.
• Netwrix Threat Prevention oferece monitoramento em tempo real e análise para identificar comportamentos incomuns e ameaças potenciais dentro de sua infraestrutura, permitindo ação proativa para mitigar riscos.
• Netwrix Threat Manager capacita equipes de segurança com capacidades de resposta automática a ameaças, agilizando o gerenciamento de incidentes e reduzindo o tempo necessário para lidar com incidentes de segurança de forma eficaz.
• Netwrix Endpoint Protector impede ataques cibernéticos na origem, protegendo os endpoints. Monitora e controla o acesso a dados sensíveis, detecta atividades suspeitas e previne alterações não autorizadas e exfiltração de dados.

Conclusão: Lições dos Maiores Ataques Cibernéticos

A história ensina que as ameaças cibernéticas são um desafio persistente e crescente. À medida que a tecnologia evoluiu, as metodologias de ataque também se desenvolveram. O cibercrime tornou-se cada vez mais comercializado, com plataformas da dark web facilitando a venda de dados roubados e oferecendo ransomware e outras opções como serviços. Nações agora utilizam capacidades cibernéticas para espionagem, sabotagem e influência, com a infraestrutura crítica sendo agora um alvo principal com impactos devastadores no mundo real.

Avançando, podemos esperar uma expansão nas superfícies de ataque. A proliferação de dispositivos da Internet das Coisas (IoT), desde casas inteligentes até sensores industriais, criará mais pontos de entrada para atacantes. Até 2030, bilhões de dispositivos estarão conectados, muitos com segurança inadequada. À medida que a inteligência artificial se torna embutida em sistemas críticos, atacantes visarão vulnerabilidades em modelos de IA e seus processos de tomada de decisão. A implementação do 5G e futuras tecnologias de rede aumentará a conectividade, expondo mais redes a mais ameaças cibernéticas.

Ao mesmo tempo, as ameaças se tornarão ainda mais sofisticadas. Os adversários usarão IA para criar malwares mais avançados, automatizar ataques e imitar comportamentos humanos em esquemas de phishing. Computadores quânticos poderiam tornar os métodos de criptografia atuais obsoletos, expondo dados sensíveis à descriptografia.

As chaves para mitigar riscos incluem preparação, colaboração e inovação. O elemento humano continua sendo um elo fraco importante, destacando a necessidade de treinamento robusto e controles de acesso eficazes. Tecnologias avançadas podem desempenhar um papel importante na defesa, bem como no ataque; por exemplo, a IA pode permitir detecção e resposta a ameaças mais rápidas e precisas, enquanto a computação quântica possibilitará criptografia mais forte e sistemas de comunicação mais seguros. De forma mais ampla, as organizações devem estabelecer planos claros de resposta a incidentes, manter backups confiáveis e implementar estratégias de resiliência robustas.

FAQ

Qual é o maior ataque cibernético da história?

O ataque cibernético mais destrutivo da história é amplamente considerado como o ataque NotPetya de junho de 2017. Embora o alvo principal tenha sido a Ucrânia, o malware se espalhou rapidamente pelo mundo, com danos estimados em mais de 10 bilhões de dólares.

Qual foi o maior ataque cibernético nos EUA?

Os maiores ataques nos Estados Unidos incluem:

• SolarWinds — Em 2020, atacantes inseriram código malicioso nas atualizações do software Orion da SolarWinds, que foram então distribuídas para diversos clientes, incluindo agências federais dos EUA e empresas da Fortune 500.
• Colonial Pipeline — Em maio de 2021, a Colonial Pipeline, um importante distribuidor de combustíveis dos EUA, sofreu um ataque de ransomware que interrompeu as operações do oleoduto, causando escassez de combustível.
• Espionagem cibernética chinesa — Em 2024, hackers chineses visaram os celulares de figuras políticas dos EUA, incluindo candidatos presidenciais e seus associados. Essa operação fez parte de um esforço de espionagem mais amplo com o objetivo de coletar dados privados e influenciar processos políticos.

Quais são os ataques cibernéticos mais famosos?

Ataques cibernéticos que se destacam devido à sua significância global, cobertura da mídia e efeitos duradouros incluem:

• Stuxnet — Este ataque de malware às usinas de processamento de urânio do Irã é considerado a primeira arma cibernética conhecida direcionada à infraestrutura física.
• WannaCry — Este ataque de ransomware afetou mais de 200.000 computadores em 150 países.
• NotPetya — O dano total estimado causado por este malware destrutivo ultrapassa os 10 bilhões de dólares.
• Equifax — Este incidente expôs os dados pessoais de 147,9 milhões de residentes dos EUA, além de milhões de cidadãos britânicos e canadenses.

Qual foi o pior crime cibernético cometido?

Alguns concorrentes para o pior cibercrime incluem:

• NotPetya (2017), que derrubou grandes empresas ao redor do globo
• WannaCry (2017), que criptografou sistemas Windows globalmente para resgate
• Equifax (2017), que expôs os dados pessoais de mais de 148 milhões de pessoas
• Yahoo (2013), no qual três bilhões de contas foram comprometidas

O que acontece em um grande ataque cibernético?

Os ataques cibernéticos geralmente envolvem múltiplas fases. Primeiro, os atacantes coletam informações sobre os sistemas, redes e vulnerabilidades do alvo. Para obter um ponto de apoio inicial, frequentemente utilizam métodos como phishing, malware, exploração de vulnerabilidades ou credenciais roubadas. Uma vez dentro, eles elevam seus privilégios e se movem lateralmente para sistemas adicionais. Finalmente, completam sua missão perturbando operações ou roubando ou criptografando dados, e apagam logs para encobrir seus rastros.

Quando um ataque é detectado, as organizações respondem isolando os sistemas afetados; analisando como a violação ocorreu e identificando os atacantes; restaurando sistemas a partir de backups e corrigindo vulnerabilidades; e informando as partes afetadas, stakeholders e órgãos de aplicação da lei sobre a violação. As consequências podem incluir custos de recuperação, danos à reputação e perda de negócios, multas, processos judiciais e supervisão mais rigorosa.

FAQ

O que é um ataque cibernético e como eles acontecem?

Um ataque cibernético é qualquer tentativa deliberada de violar, danificar ou obter acesso não autorizado a sistemas de computadores, redes ou dados. Esses ataques ocorrem por meio de vários métodos, como malware, e-mails de phishing, engenharia social ou explorando vulnerabilidades de segurança. Ao contrário das representações cinematográficas, a maioria dos ataques bem-sucedidos não envolve hackers misteriosos digitando furiosamente – são operações metódicas que exploram o comportamento humano e as fraquezas organizacionais.

Os ataques cibernéticos modernos geralmente começam com reconhecimento, onde os atacantes pesquisam seus alvos por meio de redes sociais, bancos de dados públicos e sites de empresas. Em seguida, utilizam e-mails de phishing ou engenharia social para enganar os funcionários a clicarem em links maliciosos ou fornecerem credenciais. Uma vez dentro, os atacantes movem-se lateralmente através das redes, escalando privilégios até alcançarem dados valiosos ou sistemas. Os ataques mais prejudiciais frequentemente passam despercebidos por meses enquanto os atacantes coletam silenciosamente informações e planejam seus próximos passos.

A realidade é que os atacantes não estão apenas invadindo – eles estão entrando com credenciais legítimas que foram roubadas ou manipuladas. É por isso que a Data Security That Starts with Identity deve começar pela identidade. Quando os atacantes podem acessar seus sistemas usando credenciais válidas, a segurança tradicional do perímetro se torna irrelevante. As organizações precisam de visibilidade sobre quem tem acesso ao quê, como estão usando esse acesso e a capacidade de detectar padrões de comportamento incomuns que indicam comprometimento.

Como as organizações podem prevenir ataques cibernéticos de forma eficaz?

A prevenção eficaz de ataques cibernéticos requer uma abordagem em camadas que aborde tanto vulnerabilidades técnicas quanto fatores humanos. Comece com a higiene de segurança fundamental: mantenha o software atualizado, implemente autenticação multifator e mantenha backups atualizados. No entanto, esses fundamentos não vão deter atacantes sofisticados que exploram fraquezas na gestão de identidade e acesso.

A estratégia de prevenção mais crítica concentra-se no controle e monitoramento do acesso a dados sensíveis. Implemente os princípios de menor privilégio – os usuários devem ter apenas acesso aos recursos necessários para suas funções de trabalho. Revisões regulares de acesso ajudam a identificar e remover permissões desnecessárias antes que se tornem vetores de ataque. Implante soluções de monitoramento que possam detectar padrões de acesso incomuns, como usuários acessando arquivos que nunca acessaram anteriormente ou conectando-se de locais inesperados.

O treinamento dos funcionários continua essencial, mas não é suficiente por si só. Combine programas de conscientização de segurança com controles técnicos que limitam o dano quando ocorre um erro humano. Por exemplo, implemente soluções de segurança de e-mail que detectam e colocam em quarentena mensagens suspeitas antes que elas alcancem os usuários. Crie procedimentos de resposta a incidentes que sua equipe possa executar rapidamente quando ataques ocorrerem. Lembre-se de que a prevenção não é sobre criar uma fortaleza impenetrável – é sobre tornar sua organização um alvo mais difícil enquanto garante que você possa detectar e responder a ameaças rapidamente.

O que você deve fazer imediatamente após detectar um ataque cibernético?

O tempo de resposta é crítico ao lidar com um ataque cibernético. Sua primeira prioridade é a contenção – isole os sistemas afetados para prevenir o movimento lateral enquanto preserva evidências para investigação. Desconecte as máquinas comprometidas da rede, mas não as desligue imediatamente, pois isso poderia destruir informações forenses valiosas armazenadas na memória.

Ative sua equipe de resposta a incidentes e o plano de comunicação imediatamente. Designe um único ponto de contato para coordenar os esforços de resposta e as comunicações externas. Documente tudo – registros de horário, ações realizadas, sistemas afetados e evidências coletadas. Esta documentação se torna crucial para os esforços de recuperação, reivindicações de seguro e possíveis procedimentos legais. Notifique as partes interessadas relevantes, incluindo executivos, conselheiros jurídicos e, potencialmente, a aplicação da lei, dependendo da natureza e do escopo do ataque.

Avalie o escopo e o impacto de forma rápida, mas completa. Determine quais dados ou sistemas foram acessados, se dados foram roubados ou modificados e como o ataque ocorreu. Essa avaliação direciona sua estratégia de recuperação e ajuda a priorizar os esforços de restauração. Foque em restaurar as funções críticas do negócio primeiro, mas não se apresse em voltar às operações normais sem antes resolver as vulnerabilidades que permitiram o ataque. Muitas organizações sofrem ataques repetidos porque se concentram na recuperação sem corrigir as lacunas de segurança subjacentes.

Por que os ciberatacantes usam táticas de engenharia social?

A engenharia social funciona porque explora a psicologia humana em vez de vulnerabilidades técnicas. Os atacantes acham mais fácil manipular pessoas do que ultrapassar sistemas de segurança bem configurados. Os atacantes se aproveitam da confiança, autoridade, urgência e medo para convencer as vítimas a contornar os controles de segurança voluntariamente. Um e-mail de phishing bem elaborado pode realizar em minutos o que ataques técnicos poderiam levar semanas para alcançar.

A eficácia da engenharia social aumentou dramaticamente com as redes sociais e informações disponíveis publicamente. Os atacantes pesquisam seus alvos extensivamente, criando mensagens personalizadas que parecem legítimas e relevantes. Os atacantes podem referenciar eventos recentes da empresa, conexões mútuas ou desafios atuais da indústria para construir credibilidade. Esta fase de pesquisa torna suas abordagens mais convincentes e mais difíceis para os destinatários identificarem como maliciosas.

Ataques de engenharia social também fornecem aos atacantes credenciais legítimas e caminhos de acesso. Quando um funcionário fornece seu nome de usuário e senha para uma página de login falsa, o atacante obtém acesso autorizado aos sistemas sem acionar alertas de segurança. É por isso que abordagens de segurança focadas em identidade são essenciais – elas partem do princípio de que as credenciais serão comprometidas e focam em detectar padrões de comportamento incomuns em vez de apenas bloquear tentativas de acesso não autorizado. As organizações precisam combinar treinamento de conscientização de segurança com controles técnicos que possam identificar e responder rapidamente a contas comprometidas.

Quantos ataques cibernéticos acontecem por dia e quais tipos são mais comuns?

Ataques cibernéticos ocorrem continuamente, com estimativas sugerindo milhares de tentativas diárias em toda a internet. No entanto, a maioria desses ataques são automatizados e de baixa sofisticação, como varreduras de portas, distribuição de malware ou tentativas de preenchimento de credenciais. As estatísticas mais preocupantes envolvem ataques direcionados contra organizações específicas, que acontecem com muito menos frequência, mas causam danos significativamente maiores.

O phishing continua sendo o vetor de ataque mais comum para violações bem-sucedidas, aparecendo em mais de 80% dos incidentes de segurança. Esses ataques evoluíram além de e-mails de spam óbvios para campanhas de spear-phishing sofisticadas que visam indivíduos específicos com mensagens personalizadas. Os ataques de ransomware também aumentaram dramaticamente, com novas variantes surgindo regularmente e os atacantes exigindo pagamentos cada vez maiores.

A tendência mais perigosa envolve ataques que combinam múltiplas técnicas. Campanhas de ataque modernas podem começar com engenharia social para obter acesso inicial, usar ferramentas administrativas legítimas para se mover através das redes e praticar roubo de dados antes de implantar malware. Esses ataques em múltiplas etapas são mais difíceis de detectar e defender, pois utilizam ferramentas e credenciais legítimas em cada passo. Essa evolução reforça o motivo pelo qual as estratégias de segurança devem focar no monitoramento de identidade e comportamento em vez de apenas bloquear técnicas de ataque óbvias.

O que é um ataque cibernético?

Este artigo aborda os ataques mais destrutivos já registrados, o que os motivou, seus custos e quais lições defensivas sobreviveram ao contato com a realidade.

Quatro décadas de ataques importantes tornam o padrão difícil de ignorar quando colocados lado a lado. O Morris Worm, Colonial Pipeline e Change Healthcare estão separados por 36 anos e compartilham a mesma forma. Uma rota legítima de entrada, um período de movimentação despercebida, depois uma carga entregue quando o invasor já tinha o acesso necessário.

Ataques como estes também não são mais raros: 51% das organizações lidaram com um no último ano, sério o suficiente para exigir trabalho manual da equipe de segurança, não algo que apenas a remediação automatizada pudesse resolver, segundo o Netwrix Cybersecurity Trends Report 2025.

Os ataques cibernéticos são tentativas deliberadas de roubar, alterar ou destruir dados; interromper operações; ou danificar as bases digitais de infraestruturas críticas. O padrão por trás deles se estreitou muito na última década, e 75% das exposições baseadas em incidentes agora começam com uma identidade comprometida ou uma permissão mal configurada, segundo o Netwrix 2026 Data and Identity Security Report.

Tipos de ataques cibernéticos

Um ataque cibernético é uma tentativa deliberada de um indivíduo, grupo ou estado-nação de obter acesso não autorizado a sistemas de computador, redes ou dados para roubá-los, alterá-los, destruí-los ou interrompê-los. Os atacantes podem buscar dinheiro, inteligência, vantagem política ou simples interrupção, e a mesma técnica frequentemente serve a vários desses fins.

A maioria dos ataques ocorre em etapas, e não em um único movimento. Um invasor ganha uma posição inicial, geralmente por meio de credenciais roubadas, uma mensagem de phishing ou uma vulnerabilidade não corrigida. Privilege escalation ocorre em seguida, depois o movimento lateral pela rede e, finalmente, o objetivo em si, seja exfiltrar dados ou implantar ransomware. Os incidentes abaixo repetem esse padrão com notável consistência.

Os ataques se enquadram em algumas categorias reconhecíveis, embora a maioria dos incidentes reais combine vários tipos de ataques cibernéticos ao longo de um único caminho, por isso defender-se contra uma técnica isolada raramente é eficaz.

• Malware: Software malicioso que infiltra sistemas para causar danos ou roubar dados, incluindo vírus, worms e spyware.
• Phishing: Tentativas de coletar informações sensíveis se passando por um remetente legítimo, com variantes usando mensagens de texto (smishing), chamadas de voz (vishing) e códigos QR falsificados (quishing).
• Ransomware: Malware que criptografa arquivos ou sistemas e exige pagamento, geralmente em criptomoeda, por uma chave de descriptografia ou promessa de restaurar o acesso.
• Engenharia social: Exploração da confiança, medo, curiosidade ou urgência para fazer alguém revelar informações, conceder acesso ou tomar uma ação que comprometa a segurança.
• Ataques de negação de serviço: Inundar um sistema ou rede com tráfego até que usuários legítimos não consigam acessá-lo.
• Ataques man-in-the-middle: Interceptar a comunicação entre duas partes para roubar dados ou injetar código malicioso.
• Injeção SQL: Explorar entradas não validadas em um site baseado em banco de dados para acessar dados que a aplicação nunca deveria expor.
• Explorações zero-day: Uso de uma falha de software ou hardware antes do fornecedor lançar uma correção.

Motivações subjacentes por trás dos ciberataques

A combinação importa mais do que qualquer técnica isolada. O phishing coleta credenciais válidas; essas credenciais abrem a porta da frente; um ataque de negação de serviço ocupa os defensores; e uma vulnerabilidade conhecida leva o invasor mais fundo em sistemas críticos.

O phishing continua sendo o tipo de incidente mais comum em ambos os lados do perímetro, relatado por 73% das organizações para ambientes em nuvem e 69% on-premises no Netwrix Cybersecurity Trends Report 2025.

Poucos motivos explicam quase todos os ataques registrados, e eles se sobrepõem com mais frequência do que se separam.

• Ataques baseados em credenciais: Login como um usuário legítimo com credenciais que foram roubadas, espalhadas ou recuperadas por meio de ataques de força bruta, agora a rota mais comum para entrar em uma organização.
• Ganho financeiro: Os atacantes monetizam o acesso vendendo informações pessoais, dados financeiros ou propriedade intelectual, exigindo resgates ou manipulando funcionários para transferir fundos.
• Objetivos políticos ou ideológicos: Interromper serviços ou prejudicar reputações por discordâncias políticas ou ideológicas, frequentemente por meio de desfiguração, vazamentos ou campanhas de negação de serviço.

• Interesse nacional: Estados miram agências governamentais, sistemas de defesa e infraestrutura crítica para coletar informações ou degradar a capacidade de um adversário.
• Espionagem corporativa: Roubo de segredos comerciais, pesquisas ou informações proprietárias de um concorrente, às vezes por meio de intermediários em vez de diretamente.
• Ego e reputação: Atacantes demonstrando habilidade, ganhando prestígio em círculos de hackers ou testando o que podem alcançar.

O impacto dos ciberataques

Impacto na infraestrutura crítica

O dano vai muito além do alvo imediato, alcançando comunidades, economias e relações internacionais.

Impacto nos governos

Ataques a redes elétricas, hospitais e sistemas de tratamento de água criam riscos à segurança pública além da perda de dados, pois as interrupções dos serviços atrapalham a vida diária e podem colocar vidas em perigo direto. Incidentes repetidos ou graves também corroem a confiança pública nas instituições responsáveis pelos serviços essenciais.

Impacto nas corporações

O dano financeiro é o impacto mais fácil de contabilizar e raramente o que as organizações lembram. No Netwrix Cybersecurity Trends Report 2025, os entrevistados que relataram danos financeiros causados por ataques aumentaram de 60% em 2024 para 75% em 2025, embora os custos operacionais e reputacionais por trás desses números tenham demorado mais para se estabilizar.

O roubo de material classificado, como inteligência militar, ou danos a sistemas de defesa e redes de comunicação, enfraquecem a postura defensiva de um país. A interrupção das operações governamentais pode paralisar os sistemas de resposta a emergências e os pagamentos a populações vulneráveis. Ataques combinados com campanhas de desinformação visam cada vez mais influenciar eleições, mudar a opinião pública e criar agitação.

O caso especial da guerra cibernética

A escala é mais fácil de ver no custo agregado. Cybersecurity Ventures estimou os danos globais do cibercrime em 3 trilhões de dólares em 2015 e prevê 10,5 trilhões anuais até 2025, um número amplamente adotado pelo World Economic Forum e outros. Sua projeção atual chega a 12,2 trilhões até 2031.

Uma violação corrói a confiança do cliente e causa perda de receita, e os danos frequentemente se espalham para as relações com parceiros e cadeia de suprimentos. O roubo de segredos comerciais e pesquisas enfraquece a posição competitiva de maneiras que levam anos para aparecer. Penalidades regulatórias, litígios e custos de remediação geralmente excedem em muito a demanda de resgate.

A guerra cibernética é o uso de ataques digitais por um estado-nação ou por atores que atuam em seu nome para danificar, interromper ou coletar informações dos sistemas, infraestrutura ou instituições de outro estado. Difere dos ataques criminosos no objetivo, não na técnica, pois o objetivo é a vantagem estratégica e não o dinheiro.

A diferença no objetivo muda a economia do ataque. Estados-nação dispõem de orçamentos, paciência e tolerância para longos períodos de permanência que grupos criminosos raramente igualam, e não escolhem alvos pelo valor financeiro. As operações podem durar anos antes de produzir um efeito visível, e o efeito pode ser político em vez de técnico.

Os ataques cibernéticos mais notáveis da história

Uma linha do tempo dos principais ciberataques

Na prática, a distinção se torna tênue, pois os estados usam grupos criminosos como proxies, esses grupos adotam ferramentas desenvolvidas pelo estado assim que vazam, e o mesmo malware aparece em ambos os contextos. NotPetya começou como uma operação estatal contra a Ucrânia e se espalhou mundialmente, causando bilhões em danos colaterais a empresas que nunca foram o alvo pretendido.

Os ataques tornaram-se mais complexos, organizados e comerciais ao longo de quase quatro décadas. Os primeiros incidentes foram em grande parte obra de indivíduos querendo provar um ponto. Hoje, são conduzidos por empresas criminosas com centrais de suporte e programas de afiliados, ou por agências estatais com objetivos estratégicos.

Os ataques passaram de experimentos individuais para operações criminosas organizadas e estatais por volta de meados dos anos 2000, mudando tanto os recursos por trás deles quanto a paciência com que eram conduzidos.

As entradas abaixo abrangem 37 anos, desde o experimento de um estudante de pós-graduação que escapou ao seu autor até um ataque de ransomware que parou o processamento de reivindicações médicas em todos os Estados Unidos. Cada uma conquistou seu lugar por um motivo diferente, seja pela escala, novidade, custo financeiro ou o precedente que estabeleceu para tudo o que veio depois.

Três dos maiores ciberataques de todos os tempos

A rota também mudou, afastando-se da exploração técnica para credenciais legítimas obtidas por outros meios. A segunda mudança ainda está em andamento e representa a maioria das entradas após 2020.

WannaCry (2017)

Classificar ataques por tamanho depende inteiramente do que é medido. Os três abaixo ocupam a primeira posição em três escalas diferentes, cobrindo até onde um ataque se espalhou, quantos registros expôs e se produziu consequências fora de um computador.

O ataque WannaCry em maio de 2017 infectou usuários individuais e grandes organizações em mais de 150 países em poucos dias, criptografando arquivos e exigindo pagamento em Bitcoin.

Yahoo (2013)

• Metodologia: O ransomware se espalhou usando EternalBlue, uma exploração desenvolvida pela US National Security Agency e vazada pelo grupo Shadow Brokers. EternalBlue explorou uma falha no protocolo Windows Server Message Block que a Microsoft havia corrigido dois meses antes, então o dano recaiu quase inteiramente sobre sistemas não corrigidos.
• Impacto: O Serviço Nacional de Saúde do Reino Unido foi um dos mais afetados, cancelando milhares de consultas e operações. As estimativas de danos globais chegam a bilhões de dólares.
• Resposta: Um pesquisador de segurança registrou um domínio encontrado no código do malware, que atuou como um interruptor de desligamento e desacelerou a propagação. As organizações aplicaram patches, isolaram máquinas afetadas e restauraram a partir de backups onde os tinham.

Uma violação no Yahoo expôs dados de todas as suas contas, embora a escala completa tenha demorado anos para ser revelada e só tenha sido divulgada durante negociações de aquisição.

Rede elétrica da Ucrânia (2015)

Um ataque em 2015 na Ucrânia foi o primeiro ciberataque a desligar uma rede elétrica, deixando cerca de 230.000 pessoas sem energia.

• Resposta: Yahoo forçou a redefinição de senhas e invalidou cookies falsificados, mas divulgou a violação anos depois.
• Impacto: Todas as 3 bilhões de contas foram afetadas, tornando-se a maior violação já registrada por número de contas. A Verizon reduziu seu preço de aquisição em 350 milhões de dólares como resultado.
• Metodologia: Os atacantes usaram cookies falsificados para acessar contas sem senhas, junto com credenciais roubadas. O uso do MD5 desatualizado pela Yahoo deixou muitas senhas facilmente quebráveis.

NotPetya (2017)

• Resposta: Os operadores restauraram a energia em poucas horas ao mudar para controle manual, uma capacidade que muitas redes modernizadas já não possuem.

NotPetya causou mais danos econômicos globais do que qualquer outro ciberataque registrado, com custos totais estimados em cerca de 10 bilhões de dólares para todas as empresas afetadas.

• Metodologia: Os atacantes usaram spear-phishing para entregar o malware BlackEnergy, coletaram credenciais durante meses de reconhecimento e depois usaram ferramentas legítimas de acesso remoto para abrir manualmente os disjuntores. Também apagaram sistemas e inundaram o call center da concessionária para atrasar a resposta.
• Impacto: Cerca de 230.000 residentes ficaram sem energia por até seis horas. O ataque mostrou que operações cibernéticas podem causar consequências físicas em escala nacional.

Recentes grandes ataques cibernéticos

• Metodologia: O malware entrou por meio de uma atualização comprometida do M.E.Doc, software fiscal ucraniano, depois usou uma versão modificada do Mimikatz para extrair credenciais do Windows da memória e reproduzi-las em segmentos de rede confiáveis, combinado com o exploit EternalBlue, para se espalhar sem qualquer ação do usuário.
• Impacto: Só a Maersk perdeu entre 200 e 300 milhões de dólares, e seus terminais portuários pararam de movimentar contêineres por dois dias. Merck, a divisão TNT Express da FedEx e várias outras multinacionais sofreram perdas semelhantes.
• Resposta: Os cerca de 150 controladores de domínio da Maersk estavam sincronizados para redundância, então o malware apagou todos de uma vez, exceto um em Gana que havia ficado offline durante uma queda de energia momentos antes do ataque. Um funcionário levou esse backup para Londres manualmente; a Maersk reconstruiu mais de 4.000 servidores e 45.000 estações de trabalho a partir dele em dez dias.

Change Healthcare (2024)

Os ataques abaixo são os mais significativos dos últimos cinco anos. Lidos em conjunto, mostram uma clara mudança de exploração inteligente para credenciais roubadas, software de borda sem patch e fornecedores terceiros cuja violação atinge centenas de organizações a jusante ao mesmo tempo.

O ataque de ransomware de fevereiro de 2024 à Change Healthcare, uma subsidiária da UnitedHealth Group que processa grande parte das reivindicações médicas dos EUA, tornou-se a maior violação de dados de saúde da história americana.

• Metodologia: Os atacantes fizeram login em 12 de fevereiro de 2024 usando credenciais roubadas em um portal de acesso remoto Citrix que não tinha autenticação multifator habilitada, conforme confirmou o CEO da UnitedHealth, Andrew Witty, em depoimento ao Senado. Operaram sem serem detectados por nove dias antes de implantar o ransomware BlackCat. Nenhuma vulnerabilidade foi explorada para obter acesso.
• Resposta: UnitedHealth tirou sistemas do ar, pagou um resgate de 22 milhões de dólares e ainda assim os dados roubados foram vazados. A recuperação levou meses e os fornecedores ficaram sem pagamento.

Change Healthcare ilustra melhor um padrão que percorre toda esta lista. Uma única conta sem um segundo fator deu aos invasores nove dias sem serem detectados e acesso aos registros de mais da metade da população dos EUA.

Violação de clientes Snowflake (2024)

A partir de abril de 2024, invasores acessaram dados de mais de 100 clientes da plataforma de dados em nuvem Snowflake, incluindo AT&T, Ticketmaster e Santander.

• Impacto: Cerca de 190 milhões de pessoas tiveram dados expostos. A UnitedHealth reportou custos totais de resposta acima de 2,9 bilhões de dólares, e farmácias, hospitais e consultórios em todo o país não conseguiram processar reivindicações por semanas.

CDK Global (2024)

• Resposta: Snowflake e Mandiant emitiram orientações, e a plataforma passou a aplicar autenticação multifator por padrão para novas contas.
• Metodologia: Credenciais coletadas por malware infostealer, algumas com anos de idade, foram usadas contra clientes Snowflake que não ativaram a autenticação multifator. A própria infraestrutura da Snowflake não foi violada. Cada organização afetada foi comprometida por meio de sua própria conta.

Em junho de 2024, a CDK Global, que fornece software de gestão de concessionárias para revendedores de automóveis na América do Norte, foi atingida por ransomware duas vezes em cerca de 24 horas.

• Impacto: Centenas de milhões de registros de clientes foram expostos nos locatários afetados, com a AT&T relatando metadados de chamadas e textos para quase todos os seus clientes sem fio.
• Metodologia: Os atacantes implantaram o ransomware BlackSuit contra a plataforma principal de gestão de concessionárias da CDK. Uma segunda intrusão ocorreu enquanto a empresa restaurava a partir da primeira.
• Resposta: A CDK desligou seus sistemas e as concessionárias voltaram ao papel para vendas, agendamento de serviços e folha de pagamento.
• Impacto: Cerca de 15.000 concessionárias perderam operações principais por cerca de duas semanas, com estimativas do setor apontando perdas coletivas superiores a US$ 1 bilhão.

Campanha de varejo no Reino Unido (2025)

Entre abril e maio de 2025, uma campanha coordenada atingiu vários dos retalhistas mais conhecidos do Reino Unido, incluindo Marks & Spencer, o Co-op e a Harrods.

MOVEit (2023)

• Resposta: Os varejistas afetados suspenderam os pedidos online, desligaram os sistemas e os reconstruíram a partir dos backups. A recuperação dos mais afetados durou meses.

Em 2023, um grupo de cibercriminosos de língua russa chamado Clop explorou uma vulnerabilidade no software MOVEit Transfer para roubar dados em grande escala.

• Impacto: Marks & Spencer suspendeu as vendas online por várias semanas e relatou um impacto significativo nos lucros. A campanha demonstrou que os procedimentos de help desk, e não os controles técnicos, são agora o principal alvo.
• Metodologia: O grupo Scattered Spider usou engenharia social contra os help desks, persuadindo a equipe a redefinir credenciais e contornar controles de autenticação, depois implantou o ransomware DragonForce para criptografar máquinas virtuais. O mesmo grupo usou a técnica contra a MGM Resorts em 2023, e o ciberataque à MGM seguiu um roteiro quase idêntico.
• Metodologia: Explorando a CVE-2023-34362 e implantando um web shell chamado LEMURLOOT, o grupo executou comandos SQL não autorizados, exfiltrou dados e depois ameaçou publicá-los a menos que um resgate fosse pago.

Colonial Pipeline (2021)

• Resposta: A Progress Software lançou patches imediatamente após a descoberta. As organizações foram aconselhadas a aplicar patches, escanear indicadores de comprometimento e atualizar as configurações de segurança.
• Impacto: Mais de 2.500 organizações foram afetadas, incluindo Amazon, BBC, British Airways, Shell e o Departamento de Educação da cidade de Nova York, expondo dados de cerca de 60 milhões de pessoas.

Em 7 de maio de 2021, a Colonial Pipeline sofreu um ataque de ransomware que interrompeu o fornecimento de combustível em toda a costa leste dos EUA. O grupo DarkSide, acreditado operar a partir da Europa Oriental, foi o responsável.

SolarWinds (2020)

• Metodologia: Os atacantes obtiveram acesso usando uma senha comprometida de conta VPN sem MFA ativado, supostamente obtida de um banco de dados da dark web. Roubaram 100 gigabytes de dados e criptografaram sistemas da rede empresarial.

Em dezembro de 2020, foi revelado que a empresa de gestão de TI SolarWinds havia enviado atualizações de software comprometidas a milhares de clientes.

• Impacto: Colonial fornece quase 45% do combustível da Costa Leste. Uma paralisação de vários dias causou escassez generalizada e compras por pânico, e o governo dos EUA declarou estado de emergência.
• Resposta: Os sistemas de tecnologia operacional não foram diretamente afetados, embora a empresa tenha interrompido as operações como precaução. A Colonial pagou cerca de 75 Bitcoin, perto de 5 milhões de dólares. A ferramenta de descriptografia mostrou-se lenta, e o Departamento de Justiça recuperou posteriormente 2,3 milhões de dólares rastreando a carteira Bitcoin.

Piores ataques cibernéticos nos setores governamental e de defesa

• Metodologia: Os atacantes inseriram código malicioso no processo de construção da plataforma Orion, distribuindo uma backdoor por meio de atualizações assinadas legítimas. O código ficou inativo antes de emitir sinais seletivos.

SQL Slammer (2003)

• Resposta: SolarWinds emitiu atualizações limpas, e as organizações afetadas realizaram buscas extensas por atividades subsequentes. Várias agências dos EUA iniciaram investigações formais.
• Impacto: Cerca de 18.000 organizações receberam a atualização comprometida, incluindo agências federais dos EUA. O incidente redefiniu o risco da cadeia de suprimentos para software empresarial.

Os alvos do setor público mudam o custo de uma violação. Não há receita a perder nem clientes a abandonar, então o dano se manifesta como capacidade degradada, pessoal comprometido e inteligência que permanece útil para um adversário por décadas. Várias dessas perdas não podem ser remediadas, porque uma impressão digital ou um arquivo de autorização não podem ser reemitidos.

O worm SQL Slammer foi um dos ataques de malware de propagação mais rápida já registrados, dobrando sua população infectada a cada poucos segundos.

• Resposta: As organizações filtraram a porta afetada e aplicaram o patch pendente.
• Metodologia: Um worm de 376 bytes explorou um estouro de buffer no Microsoft SQL Server e Desktop Engine, para o qual já existia um patch há seis meses. Seu pequeno tamanho permitiu que se espalhasse em velocidade extraordinária.
• Impacto: O worm alcançou a maioria dos hosts vulneráveis em 10 minutos, interrompeu redes ATM, cancelou voos e derrubou um sistema de monitoramento de uma usina nuclear.

Guerra cibernética Rússia-Ucrânia (desde 2022)

O conflito Rússia-Ucrânia tem sido marcado por operações cibernéticas contínuas paralelas a ações militares convencionais.

Escritório de Gestão de Pessoal dos EUA (2014)

A US OPM sofreu uma das violações governamentais mais graves registradas, expondo registros detalhados de investigações de antecedentes.

• Metodologia: Malware Wiper, incluindo HermeticWiper e IsaacWiper, mirou sistemas governamentais e financeiros ucranianos, além de ataques a comunicações via satélite e tentativas repetidas contra a infraestrutura energética.
• Impacto: O conflito estabeleceu as operações cibernéticas como um componente permanente da guerra moderna, com repercussões que atingem organizações por toda a Europa.
• Resposta: A Ucrânia transferiu sistemas críticos para hospedagem em nuvem fora de suas fronteiras e recebeu apoio substancial de governos ocidentais e empresas privadas de tecnologia.

Principais violações corporativas

• Resposta: OPM reformulou seu programa de segurança, e o incidente impulsionou uma mudança significativa na política federal de cibersegurança.
• Metodologia: Os atacantes usaram credenciais roubadas de contratantes para obter acesso e depois se moveram lateralmente por um longo período, permanecendo indetectados.
• Impacto: Registros de 21,5 milhões de pessoas foram coletados, incluindo pedidos de autorização de segurança e 5,6 milhões de conjuntos de impressões digitais, criando uma exposição de contrainteligência irreversível.

Marriott (2018)

Incidentes corporativos são onde os reguladores testaram pela primeira vez as consequências de violações em grande escala. Cada um dos três abaixo resultou em uma penalidade ou acordo grande o suficiente para mudar a forma como os conselhos tratam os gastos com segurança, e em dois casos o custo da resposta superou qualquer ganho dos atacantes.

• Resposta: Marriott aposentou o banco de dados Starwood e consolidou em seus próprios sistemas.

Em novembro de 2018, a Marriott International revelou uma violação no banco de dados de reservas de hóspedes da Starwood que passou despercebida desde 2014.

• Metodologia: Os atacantes estavam presentes no ambiente Starwood antes da Marriott adquirir a rede em 2016, e o acesso persistiu durante a fusão. A due diligence não o detectou.

Sony PlayStation Network (2011)

A PlayStation Network da Sony, uma das maiores plataformas de jogos do mundo, ficou offline por 23 dias após uma intrusão.

• Resposta: A Sony desligou completamente a rede, reconstruiu sua arquitetura de segurança e ofereceu proteção de identidade aos usuários afetados.
• Impacto: Até 383 milhões de registros de hóspedes foram expostos, incluindo números de passaporte. O Escritório do Comissário de Informação do Reino Unido aplicou uma multa de £18,4 milhões.
• Impacto: 77 milhões de contas foram comprometidas. Os custos diretos ultrapassaram 170 milhões de dólares, e a interrupção tornou-se um estudo de caso sobre o momento da divulgação.

Equifax (2017)

• Metodologia: Os atacantes exploraram uma vulnerabilidade conhecida da aplicação para acessar um banco de dados que continha detalhes de contas armazenados sem criptografia adequada.

Equifax, uma das maiores agências de relatórios de crédito dos EUA, sofreu uma violação que expôs as identidades financeiras de quase metade da população americana.

Ataques cibernéticos de espionagem notáveis

Google, Operação Aurora (2009)

• Impacto: 147 milhões de pessoas tiveram números de Seguro Social e outros dados financeiros expostos. A Equifax chegou a um acordo de até 700 milhões de dólares.
• Resposta: A Equifax aplicou patches, envolveu respondentes de incidentes e enfrentou audiências no Congresso junto com ações regulatórias.
• Metodologia: Os atacantes exploraram uma vulnerabilidade conhecida no Apache Struts, CVE-2017-5638, para a qual um patch estava disponível há dois meses. Um certificado expirado fez com que a inspeção do tráfego não detectasse a exfiltração por 76 dias.

Ambos ataques abaixo foram realizados por estados e não por criminosos, e a diferença se nota mais na preparação do que na técnica. Aurora atacou pelo menos 20 empresas ao mesmo tempo. Stuxnet precisou de quatro vulnerabilidades zero-day, certificados digitais roubados e conhecimento detalhado de um modelo específico de centrífuga, um orçamento que nenhuma equipe de ransomware aprovaria.

Um ataque sofisticado em 2009 ao Google teve como objetivo coletar informações e acessar as contas de ativistas dos direitos humanos.

• Metodologia: O spear-phishing entregou um exploit zero-day direcionado ao Internet Explorer, dando aos atacantes acesso a sistemas internos e repositórios de código-fonte.
• Resposta: O Google divulgou publicamente o ataque, um passo incomum na época, e depois mudou sua posição operacional na China.

Stuxnet e o programa nuclear do Irã (2010)

• Impacto: A campanha teve como alvo pelo menos 20 grandes empresas. A atribuição pública de espionagem corporativa ligada a estados tornou-se muito mais comum depois.

O ataque Stuxnet de 2010 foi o primeiro malware conhecido a causar destruição física, visando centrífugas de enriquecimento de urânio.

• Metodologia: Stuxnet usou quatro vulnerabilidades zero-day e certificados digitais roubados para se espalhar, cruzando uma lacuna de ar via mídia USB, depois alterou o comportamento do controlador lógico programável enquanto reportava leituras normais aos operadores.

O que esses ataques têm em comum

• Impacto: Cerca de 1.000 centrífugas foram destruídas. Stuxnet provou que o código pode produzir efeitos cinéticos e redefiniu as expectativas para a segurança dos sistemas de controle industrial.
• Resposta: O Irã substituiu centrífugas danificadas e isolou os sistemas afetados. Nenhum dos governos implicados confirmou a responsabilidade.

Vulnerabilidades conhecidas causam mais danos que as desconhecidas

Credenciais abrem mais portas do que exploits

Lidos em sequência, os mesmos poucos erros se repetem ao longo de quatro décadas e em todas as categorias de alvo. Os dados da pesquisa Netwrix correspondem ao que os incidentes mostram: 75% das exposições baseadas em incidentes começam com uma identidade comprometida ou uma permissão mal configurada.

Terceiros multiplicam o raio de impacto

Lacunas de detecção transformam invasões em desastres

WannaCry, SQL Slammer e Equifax exploraram falhas com patches disponíveis, e em dois dos três casos o patch existia há meses antes do ataque. Zero-days atraem atenção por serem novos. O dano recorrente vem de patches que ninguém aplicou, uma falha de agendamento e não técnica.

Change Healthcare, Colonial Pipeline, os inquilinos do Snowflake e o Office of Personnel Management foram todos acessados com logins válidos, e não por uma violação técnica. Na maioria desses casos, a autenticação multifator não estava ativada. Como resultado, o comprometimento de contas aumentou constantemente, passando de 16% dos incidentes na nuvem em 2020 para 46% em 2025. Aplicar o least privilege limita até onde uma única credencial roubada pode chegar uma vez que funciona.

SolarWinds, MOVEit, Snowflake, CDK Global e Change Healthcare comprometeram cada um uma única organização para alcançar centenas ou milhares de outras. O acesso de fornecedores agora carrega o mesmo risco que o acesso de funcionários e raramente recebe o mesmo escrutínio.

Melhorando a prevenção e resposta a ataques cibernéticos

Prevenção

Os atacantes passaram despercebidos por quatro anos na Marriott, cerca de um ano no Office of Personnel Management, 76 dias na Equifax e apenas nove na Change Healthcare, o que ainda foi suficiente. Cada janela foi longa o bastante para um invasor agir, e cada uma teria sido visível para audit log management que alguém realmente revisou.

Esses incidentes apontam para uma lista curta de controles que teriam evitado a maioria deles. Cada controle abaixo aparece em pelo menos três casos como a correção ausente.

Detecção e resposta

Implemente autenticação multifator em todos os lugares, especialmente para acesso remoto, e aplique o princípio do menor privilégio para que as contas tenham apenas os direitos necessários. Corrija vulnerabilidades conhecidas em um cronograma definido, em vez de quando for conveniente, e segmente redes para que uma brecha em uma área não comprometa o restante.

Recuperação e resposta governamental

Um plano de resposta a incidentes precisa existir antes de você precisar dele, abrangendo contenção, comunicação, investigação, notificação regulatória e recuperação. Atribua funções com antecedência, ensaie o plano e confirme que os backups são restaurados em vez de presumir que são.

A verificação do help desk merece o mesmo tratamento que qualquer controle técnico, pois a campanha de varejo do Reino Unido de 2025 ultrapassou as defesas técnicas ao visar as pessoas que redefinem senhas.

Como a Netwrix ajuda

Removendo privilégio permanente

O planejamento de recuperação deve assumir que o pagamento do resgate falha, porque tanto na Change Healthcare quanto na Colonial Pipeline a descriptografia comprada se mostrou inadequada ou os dados foram vazados mesmo assim. Um caminho de restauração testado vale mais do que uma negociação de resgate, e as organizações frequentemente deixam de testá-lo. Os governos possuem opções adicionais, incluindo atribuição pública, sanções, acusações e desmantelamentos coordenados, que têm interrompido várias operações de ransomware nos últimos anos.

As falhas presentes nesses incidentes são específicas, assim como os controles que as teriam interrompido. Netwrix cobre cada uma com um produto diferente, em vez de uma ferramenta que afirma cobrir todas.

Implemente a detecção e resposta em endpoints junto com a coleta centralizada de logs, depois monitore os comportamentos que precedem o dano. A criptografia é a última etapa em um ataque de ransomware, não a primeira, então a detecção de ransomware que espera por isso já perdeu a janela. Padrões de autenticação incomuns são os mais importantes, pois técnicas como password spraying deixam uma assinatura distinta muito antes de qualquer coisa ser criptografada. Cada incidente acima envolveu um período de permanência durante o qual a detecção foi possível.

Reduzindo a janela de detecção

Bloqueando técnicas de ataque do Active Directory

Governar contas de serviço e automação

Change Healthcare, Colonial Pipeline e o Office of Personnel Management foram todos acessados por meio de uma conta com mais privilégios do que o necessário no momento. A defesa é impedir que essas contas existam entre os usos, para que uma credencial roubada chegue a uma porta que não concede nada. Netwrix Privilege Secure substitui contas administrativas permanentes por acessos criados para uma tarefa específica e revogados automaticamente assim que essa tarefa termina.

Aprenda com os ataques antes de repeti-los

Marriott passou quatro anos sem ser detectado e Equifax 76 dias, e em ambos os casos as evidências estavam em logs que ninguém lia. Fechar essa lacuna exige um registro do que mudou, mantido pesquisável o suficiente para que uma anomalia apareça antes que uma parte externa a reporte. Netwrix Auditor audita mudanças, configurações e permissões de acesso em ambientes híbridos Microsoft, capturando valores antes e depois sem agentes para que as equipes possam responder quem mudou o quê e quando.

As ameaças cibernéticas continuam crescendo e as superfícies de ataque se ampliam à medida que dispositivos conectados proliferam e a inteligência artificial se incorpora em sistemas críticos. Os adversários já usam IA para automatizar o reconhecimento e tornar o phishing mais convincente, e a computação quântica acabará pressionando a criptografia atual.

Contas de serviço, pipelines e automação tinham privilégios na maioria dos ambientes acima e não apareceram em nenhum dos ciclos de revisão. Elas se autenticam constantemente, o que torna difícil identificar comportamentos incomuns à primeira vista. Netwrix Threat Manager detecta comportamentos anômalos de contas de serviço e atividades privilegiadas arriscadas em ambientes híbridos, abrangendo as identidades que as revisões de acesso programadas costumam perder.

Solicite uma demonstração para ver quais desses controles são realmente aplicados no seu próprio Active Directory e ambiente híbrido.

Mesmo assim, a história acima sugere algo menos dramático do que essas previsões indicam. Quase todos os ataques desta lista tiveram sucesso por um controle não aplicado, não por uma técnica imbatível: uma conta sem segundo fator, um patch não aplicado, um registro que ninguém leu. As organizações que se saíram melhor perceberam rapidamente, ensaiaram o que viria a seguir e trataram esses controles como requisitos operacionais, e não como itens de checklist.

Uma vez que um invasor obtém uma base, Active Directory geralmente é o próximo objetivo, e ransomware in Active Directory é onde a maioria desses incidentes termina. Detectar essa escalada após o fato raramente ajuda, pois o acesso ao domínio inteiro ocorre em poucas horas. Netwrix Threat Prevention bloqueia ataques DCSync, Kerberoasting e Pass-the-Hash em tempo real, interrompendo a etapa que transforma uma conta comprometida em controle do domínio.