O que fazer para não se tonar uma VaaS - Victim as a Service - CIO
O que fazer para não se tonar uma VaaS - Victim as a Service
Em um momento no qual a segurança da informação se mostra cada vez mais estratégica
Ivan Marzariolli *
Publicada em 12 de julho de 2018 às 10h23
O título deste artigo pode assustar alguns, afinal o conceito hipotético de "VaaS", "Victim as a Service", é bastante impressionante, mas é real e acontece em várias empresas. Assim como temos o SaaS, PaaS, IaaS e outros "aaS", a mente dos hackers nunca para e eles estão migrando de ransomware para o cryptojacking, apenas para dar um exemplo de ataque. Portanto, proponho pensarmos como um cibercriminoso para tentarmos nos proteger deles.
O cibercriminoso "eficiente" possui três objetivos – vantagem, continuidade e discrição – ele quer roubar algo, quer continuar roubando pelo maior tempo possível e não quer ser descoberto. Isso porque agentes maliciosos querem o que qualquer empresa quer ao final do trimestre, lucro.
O crime ocorre quando esta mineração é feita sem o consentimento das pessoas ou empresas. Por exemplo, um grupo pode mandar phishing com um malware que se instala na máquina da vítima e rouba uma porcentagem do processamento. O mesmo vale para empresas que podem ter seus data centers comprometidos. O "pulo do gato" está entre o hacker balancear seu roubo de processamento de maneira que tenha agilidade para minerar criptomoeda e, ao mesmo tempo, não deixar que o usuário perceba lentidão nas máquinas. Isso, em um data center, pode ocasionar perdas grandes de energia e até mesmo a compra de appliances desnecessários.
Diante deste cenário, a segurança da informação se mostra cada vez mais estratégica, pois não é só de cryptojacking que os hackers vivem. Seu servidor pode estar em uso por criminosos neste exato momento para ataques DDoS, CnC, entre outros. Às vezes, o simples roubo de WiFi para vídeos ou outros fins fúteis pode resultar em prejuízos altos, tanto financeiros como de produção.
Aproveite o SaaS, PaaS, IaaS, mas tenha segurança em seu projeto de TI para não se tornar uma VaaS ou até mesmo alvo de investigação da GDPR.