Todos os dias, as organizações a nível mundial enfrentam ciberataques cada vez mais sofisticados, como o phishing, que exploram o erro humano, tiram partido de contas comprometidas e utilizam tácticas convincentes, mas enganadoras, para se infiltrarem nas redes empresariais. Equilibrar a segurança com uma experiência de utilizador sem problemas para os colaboradores, deve ser um dos principais objectivos de todos os executivos, uma vez que são estes os trabalhadores com acesso a ferramentas que precisam de ser protegidas. No entanto, como identificaremos neste post, os executivos também são o alvo de invasões de contas decorrentes de ataques de phishing.
Num caso notável do final de 2022, durante os últimos dias da antiga bolsa de criptomoedas FTX, ocorreu um grande ataque que resultou na perda de 400 milhões de dólares. Considerado inicialmente como um trabalho interno, descobrriu-se após uma investigação sobre o roubo que um grupo de troca de SIM fez-se passar pelo executivo e manipulou as operadoras móveis para obter controlo sobre o número de telefone do executivo – contornando subsequentemente os mecanismos de autenticação de dois fatores (2FA) – e entrou na base de dados da FTX.
Pela mesma altura, a Europol desmantelou um grupo de fraude de CEO que orquestrou – através de uma combinação de engenharia social, comprometimento de correio eletrónico e manipulação financeira – um assalto de 40 milhões de dólares em apenas alguns dias. Mais recentemente, atacantes desconhecidos tiveram como alvo centenas de contas do Microsoft Azure, incluindo as de executivos seniores, com o objetivo de roubar dados sensíveis e activos financeiros, utilizando um arsenal de phishing de credenciais e de aquisição de contas, com recurso a engodos de phishing personalizado e documentos partilhados.
A abrangência destas funções alvo sugere uma estratégia deliberada para sobrecarregar e comprometer contas que se sabe terem acesso a vários recursos nas organizações afectadas. Estes incidentes, e os que certamente ocorrerão no futuro, sublinham a necessidade de defesas avançadas contra ataques – especialmente à medida que os agentes de ameaças se tornam mais eficientes e as organizações se debatem com a tomada de controlo de contas resultante de credenciais recolhidas por phishing. À medida que os decisores se esforçam por proteger os seus executivos e funcionários, devem utilizar uma defesa poderosa que garanta que, se e quando os utilizadores forem vítimas de tentativas de phishing, as suas identidades e os dados a que acedem e gerem permanecem seguros.
Um futuro de Zero Trust: Proteger as identidades de todos os utilizadores com autenticação multifactor (MFA) resistente a phishing
Os ataques contra a identidade são frequentes e, à medida que tecnologias como a Inteligência Artificial (IA) e a machine learning os tornam ainda mais difíceis de identificar, estes ciberataques modernos exigem abordagens de segurança modernas para mitigar o risco. Como parte do plano para arquitetar uma tecnologia de cloud com os mais altos padrões de segurança, as organizações devem adotar os benefícios inerentes de MFA forte e resistente a phishing, Zero Trust e passwordless. Dadas as fraquezas inerentes associadas às palavras-passe, tanto do ponto de vista da segurança como da usabilidade, a autenticação que não exige que o utilizador forneça uma palavra-passe no início de sessão é o caminho para o Zero Trust e uma forte defesa contra o phishing.
Embora o PIV/Smart Card tenha atendido às necessidades dos requisitos tradicionais de autenticação baseados em perímetro, o ecossistema atual de transformação digital, a mudança para a nuvem, a modernização das TI e o crescimento da força de trabalho remota requerem uma solução de autenticação alternativa e de alta garantia em linha com os princípios Zero Trust. O protocolo FIDO2 permite a autenticação de dois factores, multi-factores e sem palavra-passe, resistente a phishing, para autenticar facilmente serviços online em ambientes móveis e de desktop.
As YubiKeys oferecem uma experiência de utilizador excecional e funcionam de imediato com as principais soluções IAM e PAM, ao mesmo tempo que se integram com sistemas de terceiros como DUO, Google Cloud, HYPR, Microsoft Entra ID, Okta Workforce Identity, Ping ID, RSA SecurID Suite e CyberArk. Além disso, a Yubico e a Microsoft são membros da FIDO Alliance empenhados em fornecer soluções de autenticação resistentes a phishing com base na FIDO2 e em normas de autenticação baseadas em certificados. Juntamente com a Microsoft, a Yubico definiu cinco casos de utilização para o avanço da cibersegurança utilizando métodos de autenticação multifactor (MFA) resistentes a phishing.
Desenvolva uma estratégia de integração segura e recuperação de conta para todos os seus utilizadores, de modo a tirar o máximo partido de uma MFA resistente a phishing. Embora o caminho para a eliminação de palavras-passe possa parecer assustador, não tem necessariamente de o ser. Existem muitos meios para se chegar à ausência de palavra-passe e as diferentes implementações de chaves de acesso oferecem vantagens para as organizações e os utilizadores. Portanto, uma abordagem de “tamanho único” para as chaves de acesso não é ideal para uma organização que armazene dados críticos de clientes e financeiros com uma variedade de requisitos de segurança, conformidade e escala.
As chaves de acesso ligadas ao dispositivo nas chaves de segurança proporcionam uma maior garantia de segurança, uma integração mais simples do utilizador e a recuperação de credenciais, garantindo a conformidade com os rigorosos requisitos da indústria e oferecendo uma proteção MFA Zero Trust, resistente a phishing e moderna para todos os trabalhadores.
Post original aqui.
