De acordo com o documento, os hackers aumentaram o direcionamento às cadeias de suprimentos de TI e, por meio de ataques cibernéticos em massa, estão encontrando novas formas de extorquir dinheiro de grandes e pequenas empresas. A maioria dos ataques de ransomware envolve o roubo de dados pessoais ou comerciais sensíveis, com o propósito de extorsão, aumentando o custo e a complexidade dos incidentes, assim como o dano à reputação. A análise da Allianz Commercial sobre as grandes perdas cibernéticas mostra que o número de casos em que ocorre exfiltração de dados está aumentando a cada ano – dobrando de 40% em 2019 para quase 80% em 2022, com 2023 significativamente mais alto.

A frequência de reclamações cibernéticas havia se estabilizado em 2022, refletindo a melhoria da segurança cibernética e das ações de gerenciamento de riscos entre as empresas seguradas. Agências de aplicação da lei visando gangues, juntamente com o conflito Rússia-Ucrânia, também ajudaram a conter as atividades de ransomware. No entanto, os ataques de ransomware sozinhos aumentaram 50% durante o primeiro semestre de 2023.

“Incidentes de dupla e tripla extorsão – usando uma combinação de criptografia, exfiltração de dados e ataques de Negação de Serviço Distribuído – para obter dinheiro não são novos, mas agora são mais prevalentes”, diz Michael Daum, Chefe Global de Reclamações de Cyber da Allianz Commercial. “Vários fatores são combinados para tornar a exfiltração de dados mais atraente para os atores de ameaças. O escopo e a quantidade de informações pessoais coletadas estão aumentando, enquanto as regulamentações de privacidade e violação de dados estão se tornando mais rigorosas globalmente. Ao mesmo tempo, a tendência para a terceirização e o acesso remoto leva a mais interfaces para os atores de ameaças explorarem”.

A exfiltração de dados pode aumentar significativamente o custo de uma perda ou reclamação cibernética. Tais incidentes podem levar mais tempo para serem resolvidos, enquanto os serviços jurídicos e de forense de TI podem ser extremamente caros. Se dados foram roubados, as empresas devem saber exatamente quais dados foram exfiltrados e provavelmente terão que notificar os clientes, que podem buscar compensação ou ameaçar litígio.

Este ano, aconteceram vários grandes ataques cibernéticos em massa, à medida que os hackers aproveitaram as vulnerabilidades em software e fraquezas nas cadeias de suprimentos de TI para atingir múltiplas empresas. Por exemplo, o ataque cibernético em massa MOVEit, que explorou um produto de software de transferência de dados, impactou milhões de indivíduos e milhares de empresas, contribuindo para o aumento da frequência de reclamações em 2023 até o momento, afetando múltiplos segurados simultaneamente.

“Podemos esperar mais ataques cibernéticos em massa no futuro. As empresas e suas seguradoras precisam entender melhor a interconectividade e as dependências que existem entre organizações e dentro das cadeias de suprimentos digitais “, diz Daum.

Proteger uma organização contra invasões cibernéticas continua sendo um jogo de gato e rato, no qual os cibercriminosos têm a vantagem. A análise da Allianz Commercial de mais de 3 mil reclamações cibernéticas nos últimos cinco anos, mostra que a manipulação externa de sistemas é a causa de mais de 80% de todos os incidentes. Os hackers usam a inteligência artificial (IA) para automatizar e acelerar os ataques, criando malwares, phishing e simulações de vozes mais eficazes. Combinado com a explosão de dispositivos móveis conectados – o relatório mostra um número crescente de incidentes causados por má segurança cibernética nessa área -, os caminhos de ataque parecem propensos a aumentar.

As capacidades e ferramentas de detecção e resposta precoces estão se tornando cada vez mais importantes. Cerca de 90% dos incidentes são contidos precocemente. No entanto, se um ataque não for interrompido nas fases iniciais, as chances de evitar que ele se torne algo muito mais sério e caro diminuem consideravelmente.

“A segurança cibernética tradicional tem se concentrado na prevenção, com o objetivo de manter os ataques fora de uma rede. Embora o investimento em prevenção reduza o número de ciberataques bem-sucedidos, sempre haverá um ‘hiato’ que permitirá que os ataques passem. Por exemplo, não é possível impedir que todos os funcionários cliquem em e-mails de phishing cada vez mais sofisticados “, diz Baviskar.

As empresas devem direcionar gastos adicionais em segurança cibernética para detecção e resposta, em vez de apenas adicionar mais camadas de proteção e prevenção. Apenas um terço das empresas descobre uma violação de dados por meio de suas próprias equipes de segurança. No entanto, a tecnologia de detecção precoce está, prontamente, disponível e eficaz.

“Os sistemas de detecção estão constantemente melhorando e podem evitar muita dor, reduzindo os tempos de detecção e resposta. Isso é algo que procuramos em nossas avaliações e subscrições de risco cibernético”, acrescenta Baviskar.

Violações cibernéticas que não são detectadas e contidas precocemente podem ser até mil vezes mais caras do que aquelas que são e a a detecção e resposta precoces podem evitar que uma perda de €20.000 se transforme em uma de €20 milhões, destaca o relatório.