Apesar da cibersegurança ser já uma aposta estratégica nas 500 maiores empresas do mercado nacional, ainda têm muito por fazer. Persistem vulnerabilidades várias, como ativos expostos ou certificados SSL inválidos, o que permite que os invasores ataquem as plataformas, que permanecem em alguns casos desatualizadas e inseguras. A conclusão é de um estudo da Ethiack.
Este trabalho teve como objetivo analisar o mos o panorama da cibersegurança para as 500 maiores empresas de Portugal. Foram analisados 575 domínios de nível superior, usando uma ferramenta de análise passiva e não intrusiva da startup de Coimbra, especializada na prevenção da cibersegurança e proteção de ativos digitais na internet.
Os resultados mostram o número de ativos expostos e fornecem uma visão geral da postura de segurança atual, de uma perspetiva externa, incluindo os serviços mais prevalentes, servidores, 3ª partes e tecnologias usadas pela organização.
Refere-se no estudo que, "em geral, quanto maior a infraestrutura digital de uma organização, mais exposta ela está a ataques externos. As infraestruturas digitais expandem-se como resultado do crescimento dos negócios e da transformação digital das organizações. O desenvolvimento ágil e o software de terceiros tornam as superfícies de ataque maiores do que nunca, com muitos ativos expostos". A análise revela que há um total de 10.880 ativos expostos, sendo que, em média, 37% dos ativos expostos são desconhecidos, "portanto, desprotegidos e vulneráveis a ataques cibernéticos".
Acresce que 11,21% dos certificados SSL estão inválidos, o que significa que têm protocolos HTTPS inválidos, desatualizados e, portanto, inseguros. O que "permite que um invasor intercepta o tráfego enquanto estiver conectado à mesma rede, permitindo ataques como espionagem e man-in-the-middle".
Verificou-se ainda que 21,77% dos arquivos de configuração do servidor Web estão expostos. "Ao expor publicamente informações sobre sua versão e software, os servidores da Web são mais vulneráveis a explorações", adianta-se.
Perante estes resultados, a Ethiack recomenda a implementação de ferramentas preventivas, como soluções de Gestão de Superfície de Ataque Externo (EASM) e Continuous Automated Red Teaming (CART), que fornecem identificação de vulnerabilidades com guias de mitigação acionáveis.
Em declarações ao Jornal Económico, André Baptista, fundador e CTO da Ethiack, refere que "os resultados deste estudo aos ativos digitais expostos das 500 maiores empresas portuguesas mostram que apesar dos esforços realizados ao longo dos últimos anos para melhorar a postura de cibersegurança, ainda há muito espaço para melhoria". A recomendação vai no sentido de as empresas adotarem mecanismos de mapeamento da infraestrutura digital exposta e de uma análise de vulnerabilidades contínua, como a forma mais viável do ponto de vista económico e da alocação de recursos para prevenir ciberataques.
