Porque é que as pequenas empresas são um alvo

Módulo 1: Porque é que você é um alvo · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: No final desta lição, saberá explicar como os atacantes trabalham (de forma automatizada, com foco no dinheiro, de forma oportunista) e porque é que a ideia de "somos demasiado pequenos" não é verdade.
Conceitos chave: ameaça, vulnerabilidade, risco, ataque oportunista, ataque direcionado, cibercrime como serviço, superfície de ataque

"O que é que eles querem de nós?"

Esta pergunta ouve-se em quase todas as pequenas empresas. Uma padaria, um escritório de contabilidade com três pessoas, um clube de futebol: não há peixes maiores? A ideia por detrás desta pergunta é que um atacante escolhe primeiro um alvo e só depois procura forma de entrar. Para uma pequena parte dos ataques, isso até é verdade. Mas na grande maioria dos casos, acontece precisamente o contrário: o atacante procura primeiro um ponto fraco, e pouco lhe importa a quem pertence.

Para compreender bem esta ideia, precisa de três conceitos que vão aparecer ao longo de todo o curso.

• Uma ameaça é algo que pode causar danos: um burlão que envia faturas falsas, um programa de ransomware, um colega que partilha por engano o ficheiro errado.
• Uma vulnerabilidade é um ponto fraco através do qual essa ameaça pode atacar: uma palavra-passe que também utiliza numa loja online, um plugin que não recebe atualizações há um ano, um processo de pagamento sem controlo.
• Um risco é a combinação das duas coisas: qual é a probabilidade de uma ameaça atacar através de uma vulnerabilidade, e qual é a gravidade se isso acontecer? Costuma escrever-se como risco = probabilidade x impacto.

Não existe nenhuma empresa sem vulnerabilidades. Por isso, o objetivo da segurança não é "risco zero", mas sim reduzir os maiores riscos a um nível com que consiga conviver.

Oportunista ou direcionado

Existem, grosso modo, dois tipos de ataques.

Num ataque direcionado, o atacante escolhe uma organização específica. Investiga quem lá trabalha, quem paga as faturas, quais são os fornecedores, e ajusta o ataque a essa informação. Isto exige tempo, por isso tem de valer a pena. Pense num burlão que sabe que a sua empresa vai pagar uma máquina cara este mês, e envia precisamente nessa altura um "número de conta alterado" em nome do fornecedor.

Num ataque oportunista, o processo é o inverso. O atacante foca-se num ponto fraco que existe em milhares de organizações ao mesmo tempo, e aproveita o que encontra. Não há nenhuma escolha pessoal pela sua empresa. É simplesmente um dos endereços na lista.

As pequenas empresas são sobretudo afetadas pelo segundo tipo. Isto não é má sorte, é matemática: se repetir um ataque não custa nada, compensa aplicá-lo a toda a gente.

Como a automatização torna o ataque barato

Um atacante não está sentado a escrever endereços IP à mão. Utiliza programas que vasculham a internet dia e noite. Um destes scanners pergunta, endereço após endereço: que serviço corre aqui, que versão, há alguma página de início de sessão aberta? Em poucas horas, uma grande parte da internet já foi analisada.

Imagine que se torna conhecida uma vulnerabilidade num plugin muito utilizado em lojas online. No dia seguinte, um scanner procura todos os sites que utilizam esse plugin. Encontra a loja online de um escritório de advogados que nunca mais olhou para o seu site, o site de uma associação, e o www.example.com da Padaria Example. O scanner não sabe o que é uma padaria e isso também não lhe interessa. Vê apenas: versão antiga, portanto, alvo certo.

O mesmo acontece com os inícios de sessão. Listas com milhões de combinações de endereço de e-mail e palavra-passe resultantes de fugas de dados são testadas automaticamente em contas de e-mail, contabilidade e redes sociais (lição 1.4). E os e-mails de phishing são enviados aos milhares; se uma pequena parte dos destinatários clicar, a campanha já é rentável.

A isto junta-se o facto de já não ser preciso ser-se um hacker para atacar. Surgiu um mercado completo de cibercrime como serviço: uns desenvolvem o ransomware e alugam-no, outros vendem credenciais roubadas, um terceiro vende acesso a redes empresariais já comprometidas. A Microsoft descreve no seu blogue de segurança como os dados roubados são agrupados, revendidos e, por fim, oferecidos como acesso a empresas. O limiar de entrada é assim baixo, e o número de atacantes elevado.

Onde está o dinheiro

Praticamente todos os ataques a pequenas empresas giram em torno do dinheiro. Esse dinheiro chega de algumas formas:

1. Pagamento direto. Você ou um colega transfere dinheiro para a conta errada: uma fatura falsa, um pedido urgente "do diretor" (lição 1.2).
2. Resgate. Os seus ficheiros são encriptados e tem de pagar para os recuperar, ou para evitar que dados roubados sejam divulgados publicamente (lição 1.3).
3. Revenda. Credenciais de acesso, dados de clientes ou acesso aos seus sistemas são vendidos a quem tiver interesse (lição 1.4).
4. Utilização dos seus sistemas. A sua caixa de correio envia spam, o seu site distribui software malicioso, o seu servidor gera criptomoedas. Você paga a conta sob a forma de má reputação ou de um endereço de e-mail bloqueado.
5. Através de si, chegar a outro alvo. É fornecedor de uma empresa maior. Um atacante que assuma a sua caixa de correio pode enviar faturas falsas aos seus clientes em seu nome.

As pequenas empresas são atrativas por dois motivos. Têm efetivamente dinheiro na conta e pagam faturas, mas muitas vezes não têm departamento de informática, nem o princípio dos quatro olhos nos pagamentos, nem uma cópia de segurança bem atualizada. Isto aumenta a probabilidade de sucesso do ataque.

A sua superfície de ataque

Tudo o que um atacante pode tentar a partir do exterior chama-se a sua superfície de ataque. Para uma pequena empresa, esta é maior do que imagina:

• o seu site, com o CMS, plugins e a página de administração;
• o seu e-mail: as caixas de correio, mas também o seu domínio, que um burlão pode imitar se o SPF, DKIM e DMARC não estiverem bem configurados (módulo 4);
• todas as contas online: banco, contabilidade, plataforma de loja online, redes sociais, o registrar do seu domínio;
• os dispositivos: portáteis, telemóveis, o router, o disco de rede, a impressora;
• as pessoas: todos os que leem e-mails, pagam faturas ou atendem o telefone;
• os seus fornecedores: o criador do site com uma conta de administrador, a empresa de informática com acesso remoto (módulo 7).

Cada componente que já não utiliza mas que continua online é superfície extra sem qualquer utilidade. Um site de testes antigo em test.example.com, uma conta de FTP esquecida de um antigo criador de sites, uma conta de um serviço que cancelou há três anos: ninguém repara nisso, e é precisamente aí que residem as vulnerabilidades.

Armadilhas de raciocínio

"Nós não temos nada de valioso."

Tem, pelo menos, uma conta bancária, uma caixa de correio em que os clientes confiam e dados de clientes. Isso já é suficiente.

"Temos antivírus, por isso estamos seguros."

O antivírus ajuda contra uma parte do software malicioso. Não faz nada contra um colega que paga uma fatura com aspeto genuíno mas com um número de conta diferente, nem contra uma palavra-passe que foi exposta numa fuga de dados noutro site.

"A nossa empresa de informática trata disso."

Talvez. Mas sabe exatamente o que tratam? Uma empresa de informática costuma tratar das atualizações e de um antivírus, mas não do seu procedimento de pagamento, da sua política de palavras-passe ou do acesso do criador do seu site. É preciso definir claramente quem faz o quê (módulo 7).

"A nós isso não nos acontece, nunca aconteceu."

Muitas vezes, simplesmente não sabe. Uma caixa de correio comprometida pode ser lida sem ser detetada durante meses, antes de alguém a utilizar de forma abusiva.

Na prática: um exemplo real

Um exemplo, construído a partir de situações frequentes. Um pequeno escritório de contabilidade (quatro pessoas) tinha um site construído num CMS pelo anterior criador do site. Já ninguém iniciava sessão nele, por isso ninguém via os avisos sobre atualizações. Numa segunda-feira de manhã, apareceu uma notificação do fornecedor de alojamento na caixa de correio: o site estava a distribuir páginas de phishing. Os registos mostraram que um scanner tinha encontrado uma vulnerabilidade conhecida num antigo plugin de formulários, no mesmo dia em que centenas de outros sites foram afetados. O escritório nunca tinha sido "escolhido". A recuperação demorou uma semana, e o nome de domínio ficou durante algum tempo numa lista de bloqueio, o que fez com que os e-mails do escritório caíssem na pasta de spam dos clientes.

A vulnerabilidade poderia ter sido evitada com uma simples atualização. É sobre isto que trata o resto deste curso: não sobre segurança perfeita, mas sobre as bases que travam os ataques baratos e em massa.

Resumo

• Um risco é a combinação de uma ameaça e uma vulnerabilidade: probabilidade x impacto.
• A maioria dos ataques a pequenas empresas é oportunista: primeiro o ponto fraco, só depois a vítima.
• A automatização e o cibercrime como serviço tornam os ataques baratos, por isso compensa aplicá-los a toda a gente.
• Quase tudo gira em torno do dinheiro: pagamentos falsos, resgates, revenda de dados ou utilização abusiva dos seus sistemas.
• A sua superfície de ataque é composta pelo site, e-mail e domínio, contas, dispositivos, pessoas e fornecedores; os componentes esquecidos são os mais perigosos.

Questionário

Exercício

Exercício A1.1: Ameaça, vulnerabilidade e risco. Recebe quatro situações curtas de pequenas empresas. Para cada situação, indique qual é a ameaça e qual é a vulnerabilidade, e avalie a probabilidade e o impacto (baixo, médio, alto). Depois, ordene as quatro situações da maior para a menor risco. O programa verifica as suas respostas e explica o motivo para cada situação.

Exercício D1.1: Mapear a sua superfície de ataque. Faça uma lista de tudo o que a sua empresa tem online: sites e subdomínios, contas, dispositivos com ligação ao exterior, e quem tem acesso a partir do exterior. Indique, para cada componente, se ainda o utiliza e quem é o proprietário.

Para saber mais

Os passos descritos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores, o processo é semelhante.

• Socorro! O meu site foi pirateado. Como posso resolver isto e como posso evitar que volte a acontecer?
• O centro nacional de cibersegurança da Holanda, verificação de cibersegurança para trabalhadores independentes e PME (em neerlandês): https://tools.ncsc.nl/cyberveilig-check/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (em inglês): https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/