Resumo: gestão de risco dos scripts client-side em ad marketplaces
- Duas equipas, ambas com razão: As equipas de ad ops tratam a rotação de terceiros como uma funcionalidade de receita. As equipas de segurança tratam-na como um pesadelo de supply chain. Ambas têm razão, e fingir que se pode escolher apenas uma é como as redes de anúncios se tornam no seu pior vetor de violação.
- A lacuna de visibilidade: A Forrester descobriu que 25% das empresas atribuem um risco de segurança acrescido à expansão das suas redes de terceiros, mas menos de metade das empresas avalia sequer 50% dessas relações. O agente JavaScript first-party da cside observa os scripts de anúncios enquanto estes são executados no navegador e bloqueia injeções maliciosas em tempo real.
- Mantenha a rotação, acrescente monitorização: Se a receita de anúncios depende de uma rotação frequente de scripts, mantenha a rotação, mas instrumente cada payload com um agente first-party no navegador que observe o comportamento em tempo real. Se ainda não conseguir implementar monitorização em runtime, inventarie no mínimo cada parceiro de ad-tech e segmente as respetivas credenciais antes que o próximo zero-day chegue através do tag manager.
Sem tempo? Veja o bloqueio in-browser de Magecart e skimmers da cside. Cobre tudo o que se segue numa única implementação.
Para as empresas que monetizam através de modelos de marketplace de anúncios, as redes de publicidade de terceiros menos tradicionais, as plataformas de análise e os scripts de marketing são indispensáveis. São necessários para gerar receita, aumentando o envolvimento e monitorizando o comportamento dos utilizadores.
Mas também acarretam riscos no lado do cliente.
Estamos a falar de injeções maliciosas de anúncios, esquemas de phishing e vulnerabilidades em scripts de terceiros que são cada vez mais explorados por atacantes.
Estudos como o Verizon 2024 Data Breach Investigations Report (DBIR) e o Business Risk Survey da Forrester mostram que as vulnerabilidades na cadeia de fornecimento digital, incluindo as dependências de terceiros, são uma das principais causas das violações de dados atuais.
Isto acontece porque estes scripts têm total liberdade no navegador dos seus utilizadores. Podem, essencialmente, carregar o que quiserem e alterar por completo a experiência do visitante.
O nosso objetivo é abordar as melhores práticas para proteger os dados dos utilizadores finais e manter a conformidade contínua. Mesmo sob pressão para maximizar a receita publicitária. Uma coisa não deve excluir a outra.
Quais são exatamente estas ameaças
- Scripts maliciosos: Os modelos de marketplace de anúncios dependem de uma rotação frequente de scripts para análise e apresentação de anúncios. Os agentes maliciosos aproveitam estes ambientes dinâmicos para incorporar malware ou intercetar dados. Como indica o DBIR, a injeção maliciosa através de servidores de anúncios ou a manipulação direta de scripts continua a ser um dos principais vetores de infiltração.
- Roubo de credenciais e exploits: O DBIR mostra que o phishing, o roubo de credenciais e a exploração de vulnerabilidades surgem cada vez mais como as principais causas de violações. Os atacantes agarram-se a plataformas de marketing e a scripts sem supervisão para executar movimentos rápidos em direção a áreas mais sensíveis do website.
- Explosão dos ecossistemas de terceiros: A investigação da Forrester sobre risco de terceiros mostra que a dependência excessiva de fornecedores complicou a supervisão do risco: 25% das empresas atribuem um risco de segurança acrescido à expansão das suas redes de terceiros, mas menos de metade das empresas avalia sequer 50% dessas relações, frequentemente devido a restrições de recursos e prioridades concorrentes.
- Utilização de tecnologia moderna: Como observa a Forrester, muitas empresas não veem a gestão de risco de terceiros (TPRM) como uma prioridade de topo, apesar de exploits de zero-day como o MOVEit terem exposto fragilidades na cadeia de fornecimento. A supervisão manual não consegue acompanhar a natureza dinâmica dos ecossistemas digitais modernos, permitindo que vulnerabilidades no lado do cliente passem despercebidas.
Como isto se aplica ao universo dos marketplaces de anúncios
A dependência de redes de anúncios externas e de fornecedores de tecnologia de marketing torna as plataformas de marketplace de anúncios, e quem as integra, alvos primários para atacantes. A Forrester refere especificamente que o setor financeiro, o setor da manufatura e as grandes multinacionais apresentam um risco elevado, mas não priorizam de forma consistente a segurança de terceiros.
As empresas que operam internacionalmente deparam-se com variações nos enquadramentos regulatórios. As empresas na região EMEA, por exemplo, enfrentam requisitos mais rigorosos através do Digital Operational Resilience Act (DORA) da UE e do RGPD.
Entretanto, as organizações da América do Norte e da APAC registaram quedas acentuadas na preocupação com TPRM, apesar do aumento contínuo de scripts de anúncios e infraestruturas transfronteiriças. Esta lacuna regulatória resulta frequentemente numa avaliação inconsistente de fornecedores.
E, claro, negligenciar as relações com terceiros pode gerar todo o tipo de problemas: a sua receita, multas por incumprimento, ou até ações coletivas na sequência de violações de dados. Assim que os atacantes se instalam no lado do cliente, podem extrair dados de consumidores ou sequestrar campanhas com relativa facilidade, e provavelmente sem serem detetados.
Como resolver isto
Para reforçar a gestão de risco no lado do cliente e de terceiros, as organizações têm de adotar uma abordagem estruturada e proativa.
Primeiro, mantenha um registo abrangente e regularmente atualizado de todos os parceiros de análise e ad-tech. Cada fornecedor deve ser avaliado com base no acesso que tem a dados sensíveis dos utilizadores e na dependência de receita que a organização tem dos seus serviços.
A automação pode desempenhar um papel importante nas avaliações de fornecedores. Qualquer organização que gira redes extensas de scripts de terceiros deve implementar plataformas robustas de TPRM ou de governação, risco e conformidade. Estas ferramentas oferecem uma avaliação contínua e simplificam a supervisão, indo além de checklists estáticas e anuais para uma monitorização dinâmica e em tempo real. E isso poupa muito tempo, o que poupa muito dinheiro.
No lado do cliente, existem diversas opções no mercado. Desenvolvemos uma solução de script first-party que garante visibilidade sobre os scripts de anúncios enquanto estes são executados. Isto permite a deteção e o bloqueio de injeções maliciosas em tempo real, algo que nem todas as ferramentas conseguem oferecer.
Como padrão, a autenticação multifator (MFA) deve ser obrigatória para todos os logins administrativos, e as credenciais das plataformas de terceiros devem ser segmentadas. Implementar ferramentas de deteção de phishing em todas as equipas também reforça a resiliência.
Alinhar os investimentos em segurança com os riscos reconhecidos é igualmente importante. As organizações que reconhecem a exposição a terceiros têm mais probabilidade de garantir orçamentos mais elevados para a gestão de risco. Aproveite este ímpeto para financiar plataformas de TPRM e ferramentas de inspeção de código.
Notas finais
A monetização do seu marketplace de anúncios está provavelmente em risco devido à própria natureza da sua implementação no seu site. Não é um bug, é uma funcionalidade: é simplesmente assim que o ambiente client-side funciona.
Priorize a segurança no lado do cliente para proteger estes scripts e, assim, os seus utilizadores e a si mesmo. Utilize uma ferramenta como a cside para monitorizar continuamente o comportamento destes scripts de terceiros e detetar quaisquer tentativas maliciosas.
Entretanto, crie um inventário destes scripts de terceiros (algo que a cside faz por si) e certifique-se de que avalia bem os seus parceiros.
Preste atenção a cada secção da cadeia de fornecimento web e garanta que os seus visitantes e utilizadores podem navegar nas suas páginas em segurança.
